Bảo Mật Thông Tin Y Tế: Hiểu Rõ Nguy Cơ và Biện Pháp Phòng Ngừa

Tình Hình Tấn Công Mạng Trong Ngành Y Tế

Các cuộc tấn công mạng nhằm vào các cơ sở y tế không phải là điều mới mẻ. Vào năm 2017, mã độc tống tiền WannaCry đã suýt làm tê liệt Dịch vụ Y tế Quốc gia Vương quốc Anh (NHS). Cuộc tấn công này đã gây chấn động, nhưng NHS không phải là mục tiêu chính của các kẻ tấn công. Tuy nhiên, tin tặc dường như đã nhận ra rằng các cơ sở y tế là những mục tiêu dễ dàng. Vào năm 2021, Văn phòng Công tố báo cáo rằng một nhóm tin tặc đã thực hiện một cuộc tấn công mạng phối hợp nhằm vào hơn 1.500 bệnh viện, trường học và công ty tài chính.

Mã độc tống tiền và lừa đảo qua email là các phương pháp phổ biến mà tin tặc sử dụng trong các cuộc tấn công này: lừa đảo để có quyền truy cập đặc quyền vào máy chủ; và mã độc tống tiền để khóa cơ sở và ép họ trả tiền.

So với các công ty công nghệ cũng xử lý dữ liệu khách hàng có giá trị, các cơ sở y tế là mục tiêu dễ dàng hơn chủ yếu vì tin tặc có nhiều điểm vào. Hơn nữa, vì hậu quả của các cuộc tấn công này gây gián đoạn cuộc sống, tin tặc kỳ vọng ban quản lý sẽ nhanh chóng nhượng bộ.

Cách Thức Hầu Hết Các Cuộc Tấn Công Mạng Nhằm Vào Ngành Y Tế Diễn Ra

Điểm vào chính của tin tặc là các email lừa đảo gửi đến nhân viên y tế. Mặc dù tin tặc muốn nhắm vào nhân viên có quyền truy cập cấp quản trị, nhưng bất kỳ nhân viên nào cũng có thể bị nhắm đến. Mục tiêu đầu tiên là làm hỏng thiết bị của người dùng bằng cách lừa họ tải xuống phần mềm độc hại đính kèm trong email. Thủ đoạn lừa đảo này cũng có thể là để họ nhấp vào liên kết độc hại và nhập thông tin đăng nhập trên bảng điều khiển giả mạo.

Khi phần mềm độc hại đã nằm trên thiết bị bị xâm nhập, mục tiêu tiếp theo là đưa nó vào mạng của cơ sở. Điều này thường xảy ra khi thiết bị bị xâm nhập kết nối với các thiết bị không an toàn hoặc bảo mật kém trên mạng. Kết nối có thể xảy ra qua WLAN, Bluetooth, Giao thức Truyền tệp, hoặc thậm chí là cắm ổ USB.

Phụ nữ nhìn vào màn hình máy tính với tiền trên bàn

Khi phần mềm độc hại đã vào mạng của cơ sở, nó sẽ thực hiện tải trọng và thiết lập Hệ thống Chỉ huy và Kiểm soát với kẻ tấn công. Với cửa sau này mở, tin tặc có thể di chuyển ngang và thiết lập mình—làm hỏng thêm nhiều máy chủ và tạo ra các cửa sau khác trong mạng cho các cuộc tấn công trong tương lai.

Tại Sao Tin Tặc Nhắm Vào Các Cơ Sở Y Tế

Nguyên nhân chính là tiền bạc và danh tính. Tin tặc không quan tâm đến việc ai đã nhổ răng hay hình ảnh X-quang trông như thế nào. Mục tiêu là lấy thông tin cá nhân và hồ sơ quan trọng của bệnh nhân. Điều này bao gồm họ tên đầy đủ, lịch sử địa chỉ, chi tiết thẻ, số an sinh xã hội, sinh trắc học, giấy chứng sinh, giấy chứng tử và nhiều hơn nữa.

Với thông tin này, có thể đánh cắp danh tính của một người và sử dụng nó để vay tiền, mở tài khoản ngân hàng, hoặc thậm chí giả mạo ai đó khi liên lạc với nhà cung cấp dịch vụ. Tội phạm mạng cũng có thể sử dụng hồ sơ quan trọng như giấy chứng tử để thực hiện gian lận lợi ích công cộng. Đối với những tin tặc không quan tâm đến việc sử dụng dữ liệu bị đánh cắp, có nhu cầu trên thị trường đen (hoặc thậm chí là web đen).

Tuy nhiên, việc kiếm tiền từ dữ liệu bệnh nhân bị đánh cắp không phải lúc nào cũng dễ dàng. Vì vậy, tin tặc thường thích ép buộc ban quản lý bệnh viện phải trả tiền chuộc. Họ ép buộc các cơ sở phải trả tiền bằng cách mã hóa tệp và khóa nhân viên ra khỏi các thiết bị mà họ phụ thuộc nặng nề để truy cập thông tin bệnh nhân và cung cấp dịch vụ chăm sóc.

