V posledných niekoľkých rokoch prešlo zdravotníctvo, v porovnaní s inými odvetviami, veľkou premenou. Pandémia donútila zdravotnícke organizácie hľadať nové metódy, ktoré sú zamerané na digitálne technológie, aby mohli slúžiť svojim zákazníkom a zavádzať služby digitálnej infraštruktúry pre zachovanie prevádzky podniku. Štúdia spoločnosti KPMG zistila, že 63 % zdravotníckych organizácií dosahuje pokrok v digitálnej agende, zatiaľ čo v iných odvetviach je to iba 44 % organizácií.
Tento posun viedol k nárastu telezdravotnických služieb ak väčšiemu prijatiu partnerov SaaS, zariadení IoT a digitálnej infraštruktúry. V dôsledku tohto posunu smerom k digitalizácii, sa zdravotnícke odvetvia vystavili nadmernému riziku a útokom. Z veľkej časti preto zdravotnícke organizácie zaznamenali
69% nárast objemu kybernetických útokov, čo je najviac zo všetkých ostatných odvetví.
Teraz, keď sa väčšina sveta snaží získať pevnú pôdu pod nohami po celosvetovej pandémii COVID-19,
je výzvou ako prispôsobiť svoju kybernetickú bezpečnosť na novo vznikajúce hrozby. Pre zdravotnícke odvetvia - to vyžaduje zladenie ich digitálnych projektov s kybernetickou bezpečnosťou a zavedenie dôkladnej, komplexnej stratégie riadenia rizík a kybernetickej odolnosti.
Tu sú 4 predpovede kybernetickej bezpečnosti pre zdravotníctvo v roku 2023, ktoré by vedúci pracovníci v zdravotníctve mali poznať.
1) Bezpečnosť zariadenia bude hlavnou prioritou
Používanie zariadení IoT a pripojených zdravotníckych prístrojov vždy predstavovalo pre zdravotnícke organizácie riziko, a to z dôvodu nedostatočného zabezpečenia samotných prístrojov a preto, že zdravotnícke organizácie obvykle neprijímajú nevyhnutné opatrenia na minimalizáciu rizika napadnutia. Očakáva sa však, že používanie zariadení IoT bude vzrastať, a pretože výrobcovia budú zabezpečeniu venovať pozornosť, zodpovednosť za zabezpečenie týchto zariadení a pripojených sietí bude ležať na vedúcich pracovníkoch bezpečnostných oddelenie.
Predpokladá sa tiež nárast služieb vzdialenej starostlivosti a telezdravotníctva. Ide o starostlivosť mimo pracoviska, ktorá bude stále vyžadovať priebežné sledovanie a ďalšie zariadenia, ktoré môžu bezdrôtovo odovzdávať informácie, a byť tiež súčasťou celkovej liečby pacienta. Zdravotnícke organizácie by nemali spadnúť do rovnakej pasce ako zdravotnícke zariadenia a ignorovať potenciálne bezpečnostné riziká, najmä preto, že útočník teraz môže byť schopný napadnúť osobnú sieť pacienta, čo pre poskytovateľov zdravotnej starostlivosti predstavuje nové právne riziko.
Vedúci pracovníci v oblasti zabezpečenia budú musieť zvládnuť čoraz zložitejšie prostredie plné potenciálne nezabezpečených zariadení a zároveň zabezpečiť, aby nové iniciatívy v oblasti vzdialenej starostlivosti a telezdravotníctva nevystavili spoločnosť kybernetickému riziku, riziku týkajúcemu sa dodržiavania právnych predpisov alebo riziku súdnych sporov.
2) Pravdepodobne bude pribúdať iných útokov ako útokov ransomwarom
Od vypuknutia pandémie došlo k dramatickému nárastu útokov ransomwaru, ktorý v prípade zdravotníckych organizácií v roku 2021 vzrástol o 105 % av roku 2022 o 94 %. V roku 2023 však môžeme byť svedkami menej výrazného nárastu množstva ransomwarových útokov a to z niekoľkých dôvodov. Dramatický pokles hodnoty kryptomien, ktoré sú najčastejšou formou platby za ransomwarové útoky, môže viesť k tomu, že útoky budú mať vzhľadom na volatilitu cien kryptomien nižšiu výťažnosť.
