19 eyalette 140 hastaneyi işleten sağlık hizmeti sağlayıcısı Ascension, elektronik sağlık kayıtları (EHR’ler), hasta iletişimi için MyChart platformu ve bazı ilaç ve test sipariş sistemleri dahil olmak üzere çok sayıda temel sistemi çökerten bir siber saldırıya kurban gitti.
Kuruluş, saldırıyı 8 Mayıs’ta açıkladı ve iç ve dış danışmanlarla aktif olarak araştırdığını ve aksaklığın ortasında hasta güvenliğine öncelik verdiğini söyledi.
Bir göre rapor Detroit Free Press’te çalışanlar 7 Mayıs’ta bilgisayar ağı sorunlarının farkına vardılar ve bu durum tüm sistemin kapatılmasına yol açtı.
Sağlayıcı, acil olmayan tıbbi prosedürleri ve randevuları geçici olarak duraklattı ve bazı hastaneler acil tıbbi hizmetleri başka yöne çeviriyor. Sistem kısıtlamaları nedeniyle hastaların randevulara ilgili tıbbi bilgilerini yanlarında getirmeleri önerildi.
“Bakanlıklarımızı, yerleşik kesinti protokolleri ve prosedürleriyle güvenli, hasta bakımı sağlamaya devam ettikleri için aktif olarak destekliyoruz.” şirket beyanı dedi. “Bir süre kesinti prosedürlerini kullanmamız bekleniyor.”
Kuruluş, soruşturma ve iyileştirme çalışmaları için Mandiant’tan olay müdahale yardımı aldı. Saldırıda herhangi bir hasta verisinin açığa çıkıp çıkmadığı bilinmiyor.
Ascension, “Eğer varsa, hangi bilgilerin durumdan etkilenmiş olabileceğini tam olarak araştırmak için çalışıyoruz” dedi. “Herhangi bir hassas bilginin etkilendiğini tespit edersek, ilgili tüm düzenleyici ve yasal yönergelere uygun olarak bu kişileri bilgilendireceğiz ve destekleyeceğiz.”
Sağlık yine acı çekiyor
Ascension’ın siber saldırısı, Şubat ayında United Healthcare’in Change Healthcare yan kuruluşuna yapılan ve birçok hastane ve tesisteki kesintilerle günlerce kaosa neden olan fidye yazılımı saldırısının hemen ardından geldi.
Arctic Wolf’un güvenlik hizmetlerinden sorumlu kıdemli başkan yardımcısı Mark Manglicmot, Ascension’daki siber olayın sağlık kuruluşlarının “inanılmaz derecede sıcak” bir hedef olduğunun korkunç bir hatırlatıcısı olduğunu söylüyor ve altyapılarına saldırılar fidye talebinin çok ötesinde sonuçları var.
Sağlık kuruluşlarının yalnızca hastalarla ilgili kişisel ve gizli bilgilerin anahtarlarını ellerinde tutmakla kalmayıp, aynı zamanda kritik tıbbi teknolojilerden oluşan geniş ağlara da sahip olduklarını belirtiyor.
Tıbbi verileri rehin tutan ve tıbbi ekipmanı kapatan kötü aktörler binlerce yaşamı doğrudan tehdit edebilir ve izinsiz giriş ne kadar uzun sürerse risk de o kadar büyük olur.
“Geçen yıl, sağlık sektöründeki ortalama fidye yazılımı talebi 450.000 dolardı; bu çok yüksek bir rakam olsa da, bir sağlık hizmeti olayının insan üzerindeki etkisinin, tehdit aktörlerinin finansal ve kötü şöhret elde etmek için kullandıkları çok daha büyük bir araç olduğunu dikkate almak önemlidir. hedefler” diyor.
NCC Group’un risk yönetimi ve yönetişim direktörü Kurt Osburn, bunun nasıl olduğunu belirtiyor sağlık bakımı kolay bir hedeftir ilave olarak.
“Hastanelerde bilgi alınacak o kadar çok insan ve giriş noktası var ki, bunların tamamını güvence altına almak önemli bir çaba ve maliyet gerektirebilir” diyor. “Ne yazık ki hiçbir sağlık hizmeti saldırısı şaşırtıcı değil. Bilginin değeri nedeniyle sektör, saldırganlar için öncelikli hedeftir.”
Manglicmot, firmasının defalarca gördüğü en önemli saldırı yöntemlerinin, uzun süredir bilinen harici güvenlik açıklarından yararlanma ve kimlik avı saldırıları olduğunu söylüyor.
“Bunlar denenmiş ve doğrulanmış istismar yöntemleri olmasına rağmen, kuruluşlar buradaki tüm zayıflıkları gidermeye çalışarak hasta sağlığını ve güvenliğini riske atmaya çalışıyor” diyor.
Bir olaydan sonra toparlanırken, dışarıya yönelik güvenlik açıklarının kapatılmasına öncelik verilmesini ve kapsamlı, yukarıdan aşağıya 7×24 güvenlik operasyonları yeteneği oluşturulmasını tavsiye ediyor.
“Bunlar olmadan, başarılı bir saldırının tekrarlanma riski çok yüksektir” diye uyarıyor.
Osburn, sağlık kuruluşlarının siber güvenliğe öncelik vermesi ve bu konuda daha uyumlu bir çaba göstermesi gerektiğini söylüyor hasta verilerinin gizliliğini ve güvenliğini koruyun.
“Sadece saldırıya uğrama riskini kabul etmeyin; tehditleri proaktif olarak önleyin, tespit edin ve bunlara yanıt verin” diye tavsiyede bulunuyor. “Bir ihlal meydana gelmesi durumunda etkiyi sınırlamak için hassas kişisel sağlık bilgilerinin saklanması, bu bilgilere erişilmesi ve paylaşılması için önlemler alın.”