NFZ daje pieniądze, ale to nie wszystko. Szpitale potrzebują ekspertów IT

Cyberatak ransomware, który miał miejsce w listopadzie br. w Instytucie Centrum Matki Polski w Łodzi pokazał, jakie skutki może mieć wroga cyberoperacja wymierzona w placówkę ochrony zdrowia. Konieczność przejścia na pracę w trybie offline nie tylko spowolniła działanie szpitala, ale także miała realny wpływ na sytuację pacjentów (np. występowały problemy z wypisami, wynikami badań, czy planowanymi zabiegami). 

Finalnie kampania nie przełożyła się w bezpośredni sposób na utratę zdrowie lub nawet życia żadnej osoby, tak jak to miało miejsce w niemieckim Düsseldorf, gdzie poszkodowana kobieta zmarła na skutek nieudzielenia jej natychmiastowej pomocy przez szpital, sparaliżowany przez ransomware. 

To także nasz problem

W naszym kraju wiele mówiło się o podobnego rodzaju incydentach w innych krajach, lecz jak pokazał przypadek z Łodzi, to także problem, którego nie powinniśmy bagatelizować nad Wisłą. 

Jak wskazują specjaliści Asseco, wynika to z faktu, że w ubiegłym roku w Polsce doszło do kilkunastu udokumentowanych przypadków skutecznych cyberataków na placówki ochrony zdrowia.

Drogocenny łup

Szpitale i inne podmioty z sektora medycznego są atrakcyjnym celem dla grup hakerskich lub cyberprzestępczych, ponieważ ich sprawne funkcjonowanie ma ogromną wartość społeczną. W efekcie – z perspektywy atakującego – sparaliżowanie infrastruktury IT w takim miejscu, poprzez np. ransomware i zażądanie okupu w zamian za przywrócenie jej sprawności, może okazać się skuteczniejsze: jest większa szansa, że żądania zostaną spełnione, bo priorytetem będzie szybki powrót placówki do normy. 

Innym „magnesem” dla sprawców są dane medyczne. To drogocenny łup, który dobrze wycenia się w darknecie. Mówimy o kwocie nawet tysiąca dolarów za informacje na temat jednej osoby.

NFZ wykłada środki

NFZ jest świadomy ryzyka, dlatego zdecydował się na przeznaczenie pół miliarda zł dla szpitali na kwestie związane z cyberbezpieczeństwem. Dyrektor każdej placówki mógł ubiegać się o wsparcie finansowe na ten cel w wysokości nawet 900 tys. zł. Na koniec października br. podpisano 650 umów o wartości blisko 270 mln zł. To są jednak sumy przeznaczone na konkretne rozwiązania, jak np. oprogramowanie.

Prowadzone są także szkolenia dotyczące cyberbezpieczeństwa i innych kwestii związanych z domeną cyber, lecz nie stanowi to rozwiązania istotnego problemu, jakim jest pozyskanie specjalistów. 

Szpitale mają inne priorytety

„Szpital może otrzymać dofinansowanie na zakup danego rozwiązania np. aplikacji umożliwiającej monitorowanie sieci pod kątem cyberzagrożeń, ale bardzo trudno o pozyskanie środków na opłacenie odpowiednich specjalistów, którzy będą mogli z nich korzystać. Ten koszt musi być już uwzględniony w budżecie szpitala, dla którego priorytetem są wydatki na leki, sprzęt medyczny, pensje lekarzy oraz pielęgniarek” – tłumaczy Jan Butkiewicz, prezes zarządu Krajowego Operatora Chmury Medycznej z grupy Asseco, w przesłanym naszej redakcji materiale. 

Warto podkreślić, że bez posiadania odpowiedniej kadry ekspertów nawet najlepsze rozwiązania z zakresu cyberbezpieczeństwa mogą okazać się bezużyteczne. 

„Przykładowo, możemy kupić nowe routery do szpitala, ale jeżeli nie zostaną one odpowiednio skonfigurowane i nie zmieni się np. ustawień fabrycznych, będą stanowiły furtkę dla cyberprzestępców” – podkreśla Jan Butkiewicz.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].