Prof. Iwona Maroszyńska: Skuteczne metody zapobiegania cyberzagrożeniom w praktyce

Incydent był wynikiem nieodpowiedzialnego zachowania jednego z pracowników. Kliknięcie nieznanego linku otrzymanego pocztą elektroniczną stało się powodem poważnych problemów w całej placówce. Przede wszystkim odczuli je pacjenci, bo część zabiegów musiała zostać przesunięta na inny, bliżej nieokreślony w momencie zaistnienia sytuacji kryzysowej, termin. Incydent częściowo sparaliżował pracę wszystkich pracowników, zarówno medycznych, jak i administracyjnych. O zdarzeniu poinformowaliśmy od razu wszystkie urzędy i agencje, zgodnie z obowiązującymi procedurami. Otrzymaliśmy wszelką niezbędną pomoc i wsparcie. W toku przeprowadzonych audytów okazało się, że nie doszło do kradzieży danych osobowych. To była naprawdę dobra wiadomość.

Dokumentacja papierowa, na której przejście zmuszeni zostaliśmy przez incydent, pomogła nam w ogromnym stopniu przywrócić szpital do funkcjonowania, ale także – pokonać trudności, które dotykały w dużym stopniu samych pacjentów. W zakresie diagnostyki obrazowej zmuszeni jednak zostaliśmy do przekierowania na badania do innych placówek – na szczęście po dwóch dniach udało się przywrócić pracownie do pracy w niepełnym zakresie, bo bez możliwości archiwizowania badań obrazowych.

Paradoksalnie, zgromadzone jakiś czas wcześniej druki w formie papierowej związane z realizacją bieżących świadczeń skserowano i dostarczono do poszczególnych klinik, co w dużym stopniu wsparło możliwość udzielania usług medycznych pacjentom szpitala.

Dzięki prowadzeniu jeszcze przed atakiem monitorowania ruchu pacjentów w formie elektronicznej i tradycyjnej, papierowej, udało się uzyskać kontakt z oczekującymi na zabiegi oraz korzystającymi z usług przychodni przyszpitalnej. W poradniach odbywały się wizyty planowe i nie było konieczności ich odwoływania. Teoretycznie nie powinniśmy mieć podwójnego systemu związanego z planowaniem ruchu pacjentów. Praktycznie jednak ten fakt uratował nas – nie waham się tego stwierdzić – przed całkowitym paraliżem działalności placówki.

Istotnie, w toku postępowania wyjaśniającego, w formie audytu, udało się ustalić, że to jeden z pracowników wykonał niebezpieczną operację w systemie elektronicznym. Niestety w czasie, którego dotyczy zdarzenie, nie obowiązywały rygorystyczne procedury, które nakładałyby na osobę, narażającą placówkę na cyberatak, konkretne kary.

Najważniejsze są okresowe szkolenia wszystkich pracowników, niezależnie od pełnionych funkcji, ale także coroczne kursy online z zakresu cyberbezpieczeństwa, ze szczególnym uwzględnieniem phishingu. Istotnym elementem uświadamiania zagrożeń jest regularne wysyłanie fałszywych wiadomości phishingowych z działu IT – celem tego działania jest utrzymanie czujności pracowników. Jeżeli pracownik trzykrotnie powtórzy kliknięcie linku, może spodziewać się konsekwencji finansowych, z naganą włącznie. Poza tym oznaczane są wiadomości e-mailowe pochodzące spoza szpitala, z informacją o potencjalnym ryzyku wynikającym z otwarcia wiadomości. Konieczne jest stałe odnawianie haseł, które muszą być silne. Dodatkowo kontrolowany jest dostęp do Internetu. Mamy również blokadę dostępu urządzeń przenośnych do komputerów pracujących w sieci. W przypadku bezczynności następuje automatyczne wylogowanie z systemu.

W praktyce było to kilka tygodni, jednak dużym wyzwaniem, przede wszystkim natury psychologicznej, były kontrole i audyty wielu instytucji. Zdecydowanie najszybciej do normalnej pracy powrócił dział administracji, apteka szpitalna praktycznie była jedynym miejscem na terenie szpitala, którego nie dotknął atak cyberprzestępców.

Współpraca była modelowa – pojawiła się chęć wzajemnego wspierania się w sytuacji kryzysowej, którą bez wątpienia stał się ten incydent, ale także podejmowanie działań na rzecz rozwiązywania problemów, których nie brakowało. Z taką sytuacją mieliśmy bowiem do czynienia pierwszy raz, na ogromną skalę. Konsekwencje incydentu dotknęły wszystkich pracowników, bez wyjątku.

Zdecydowanie tak. Mamy oprogramowanie antywirusowe we wszystkich jednostkach, a konfiguracja struktury sieciowej została przeprowadzona zgodnie z zaleceniami audytu. Dodatkowo ruch jednostek wymagających połączenia z siecią jest ograniczony. Poza tym – otrzymaliśmy 600 tys. zł, w ramach konkursu NFZ na wdrożenie konkretnych działań z zakresu cyberbezpieczeństwa.

To, czego nauczył nas incydent, to postrzeganie każdej wiadomości e-mailowej lub linku internetowego jako potencjalnego zagrożenia. Jesteśmy dziś zwolennikami kultury „zerowego zaufania”. Naszym zdaniem, jako kierownictwa instytutu, im mniejsze zaufanie, tym większa szansa na uniknięcie lub ograniczenie ryzyka problemów, jakie stały się naszym udziałem. Mogę dziś z dumą podkreślić, że problemy faktycznie udało nam się zamienić w korzyści, a negatywne doświadczenia przekuć w dobrą praktykę, którą chętnie się dzielimy.

Trzeba aktywnie śledzić najnowsze trendy szkoleniowe w zakresie cyberbezpieczeństwa, stale uczestniczyć w szkoleniach i konferencjach z tego zakresu. To konieczność w sytuacji wysokiego ryzyka ataku hakerskiego – każda z naszych placówek, którymi kierujemy, może stać się w każdej chwili atakiem cyberprzestępców. Nawet najlepsze systemy IT mogą okazać się niewystarczająco zabezpieczone przed cyberzagrożeniem. Trzeba pamiętać, że prawdopodobieństwo ataku jest nieuniknione, pozostaje tylko pytanie, kiedy on nastąpi. Warto zdać sobie także sprawę z faktu, że obecnie nie dysponujemy metodami w stu procentach skutecznymi, które zapewnią optymalny poziom bezpieczeństwa placówki medycznej w zakresie cyberochrony. Dopiero gdy nastąpi atak, specjaliści mają szansę znaleźć rozwiązanie i opracować najlepsze możliwe zabezpieczenia. Mam ulubione stwierdzenie – najpierw musi być wirus, żeby na niego była szczepionka.