W obszarze cyberbezpieczeństwa wieje grozą
W cyberprzestrzeni Polska od trzech lat jest w stanie wojny. Zapomnijmy, że dostaniemy z unijnej kasy miliony, które pomogą chronić przed cyberzagrożeniem nasze szpitale. Możemy liczyć tylko na siebie. A biorąc pod uwagę to, że jesteśmy krajem, który ze wszystkich państw UE najczęściej pada ofiarą ataków, musimy zadbać o cyberbezpieczeństwo natychmiast.
- Ze statystyk wynika, że Polska jest krajem Unii Europejskiej najbardziej hybrydowo atakowanym przez Federację Rosyjską. Nie ma w tej chwili w Polsce szpitala, który nie byłby spenetrowany czy zaatakowany przez rosyjskie służby specjalne
- Eksperci ostrzegają, że w Polsce brakuje świadomości na temat ogólnopojętych zagrożeń w cyberprzestrzeni, a także na temat tego, jakie są taktyki, techniki i sposób wykonywania konkretnych operacji wymierzonych w instytucje rządowe
- Unia dużo na temat cyberbezpieczeństwa mówi, ale robi znacznie mniej – zdaniem ekspertów możemy w tym obszarze liczyć tylko na siebie
- Przedstawiciele resortu zdrowia uspokają, że zdaje sobie sprawę z zagrożeń i wspólnie z Centrum e-Zdrowia opracował plan naprawczy oraz zebrał pieniądze na jego wdrożenie
Czarno to widzę...
Eksperci z obszaru cyber podkreślają, że wojna hybrydowa będzie się nasilała, a obszar ochrony zdrowia coraz częściej będzie padał ofiarą ataków. Równie łakomym kąskiem co publiczny jest także prywatny sektor ochrony zdrowia, ponieważ z punktu widzenia grup cyberprzestępczych na takich atakach można po prostu dobrze zarobić. Z punktu widzenia bezpieczeństwa i prowadzonej wojny hybrydowej wieje grozą, ponieważ nasza ochrona danych wygląda bardzo iluzorycznie.
Polskie placówki medyczne znajdują się w niechlubnych statystykach między innymi z powodu przestarzałego oprogramowania ochronnego i niezabezpieczonego sprzętu medycznego. Dodatkowo pokutuje u nas brak świadomości dotyczącej zagrożeń, brak koordynacji czy integracji na poziomie rządowym.
Co na to ministerstwo?
Kierownictwo resortu chwali się działaniami Polski podczas prezydencji w Unii Europejskiej.
Magdalena Mycek, główny specjalista w Departamencie e-Zdrowia w Ministerstwie Zdrowia, zaznaczyła podczas IX Kongresu Wizja Zdrowia – Diagnoza i Przyszłość – Foresight Medyczny, że Polska w czasie prezydencji podjęła ważne inicjatywy, w tym dotyczącą cyberbezpieczeństwa wyrobów medycznych – temat bardzo ważny dla bezpieczeństwa szpitali, jeśli chodzi o łańcuchy dostaw oraz bezpieczeństwo systemu.
– Powołaliśmy Task Force, grupę zadaniową pod przewodnictwem Polski, która ma ambitny plan wypracowania do końca grudnia raportu z zaleceniami i rekomendacjami dla Komisji Europejskiej dotyczącymi działań potrzebnych w zakresie cyberbezpieczeństwa wyrobów medycznych. Nasza prezydencja zbiegła się z ogłoszeniem przez Komisję Europejską politycznego europejskiego planu działania na rzecz cyberbezpieczeństwa szpitali i podmiotów świadczących opiekę zdrowotną (European action plan on the cybersecurity of hospitals and healthcare providers) – mówiła.
W dużym stopniu ma za zadanie wzmocnienie Europejskiej Agencji do spraw Cyberbezpieczeństwa, co – jak wskazywała Magdalena Mycek – jest dobrą wiadomością dla Polski, ponieważ potrzebujemy silnej agencji, jaką jest na przykład Amerykańska Agencja ds Cyberbezpieczeństwa.
Od słów do czynów daleeeka droga
Przedstawicielka resortu przyznała jednak, że choć action plan powstał na polecenie komisarz Ursuli von der Leyen, to poza obietnicami niewiele się wydarzyło… KE nadal nie przekuła zapowiedzi w konkretne rozwiązania dla państw członkowskich i szpitali. Magadalena Mycek zaznaczyła także, że nie ma sensu oczekiwać miliardów na cyberbezpieczeństwo, raczej na kilka konkretnych akcji, które mogą wspomóc państwa członkowskie.
