Οι ειδικές συνθήκες στον κλάδο των δομών υγείας και ο απόλυτος ψηφιακός μετασχηματισμός που διανύουν καθιστούν επιτακτική την ανάγκη για ακόμα μεγαλύτερη προσήλωση στα ζητήματα ασφάλειας πληροφοριών και προστασίας δεδομένων μέσα από ένα σύνολο μέτρων και βέλτιστων πρακτικών.

 

Νικόλαος Κολαϊτης

Διευθυντής του Kotziamanis Imaging Center

 

 

 

Ο απόλυτα ψηφιακός κόσμος

Ο Δαρβίνος ανάφερε ότι δεν είναι τα πιο δυνατά είδη που επιβιώνουν ή τα πιο έξυπνα, αλλά αυτά που ανταποκρίνονται καλύτερα στις αλλαγές.

Διανύουμε την εποχή στην οποία έχει δημιουργηθεί μια παγκόσμια «ψηφιακή» κοινωνία, με πρόσβαση στο διαδίκτυο ώστε μεταξύ άλλων ως χρήστες να μπορούμε να επικοινωνήσουμε, να δουλέψουμε, να πληρώσουμε λογαριασμούς και γενικότερα να ανταλλάξουμε και να αποθηκεύσουμε ένα τεράστιο όγκο δεδομένων. Επιχειρήσεις και οργανισμοί, επίσης μέσω των χρηστών τους, ανταλλάζουν πολύτιμες και εμπιστευτικές πληροφορίες, προσωπικά δεδομένα, μεταφέρουν χρήματα κ.ο.κ, η λίστα είναι τεράστια. Έτσι, δημιουργείται ένας ψηφιακός κόσμος που αντικαθιστά εν μέρει τις βασικές δομές τις αστικής κοινωνίας, αφού η φυσική παρουσία τις πλείστες φορές δεν χρειάζεται και η ‘πληροφορία’ περισσότερο από ποτέ διαχέεται μέσω συσκευών και δικτύων στις οποίες πλέον ιδιώτες και επιχειρήσεις αποθηκεύουν, επεξεργάζονται ανταλλάσσουν ένα τεράστιο όγκο Πληροφορίας.

Προφανώς δεν είναι κάτι καινούργιο,  παρόλα αυτά απευθυνόμενος στον ελέφαντα στο δωμάτιο, περισσότερο από ποτέ είναι ηλίου φαεινότερων η μεταμορφωτική αλλαγή στην ‘τεχνολογία’ της κάθε επιχείρησης, όπου καθημερινά αντικείμενα διασυνδέονται μέσω του διαδικτύου, επιτρέποντάς τους να στέλνουν και να λαμβάνουν δεδομένα. Η αναφορά στον digitilised’ χαρακτήρα της πληροφορίας πλέον αν το δούμε ολιστικά έχει πάρα πολλούς λόγους να εφαρμοστεί τις επιχειρήσεις. Από το αποτύπωμα στο περιβάλλον, την εξοικονόμηση χώρου, τις κανονιστικές απαιτήσεις κλπ.

Οι ιδιαίτερες προκλήσεις στον κλάδο της υγείας

Σε αυτό τον πολύπλευρο και δαιδαλώδες ιστό από δεδομένα, η πληροφορία ανάγεται σε ‘αγαθό’ ποθητό από τους ‘νεότερους’ δράστες. Τους δράστες του κυβερνοχώρου. Αυτό καθιστά  τις παραβιάσεις και τις απειλές στον κυβερνοχώρο να είναι όλο και πιο συνηθισμένες.

Ένας τομέας, βαρύνουσας σημασίας λόγω των δεδομένων που πραγματεύεται άρα και ‘ανταλλάζει’ είναι αυτός της υγείας που πλέον ξεχωρίζει ως από τους κύριους στόχους κακόβουλων επιθέσεων.

Η ευαίσθητη φύση των δεδομένων που διαχειρίζονται οι οργανισμοί υγείας, συμπεριλαμβανομένων των προσωπικών και ιατρικών πληροφοριών, καθιστά επιτακτική την προτεραιοποίηση της κυβερνοασφάλειας και της προστασίας δεδομένων. Η εφαρμογή ισχυρών μέτρων κυβερνοασφάλειας, αυστηρών διαδικασιών προστασίας δεδομένων και  πιο συγκεκριμένα η συμμόρφωση με το πρότυπο ISO 27001 είναι κρίσιμη για τη διασφάλιση των πληροφοριών των ασθενών και τη διατήρηση της εμπιστοσύνης στις υπηρεσίες υγείας.

