Den amerikanska sjukvården i fara: Stärk motståndskraften mot utpressningstrojaner

Cyberbrottslingarnas attacker följer vanligtvis en tvåstegsprocess: det första steget är att få åtkomst till nätverket, ofta genom nätfiske eller utnyttjande av sårbarheter, och det andra steget är att placera ut utpressningstrojaner som kan kryptera kritiska system och data. Utvecklingen av dessa taktiker, inklusive användningen av legitima verktyg och spridningen av utpressningstrojaner som en tjänst, har gjort attackerna mer tillgängliga och frekventa.

Kampanjer riktade mot sjukvårdsorganisationer använder ofta mycket specifika beten. Mott lyfter exempelvis fram hur hotaktörer skapar e-postmeddelanden med sjukvårdsspecifik jargong, exempelvis med hänvisningar till obduktionsrapporter, så att deras trovärdighet ökas och därmed lyckas lura vårdpersonalen. 

Mott noterar också att angriparna blir allt mer sofistikerade i sina metoder och ofta använder "riktiga namn, legitima tjänster och verktyg som vanligtvis används på IT-avdelningar (t.ex. verktyg för fjärrhantering)" i syfte att undvika att bli upptäckta. Dessa taktiker gör det utmanande för säkerhetssystemen att skilja mellan skadlig och legitim aktivitet. 

Microsoft Threat Intelligence-data visar också att angriparna ofta utnyttjar kända sårbarheter i organisationens programvara eller system, vilka har identifierats tidigare. Dessa standardiserade namn på sår­bar­heter och exponeringar (CVE:er) är väldokumenterade, har tillgängliga korrigeringar eller fixar, och angriparna fokuserar ofta på dessa äldre sårbarheter eftersom de vet att många organisationer ännu inte har åtgärdat de här svagheterna.¹⁸

Efter att ha tillskansat sig initial åtkomst genomför angriparna ofta nätverksspaning, vilken kan identifieras genom indikatorer som ovanlig genomsökningsaktivitet. De här åtgärderna hjälper hotaktörerna att kartlägga nätverket, identifiera kritiska system och förbereda sig för nästa attackfas: att placera ut utpressningstrojaner.

Med tanke på de allt mer sofistikerade utpressningstrojansattackerna måste sjukvårdsbranschen anta ett mångfacetterat förhållningssätt till cybersäkerhet. De måste vara beredda att stå emot, svara på och återhämta sig från cyberincidenter, samtidigt som de har förmågan att bibehålla kontinuiteten i patientvården.

Följande vägledning ger klara riktlinjer för hur man kan förbättra motståndskraften, säkerställa snabb återhämtning, främja en säkerhetsinriktad arbetsstyrka och stärka samarbetet inom sjukvårdssektorn.

Effektiv styrning när det gäller cybersäkerhet inom sjukvården är avgörande för hur väl man kan förbereda sig för och reagera på utpressningstrojansattacker. Dameff och Tully från UC San Diego Center for Healthcare Cybersecurity rekommenderar att man upprättar ett robust styrningsramverk med tydliga roller, regelbunden utbildning och tvärvetenskapligt samarbete. Detta hjälper sjukvårdorganisationerna att förbättra sin motståndskraft mot utpressningstrojansattacker och säkerställa patientvårdens kontinuitet, även vid förekomsten av betydande störningar.

En viktig aspekt av detta ramverk handlar om att bryta ned barriärerna mellan klinisk personal, IT-säkerhetsteam och räddningspersonal, så att man kan utveckla enhetliga incidentresponsplaner. Detta samarbete mellan olika avdelningar är avgörande för om man ska kunna upprätthålla patientsäkerhet och vårdkvalitet när de tekniska system komprometteras.

Dameff och Tully lyfter också fram nödvändigheten av att ha en dedikerad ledningsgrupp som regelbundet träffas för att granska och uppdatera incidentåtgärdsplanerna. De rekommenderar att dessa ledningsgrupper ges befogenhet att testa responsplaner genom realistiska simuleringar och övningar, vilket säkerställer att all personal, inklusive yngre läkare som kanske inte är bekanta med pappersjournaler, är förberedda att kunna arbeta effektivt utan hjälp av digitala verktyg.