– Nie liczmy na to, że Komisja Europejska za nas załatwi problemy krajowe – oceniła.
Możemy mówić raczej o cyber(nie)bezpieczeństwie
A problemów w obszarze cyber w Polse mamy mnóstwo. Brakuje świadości na temat ogólnopojętych zagrożeń w cyberprzestrzeni, a także na temat tego, jakie są taktyki, techniki i sposób wykonywania konkretnych operacji wymierzonych w instytucje rządowe – podkreślali eksperci.
Pokutuje u nas szkodliwy schemat mentalny, mówiący że cyber security to problem działu IT i podejście do bezpieczeństwa jak do straży pożarnej, która przyjeżdża i reaguje dopiero po fakcie. Tymczasem w założeniu powinniśmy myśleć o zarządzaniu kryzysem i poznać zasady, zanim dojdzie do niebezpiecznej sytuacji. Szpitale powinny być przygotowane na ataki, a pracownicy przeszkoleni, jak w sytuacji niebezpieczeństwa reagować.
Kolejny problem to wyzwania w implementacji konkretnych rozwiązań. Wdrażanie każdego złożonego rozwiązania – także rozwiązania z obszaru cyber – wymaga zasobów ludzkich, technicznych i finansowych. Ale również fundamentalnej zmiany podejścia kulturowego. Nie doceniamy roli tożsamości cyfrowej w łańcuchu cyberbezpieczeństwa. Warto spojrzeć na obszar cyberbezpieczeństwa nie tylko jako obszar ochrony danych, ale ciągłości podstawowych procesów operacyjnych, funkcjonowania podmiotu jako takiego i świadczenia usług medycznych.
A wymienione przez ekspertów problemy to tylko wierzchołek góry lodowej...
Po pierwsze – pieniądze. Najlepiej dużo
Magdalena Mycek podkreślała, że resort zdaje sobie sprawę z problemów na rodzimym rynku i nie zasypia gruszek w popiele.
– W Ministerstwie Zdrowia w ramach KPO podczas naboru do D1.1.2 przeprowadziliśmy szeroką ankietę, dzięki której udało nam się zrozumieć, gdzie są największe potrzeby szpitali. Dostosowaliśmy do nich nabór. Cyberbezpieczeństwa co prawda nie ma w kamieniach milowych, ale stwierdziliśmy, że aby przetwarzać bezpiecznie dane medyczne, możemy ten obszar wpisać do naboru – mówiła.
– Cyber security stało się najbardziej rozbudowaną częścią załącznika czwartego. Opracowaliśmy wspólnie z Centrum e-Zdrowia bardzo szczegółowy zakres merytoryczny w podejściu funkcjonalnym. Zależało nam na tym, żeby szpital mógł wykazać (efekty ocenione zostaną przez niezależny audyt) nie tylko to, że coś zakupił, ale że to działa, że zostały uruchomione pewne procesy – wskazywała ekspertka.
Jak mówiła, resort chce, żeby działania ministerialne były spójne z wypracowanym przez Centrum e-Zdrowia base line cyber security, czyli minimalnym zakresem obligatoryjnym, który szpital powinien spełnić, a także, żeby Ministerstwo Zdrowia miało przekonanie, że pieniądze zostały dobrze wydane.
– Daliśmy też szeroki horyzont czasowy, czyli trzyletni okres utrzymania, który również mógł być sfinansowany ze środków KPO. Zobaczymy, jak się sprawdzi to podejście i jak będzie wychodzić w trakcie implementacji – podsumowała Magdalena Mycek.
Bez odpowiedzi pozostają jednak pytania, czy trzyletni horyzont czasowy nie jest jednak w obliczu tak zmasowanych ataków zbyt szeroki i czy przeznaczone na cyberbezpieczeństwo pieniądze wystarczą na reorganizację sypiącego się systemu...
Dyskusja na temat cyberbezpieczeństwa w obszarze ochrony zdrowia odbyła się podczas panelu dyskusyjnego „Cyber(nie)bezpieczeństwo – wrażliwych danych nie ma kto chronić”, który odbył się podczas drugiego dnia IX Kongresu Wizja Zdrowia – Diagnoza i Przyszłość – Foresight Medyczny i XIX Kongresu Hospital & Healthcare Management.
