„Pomooooc, ta myš se mi sama hýbe!“ aneb zranitelnost uživatelů ve zdravotnictví
„Pomooooc! Ta myš se mi sama hýbe!“ křikla na mě před mnoha lety sestřička v jedné ambulanci, kde jsem tehdy krátce vypomáhal.
Znáte to. Na optický senzor počítačové myši se přilepí trocha paštiky nebo marmelády a kurzor na obrazovce začne pomalu cestovat, i když myš v klidu stojí na podložce. Vstal jsem s tím, že vyřeším drobný hardwarový problém. Jenže myší to nebylo. Na liště běžel neznámý program pro vzdálenou správu a kurzor po ploše běhal až moc svižně – zrovna se snažil otevřít složku s naskenovanými zprávami od pacientů, která byla na ploše. (Hmm. 🤔)
Protože jsem roky pracoval v IT, reagoval jsem reflexem: okamžité odpojení LAN, zabití procesu, kontrola logů a odstranění škodlivého softwaru. Naštěstí útočník nic během těch pár sekund provést nestihl a žádná data neodešla.
O žádný sofistikovaný hackerský průnik do sítě nešlo. Pár minut předtím sestřičce zavolal „pán z banky“ kvůli fiktivnímu problému s úvěrem a pod časovým tlakem ji přiměl aplikaci stáhnout a spustit. Vishing v praxi.
Největší zranitelnost sedí na židli
Podle dat stojí za 80 až 90 % úspěšných kybernetických útoků ve zdravotnictví sociální inženýrství – tedy phishing, vishing a různé formy manipulace. Útočníci nelámou šifrování databází. Zkouší, jestli někdo v shonu mezi dvěma pacienty neuvěří přesvědčivému hlasu v telefonu nebo e-mailu.
Při debatách o eHealth často řešíme bezpečnost centrálních registrů, šifrování nebo celkovou architekturu systémů. Centrální architektura má špičkové zabezpečení – od silné autentizace a autorizace přes bezvýznamové identifikátory až po přísný audit přístupů a událostí.
Zdravotníci ale nejsou kybernetičtí experti. Pod tlakem plné čekárny a neustále zvonících telefonů je lidské selhání otázkou chvilky.
Jak stavět kybernetickou odolnost v ambulancích pragmaticky?
-
Princip nejnižších práv: K běžné práci na počítači v ordinaci není potřeba být přihlášen pod administrátorským účtem. Pokud sestra nebo lékař v nepozornosti kliknou na špatný odkaz nebo spustí stažený soubor, systém bez práv správce nedovolí instalaci škodlivého kódu.
-
Kultura psychologického bezpečí: Nejúčinnější obranou proti vishingu a phishingu není hrozící trest, ale rychlost rozpoznání situace a zásahu. Pokud navíc sestra nebo lékař ví, že mohou bez strachu okamžitě říct „asi jsem udělal/a chybu“, zásah se může stihnout vyřešit dřív, než se data ztratí.
-
Ochrana koncových bodů: Pravidelné vzdělávání koncových uživatelů je klíčové. Národní eHealth architektura je stavěná bezpečně. Ochrana dat pacientů je ale vždy jen tak silná, jak bezpečné je prostředí v jednotlivých ambulancích, které k nim přistupují.
Lékařské tajemství dnes nechráníme jen zamčeným šuplíkem s kartotékou, ale i tím, že vytváříme a chráníme bezpečné IT prostředí na všech úrovních – od infrastruktury až po lidský faktor.
