Цифровые технологии заняли центральное место в секторе здравоохранения. Это касается всех видов деятельности, начиная с приема пациентов, управления рецептами и заканчивая контролем физической среды. В этом контексте риски кибербезопасности также стали более распространенными. Проведение аудита безопасности позволяет конкретно оценить риски для каждого медицинского учреждения или компании.
Ниже приводится обзор вопросов кибербезопасности, которые могут стать точками внимания во время пентеста. Хотя защита данных является основным вопросом, другие риски, связанные с оборудованием и ИТ-инфраструктурой, также часто вызывают беспокойство.
Юридические аспекты
Данные о здоровье являются особо чувствительными персональными данными. Они подлежат усиленной защите, особенно с юридической точки зрения.
Законодательство в разных странах различно:
- во Франции, например, существует обязательство хранить данные у сертифицированных хостеров HDS (Health Data Host), чтобы хостинг соответствовал уровню критичности данных.
- В Европейском Союзе действует RGPD, который охватывает все персональные данные, включая данные о здоровье. Он укрепляет права лиц, которых касается обработка их данных (уместность и пропорциональность, ограниченное хранение и т. д.), и подтверждает принцип запрета на обработку данных о здоровье из-за их чувствительности (статья 9). В нем также закреплено обязательство сообщать об инцидентах безопасности, что подразумевает защиту и тщательный контроль за тем, что происходит в информационной системе.
- В США можно упомянуть Закон HIPAA (Health Insurance Portability and Accountability Act). Он обеспечивает основу для защиты идентифицируемых медицинских данных. Это включает обеспечение конфиденциальности, целостности и доступности данных, а также выявление и принятие разумных мер для защиты от угроз, неправильного использования и утечки данных.
Технические аспекты
Защита данных включает в себя защиту как конфиденциальности, так и целостности конфиденциальных данных.
Конфиденциальность данных — это аспект, который необходимо учитывать на протяжении всего «пути» производства и сбора данных о здоровье. Это включает в себя множество контекстов, например:
- Онлайн-услуги: порталы результатов анализов, общие медицинские карты, медицинское программное обеспечение онлайн и т. д.
- Подключенные объекты: системы удаленного мониторинга, подключенные браслеты, подключенные аптечки и т. д.
- Больничные информационные системы: программное обеспечение и серверы, используемые внутри больницы для управления пациентами, внутренней организации и хранения информации.
Многие типы уязвимостей позволяют получить доступ к данным, обрабатываемым веб-приложениями (онлайн-сервисами), подключенными объектами или внутренними инфраструктурами компаний или медицинских учреждений. С технической точки зрения существует очень большое разнообразие уязвимостей, которые могут применяться в различных бизнес-контекстах.
В ходе аудита безопасности технические решения и принятые меры безопасности будут подвергнуты «испытанию», чтобы проверить, возможно ли в случае кибератаки получить доступ, изменить или уничтожить данные.
Подключенное оборудование
Подключенные объекты представляют собой настоящий вызов кибербезопасности. Несанкционированный захват объектов и утечка данных являются наиболее тревожными угрозами.
Разнообразие используемых технологий и, соответственно, количество возможных точек атаки является слабым местом: кибератаки могут использовать уязвимости, связанные с электронными компонентами, встроенным программным обеспечением, проблемами конфигурации, недостатками веб-интерфейсов или мобильных приложений…
Веб-интерфейсы и мобильные приложения часто являются наиболее уязвимыми точками входа, однако в некоторых случаях возможно извлечение данных непосредственно из электронных компонентов объекта.
Для производителя подключенных объектов подход Security by design имеет большое значение. Аудит безопасности (IoT pentest) позволит проверить безопасность продукта.
Для компании или медицинского учреждения, использующего подключенные объекты, разработанные третьими лицами, очень важна конфигурация объектов и безопасность сетей, к которым будут подключены объекты. Ряд взломов фактически связан с возможностью использования уязвимостей локальной сети.
Обычное оборудование, подключенное к сети
Обычное оборудование, подключенное к локальной сети, также может привести к рискам внешнего захвата или утечки данных. Это касается принтеров/сканеров, а также медицинского оборудования, например, рентгеновских аппаратов, устройств, используемых для ухода…
Для компании или медицинского учреждения, использующего такое оборудование, вопросы безопасности также связаны с безопасностью локальной сети. Проблемы, связанные с разделением доступа, представляют собой потенциально критическую угрозу.
Аудит безопасности локальной сети может быть использован для проверки существующих возможностей для злоумышленника.