Οι οργανισμοί υγείας είναι αποθήκες ενός τεράστιου όγκου ευαίσθητων πληροφοριών, από ιατρικά αρχεία ασθενών έως προσωπικά στοιχεία ταυτοποίησης. Αυτά τα δεδομένα δεν είναι μόνο πολύτιμα, αλλά και ελκυστικά για τους κυβερνοεγκληματίες που μπορούν να τα εκμεταλλευτούν για κλοπή ταυτότητας, ασφαλιστική απάτη και άλλες κακόβουλες δραστηριότητες. Οι συνέπειες τέτοιων παραβιάσεων είναι σοβαρές, οδηγώντας σε οικονομικές απώλειες, νομικές συνέπειες και μείωση της εμπιστοσύνης των ασθενών.

Τέσσερα χρόνια πίσω, και μόνο το 2020, ο τομέας της υγείας αντιμετώπισε πάνω από 600 παραβιάσεις δεδομένων, επηρεάζοντας περισσότερα από 24 εκατομμύρια άτομα.

Το μέσο κόστος μιας παραβίασης δεδομένων στον τομέα υγείας είναι το υψηλότερο από όλους τους τομείς, με μέσο όρο 10,1 εκατομμύρια δολάρια ανά περιστατικό από το 2022. Αυτό οφείλεται στην υπερβολικά ευαίσθητη φύση των δεδομένων και στις αυστηρές κανονιστικές απαιτήσεις γύρω από τις πληροφορίες που έχουν να κάνουν με την υγεία. Το 2021 οι επιθέσεις ransomware σε οργανισμούς υγειονομικής περίθαλψης καταλάμβαναν το 34% παγκοσμίως. Αυτές οι επιθέσεις συχνά έχουν ως αποτέλεσμα τη σημαντική διακοπή της λειτουργίας του οργανισμού και τη διαταραχή των υπηρεσιών υγειονομικής περίθαλψης, μερικές φορές αναγκάζοντας τα νοσοκομεία και τους χώρους υγείας να επιστρέψουν σε ‘χειροκίνητες’ διαδικασίες.

Πρακτικές Προστασίας δεδομένων στο χώρο της υγείας

Αυτά τα περιστατικά υπογραμμίζουν την επείγουσα ανάγκη για ολοκληρωμένες στρατηγικές κυβερνοασφάλειας και προστασίας δεδομένων.

Η κυβερνοασφάλεια περιλαμβάνει μια σειρά από πρακτικές σχεδιασμένες για την προστασία δικτύων, συσκευών και δεδομένων από μη εξουσιοδοτημένη πρόσβαση και επιθέσεις. Για τα ιδρύματα υγείας, αυτό σημαίνει την εφαρμογή μέτρων όπως firewalls, κρυπτογράφηση, συστήματα ανίχνευσης εισβολών και τακτικούς ελέγχους ασφάλειας. Αυτά τα τεχνικά μέτρα είναι απαραίτητα για την αποτροπή κυβερνοεπιθέσεων και τη διασφάλιση της ακεραιότητας και της εμπιστευτικότητας των δεδομένων των ασθενών.

Ωστόσο, η κυβερνοασφάλεια δεν αφορά μόνο την τεχνολογία. Ο άνθρωπος παίζει επίσης σημαντικότατο ρόλο. Η εκπαίδευση του προσωπικού για την αναγνώριση προσπαθειών phishing και κοινωνικής μηχανικής, η αναγνώριση κακόβουλων emails, η εφαρμογή των πολιτικών ασφαλείας, ισχυρών κωδικών πρόσβασης και η καθιέρωση σαφών πρωτοκόλλων για την πρόσβαση και την κοινή χρήση δεδομένων είναι ζωτικά στοιχεία μιας ολιστικής στρατηγικής κυβερνοασφάλειας. Καλλιεργώντας μια κουλτούρα ευαισθητοποίησης για την ασφάλεια, τα ιδρύματα υγείας μπορούν να μειώσουν σημαντικά τον κίνδυνο παραβιάσεων που προκαλούνται από ανθρώπινα λάθη.

