#КИИ #кибербезопасность

Минздрав России утвердил Перечень типовых отраслевых объектов критической информационной инфраструктуры, функционирующих в сфере здравоохранения

Данный Перечень может применяться учреждениями сферы здравоохранения при категорировании принадлежащих им объектов критической информационной инфраструктуры.

Скачать документ можно по этой ссылке

@medicalksu

#кибербезопасность #ихнравы

Минздрав США опубликовал список целей кибербезопасности медицинских организаций

Кибербезопасность — модное, но пока мало законодательно урегулированное направление, поэтому власти всех стран стремятся побыстрее сформулировать правила игры для отраслевых организаций.

Вот и Министерство здравоохранения и социальных служб (HHS) США решило сделать шаг в сторону «кибербеза». На днях ведомство опубликовало список целей по обеспечению кибербезопасности, специально разработанный для организаций здравоохранения. Как пишет регулятор, документ является первым шагом в стратегическом плане администрации по повышению кибербезопасности в масштабах всей отрасли. Документ размещен на портале администрации стратегической готовности и реагирования Минздрава США.

Они разбиты на две категории: «Основные цели» и «Расширенные цели», каждая из которых отражает основы кибербезопасности, лучшие практики и стратегии, разработанные отраслью здравоохранения. Также в документе рассмотрены несколько распространенных векторов атак на больницы США в 2023 году.

@medicalksu

#кибербезопасность #ихнравы

FDA создаст «суперофис» для надзора за кибербезопасностью в здравоохранении

Как пишет Medtech Dive, Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) решило расширить штат подразделения, которое занимается вопросами кибербезопасности в здравоохранении. Пишут, что в итоге должен получиться «суперофис». Звучит интригующе. Вероятно, там будут работать суперлюди.

В России кибербезопасностью в здравоохранении занимается Центр информационной безопасности и импортозамещения, созданный на базе ФГБУ ЦНИИОИЗ Минздрава России.

@medicalksu

#ихнравы #кибербезопасность

В США из-за крупной кибератаки пациенты не смогли получить лекарства по рецепту

Пример вредоносной и циничной работы хакеров в США — кибератака на бизнес-подразделение страховой компании UnitedHealthcare Group, из-за которой около 70000 аптек по всей стране не смогли отпускать лекарства по льготным рецептам, пишет Washington Post.

Из-за кражи базы данных пациентов, покупку лекарств для которых возмещает страховая компания UnitedHealthcare Group, тысячи пациентов с хроническими заболеваниями по всей стране не смогли использовать свою льготу.

Как пишет издание, на данный момент ошибку устранили, но происшествие шокировало общественность: потери страховой компании оцениваются в миллионы долларов, пациенты с тяжелыми заболеваниями остались без лекарств.

Вот такой вот цифровой хоррор, эксперты.

@medicalksu

#кибербезопасность #КИИ

В США от кибератак в 2023 году больше всего пострадали медицинские организации

Как следует из нового отчета ФБР, объекты сферы здравоохранения, относящиеся к критической инфраструктуре, чаще всего подвергались кибератакам. Общий ущерб от кибератак составил 56,9 млн долларов.

В здравоохранении США в 2023 году зафиксировано 249 кибератак — рекордное количество по сравнению с государственным сектором (156 кибератак) и финансовым сектором (122 кибератаки).

@medicalksu

#кибербезопасность

Согласно опросу 92 экспертов по кибербезопасности из США, Европы и стран Азии, результаты которого опубликованы в Plos One, Россия является родиной хакеров.

В целом, «русских хакеров» уже обвинили во всех существующих бедах и событиях в мире: от пандемии COVID-19 до фальсификации выборов в США. Так что еще один результат опроса показывает: мем жив, а отечественных айтишников уважают и реально боятся.

@medicalksu

#кибербезопасность #ихнравы

Интересные цифры из исследования McKinsey — около 44% из опрошенных представителями компании американцев (всего 1000 человек) склонны доверять свои данные системе здравоохранения.

На фоне постоянных кибератак на больницы и страховые компании более чем странные цифры. Складывается впечатление, что американцев сохранность их медицинских данных совершенно не волнует.

