Přeskočit na obsah

Nejde o to, zda zaútočí, ale kdy…

To se týká nejen financí, ale i vzdělávání zaměstnanců nebo v případě nemocnic přípravy krizových plánů.

 

  • Co je podle vás aktuálně největším problémem v zajištění kybernetické bezpečnosti?

Problém se liší nemocnice od nemocnice, záleží na IT týmu, někde mají zkušenější odborníky, ale obecně lze říci, že nemocnice i jiná zdravotnická zařízení se nejvíce potýkají s nedostatkem peněz. Ty jim obecně chybějí na léčbu, natož pak na podpůrné projekty fungování organizace. Na to, aby platily opravdu špičkové IT experty a investovaly značnou sumu financí do svých IT systémů, pochopitelně tolik peněz nemají.

 

  • Jak tento problém řeší jinde ve světě?

Záleží na tom, s kým se budeme srovnávat. Příliš se nelišíme od zemí střední a východní Evropy, kde je již běžné, že je špičková úroveň lékařů, špičková úroveň zdravotnictví, ale v IT a zabezpečení je situace horší. Při pohledu například do Spojeného království se domnívám, že jakkoli je obecná zdravotní péče u nás lepší, v oblasti IT budou jejich špičková pracoviště zřejmě lépe vybavena. Je pravda, že máte‑li soukromou nemocnici, která musí velmi dbát na svůj vnější obraz, aby měla dostatek pacientů, je nucena více investovat i do podpůrných procesů, ať se jedná o pohodlí pacientů, nebo o bezpečnost.

Obecně se ale domnívám, že velké rozdíly mezi námi a ostatními vyspělými zeměmi nejsou. IT systémy jsou všude podpůrným prvkem a lékaři se ve své práci pochopitelně soustředí na zdraví pacientů, takže na oblast IT bezpečnosti není kladen takový důraz. S podobnými problémy v zabezpečení se setkávají zdravotnická zařízení i státní správa po celém světě. Zdokumentovány jsou případy, kdy např. v celém Novém Jižním Walesu v Austrálii celý den nefungovala záchranná služba, protože byly virem napadeny informační systémy. I v USA se nemocnice a další zdravotnické zařízení občas ocitají pod útokem hackerů. Jediný rozdíl může být v tom, že ve chvíli, kdy se jedná o soukromé zařízení, vlastník může reagovat o trochu rychleji, co se týče nouzových zdrojů peněz, které do řešení problému okamžitě investuje. U nás státní zdravotnická zařízení samozřejmě nemohou najednou vzít několik set tisíc korun, aby si najala služby špičkových odborníků, kteří by problém ihned začali řešit. Trochu výhodu asi mají státní instituce typu fakultních nemocnic, kterým může v krizové situaci pomoci stát a poslat experty třeba z Národního ústavu pro kybernetickou a informační bezpečnost nebo obdobných pracovišť.

 

  • Jak by tedy nemocnice měly ideálně postupovat? Existuje vůbec nějaký univerzální návod?

Myslím si, že to nejdůležitější přišlo vlastně v tom, že útoky nastaly, a ukázalo se, jak obrovské problémy mohou způsobit, a tudíž se tomuto tématu začíná věnovat větší pozornost. A uvědomují si to, nebo si naléhavost tohoto problému začínají uvědomovat snad všechna zdravotnická zařízení. Při diskusích o rozpočtu tak získává toto téma trochu větší pozornost než dříve. To je ta lepší zpráva; tou horší je, že zdravotnická zařízení často nemají IT experty takové úrovně, jako mají třeba soukromé firmy. Problém pak řeší s menšími zkušenostmi a také snáze podlehnou různým marketingovým zprávám dodavatelů zabezpečení, kdy mohou vybrat produkty, které nemusejí být úplně ty nejlepší. Nebo se domnívají, že zakoupením drahého software mají vše vyřešeno.

Stejně jako v mnoha jiných oblastech, i v tomto případě je důležitý lidský element. Tedy na jedné straně zrevidovat, zda v IT oddělení máme dost lidí, a na druhé straně mezi všemi zaměstnanci zvyšovat povědomí o tom, že nebezpečí kyberútoků existuje a začíná u každého, kdo s počítačem pracuje.

 

  • Můžete nabídnout nějaké praktické rady?

Jde o relativně jednoduché věci typu školení a osvěty. Důležité je také zvážit, zda všechny postupy a procesy, které jsou v nemocnici zavedeny, nejsou příliš komplikované, zda by je nešlo třeba zjednodušit nebo přenastavit tak, aby zdravotnický personál nebyl nucen jednat pod tlakem, a tudíž mohl být opatrnější a ostražitější. Je zřejmé, že komplikované postupy často vedou k tomu, že je zdravotníci pochopitelně v časovém presu obcházejí. Tím se riziko napadení samozřejmě může dále zvyšovat.