Οι εκάστοτε διαδικασίες προστασίας των δεδομένων υγείας είναι απαραίτητες για την προστασία των πληροφοριών των ασθενών όχι μόνο για τη μη εξουσιοδοτημένη – κακόβουλη πρόσβαση αλλά και από οποιαδήποτε τροποποίηση ή καταστροφή που μπορεί να γίνει κατά λάθος. Κάποιες κύριες διαδικασίες, μεταξύ άλλων,  περιλαμβάνουν μια σειρά από πρακτικές, από την κρυπτογράφηση και την ανωνυμοποίηση των δεδομένων έως τους ελέγχους πρόσβασης και τις πολιτικές διατήρησης και αποθήκευσης των δεδομένων.

  1. Κρυπτογράφηση και Ανωνυμοποίηση Δεδομένων: Η κρυπτογράφηση δεδομένων διασφαλίζει ότι ακόμη και αν αυτά υποκλαπούν, δεν μπορούν να αναγνωστούν χωρίς το κατάλληλο κλειδί αποκρυπτογράφησης. Η ανωνυμοποίηση, από την άλλη πλευρά, περιλαμβάνει την αφαίρεση προσωπικών αναγνωριστικών από τα σύνολα δεδομένων, καθιστώντας δύσκολη την ανίχνευση των πληροφοριών των ασθενών. Αυτές οι τεχνικές είναι απαραίτητες για την προστασία των δεδομένων τόσο κατά τη μεταφορά όσο και κατά την αποθήκευση.
  2. Έλεγχοι Πρόσβασης: Η εφαρμογή ελέγχων πρόσβασης διασφαλίζει ότι μόνο εξουσιοδοτημένο προσωπικό μπορεί να έχει πρόσβαση σε ευαίσθητες πληροφορίες. Αυτό περιλαμβάνει τη χρήση πολυπαραγοντικής αυθεντικοποίησης (MFA), ελέγχων πρόσβασης με βάση ρόλους και την τακτική αναθεώρηση και ενημέρωση των αδειών πρόσβασης. Περιορίζοντας την πρόσβαση μόνο σε όσους την χρειάζονται, έτσι ελαχιστοποιείται και ο κίνδυνος εσωτερικών παραβιάσεων (insider threat).
  3. Πολιτικές Διατήρησης Δεδομένων: Η καθιέρωση σαφών πολιτικών διατήρησης δεδομένων βοηθά στη διασφάλιση ότι οι πληροφορίες των ασθενών διατηρούνται μόνο για όσο διάστημα είναι απαραίτητο. Η τακτική εκκαθάριση παλαιών ή μη απαραίτητων δεδομένων μειώνει την ποσότητα ευαίσθητων πληροφοριών που θα μπορούσαν να παραβιαστούν. Φυσικά, εδώ προκύπτει και το δεδομένο ότι λόγω των πληροφοριών υγείας και του χαρακτήρα τους ο κανονισμός προστασίας προσωπικών δεδομένων ορίζει την χρονική διάρκεια την οποία ένας οργανισμός υγείας μπορεί να κρατήσει τα εκάστοτε δεδομένα.

Ο κρίσιμος ρόλος του προτύπου ISO 27001,

Πρακτικά τώρα, δεν μπορούμε να μην γίνει ιδιαίτερη μνεία στο ISO 27001, χωρίς αυτό να σημαίνει ότι είναι πανάκεια, η βάση για οποιαδήποτε διασφάλιση πρέπει να είναι ολιστική και πολύ-επίπεδη. Μεταξύ άλλων συνδυασμός των διαδικασιών του ISO 27001, των παραμέτρων του κανονισμού περί προστασίας προσωπικών δεδομένων, διαδικασιών φυσικής ασφάλειας των χώρων που φιλοξενούν προσωπικά δεδομένα σε έντυπη μορφή και σίγουρα μια πληθώρα άλλων προτύπων επιχειρηματικής αριστείας.

Πιο συγκεκριμένα, είναι ένα διεθνώς αναγνωρισμένο πρότυπο για τη διαχείριση της ασφάλειας των πληροφοριών. Παρέχει μια συστηματική προσέγγιση για τη διαχείριση ευαίσθητων εταιρικών πληροφοριών, διασφαλίζοντας την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητά τους. Για τα ιδρύματα υγείας, η απόκτηση πιστοποίησης ISO 27001 καταδεικνύει τη δέσμευση για βέλτιστες πρακτικές στην ασφάλεια των πληροφοριών.

