מערכות הבריאות הן חלק מהתשתית הקריטית של המדינה. עם זאת, הן נותרו חשופות בנקודה קריטית.
מדי יום, אלפי העלאות קבצים מאפשרות את פעולתן של פורטלי מטופלים, פלטפורמות רפואה מרחוק, רשומות רפואיות אלקטרוניות (EHR) מבוססות ענן וכלי שיתוף פעולה קליניים. קבצים רגישים אלה תומכים באופן ישיר במתן הטיפול הרפואי, אך הם מהווים גם נקודת כשל יחידה, שכן אמצעי הבקרה המובנים בענן אינם מתוכננים לאבטח העלאות קבצים.
כתוצאה מכך, תוכנות זדוניות, דליפת נתונים וסיכוני אי-עמידה בתקנות עלולים לחדור דווקא דרך הערוץ שמאפשר את תפקוד המערכת.
אם התשתית הרפואית היא קריטית, לא ניתן להשאיר את שכבת ההעלאה ללא פיקוח: יש להטמיע תהליכי ניתוח, ניקוי ואכיפת מדיניות בנקודת ההעלאה.
Cloud מהוות סיכון אבטחה הולך וגובר בתחום הבריאות
על פי נתוני HIMSS, יותר מ-80% מארגוני הבריאות משתמשים כיום בשירותי ענן לאחסון או לעיבוד נתוני בריאות. אלפי קבצים נכנסים מדי יום לסביבות הבריאות ממקורות כגון:
- מטופלים המשתמשים במכשירים אישיים שאינם מנוהלים
- ספקים ומומחים חיצוניים
- מעבדות אבחון ומרכזי הדמיה
- חברות ביטוח, שותפים לחיוב ורשתות הפניה
הקבצים האלה נראים תמימים.
קובצי PDF, טפסים סרוקים, תמונות, קבצי ZIP וקובצי DICOM הם חלק שגרתי מתהליכי העבודה בתחום הבריאות, ולכן המטפלים בהם נותנים בהם אמון מטבע הדברים.
הסיכון טמון דווקא בשגרתיות הזו. אותם קבצים המכילים נתוני מטופלים רגישים או אפשרויות טיפול עשויים להסתיר מטא-נתונים, סקריפטים או אובייקטים משובצים, שכלי האבטחה המסורתיים אינם מצליחים לאתר.
מערכת הבריאות המודרנית פשוט לא יכולה לתפקד בלי שירותים מבוססי ענן.
פלטפורמות טלרפואה מאפשרות שיתוף מסמכים לפני ואחרי ביקורים וירטואליים. מערכות התיקים הרפואיים האלקטרוניים (EHR) מסתמכות על שילוב עם הענן כדי להחליף נתונים בין ספקים.
ככל שנפח ההעלאות גדל, כך גדל גם שטח החשיפה להתקפות. למרבה הצער, צמצום שטח החשיפה אינו מהווה אופציה, שכן הדבר יחייב חזרה לשיטות תקשורת מיושנות. צעד כזה לאחור הוא אבסורדי; הוא גם יאט את כל התהליכים ויפגע באופן משמעותי ביעילות הטיפול בחולים.
אפילו מערכות אבטחה חזקות בתחום הבריאות עדיין חושפות את העלאות הקבצים
אם מסכמים את הדברים, לא ניתן לומר ששירותי הבריאות אינם מודעים לנושא אבטחת הסייבר.
יותר מתוך בורות מאשר מתוך זדון, מערכות אלה מסתמכות על אמצעי האבטחה המובנים של ספקי הענן שלהן או על כלי אבטחה חיצוניים המגנים על חלקים מסוימים בתהליכי העבודה: מנועי אנטי-וירוס, DLP, CASB (Cloud Security Brokers) או בקרות אבטחה ילידיות לענן.
עם זאת, מבין כל כלי האבטחה שהוטמעו, מעטים נועדו להגן באופן מלא על העלאת קבצים.