Dameff and Tully betonar dessutom vikten av externt samarbete. De förespråkar regionala och nationella ramverk som tillåter sjukhusen att stödja varandra under storskaliga incidenter, och betonar behovet av ett "strategiskt nationellt tekniklager" som tillfälligt kan ersätta de system som komprometterats.

Att anta en djupgående försvarsstrategi är avgörande om man ska kunna skapa en säkerhetsställning i flera lager som effektivt kan förhindra utpressningstrojansattacker. Den här strategin innebär att man säkra varje lager i sjukvårdens infrastruktur – från nätverk och slutpunkter till molnet. Om man inom sjukvården ser till att flera försvarslager finns på plats kan man minska risken för en utpressningstrojansattack lyckas.

Som en del av denna metod i flera lager avsedd för Microsofts kunder övervakar Microsoft Threat Intelligence-teamen aktivt de fientliga krafternas beteende. När sådan aktivitet upptäcks skickas ett direktmeddelande.

Det här är inte en betald tjänst eller en nivåbaserad tjänst – tvärtom, så får företag av alla storlekar samma uppmärksamhet. Syftet är att snabbt kunna ge varningar när potentiella hot, t.ex. utpressningstrojaner, upptäcks och bidra till att vidta åtgärder som skyddar organisationen.

Förutom att man implementerar dessa försvarslager är det av avgörande betydelse att man också har en effektiv plan för incidentrespons och detektion. Det räcker inte att bara ha en plan. Vårdorganisationerna måste vara beredda att genomföra arbetet effektivt under en faktisk attack, så att skador minimeras och en snabb återhämtning säkerställs.

Slutligen, så är kontinuerlig övervakning och detektering i realtid viktiga komponenter i ett robust ramverk för incidentrespons, vilket säkerställer att potentiella hot kan identifieras och åtgärdas snabbt.

Mer information om cybermotståndskraft inom hälso- och sjukvården finns i de av USA:s hälso- och socialdepartement publicerade frivilliga hälso- och sjukvårdsspecifika prestandamålen för cybersäkerhet, vars mål är att hjälpa hälsovårdsorganisationer att prioritera implementeringen av effektiva cybersäkerhetsmetoder.

Dessa prestandamål för cybersäkerhet, som skapats genom en offentlig/privat samarbetsprocess, med hjälp av gemensamma ramverk för cybersäkerhet, riktlinjer, bästa praxis och strategier, utgör en delmängd av den cybersäkerhetspraxis som hälsovårdsorganisationer kan använda för att stärka sin cyberberedskap, förbättra sin cybermotståndskraft och skydda patienthälsoinformation och säkerhet.

Att skapa en arbetsstyrka som sätter säkerheten i första rummet kräver kontinuerligt samarbete mellan olika verksamhetsgrenar. Det är viktigt att bryta ner eventuella barriärer mellan IT-säkerhetsteam, akutavdelning och klinisk personal så att man kan utveckla enhetliga incidenthanteringsplaner. Utan ett sådant samarbete kanske sjukhusets olika avdelningar inte är tillräckligt förberedda för att agera effektivt under en cyberincident.

Dameff och Tully understryker vikten av att för samman interna team, som läkare, akutvårdschefer och IT-säkerhetspersonal, som ofta arbetar isolerat. Att sammanföra dessa grupper för att designa och implementera omfattande planer för incidentrespons kan förhindra att det uppstår operativt kaos när attacker sker.

På regional nivå bör hälso- och sjukvårdsorganisationerna skapa partnerskap som gör det möjligt för vårdinrättningarna att dela kapacitet och resurser, för att på så vis säkerställa att patientvården fortsätter även när vissa sjukhus drabbas av utpressningstrojaner. Den här formen av kollektivt försvar kan också hjälpa till att hantera kraftig tillströmning av patienter och fördela bördan mellan olika vårdgivare.

Utöver regionalt samarbete är nationella och globala nätverk för informationsutbyte avgörande. ISAC-center (Information Sharing and Analysis Centers), såsom Health-ISAC, fungerar som plattformar där vårdorganisationer kan utbyta viktig hotinformation. Errol Weiss, Chief Security Officer på Health-ISAC, jämför dessa organisationer med virtuella "program för grannsamverkan," där medlemsorganisationer snabbt kan dela information om attacker och beprövade begränsningstekniker. Denna informationsdelning hjälper andra att förbereda sig för eller eliminera liknande hot, vilket stärker det kollektiva försvaret i större skala.