Nárast ransomwaru je celkovo dobre zdokumentovaný a tak organizácie naprieč odvetviami, ako aj dodávatelia bezpečnostných nástrojov a partneri, sa snažia minimalizovať riziko a účinnosť týchto útokov.
Tieto faktory môžu viesť k tomu, že útočníci zmenia svoje útoky z ransomvéru na iné druhy útokov, ktoré môžu mať vyššiu úspešnosť. Môže ísť o útoky typu BEC, ransomware, phishing a útoky DDoS s výkupným, kedy útočníci odstavia servery alebo webové stránky spoločnosti, kým nie je zaplatené výkupné. Hackeri vedia, že zdravotnícky priemysel je primárnym cieľom, takže môže byť pre tieto nové útoky hlavným cieľom, čo si vyžaduje, aby sa zdravotnícke organizácie pri svojej stratégii kybernetickej bezpečnosti zamerali nielen na ransomware.
3) Riadenie kybernetickej bezpečnosti sa konečne stane prioritou
Zdravotníctvo sa vždy stretávalo s kybernetickou bezpečnosťou a to najmä kvôli nedostatku priorít, zdrojov a vedenia. V posledných niekoľkých rokoch došlo k zväčšeniu priemernej plochy pre útoky ak oveľa agresívnejším krokom zo strany útočníkov, ktorí zintenzívnili svoje útoky, najmä ransomware.
Napriek týmto novým a rozšíreným rizikovým faktorom len málo zdravotníckych organizácií zmenilo svoju stratégiu a vyčlenilo viac zdrojov na kybernetickú bezpečnosť a IT oddelenie. To viedlo k tomu, že zdravotníctvo nebolo na boj s týmito novými hrozbami dostatočne pripravené a financované. Napríklad výdavky nemocníc na kybernetickú bezpečnosť tvoria v priemere len 5 % výdavkov na IT.
Táto nutnosť kybernetickej bezpečnosti v zdravotníctve zaujala aj vládu USA. Zástupca poradcu pre národnú bezpečnosť v oblasti kybernetiky a nových technológií 13. októbra oznámil, že sa v blízkej budúcnosti možno objaví nové štandardy kybernetickej bezpečnosti pre zdravotníctvo.
V novom roku očakávame, že vedúci predstavitelia zdravotníctva konečne začnú konať, vyčlenia viac zdrojov na kybernetickú bezpečnosť a budú mať vo vedení organizácie osobu, ktorá bude zodpovedná
za vytvorenie komplexnej stratégie kybernetickej bezpečnosti, ktorá bude proaktívne riadiť riziká, budovať odolnosť a pripravovať organizáciu na možnosti prevencie, detekcie a reakcie.
Nemusí nutne ísť o novú funkciu, ako je napríklad CISO, ale môže byť súčasťou rozšíreného súboru zodpovedností CIO, CRO, CTOO alebo ekvivalentnej funkcie v organizácii.
4) Na optimalizáciu rozpočtov budú organizácie využívať spravované služby
Napriek nárastu priorít v oblasti kybernetickej bezpečnosti, riadenia rizík a hrozieb, bude ekonomická neistota a obavy z recesie pravdepodobne viesť k obmedzeniu rozpočtov a väčšej kontrole výdavkov, čo sa pravdepodobne dotkne technologických oddelení a oddelení kybernetickej bezpečnosti.
Kybernetická bezpečnosť často disponuje len minimálnymi zdrojmi, ale je tu aj dobrá správa. Analýza a výskum spoločnosti BCG ukazujú, že hoci sa mnohí IT nákupcovia pravdepodobne obávajú recesie, očakávajú zvýšenie výdavkov, najmä v oblasti digitálnych služieb, vrátane kybernetickej bezpečnosti.
