העלאות קבצים לא מאובטחות מסכנות ארגוני בריאות; כך תתקנו זאת  

על פי נתוני HIMSS, יותר מ-80% מארגוני הבריאות משתמשים כיום בשירותי ענן לאחסון או לעיבוד נתוני בריאות. אלפי קבצים נכנסים מדי יום לסביבות הבריאות ממקורות כגון:

• מטופלים המשתמשים במכשירים אישיים שאינם מנוהלים
• ספקים ומומחים חיצוניים
• מעבדות אבחון ומרכזי הדמיה
• חברות ביטוח, שותפים לחיוב ורשתות הפניה

הקבצים האלה נראים תמימים.

קובצי PDF, טפסים סרוקים, תמונות, קבצי ZIP וקובצי DICOM הם חלק שגרתי מתהליכי העבודה בתחום הבריאות, ולכן המטפלים בהם נותנים בהם אמון מטבע הדברים.

הסיכון טמון דווקא בשגרתיות הזו. אותם קבצים המכילים נתוני מטופלים רגישים או אפשרויות טיפול עשויים להסתיר מטא-נתונים, סקריפטים או אובייקטים משובצים, שכלי האבטחה המסורתיים אינם מצליחים לאתר.

מערכת הבריאות המודרנית פשוט לא יכולה לתפקד בלי שירותים מבוססי ענן.

פלטפורמות טלרפואה מאפשרות שיתוף מסמכים לפני ואחרי ביקורים וירטואליים. מערכות התיקים הרפואיים האלקטרוניים (EHR) מסתמכות על שילוב עם הענן כדי להחליף נתונים בין ספקים.

ככל שנפח ההעלאות גדל, כך גדל גם שטח החשיפה להתקפות. למרבה הצער, צמצום שטח החשיפה אינו מהווה אופציה, שכן הדבר יחייב חזרה לשיטות תקשורת מיושנות. צעד כזה לאחור הוא אבסורדי; הוא גם יאט את כל התהליכים ויפגע באופן משמעותי ביעילות הטיפול בחולים.

אם מסכמים את הדברים, לא ניתן לומר ששירותי הבריאות אינם מודעים לנושא אבטחת הסייבר.

יותר מתוך בורות מאשר מתוך זדון, מערכות אלה מסתמכות על אמצעי האבטחה המובנים של ספקי הענן שלהן או על כלי אבטחה חיצוניים המגנים על חלקים מסוימים בתהליכי העבודה: מנועי אנטי-וירוס, DLP, CASB (Cloud Security Brokers) או בקרות אבטחה ילידיות לענן.

עם זאת, מבין כל כלי האבטחה שהוטמעו, מעטים נועדו להגן באופן מלא על העלאת קבצים.

• מנועי האנטי-וירוס מזהים בעיקר איומים ידועים, ולעתים קרובות הם מפספסים תוכנות זדוניות מתקדמות או מסוג "יום אפס" המסתתרות במבני קבצים מורכבים.
• מערכת DLP (מניעת אובדן נתונים) יכולה לזהות ולטשטש נתונים רגישים, אך היא אינה עושה דבר כדי לאתר או לנטרל איומים אפשריים בקבצים.
• פתרונות CASB מתמקדים בבקרת גישה ובניטור השימוש, אך אינם מבצעים בדיקה מעמיקה או ניקוי של קבצים שהועלו.
• ספקי Cloud דואגים לאבטחת התשתית, אך אינם נושאים באחריות לבטיחות תוכן הקבצים עצמם

הדבר יוצר פער קריטי בשלב ההעלאה.

תוקפים יכולים לנצל את הפרצה הזו כדי להסתיר קוד זדוני בתוך קבצים שנראים תמימים, להחדיר תוכנות זדוניות מסוג "יום אפס" לקבצים בארכיונים, או להשתמש בהעלאת קבצים ככלי תקיפה כדי לחדור למערכת.

החוק הפדרלי HIPAA קובע תקנים מחמירים ברמה ארצית להגנה על מידע רפואי מוגן (PHI). רופאים, בתי חולים וחברות ביטוח כאחד מחויבים לעמוד בתקנים אלה. 

עם זאת, קבצים המכילים מידע רפואי אישי (PHI) חשוף או תוכנות זדוניות מוסתרות חודרים לעיתים קרובות למערכות הבריאות, באמצעות העלאות לענן שלא נבדקו. מידע רפואי אישי (PHI) עלול להיחשף בדרכים שונות:

• שדות מסמך גלויים
• מטא-נתונים משובצים
• שכבות תמונה
• חפצים מוסתרים

תוכנות זדוניות עלולות להיות מוטמעות בתוך חשבוניות, טפסי הסכמה או קבצי תמונה.

אם קבצים המכילים מידע רפואי מוגן (PHI) או קבצים המכילים תוכנות זדוניות חודרים למערכות הבריאות, הדבר מהווה הפרה מובהקת של חוק HIPAA.

גם נושא השקיפות, הנדרש על פי חוק HIPAA, מהווה בעיה.

ברגע שהקבצים מאוחסנים בפלטפורמות SaaS, ארגונים מאבדים לעתים קרובות את היכולת לעקוב אחר האופן שבו ניגשים לנתונים, משתפים אותם או שומרים אותם.

חוסר שקיפות מוביל לפגמים בסודיות, בשלמות ובזמינות; כל אלה מהווים דרישות ליבה של חוק HIPAA.