- מנועי האנטי-וירוס מזהים בעיקר איומים ידועים, ולעתים קרובות הם מפספסים תוכנות זדוניות מתקדמות או מסוג "יום אפס" המסתתרות במבני קבצים מורכבים.
- מערכת DLP (מניעת אובדן נתונים) יכולה לזהות ולטשטש נתונים רגישים, אך היא אינה עושה דבר כדי לאתר או לנטרל איומים אפשריים בקבצים.
- פתרונות CASB מתמקדים בבקרת גישה ובניטור השימוש, אך אינם מבצעים בדיקה מעמיקה או ניקוי של קבצים שהועלו.
- ספקי Cloud דואגים לאבטחת התשתית, אך אינם נושאים באחריות לבטיחות תוכן הקבצים עצמם
הדבר יוצר פער קריטי בשלב ההעלאה.
תוקפים יכולים לנצל את הפרצה הזו כדי להסתיר קוד זדוני בתוך קבצים שנראים תמימים, להחדיר תוכנות זדוניות מסוג "יום אפס" לקבצים בארכיונים, או להשתמש בהעלאת קבצים ככלי תקיפה כדי לחדור למערכת.
Cloud לא מאובטחותCloud המובילות להפרות של חוק HIPAA
החוק הפדרלי HIPAA קובע תקנים מחמירים ברמה ארצית להגנה על מידע רפואי מוגן (PHI). רופאים, בתי חולים וחברות ביטוח כאחד מחויבים לעמוד בתקנים אלה.
עם זאת, קבצים המכילים מידע רפואי אישי (PHI) חשוף או תוכנות זדוניות מוסתרות חודרים לעיתים קרובות למערכות הבריאות, באמצעות העלאות לענן שלא נבדקו. מידע רפואי אישי (PHI) עלול להיחשף בדרכים שונות:
- שדות מסמך גלויים
- מטא-נתונים משובצים
- שכבות תמונה
- חפצים מוסתרים
תוכנות זדוניות עלולות להיות מוטמעות בתוך חשבוניות, טפסי הסכמה או קבצי תמונה.
אם קבצים המכילים מידע רפואי מוגן (PHI) או קבצים המכילים תוכנות זדוניות חודרים למערכות הבריאות, הדבר מהווה הפרה מובהקת של חוק HIPAA.
גם נושא השקיפות, הנדרש על פי חוק HIPAA, מהווה בעיה.
ברגע שהקבצים מאוחסנים בפלטפורמות SaaS, ארגונים מאבדים לעתים קרובות את היכולת לעקוב אחר האופן שבו ניגשים לנתונים, משתפים אותם או שומרים אותם.
חוסר שקיפות מוביל לפגמים בסודיות, בשלמות ובזמינות; כל אלה מהווים דרישות ליבה של חוק HIPAA.
למעשה, ארגונים נכשלים לעתים קרובות בהערכת הסיכונים הנובעים מטכנולוגיות חדשות ובצמצום השפעתן, לרבות טיפול בקבצים בענן, כפי שהדגיש המשרד לזכויות האזרח של משרד הבריאות ושירותי האנוש (HHS) של ארצות הברית.
יש צורך בגישה מחמירה יותר לאבטחת העלאת קבצים, שתמנע דליפת מידע רפואי אישי (PHI), תשמור על שקיפות ותמנע פריצות של תוכנות זדוניות. ללא גישה כזו, ארגונים עלולים להיתקל בקשיים בביקורת, בהפרת חובות הדיווח על פרצות אבטחה ובאובדן אמון המטופלים.
אבטחת סייבר בתחום הבריאות היא עניין של בטיחות המטופלים
כאשר מידע רפואי נחשף, ההשלכות הנגרמות מכך חורגות בהרבה מהונאה כספית עבור אנשים שפרטיהם נגנבו.
התוצאות האפשריות של גניבת נתוני בריאות כוללות גניבת זהות, תביעות ביטוח כוזבות או גישה בלתי חוקית למרשמים רפואיים.
