Stát začal řešit bezpečnost nemocnic, až když přišly ochromující kyberútoky

Ve čtvrtek na brněnské konferenci s názvem Kybernetická bezpečnost ve zdravotnictví to řekli Vít Lidinský z ministerstva zdravotnictví a Vojtěch Vágner z Národního úřadu pro kybernetickou a informační bezpečnost.

Podle Vágnera není jednoduché sjednotit bezpečnostní standardy, protože v Česku je 270 nemocnic, které mají různé zřizovatele, veřejné i soukromé. Vedle toho existují polikliniky a další menší zdravotní zařízení či ambulance. Proto je vhodné nastavit jednotný základní bezpečnostní standard a na něm stavět detailní zabezpečení podle potřeb každého zařízení. „Vidím obrovskou naději v tom, že Evropská unie se snaží tlačit jeden typ standardu zabezpečení, který je celosvětově uznávaný,“ uvedl Vágner.

Podle Lidinského se daří problematiku posouvat k lepšímu, ale bude ještě dlouho trvat, než bude situace na požadované úrovni. A zatímco velké nemocnice mohou mít IT specialisty, menší zařízení si to dovolit nemohou, ale i o ně musí být postaráno.

Odborníci doporučují, aby každá nemocnice preventivně vzdělávala a školila zaměstnance, jak se na síti chovat, měla by mít data zálohována a také by měla mít krizový plán pro případ úspěšného kyberútoku.

Zatím v českých nemocnicích nedošlo kvůli kybernetickým útokům k ohrožení života či zdraví, ale stalo se to například v Düsseldorfu. Tamní fakultní nemocnici postihl v září 2020 výpadek asi 30 serverů, v důsledku čehož nemocnice nepřijímala sanitky ani objednané pacienty a plánované operace musely být odloženy. Hackeři si tehdy mysleli, že napadli servery vysoké školy. Když se dozvěděli, že jde o zdravotnické zařízení, okamžitě zablokované servery odšifrovali – to už ale bylo pozdě.

Podle vyšetřovací zprávy kvůli útoku zemřela žena, kterou düsseldorfská nemocnice v noci z 11. na 12. září nebyla schopna přijmout. Namísto toho musela být ve vážném zdravotním stavu převezena do několik desítek kilometrů vzdáleného Wuppertalu, kde krátce po příjezdu zemřela. Státní zastupitelství případ vyšetřuje jako usmrcení z nedbalosti.

Podle Lidinského si zvyšování kyberbezpečnosti nemocnic vyžádá velké investice. Peníze pro ně bude ministerstvo čerpat z národního plánu obnovy i z programů EU.

Jan Bonczek ze společnosti Viavis, která pomáhá obětím útoků při obnově systémů, dodal, že 90 procent obětí útoků na internetu o své zranitelnosti komunikovalo a útočník to pak jednoduše zkusil. Útočníci obvykle útočí kvůli penězům, protože po úspěšném útoku požadují výkupné, které se průměrně pohybuje mezi 100 000 a 150 000 dolary (2,3 a 3,5 mil. Kč). „Koreluje však s velikostí společnosti,“ dodal Bonczek.

„Na jedné straně jsou nemocnice a zdravotnická zařízení lákavé cíle, na straně druhé je ale řada úspěšných útoků na ně pouze dílem náhody. Útočníci prostě prohledávají internet na zranitelné systémy, a jakmile nějaký najdou, zaútočí. V ještě více náhodné podobě pak někdo klikne na e-mail, ve kterém je v příloze ransomware, a tím vyvolá doslova katastrofu,“ uvedli bezpečnostní experti z Anectu.

„Problém s českými zdravotnickými zařízeními spočívá navíc zpravidla v zastaralém vybavení. Počítačové a síťové prostředí v nemocnicích tak bývá běžně dlouhodobě zanedbávané a nutnost aktualizací a správného nastavení chodu je často ignorována,“ doplnili bezpečnostní experti.