Centrum e-Zdrowia ostrzega sektor zdrowotny przed nowymi cyberzagrożeniami

Jak zaznacza CeZ w oficjalnym komunikacie ostrzegawczym, W Europie Zachodniej obserwowany jest wzrost liczby incydentów cyberbezpieczeństwa wymierzonych w systemy operacyjne (OT) oraz infrastrukturę techniczną wspierającą procesy krytyczne. Coraz częściej celem ataków stają się systemy sterowania urządzeniami chłodniczymi, co może mieć znaczenie również w kontekście placówek ochrony zdrowia.

CeZ wskazuje, że do poważnego incydentu doszło we Francji, gdzie doszło do próby nieautoryzowanej zmiany parametrów pracy systemów chłodniczych wykorzystywanych przez francuską służbę krwiodawstwa. Według dostępnych informacji, zagrożone mogły być próbki krwi oraz osocze przeznaczone do celów medycznych.

W związku z powyższym w oficjalnych zaleceniach CeZ zarekomendował placówkom:

• zweryfikowanie zabezpieczeń systemów chłodniczych, magazynowych oraz innych systemów OT,
• wzmocnienie monitoringu zmian konfiguracji i parametrów pracy urządzeń krytycznych,
• ograniczenie oraz kontrolę dostępu zdalnego do systemów technicznych,
• przegląd uprawnień administratorów i dostawców zewnętrznych,
• zapewnienie segmentacji sieci OT od sieci biurowych,
• w przypadku urządzeń wyposażonych w interfejs komunikacyjny i dedykowany system zarządzania, ograniczenie dostępu zdalnego do niezbędnego minimum oraz zapewnienie, aby urządzenia niewspierane lub nieaktualizowane były odseparowane od Internetu i wydzielone do odseparowanego VLAN-u,
• przetestowanie procedur reagowania na incydenty oraz planów ciągłości działania,

• usunięcie domyślnych dostępów i zastąpienie ich nowymi zgodnie z polityką silnych haseł.

Podkreślono, przy tym, że ataki na systemy odpowiedzialne za przechowywanie krwi, osocza, leków i innych materiałów biologicznych mogą prowadzić do zakłóceń działalności operacyjnej, strat materialnych oraz zagrożenia dla ciągłości świadczeń medycznych. Podmiotom sektora ochrony zdrowia zalecono zachowanie podwyższonej czujności oraz bieżące monitorowanie infrastruktury technicznej wspierającej procesy krytyczne.