Το πρότυπο ISO 27001 περιγράφει ένα ολοκληρωμένο πλαίσιο για τη διαχείριση και την προστασία ευαίσθητων πληροφοριών. Καλύπτει πτυχές όπως η αξιολόγηση κινδύνων, η ανάπτυξη πολιτικών ασφάλειας, η διαχείριση περιστατικών και η συνεχής βελτίωση. Με την τήρηση αυτού του προτύπου, τα ιδρύματα υγείας μπορούν να διασφαλίσουν ότι οι πρακτικές ασφάλειας των πληροφοριών τους είναι ισχυρές και επίκαιρες.

  1. Αξιολόγηση και Διαχείριση Κινδύνων: Το ISO 27001 απαιτεί από τους οργανισμούς να διεξάγουν τακτικές αξιολογήσεις κινδύνων για να εντοπίσουν πιθανούς κινδύνους και ευπάθειες. Κατανοώντας τους συγκεκριμένους κινδύνους που αντιμετωπίζουν, τα ιδρύματα υγείας μπορούν να εφαρμόσουν στοχευμένα μέτρα για την αποτελεσματική μείωση αυτών των απειλών.
  2. Ανάπτυξη Πολιτικών Ασφάλειας: Η ανάπτυξη και η διατήρηση ολοκληρωμένων πολιτικών ασφάλειας είναι βασική απαίτηση του ISO 27001. Αυτές οι πολιτικές παρέχουν ένα σαφές πλαίσιο για το πώς πρέπει να διαχειρίζονται, να αποκτώνται και να προστατεύονται τα δεδομένα εντός του οργανισμού. Περιγράφουν επίσης διαδικασίες για την αντιμετώπιση περιστατικών ασφάλειας και παραβιάσεων.
  3. Διαχείριση Περιστατικών: Το ISO 27001 δίνει έμφαση στη σημασία της ύπαρξης μιας ισχυρής διαδικασίας διαχείρισης περιστατικών. Αυτό περιλαμβάνει τον εντοπισμό και την αντιμετώπιση περιστατικών ασφαλείας σε πρώιμο στάδιο, την ανάλυση των αιτιών και την εφαρμογή διορθωτικών ενεργειών για την πρόληψη μελλοντικών περιστατικών.

Ένα διδακτικό Case Study

Για την κατανόηση της σημασίας της κυβερνοασφάλειας, είναι σημαντικό να εξετάσουμε ένα πραγματικό παράδειγμα επίθεσης σε μια ακτινολογική κλινική. Το 2019, μια μεγάλη ακτινολογική κλινική υπέστη επίθεση ransomware. Οι επιτιθέμενοι κατάφεραν να διεισδύσουν στο σύστημα μέσω ενός phishing email, κρυπτογραφώντας όλα τα δεδομένα της κλινικής, συμπεριλαμβανομένων των ιατρικών απεικονίσεων και των προσωπικών στοιχείων των ασθενών. Η κλινική βρέθηκε αντιμέτωπη με την απώλεια όλων των δεδομένων της εκτός αν πλήρωνε τα λύτρα.

Η κλινική δεν διέθετε επαρκή μέτρα ασφαλείας, όπως τακτικά back-ups και κρυπτογράφηση δεδομένων, καθιστώντας αδύνατη την ανάκτηση των δεδομένων χωρίς την πληρωμή των λύτρων. Αυτή η επίθεση προκάλεσε σημαντική διακοπή των υπηρεσιών, οικονομική ζημία και ανεπανόρθωτη βλάβη στην εμπιστοσύνη των ασθενών.

Συμμόρφωση με τους κανονισμούς

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) είναι πλέον ίσως η πιο ‘γνωστή’ νομοθεσία. Οι οργανισμοί υγείας δεν έχουν επιλογή από το να μην συμμορφώνονται με τον GDPR, διασφαλίζοντας ότι τα δεδομένα των ασθενών συλλέγονται, αποθηκεύονται και επεξεργάζονται με τρόπο που προστατεύει την ιδιωτικότητά τους.