Trong những thời điểm như vậy, các nhà quản lý y tế bị kéo vào vòng xoáy. Họ phải lựa chọn giữa việc trả tiền chuộc và có thể bị phạt bởi chính phủ (theo Bộ Tài chính Hoa Kỳ) hoặc đối mặt với các vụ kiện từ bệnh nhân mà dữ liệu của họ bị rò rỉ. Không hiếm khi ban quản lý phải nhượng bộ và chọn phương án bảo vệ hình ảnh thương hiệu và tốn ít tiền hơn. Thường thì việc thiếu tiền khiến các cơ sở y tế không triển khai các biện pháp bảo mật đúng đắn ngay từ đầu…

Bạn Có Thể Làm Gì Để Bảo Vệ Dữ Liệu Y Tế Khỏi Tin Tặc

Đám mây từ khóa y tế trên máy tính xách tay

Các bệnh viện là mục tiêu chính của các cuộc tấn công mạng trong ngành y tế, nhưng mục tiêu có thể sẽ mở rộng đến các công ty công nghệ với các sản phẩm thu thập dữ liệu sức khỏe, như đồng hồ thông minh. Dưới đây là những điều bạn, một quản trị viên cơ sở y tế, chuyên gia y tế, hoặc người sử dụng dịch vụ y tế, có thể làm để giảm thiểu rủi ro của mình.

Nâng Cấp Phần Cứng Cũ và Vá Lỗi Phần Mềm Lỗi Thời

Nhiều cơ sở y tế vẫn sử dụng máy tính chạy các phiên bản cũ của hệ điều hành Windows như Windows 7 và Windows XP. Hỗ trợ cho các hệ điều hành cũ đã kết thúc, có nghĩa là tin tặc có thể dễ dàng khai thác các lỗ hổng hiện có. Tuy nhiên, ngay cả các mẫu máy tính mới chạy phiên bản hệ điều hành Windows mới nhất cũng không bất khả xâm phạm. Tuy nhiên, chúng tốt hơn vì có sự hỗ trợ từ nhà phát triển. Bạn có thể mong đợi nhận được các bản cập nhật bảo mật vá các lỗ hổng, thường là trước khi tin tặc có thể khai thác chúng.

Hơn nữa, nhiều cơ sở phụ thuộc vào các công ty bên thứ ba cung cấp thiết bị và phần mềm chuyên dụng. Việc sử dụng nhiều nhà cung cấp làm tăng các điểm vào cho tin tặc—vì mọi thứ đều kết nối. Khi dựa vào các sản phẩm hoặc dịch vụ chuyên dụng, tốt nhất là nên ưu tiên các công ty có lịch sử cải thiện sản phẩm của họ.

Trong một lĩnh vực mà ngân sách ưu tiên cho các vật tư tiêu hao và lương, việc phân bổ tiền cho việc thay thế phần cứng cũ, dù vẫn hoạt động, có thể gặp khó khăn. Tuy nhiên, thiệt hại tiềm tàng từ các cuộc tấn công mạng khiến đây trở thành một khoản chi phí cần thiết.

Thuê Đội Ngũ Blue hoặc Red

Bộ phận IT của các cơ sở y tế chủ yếu chịu trách nhiệm duy trì phần mềm lâm sàng và khắc phục sự cố phần cứng. Các bộ phận này thường hoạt động với ít nhân viên có kỹ năng hoặc kiến thức để ngăn chặn các cuộc tấn công mạng. Trong những trường hợp như vậy, hãy xem xét việc thuê một đội ngũ blue, red, hoặc purple để đánh giá tư thế an ninh mạng của tổ chức bạn.

Các nhà phân tích an ninh mạng rất đáng giá. Một đội ngũ có thể đề xuất hoặc triển khai các giao thức mã hóa làm cho các tệp của bạn vô dụng đối với tin tặc ngay cả khi họ xâm nhập vào mạng của bạn. Hơn nữa, họ có thể thiết lập công nghệ lừa đảo để mua thời gian cho bộ phận IT của bạn xử lý các cuộc tấn công mạng trước khi chúng làm tê liệt hệ thống của bạn.

Tuân Thủ Các Thực Hành Bảo Mật Tốt Nhất Để Bảo Vệ Dữ Liệu

Chúng tôi khuyến nghị các thực hành bảo mật điểm cuối, đặc biệt là truy cập mạng không tin cậy và quy định quyền truy cập cổng USB. Trong khi đó, nếu bạn phải sử dụng một thiết bị, chẳng hạn như điện thoại, thường kết nối với mạng của cơ sở, hãy xem xét việc sử dụng một thiết bị chỉ dành cho công việc. Tránh tích hợp sâu thiết bị đó vào mạng gia đình của bạn vì nó có thể truyền phần mềm độc hại từ công việc về nhà.

Tuy nhiên, nếu bạn sử dụng các ứng dụng di động, chúng tôi khuyến nghị chia sẻ ít dữ liệu nhất có thể. Một cách để hạn chế lượng dữ liệu mà một thiết bị thu thập là sử dụng thiết bị lưu trữ dữ liệu cục bộ thay vì thiết bị tải lên đám mây của công ty. Nếu bạn sử dụng các thiết bị giúp bác sĩ của bạn theo dõi sức khỏe từ xa, hãy yêu cầu một thiết bị có mã hóa đầu cuối nâng cao để bảo vệ dữ liệu.

Tương Lai Của Bảo Mật Y Tế

Các chuyên gia y tế phụ thuộc nặng nề vào thiết bị kỹ thuật số để cung cấp dịch vụ chăm sóc chất lượng. Các cuộc tấn công mạng gây ra mất điện có thể nhanh chóng biến thành hỗn loạn, giống như vật chạm vào bộ dao động. Tác động của các cuộc tấn công sẽ trở nên tồi tệ hơn trong tương lai khi thế hệ chuyên gia quen thuộc với bút, giấy và thiết bị tương tự nghỉ hưu. Tuy nhiên, bạn có thể giảm thiểu rủi ro của mình bằng cách tăng cường an ninh mạng.