גרוע מכך, פרצות כאלה חושפות מידע אישי ביותר. פגיעה זו בפרטיות עלולה לחשוף אנשים המקבלים טיפול בבריאות הנפש, שירותי בריאות הרבייה או תמיכה בהתמודדות עם התמכרות לסכנה של סטיגמה, אפליה ונזק נפשי מתמשך.
אפילו מטופלים עם היסטוריה רפואית שגרתית עלולים לאבד את אמונם במערכת, דבר שעלול לגרום להם לדחות את הטיפול או להסתיר מידע חיוני מהרופאים.
לסיכום, סגירת כל פרצות האבטחה בארגוני בריאות הופכת לחלק בלתי נפרד מהטיפול הכולל בחולה.
במצבים חמורים יותר, מתקפת תוכנת כופר עלולה לחסום את הגישה לתיקים רפואיים חיוניים או להשבית מערכות קריטיות, ובכך לסכן חיי אדם.
כך היה המקרה בשנת 2017, עם מתקפת ה-WannaCry על מערכות ה-NHS. המתקפה הובילה לביטול ניתוחים ולהסבת מסלולי נסיעה של אמבולנסים, והוכיחה פעם נוספת כיצד אירועי סייבר עלולים להסלים במהירות ולהפוך למשבר בריאותי ציבורי.
כיצד נראיתCloud Secure Cloud בתחום הבריאות
מכיוון שתקיפות סייבר בתחום הבריאות פוגעות הן בטיפול בחולים והן במוניטין של הארגון, ספקי שירותי בריאות מובילים משנים את גישתם לאבטחת סייבר.
מה שהיה בעבר "בעיה בתחום ה-IT", שנפתרה באמצעות חוזים עם ספקים חיצוניים, הופך כעת לעניין של בטיחות המטופלים.
אם אבטחת הנתונים ותוכניות הטיפול שלהם היא הפתרון למתן טיפול מעולה למטופלים, אזי העלאת קבצים לא יכולה להמשיך להוות, כביכול, מוקד לזיהום.
העלאות Secure מחייבות מספר שכבות של בדיקה, והקבצים חייבים לעבור מספר תהליכי סריקה וניתוח לפני שהם מתקבלים למערכות הענן.
רשימת בדיקה לאבטחת העלאת קבצים בסביבה רפואית כוללת:
- סריקה רב-מנועית של תוכנות זדוניות לשיפור דיוק הזיהוי
- CDR (Content Disarm & Reconstruction) להסרת תוכן פעיל מבלי לפגוע בקובץ
- בדיקה מעמיקה של קבצים לפני אחסוןם או שיתופם, לצורך איתור תוכנות זדוניות מתוחכמות או שמסתתרות
- זיהוי (והסתרה) של מידע רפואי אישי (PHI) ונתונים רגישים בתוך קבצים
- אכיפת מדיניות בהתאם לדרישות חוק HIPAA
גישה זו הופכת את פעולות ההעלאה מאירועים שזוכים לאמון עיוור לתהליכים מבוקרים וניתנים לביקורת.
כיצדMetaDefender Cloud Cloud בתחום הבריאות
MetaDefender Cloud משמשת כשכבת אבטחה ייעודית לקליטת קבצים בתחום הבריאות.
המערכת מיירטת ומנתחת קבצים לפני שהם מגיעים לפלטפורמות ענן, לתיקים רפואיים אלקטרוניים (EHR) או למערכות שיתוף פעולה.
הפלטפורמה משתמשת בזיהוי תוכנות זדוניות מתקדם באמצעות מספר מנועי סריקה הפועלים במקביל. הדבר משפר את ההגנה מפני איומים ידועים ובלתי ידועים.
CDR מסיר סקריפטים, פקודות מאקרו ואובייקטים משובצים ממסמכים רפואיים, תוך שמירה על השימושיות הקלינית.
בדיקת נתונים רגישים מסייעת לצמצם את החשיפה של מידע רפואי אישי (PHI) באמצעות זיהוי ותיקון תוכן רגיש לפני שיתוף או אחסון הקבצים. כמו כן, היא מסווגת סוגי נתונים רגישים וקובעת כיצד יש לטפל בנתונים, לאחסן אותם ולהגן עליהם.