Či už bude na kybernetickú bezpečnosť venovaných viac peňazí, alebo nie, je dôležité, aby sa minimalizovali náklady bez toho, aby sa znížila kybernetická bezpečnosť. Vedúci pracovníci
v zdravotníctve označili poskytované spravované služby za oveľa atraktívnejšiu možnosť v porovnaní
s budovaním oddelenia kybernetickej bezpečnosti, ktoré pravdepodobne prinesie vysoké náklady. Už skôr sme sa tiež zmienili o tom, že zvýšenie počtu bezpečnostných nástrojov a ich dodávateľov v prostredí organizácie nebude mať vytúžený dopad, pokiaľ nebude k dispozícii oddelenie kybernetickej bezpečnosti, ktoré by nástroje využilo na maximum.
V roku 2023 budú poskytovatelia MDR, XDR a MSSP pravdepodobne obľúbenými dodávateľmi kybernetickej bezpečnosti pre zdravotnícke organizácie, ktoré sa snažia efektívne riadiť svoje riziká.
Vedúci pracovníci v zdravotníctve musia v roku 2023 uprednostniť komplexnú stratégiu kybernetickej bezpečnosti
To, ako zdravotnícke organizácie zareagujú, prispôsobia sa a stanovia si priority v oblasti kybernetickej bezpečnosti, rozhodne o tom, ako si povedú medzi svojimi konkurentmi. Úniky dát sú nákladné, riziká súvisiace s nedodržiavaním legislatívy nemožno ignorovať a úspešný útok môže byť pre zdravotnícku organizáciu a jej pacientov zničujúce, pokiaľ neexistuje proaktívna stratégia. Na úspech v oblasti kybernetickej bezpečnosti a na zabezpečenie skutočnej adaptácie a reakcie na dnešné (a budúce) prostredie plné hrozieb je potrebná plnohodnotná stratégia kybernetickej bezpečnosti.
Vedenie musí kybernetické riziko považovať za organizačné riziko a vypracovať stratégiu, ktorá bude zahŕňať plán rozvoja spoločnosti a celkové ciele, aby bolo možné efektívne zabezpečiť organizáciu pri jej raste a rozširovaní. Musí tiež optimalizovať všetky dostupné zdroje a uprednostniť zabezpečenie rozšíreného povrchu útokov a zabezpečiť, aby všetky nové nástroje a technológie viedli k rýchlemu zhodnoteniu.
Využívanie spravovaných služieb je sľubným trendom a pravdepodobne bude mať zásadný vplyv na úspech stratégie kybernetickej bezpečnosti zdravotníckych spoločností. Vzhľadom na priority a riziká by vybudovanie celého oddelenia kybernetickej bezpečnosti trvalo príliš dlho a pravdepodobne by viedlo k menej efektívnej stratégii kybernetickej bezpečnosti. S nedostatkom kvalifikovaných pracovníkov sa stále stretáva mnoho spoločností, takže nie je zaručené ani obsadenie oddelenia, aj keď sú v rozpočte prostriedky na ďalších odborníkov.
Využitie niektorej zo spravovaných služieb, ako sú MDR, XDR alebo MSSP, môže pomôcť znížiť záťaž súvisiacu s vlastným oddelením kybernetickej bezpečnosti, a zároveň využiť výhody nepretržitej podpory, ktorá môže byť v prípade útoku kľúčová. Ide o nákladovo efektívny spôsob, ako mať k dispozícii proaktívnych bezpečnostných expertov, ktorí pracujú na odhaľovaní, náprave a reakcii na kybernetické bezpečnostné incidenty. Nájdenie partnera pre kybernetickú bezpečnosť, ktorý uprednostňuje rýchle zapracovanie, môže organizácii pomôcť využiť čas na dosiahnutie zhodnotenia oveľa efektívnejšie, než keby mala vlastnú stratégiu.