למעשה, ארגונים נכשלים לעתים קרובות בהערכת הסיכונים הנובעים מטכנולוגיות חדשות ובצמצום השפעתן, לרבות טיפול בקבצים בענן, כפי שהדגיש המשרד לזכויות האזרח של משרד הבריאות ושירותי האנוש (HHS) של ארצות הברית.

יש צורך בגישה מחמירה יותר לאבטחת העלאת קבצים, שתמנע דליפת מידע רפואי אישי (PHI), תשמור על שקיפות ותמנע פריצות של תוכנות זדוניות. ללא גישה כזו, ארגונים עלולים להיתקל בקשיים בביקורת, בהפרת חובות הדיווח על פרצות אבטחה ובאובדן אמון המטופלים.

כאשר מידע רפואי נחשף, ההשלכות הנגרמות מכך חורגות בהרבה מהונאה כספית עבור אנשים שפרטיהם נגנבו.

התוצאות האפשריות של גניבת נתוני בריאות כוללות גניבת זהות, תביעות ביטוח כוזבות או גישה בלתי חוקית למרשמים רפואיים.

גרוע מכך, פרצות כאלה חושפות מידע אישי ביותר. פגיעה זו בפרטיות עלולה לחשוף אנשים המקבלים טיפול בבריאות הנפש, שירותי בריאות הרבייה או תמיכה בהתמודדות עם התמכרות לסכנה של סטיגמה, אפליה ונזק נפשי מתמשך.

אפילו מטופלים עם היסטוריה רפואית שגרתית עלולים לאבד את אמונם במערכת, דבר שעלול לגרום להם לדחות את הטיפול או להסתיר מידע חיוני מהרופאים.

לסיכום, סגירת כל פרצות האבטחה בארגוני בריאות הופכת לחלק בלתי נפרד מהטיפול הכולל בחולה.

במצבים חמורים יותר, מתקפת תוכנת כופר עלולה לחסום את הגישה לתיקים רפואיים חיוניים או להשבית מערכות קריטיות, ובכך לסכן חיי אדם.

כך היה המקרה בשנת 2017, עם מתקפת ה-WannaCry על מערכות ה-NHS. המתקפה הובילה לביטול ניתוחים ולהסבת מסלולי נסיעה של אמבולנסים, והוכיחה פעם נוספת כיצד אירועי סייבר עלולים להסלים במהירות ולהפוך למשבר בריאותי ציבורי.

מכיוון שתקיפות סייבר בתחום הבריאות פוגעות הן בטיפול בחולים והן במוניטין של הארגון, ספקי שירותי בריאות מובילים משנים את גישתם לאבטחת סייבר.

מה שהיה בעבר "בעיה בתחום ה-IT", שנפתרה באמצעות חוזים עם ספקים חיצוניים, הופך כעת לעניין של בטיחות המטופלים.

אם אבטחת הנתונים ותוכניות הטיפול שלהם היא הפתרון למתן טיפול מעולה למטופלים, אזי העלאת קבצים לא יכולה להמשיך להוות, כביכול, מוקד לזיהום.

העלאות Secure מחייבות מספר שכבות של בדיקה, והקבצים חייבים לעבור מספר תהליכי סריקה וניתוח לפני שהם מתקבלים למערכות הענן.

רשימת בדיקה לאבטחת העלאת קבצים בסביבה רפואית כוללת:

• סריקה רב-מנועית של תוכנות זדוניות לשיפור דיוק הזיהוי
• CDR (Content Disarm & Reconstruction) להסרת תוכן פעיל מבלי לפגוע בקובץ 
• בדיקה מעמיקה של קבצים לפני אחסוןם או שיתופם, לצורך איתור תוכנות זדוניות מתוחכמות או שמסתתרות 
• זיהוי (והסתרה) של מידע רפואי אישי (PHI) ונתונים רגישים בתוך קבצים 
• אכיפת מדיניות בהתאם לדרישות חוק HIPAA

גישה זו הופכת את פעולות ההעלאה מאירועים שזוכים לאמון עיוור לתהליכים מבוקרים וניתנים לביקורת.

MetaDefender Cloud משמשת כשכבת אבטחה ייעודית לקליטת קבצים בתחום הבריאות.

המערכת מיירטת ומנתחת קבצים לפני שהם מגיעים לפלטפורמות ענן, לתיקים רפואיים אלקטרוניים (EHR) או למערכות שיתוף פעולה.

הפלטפורמה משתמשת בזיהוי תוכנות זדוניות מתקדם באמצעות מספר מנועי סריקה הפועלים במקביל. הדבר משפר את ההגנה מפני איומים ידועים ובלתי ידועים.

CDR מסיר סקריפטים, פקודות מאקרו ואובייקטים משובצים ממסמכים רפואיים, תוך שמירה על השימושיות הקלינית.

בדיקת נתונים רגישים מסייעת לצמצם את החשיפה של מידע רפואי אישי (PHI) באמצעות זיהוי ותיקון תוכן רגיש לפני שיתוף או אחסון הקבצים. כמו כן, היא מסווגת סוגי נתונים רגישים וקובעת כיצד יש לטפל בנתונים, לאחסן אותם ולהגן עליהם.

שילובAPI מאפשרCloud MetaDefender Cloud בתהליכי העבודה של קבצים בתחום הבריאות, כולל פורטלי מטופלים, פלטפורמות לרפואה מרחוק ומערכות קליטה של צד שלישי.