А что бы вы сделали, если бы знали, что данные о ваших визитах в медицинские организации слили куда-нибудь в сеть?

@medicalksu

#кибербезопасность

Кибертаки на медучреждения в России стали более критическими

Медицинские учреждения за первые полгода на 32% чаще становились жертвами хакерских атак, имеющих критические последствия. В их числе утечки данных, уничтожение IT-инфраструктуры и приостановка работы самих учреждений. Наполнению медицинских IT-систем данными способствует цифровизация отрасли в регионах, а также интеграция с едиными госсистемами, и кибератаки в будущем станут для отрасли еще опаснее, говорят эксперты.

Редакция «Коммерсантъ» ознакомилась с данными вендора решений по кибербезопасности МТС RED (входит в МТС) о динамике кибератак на российские медицинские учреждения в 2024 году. В первом полугодии компания зафиксировала на 32% больше критичных атак на медицинскую отрасль, чем за аналогичный период 2023 года. Под критическими атаками понимаются инциденты, которые привели к утечке данных пациентов, уничтожению инфраструктуры или длительным перебоям в оказании медицинских услуг, то есть к значимым для организаций и пациентов последствиям.

Чаще всего хакеры атакуют организации сферы здравоохранения, пытаясь обойти средства защиты,— такие инциденты занимают долю в 36% атак, говорит технический руководитель направления МТС RED SOC Ильназ Гатауллин. На втором месте — сетевые атаки и попытки внедрения в медицинские организации вредоносного софта. «Нарушение политик кибербезопасности и нелегитимные действия администраторов информсистем фиксировались только в 5% от всех инцидентов в отрасли»,— оценивает Ильназ Гатауллин.

По информации центра мониторинга внешних цифровых угроз Solar AURA ГК «Солар», сейчас отрасль здравоохранения занимает четвертое место по количеству утекших строк данных. Всего с января по конец июля 2024 года в открытый доступ попали конфиденциальные сведения 21 организации, в основном это персональные данные пациентов, рассказали в компании.

@medicalksu

#кибербезопасность

Telegram-канал Медкадры сообщил о появлении фейковых порталов непрерывного медицинского и фармацевтического образования Минздрава России. Эти порталы воруют персональные данные.

Один из таких фейков расположен по адресу: https://xn----8sb7abehbhku.xn--p1ai/ (нмо-портал.рф)

Цель злоумышленников — получить персональные данные пользователей, которые потом можно будет использовать как угодно — от отправки на почту рекламных сообщений, адресованных медработникам, до звонков чат-ботов с приглашениями на разные тематические мероприятия.

@medicalksu

#кибербезопасность

Прокуратура Москвы сообщила ТАСС о новой схеме телефонных мошенников.

Преступники представляются сотрудниками единой медицинской системы и под предлогом изменения данных о пациенте в системе уговаривают установить программы и похищают деньги, передает Telegram-канал ТАСС.

Москвичи, предупредите своих родителей!

@medicalksu

#фарма #кибербезопасность #ихнравы

Американский фармдистрибьютер заплатил 75 млн долларов хакерам

Крупный дистрибьютор медицинских препаратов Cencora заплатил хакерам $75 млн в биткоинах (BTC). За выкуп злоумышленники обязались не публиковать конфиденциальные данные клиентов, пишет Фармвестник.

Компания Cencora обнаружила утечку данных в феврале. Злоумышленникам удалось получить доступ к персональным данным пациентов, включая их имена, адреса, даты рождения, диагнозы, рецепты и лекарства. В квартальном отчете Cencora за июль указано, что расходы компании, связанные с кибербезопасностью, составили $31,4 млн.

По данным компании по кибербезопасности Chainalysis, размер выкупов, выплачиваемых хакерам, постепенно увеличивается. Если в начале прошлого года взломщики получали в среднем чуть менее 200 тыс. в виде компенсации за прекращение кибератаки, то в июне этого года эта сумма выросла до 1,5 млн долл. Прогнозируется, что к концу 2024 года этот показатель превысит 1 млрд долл.

