Здравоохранение, пожалуй, самая уязвимая отрасль, регулярно страдающая от утечки ценной информации. Хищение данных из медицинского центра Афины, расположенного в США, яркая иллюстрация плачевного состояния систем защиты. Бывший работник центра умудрился похитить более 80 миллионов персональных данных, не имея особой технической подготовки, сообщников или сложных компьютерных программ. Этот случай продемонстрировал катастрофические масштабы проблемы. На сегодняшний день всем медицинским учреждениям крайне необходима система защиты, в первую очередь, от внутренних угроз. При этом внедрение должно быть возможно при минимальном бюджете. Как ни странно, даже частные центры и клиники весьма ограничены в деньгах, ну а государственные учреждения и подавно страдают от отсутствия финансирования.
У стороннего наблюдателя, никогда не сталкивавшегося с кражей информации и не совсем понимающего специфику организации движения информационных потоков внутри медицинских учреждений, вызывают недоумение как минимум два вопроса: «Почему клиники настолько незащищены в плане информационной безопасности?» и «Зачем злоумышленникам нужны чужие истории болезней?».
Антикварное оборудование
Есть кардинальное отличие медицинского сектора от остальных сфер деятельности – невероятно устаревшее оборудование и программное обеспечение. Иногда технопарк настолько стар, что использовать современные системы защиты становится попросту невозможно.
Естественно, причина подобной ситуации – отсутствие бюджетов на комплексное обновление технических средств. Всем известно, что даже в крупных компаниях бывает трудно уговорить начальство заменить старый ноутбук или компьютер. А в медицинских учреждениях оборудование весьма специфично и создано для решения определенных задач. Массовая замена может обойтись в тысячи, если не миллионы долларов. Поэтому не мудрено, что в государственных больницах и даже частных клиниках все еще в обиходе Windows XP или более ранние версии операционной системы.
Еще один серьезный фактор, препятствующий «апгрейду» — законы и нормы государственных регуляторов. Во многих странах, инициатива замены техники или обновления программного обеспечения сталкивается с широким перечнем бюрократических проблем: сертификация оборудования и программного обеспечения, получение одобрений и разрешений от различных инстанций и так далее. В такой ситуации нелегко решиться на тотальную модернизацию: невероятные расходы, уйма времени и давление со стороны госорганов способны отпугнуть любого руководителя.
Цель для злоумышленников
Только представьте, в этом заповеднике морально устаревшей техники хранятся терабайты ценной информации: номера банковских счетов, данные о медицинской страховке, имена, телефоны, физические адреса, электронная почта. И конечно истории болезней.
Завладев подобной информацией, злоумышленник сможет использовать чужую личность для дальнейших незаконных операций, получить доступ к ряду банковских счетов или прибегнуть к банальному шантажу и вымогательству. И это в лучшем случае. Специалисты по безопасности со всего мира сходятся во мнении: утечки данных из медицинских учреждений несут прямую угрозу жизни. Ведь, если преступник решит поменять информацию в истории болезни, результат вполне может быть летальным.
Статистика утечек данных за последние пять лет катастрофична. В более чем 40% случаев жертвой оказывались именно объекты здравоохранения.
Защита данных
Без защиты информации медицинским учреждениям не обойтись, ведь иначе данные, рано или поздно, похитят. А резонанс, скандал и финансовые убытки окажутся в разы больше, чем инвестиции в новое оборудование. К тому же, схема защиты информации с минимальными инвестициями в систему безопасности разработана и повсеместно внедряется в США и Европе.
В первую очередь стоит обозначить самые уязвимые места и определить приоритеты защиты. Медицинский сектор редко страдает от атак хакеров и проникновения во внутреннюю сеть. На данный момент основную опасность представляют физические кражи оборудования или получение доступа к ценной информации без применения серьезных программных средств.
Информацию часто крадут инсайдеры – недобросовестные сотрудники, ведь продажа данных на черном рынке выгодное дело. Нередко злоумышленники похищают портативные накопители или ноутбуки. При чем, далеко не всегда с целью завладеть информацией.
Защититься от подобных утечек можно даже с минимальными вложениями в систему безопасности. В первую очередь необходимо обеспечить контроль потоков информации внутри локальной сети. Мониторинг электронной почты, анализ перемещаемых данных на внешние жесткие диски или флеш-накопители позволит предотвратить утечки данных в большинстве случаев.
Не менее важен и контроль оборудования. Благодаря такой функциональности можно своевременно установить факт хищения, например, жесткого диска или ноутбука, и не дать злоумышленнику вынести ценную информацию за периметр организации.
И, пожалуй, самая важная характеристики любой защитной системы – анализ рисков и мгновенное уведомление об инциденте. Анализ рисков и отклонений позволяет своевременно выявить недобросовестных сотрудников, торгующих информацией, а также определить наиболее уязвимые и потенциально опасные места в периметре безопасности. А система уведомлений своевременно сообщит ответственному лицу о возникшей угрозе.