שילובAPI מאפשרCloud MetaDefender Cloud בתהליכי העבודה של קבצים בתחום הבריאות, כולל פורטלי מטופלים, פלטפורמות לרפואה מרחוק ומערכות קליטה של צד שלישי.
דוגמאות לשימוש בתחום הבריאות
MetaDefender Cloud במגוון רחב של תרחישים בתחום הבריאות.
| מקרה שימוש | מה קורה | MetaDefender Cloud |
|---|---|---|
| פורטלים למטופלים | המטופלים מעלים טפסים, תעודות זהות ותוצאות בדיקות ממכשירים אישיים. | סורק קבצים לפני ההעלאה כדי לאתר תוכנות זדוניות. Proactive DLP ומטשטשת מידע רפואי אישי (PHI) שנחשף. |
| פלטפורמות לטיפול מרחוק | הקבצים מועברים במהלך הביקורים הווירטואליים. | בודק קבצים אלה ברקע מבלי להפריע לגולשים. |
| מסמכי מעבדה חיצונית והפניות | שותפים חיצוניים שולחים קבצי PDF, סריקות וקבצי ZIP. | מטהר קבצים נכנסים לפני שהם מגיעים לרשתות הפנימיות, ובכך מפחית את הסיכון להפצת תוכן זדוני במערכות הקליניות. |
| שיתוף פעולה בין ספקים | צוותי הטיפול חולקים קבצים באמצעות כלים בענן. | סורק את הקבצים פעם אחת לפני השיתוף כדי לצמצם את התפשטות התוכנות הזדוניות. |
MetaDefender Cloud במהירות בסביבות ענן ומתאים את עצמו אוטומטית להיקף המטופלים. הוא פועל ברקע ואינו מצריך כל פעולה ידנית מצד הצוות הרפואי.
הפתרון תומך בארכיטקטורות "אמון אפס" בתחום הבריאות באמצעות אימות קבצים לפני כניסתם למערכות מהימנות. תהליכי העבודה הקליניים נותרים ללא שינוי, בעוד רמת האבטחה משתפרת.
שאלות נפוצות: אבטחת Cloud בתחום הבריאות
אילו סיכונים טמונים בקבצים שהועלו על ידי מטופלים?
קובצים שהועלו על ידי מטופלים עלולים להכיל תוכנות זדוניות מוסתרות, מידע רפואי אישי חשוף או תוכן פעיל מסוכן העוקף את אמצעי הבקרה המקובלים.
האםMetaDefender Cloud יכולCloud בפורטלים למטופלים?
כן. MetaDefender Cloud באמצעות API אינטגרציות מובנות (כגון Salesforce) כדי לבדוק ולנקות קבצים לפני שהם מגיעים למערכות האחוריות.
כיצד הדבר מסייע בביקורות בתחום הבריאות?
תוצאות הבדיקות והדוחות מהווים עדות לקיומם של אמצעי הגנה יזומים העומדים בדרישות חוק HIPAA.
כיצד העלאת קבצים לענן עלולה להוביל להפרות של חוק HIPAA?
העלאות שלא נבדקו עלולות לחשוף מידע רפואי מוגן (PHI) או לפגוע בשלמות המערכת, ובכך להפר את דרישות הסודיות והשלמות של חוק HIPAA.
כיצד יכולים ארגוני בריאות לאבטח העלאת קבצים?
באמצעות בדיקת קבצים לפני ההעלאה, שימוש ב-Metascan Multiscanning, יישום טכנולוגיית Deep CDR™ ואכיפת מדיניות התואמת את תקנות HIPAA.
מהו CDR ומדוע הוא חשוב בתחום הבריאות?
CDR מסיר תוכן פעיל מקבצים, ובכך מפחית את הסיכון להתקפות מבוססות ביצוע ולאיומים מסוג "יום אפס", תוך שמירה על המידע הרפואי.