-
Související články na blogu Petr Kajzar
-
Ministerstvo zdravotnictví vydalo dokument o kybernetické bezpečnosti 29. 10. 2017 18:10
-
Ostrava na konferenci DiGi refresh 2026 ukázala lidskou tvář digitalizace zdravotnictví 17. 9. 2026 11:28
-
Vzniká elektronická výměna informací o sociálním zabezpečení napříč EU – a ČR je zapojena! 4. 12. 2017 21:35
-
Nadějné české projekty pro pacienty 7. 10. 2017 15:59
-
eHealth v ČR: nová legislativa 14. 9. 2017 8:08
-
-
Související články na ostatních blozích
-
WordPress zranitelnost v REST API je aktivně exploitována 7. 2. 2017 14:48
-
Dostupný exploit pro 0day zranitelnost v Microsoft Windows 3. 2. 2017 15:24
-
Zranitelnost v nejnovější verzi MODX Evolution je aktivně exploitována 30. 11. 2016 14:05
-
Top-10 bezpečnostních incidentů v srpnu 2016 2. 9. 2016 14:08
-
Uživatelé vBulletin trpí masivním únikem dat 25. 8. 2016 12:56
-
Tajné služby jdou po zranitelnostech v hardwaru 18. 8. 2016 16:06
-
-
Je zajímavé, že s tím zdravotníci problém absolutně nemají. Tedy, o dost častěji se zle chovají zdravotní sestry než doktoři samotní. Jít na pohotovost s dítětem se skelným pohledem, horečkou 39+ a kašlem je zážitek. Udělají odběry, výtěr z krku, CRP, a pak vám řeknou že "má jen horečku, stačilo to chladit", zavolat si další den o výsledky krve.
Ale já tam přece jdu přesně proto, aby mu někdo udělal ten výtěr z krku, výsledky krve a CRP. Protože tím právě vyloučím, že to není něco vážnějšího. A bohužel zatím co doktoři jsou často v pohodě, sestry nemají problém pindat o "hysterických rodičích".
-
Ja zazil, ze jim tam kolaboval pan z Holandska a sestricky tvrdily, ze je toi simulant, jeho pritelkyne uz resila ambasadu, ze je v nejake zastale zemi zvana CR, ze ji zde kolabuje pritel a oni jej odmitaji ostrtit ... no nas taky nechteli resit - pritom kolega tez popchany mochnickam mel zastavy srdce a dychanui a vecer jsme jej krisli z bezvedomi ;-))
Volali jsme do Brana, aby si srovnali Pelhrimov ;-) - pak jsem nasel chirurga - pote co jsme mu posla stav toho apcienta a kolegu si myslsl, ze jsme kolega co studuje medicinu ;-) nebo je doktor ;-) - no chirurg serval sestricky ze kdo tady sakra urcuje dignozu, koukl na pana, co mel otekly kotnik, nechopdil a teplotu - rikal, okmazite na sal, jinka dostane spesi, otravu krve a umre, takze to oteviral, vydesinfikoval, nasadil antibiotika ;-) a udelal odber ze to pisla do labu zda jeste nema borelizou, ze mu to posle ... a u nas lab a antibiotika - tomu co kolbaoval delal jeste nejaka vsytreni a daval mu dalsi leky ....
takze CZ zdravotnictvi lecit umi, ale neumi casto diagnostikovat a nebo to tam nekdo sabotuje -- btw jako bonus se ukazalo, ze kolabujci kolega dostal jeste salmneu a protoze jsme byli vetsi skupina z cele CR, tak se tam sesly 4 hygieny ;-) a zjistili, ze v mistnim supermarketu prodavali skeacky a kde co se salmoneou - pak ze jsou tam vysoce infikovane mochnicky - to uz ale resil nekdo jiny - delali odchyt a zjistovali, kde se to tam k* vzalo - ze clovbeka pichne hmyz a vsem bez rozdilu otecou kotniky a nekterym tak, ne kolabuji a nechodi - jako ten Holandan ;-))
-
Princip nejnižších práv: K běžné práci na počítači v ordinaci není potřeba být přihlášen pod administrátorským účtem. Pokud sestra nebo lékař v nepozornosti kliknou na špatný odkaz nebo spustí stažený soubor, systém bez práv správce nedovolí instalaci škodlivého kódu.
trochu naivni pristup, rekl bych - nemit admina na PC je jednou (dulezitou), nikoliv jedinou podminkou pouzivani PC bezpecne, napr. ransomware nepotrebuje admin prava, presto dokaze odeslat/kompletne zasifrovat uzivatelska data
ČLÁNKY DO MAILU