@medicalksu

#кибербезопасность #аналитика

По данным компании Sophos, опросившей 400 управленцев здравоохранения из 14 стран мира, в 2024 году 67% всех медицинских организаций подвергается кибератакам. При этом на устранение последствий одной кибератаки компании тратят не менее одного месяца.

Почти все организации, пострадавшие от атак программ-вымогателей в 2023 году, заявили, что киберпреступники пытались скомпрометировать их резервные копии данных, и около двух третей респондентов заявили, что им это удалось.

Медианная сумма выплат за атаки с использованием программ-вымогателей составила 1,5 млн долларов. Жертвы также редко платили первоначальную сумму, требуемую киберпреступниками: почти 60% платили больше первоначального требования.

@medicalksu

#МИС #аналитика #кибербезопасность

Эксперты назвали ключевые уязвимости в защите медицинских информсистем (МИС)

Специалисты кафедры информационной безопасности Московского политехнического университета представили анализ ключевых уязвимостей в системе защиты медицинских данных и разработали практические рекомендации по их устранению. Особое внимание уделено защите локальных сетей медучреждений, внедрению сертифицированных средств защиты и регулярному аудиту безопасности – эти меры особенно актуальны в свете последних изменений законодательства об усилении ответственности за утечку персональных данных, сообщили Медвестнику в пресс-службе вуза.

Анализировали все уровни медицинских информационных систем (МИС) – от федеральных баз данных до локального оборудования больниц.

Ключевым фактором защиты, по мнению экспертов, остается правильная настройка локальных вычислительных сетей медучреждений. Важно обеспечить сегментацию сети, разграничение доступа к различным типам медицинских данных. Например, информация от лабораторного оборудования для экстренной диагностики должна храниться отдельно от административных систем. Это позволит минимизировать риски несанкционированного доступа к критически важным данным пациентов.

Второй важный аспект – внедрение сертифицированных средств защиты информации. Рекомендуется использовать специализированные решения для мониторинга и анализа защищенности МИС. Программное обеспечение должно соответствовать требованиям ФСТЭК России, изложенным в приказах № 17, № 31 и № 239. Особенно важно обеспечить защиту данных в системах, связанных с постановкой диагноза и назначением лечения.

Третий ключевой элемент – регулярный аудит безопасности. Медорганизациям необходимо проводить оценку защищенности информационных систем не реже одного раза в квартал.

Следует также уделять внимание защите специализированного медицинского оборудования. Специалисты рекомендуют внедрить многофакторную аутентификацию для доступа к такому оборудованию и обеспечить шифрование передаваемых данных.

В документе также идет речь о защите федеральных информационных систем сферы здравоохранения и лабораторных систем, что, в сущности, ясно любому руководителю медицинской организации.

В общем безопасность данных превыше всего. Помним об этом.

@medicalksu

#кибербезопасность

Совфед одобрил штрафы за утечку медицинских персональных данных

Совет Федерации одобрил на пленарном заседании закон, которым в том числе вводятся штрафы до 15 млн рублей за незаконную передачу информации, включающей специальную категорию персональных данных, куда входят сведения о состоянии здоровья, пишет ТАСС.

Эта норма содержится в законе, предусматривающем введение штрафов за нарушение отдельных требований законодательства в области персональных данных. Он был внесен в Госдуму группой сенаторов и депутатов в декабре 2023 года в пакете с поправками в Уголовный кодекс, которые вводят ответственность за незаконное использование, распространение и сбор полученных незаконным путем персональных данных.

Статья 13.11 Кодекса РФ об административных правонарушениях (КоАП) о нарушении законодательства в области персональных данных дополняется частями, которыми вводятся штрафы за действия или бездействие оператора, повлекшие неправомерную передачу информации, включающей специальную категорию персональных данных. Штраф для граждан составит от 300 тыс. до 400 тыс. рублей, для должностных лиц - от 1 млн до 1,3 млн рублей, для юрлиц - от 10 млн до 15 млн рублей.