 

  • V této souvislosti nelze nezmínit riziko home office, který se vzhledem ke koronavirové krizi rychle masově rozšířil…

Určitě je to téma související s home office, ale tentýž problém se týká i menších samostatných pracovišť, např. ordinací praktických lékařů a ambulantních specialistů. Všude tam, kde se dostáváme do prostředí, které je méně formální a nejedná se o organizaci se zázemím IT expertů, tedy buď doma – home office, nebo v malé ordinaci, kde lékaři někdo nainstaluje počítač a možná jednou za rok ho chodí zkontrolovat. Praktik pochopitelně nemá peněz nazbyt, aby utrácel za to nejlepší vybavení. Kombinace toho, že tyto počítače jsou v domácím nebo komornějším prostředí malého podnikání, a toho, že pozornost uživatelů PC vůči tomuto typu hrozeb je obecně nižší, samozřejmě znamená, že jejich počítače jsou snáze zranitelné a mnohem více hrozí, že dojde k napadení počítače a ke ztrátě dat. Případně k úniku či zneužití dat, což je zejména ve zdravotnictví samozřejmě velmi citlivá věc.

 

  • Co v takové situaci tedy poradit?

Úplně prvním krokem je to, co se právě děje, tedy zvyšování povědomí veřejnosti a uvědomování si toho, že toto riziko skutečně existuje. Každý počítač je pro útočníky zajímavý. Je možné z něj ukrást data nebo je možné ho zneužít k další kriminální činnosti, třeba rozesílání spamu. Nebo útočníci na počítači zašifrují data a vymáhají výkupné. Základem tedy je uvědomit si, že úplně každý je v tomto případě ohrožený a každý by se podle toho měl naučit chovat. Dnes si již také lidé pořizují bezpečnostní zámky a nepoužívají klasické staré klíče, pořizují si zabezpečení v autech… Zvykli si na to, že do bezpečnosti je potřeba něco investovat a je potřeba se podle toho chovat. Takže obdobně by se měli chovat i s počítačem.

Základem je pořídit si do každého počítače antivirový program, některé jsou k dispozici i zdarma. Druhá důležitá věc je používání bezpečných hesel. Důležité je nemít na všechny servery, kam se připojuji, Facebookem počínaje, přes Seznam až po třeba medicínské servery nebo internetové bankovnictví, stejné heslo. A poslední základní věcí, kterou by každý měl určitě dělat, je zálohování dat. To lidé hodně podceňují, přitom přenosný externí disk lze pořídit za pár set korun. V praxi to pak znamená, že vše, co mám na počítači, pravidelně, minimálně jednou týdně, zálohuji na přenosný disk, který vždy od PC odpojím a uložím na bezpečné místo. Tak si zajistím, že když mi nějaký kód zašifruje počítač, budu mít data schovaná a budu se schopen vrátit alespoň ke stavu, který byl třeba před týdnem, a nepřijdu o vše. Je to velmi jednoduché, účinné – a přitom tak často podceňované.

 

  • Takže pomůže, když to, co mnozí víme, budeme skutečně v praxi dělat…

Ano a ani to moc nestojí, ani nebolí. Není to tolik práce navíc. Je třeba si to uvědomit a vytvořit si návyk.

 

  • U nemocnic je ale problém trochu jinde…

Ano. Tam je to v rukou IT oddělení a samozřejmě je to někde jinde i finančně, protože zálohovat data v síti, která má desítky, stovky PC a ještě další zařízení, je mnohem složitější a náročnější. Navíc některá zařízení bývají připojena přímo na nemocniční síť, takže nastavení celého systému není triviální. Co by ale pro nemocnice mělo platit zcela jednoznačně, je, že mají vypracovaný krizový plán pro případ, kdy se obětí takového útoku stanou. Musejí počítat s tím, že nejde o to, zda na ně někdo zaútočí, ale kdy… Dříve nebo později se tak stane a každý by měl vědět, co v takovém případě dělat. Takže když vypadnou všechny počítače, budou lékaři, sestry atd. přesně vědět, co dělat. Zda lze používat přístroje ovládané z počítačů. Jak obnovit data ze záloh… To vše by nemocnice měly mít připravené. Krizový plán, který mají pro jiné situace, by tedy měly mít i pro situaci kybernetického útoku.

  • Do jaké míry je nebezpečné, když si např. nemocnice vyměňuje data s menší ordinací nebo externí laboratoří?

Zde tak velké nebezpečí nehrozí. Samozřejmě obecně, nejen u zdravotníků, hrozí to, že prostřednictvím e‑mailu může dojít k infikování nějakým škodlivým kódem, který pak dotyčný dál nevědomky rozesílá. Je to jeden ze způsobů, jak se některé škodlivé programy šíří. Tam je namístě opatrnost vždy. Přijde‑li mi e‑mail, který se tváří, že je od kolegy, avšak bude se týkat úplně něčeho jiného, než o čem spolu obvykle komunikujeme, nebo bude v angličtině, rozhodně nebudu otevírat žádný odkaz nebo přílohu. Obecně bych však soudil, že riziko napadení počítačových systémů je při výměně dat mezi jednotlivými zdravotnickými zařízeními velmi malé.

Zdroj: MT

Sdílejte článek

Doporučené

Fórum: Rezidenti po česku

13. 2. 2024

Postgraduální vzdělávání lékařů v České republice probíhá značně neefektivně. Mladí lékaři tráví mnoho času na stážích, které je nikam neposouvají,…