Η συμμόρφωση με τον GDPR περιλαμβάνει την εφαρμογή διαφανών πολιτικών για τη συλλογή και επεξεργασία δεδομένων, την παροχή δικαιωμάτων στους ασθενείς για πρόσβαση και διαγραφή των δεδομένων τους, και την εφαρμογή μέτρων ασφαλείας για την προστασία των δεδομένων από παραβιάσεις. Η μη συμμόρφωση μπορεί να οδηγήσει σε αυστηρά πρόστιμα και νομικές συνέπειες.

Τα ακτινολογικά κέντρα, που διαχειρίζονται ευαίσθητα ιατρικά δεδομένα και απεικονίσεις, πρέπει να δώσουν ιδιαίτερη έμφαση στην κυβερνοασφάλεια και την προστασία δεδομένων. Η εφαρμογή των αρχών του ISO 27001 μπορεί να βοηθήσει στη διασφάλιση της ασφάλειας αυτών των δεδομένων.

  1. Εκπαίδευση Προσωπικού: Η εκπαίδευση του προσωπικού για την αναγνώριση και την αντιμετώπιση κυβερνοαπειλών είναι κρίσιμη. Αυτό περιλαμβάνει την ευαισθητοποίηση σχετικά με τις προσπάθειες phishing και την υιοθέτηση πρακτικών ασφαλούς χρήσης κωδικών πρόσβασης.
  2. Τεχνικά Μέτρα Ασφάλειας: Η εφαρμογή τεχνικών μέτρων όπως firewalls, κρυπτογράφηση δεδομένων και τακτικοί έλεγχοι ασφάλειας μπορούν να βοηθήσουν στην προστασία των συστημάτων της κλινικής από εξωτερικές επιθέσεις.
  3. Αναβαθμίσεις και Ενημερώσεις: Η τακτική αναβάθμιση των συστημάτων και των λογισμικών για την αντιμετώπιση νέων ευπαθειών είναι απαραίτητη.
  4. Αξιολογήσεις Κινδύνων: Η τακτική διεξαγωγή αξιολογήσεων κινδύνων μπορεί να βοηθήσει στην αναγνώριση και την αντιμετώπιση πιθανών απειλών πριν αυτές εξελιχθούν σε πραγματικούς κινδύνους.
  5. Πολιτικές Πρόσβασης και Διατήρησης Δεδομένων: Η εφαρμογή αυστηρών πολιτικών για τον έλεγχο της πρόσβασης στα δεδομένα και την ασφαλή αποθήκευση και διατήρηση των πληροφοριών μπορεί να μειώσει τον κίνδυνο εσωτερικών και εξωτερικών παραβιάσεων.

Η εφαρμογή ισχυρών μέτρων κυβερνοασφάλειας, αυστηρών διαδικασιών προστασίας δεδομένων και η συμμόρφωση με το πρότυπο ISO 27001 είναι κρίσιμη για τα ιδρύματα υγείας, παρολαυτα δεν μπορώ να μην αναφέρω ότι τα πιο πάνω ,και ακόμα τόσα, αφορούν ένα ολιστικό/ ολοκληρωτικό μοντέλο διασφάλισης που αντιστοιχεί σε ανάλογο κόστος, υλικοτεχνική δύναμη, τεχνογνωσία και πολλές εγκρίσεις από την διοίκηση. Μπορεί να αναφέρετε τελευταίο αλλά η κατανόηση και η στήριξη σε πρακτικό και οικονομικό επίπεδο παίζει ίσος τον σημαντικότερο ρόλο  στην εφαρμογή των οποιονδήποτε διαδικασιών.

Σκοπός μας από τα κέντρα υγείας είναι να απαλλάξουμε τους ασθενείς από περιττό άγχος, ο κάθε ασθενής και η οικογένεια του βιώνουν  το δικό τους πρόβλημα. Οφείλουμε και το έχουμε και ως σκοπό να προστατεύσουμε με τον καλύτερο δυνατό τρόπο την υγεία τους, αυτό σίγουρα επεκτείνετε και στην προστασία των πληροφοριών της υγείας τους, δεν γίνετε το ένα χωρίς το άλλο.

Με την κατάλληλη προετοιμασία και την υιοθέτηση βέλτιστων πρακτικών, τα ιδρύματα υγείας μπορούν να προστατεύσουν τις πληροφορίες των ασθενών, να διασφαλίσουν τη συνέχεια των υπηρεσιών τους και να διατηρήσουν την εμπιστοσύνη των ασθενών .

.