Также статья дополняется санкциями за неправомерную передачу и распространение биометрических персональных данных в результате действий или бездействия оператора. За такое правонарушение штраф для граждан составит от 400 тыс. до 500 тыс. рублей, для должностных лиц - от 1,3 млн до 1,5 млн рублей, для юридических лиц - от 15 млн до 20 млн руб. Если аналогичное нарушение будет совершено повторно, штраф для граждан составит от 500 тыс. до 800 тыс. рублей, для должностных лиц - от 1,5 млн до 2 млн рублей. Юридическим лицам будет грозить штраф от 1% до 3% совокупного размера выручки, но не менее 25 млн рублей и не более 500 млн рублей.

@medicalksu

#кибербезопасность #данные

За утечку персональных данных, в том числе медицинских, будут лишать свободы на срок до четырех лет

Как пишет Vademecum, по новому закону, который на днях подписал президент России, штраф за незаконное использование, передачу, распространение, сбор и хранение такой информации составит до 300 тысяч рублей.

Также могут быть назначены принудительные работы или лишение свободы на срок до четырех лет. В списке также указывается штраф в размере заработной платы или иного дохода осужденного за год.

Меры пресечения за эти нарушения отдельно указываются по четырем пунктам: из корыстной заинтересованности, с причинением крупного ущерба, группой лиц по предварительному сговору, с использованием своего служебного положения. По каждому пункту предусмотрено наказание в виде штрафа до 1 млн рублей и (или) лишения свободы на 5-6 лет.

Самое строгое наказание будут назначать за те же деяния, совершенные организованной группой.

Уточняется и санкция за создание информационного ресурса/страницы сайта для этих же целей. Штраф для нарушителей составит до 700 тысяч рублей, к этому могут добавить лишение свободы (принудительные работы) до 5 лет, а также исключение права занимать определенные должности до двух лет.

Интересно, как принятие закона отразиться на динамике кибератак в секторе здравоохранения — учитывая тот факт, что данных из года в год, как и умельцев их использовать в корыстных целях, становится всё больше. Думаю, хакеров штрафами не напугаешь.

@medicalksu

#кибербезопасность

Здравоохранение в России в 2024 году стало лидером по частоте обнаружения вредоносного ПО на компьютерах

В качестве подтверждения актуальности темы кибербезопасности в отечественном здравоохранении — исследование компании «Солар», результаты которого опубликованы в ТАСС.

Согласно исследованию, проведенному в третьем квартале 2024 года, каждая четвертая компания (25%) из отрасли здравоохранения имеет в своих корпоративных сетях вредоносное ПО. По частоте обнаружения вредоносных программ здравоохранение обогнало госсектор (18%).

Больше всего в инфраструктуре заказчиков было выявлено средств удаленного доступа — 26% от всего выявленного вредоносного ПО. Хакеры, используя эти средства, могут дистанционно управлять атакованной ими системой и, соответственно, вносить изменения в данные, выгружать их, делать скриншоты нужной информации и менять настройки оборудования. В 20% случаев «Солар» зафиксировал индикаторы присутствия в системах компаний известных АРТ-группировок — профессионалов, часто спонсируемых государствами.

@medicalksu

#ЕГИСЗ #кибербезопасность

В Башкирии врача осудили за утечку персональных данных пациента из ЕГИСЗ

Федеральный закон, ужесточающий ответственность за утечку персональных данных в том числе и в здравоохранении, в действии.

Как пишет Vademecum, суд Республики Башкортостан вынес приговор в отношении заведующего отделения горбольницы. Неназванный фигурант признан виновным в совершении правонарушения по ч. 3 ст. 272 (неправомерный доступ к компьютерной информации) и ч. 2 ст. 137 УК РФ (нарушение неприкосновенности частной жизни). Ему назначено наказание в виде 10 месяцев ограничения свободы, штрафа в размере 100 тысяч рублей и конфискации мобильного телефона. Приговор еще не вступил в законную силу.

По версии следствия и суда, в ноябре 2024 года фигурант, имея доступ к единой государственной информационной системе здравоохранения (ЕГИСЗ), «по просьбе своего товарища» сфотографировал результаты медицинского осмотра несовершеннолетней девушки, а затем отправил изображение знакомому. Другие детали дела в сообщении регионального управления СК РФ не приводятся.

Остается догадываться с какой целью врач сфотографировал результаты медосмотра и как обнаружилась утечка.

@medicalksu