CyberBezpieczeństwo

1. Rodzaje danych narażonych na wyciek

• Dane osobowe – imię, nazwisko, PESEL, adres, telefon, dane ubezpieczeniowe.

• Dane medyczne – historia chorób, wyniki badań laboratoryjnych, obrazy (USG, MRI, RTG, CT).

• Dane biometryczne – EEG/EKG, odciski, obrazy twarzy.

• Dane administracyjne – numery rejestracji wizyt, dokumentacja billingowa.

2. Regulacje prawne

• RODO (UE, w tym Polska):

  • Dane pacjenta to dane szczególnej kategorii → najwyższy poziom ochrony.

  • Za naruszenia grożą kary finansowe do 20 mln € lub 4% rocznego obrotu (wyższa z wartości).

  • Obowiązek zgłoszenia wycieku do UODO (w Polsce) i poinformowania pacjentów.

• HIPAA (USA):

  • „Protected Health Information” (PHI) obejmuje wszystkie identyfikowalne dane zdrowotne.

  • Obowiązek zabezpieczenia systemów (HIPAA Security Rule).

  • Naruszenia skutkują karami finansowymi (od 100$ do 50 000$ za każde naruszenie, z limitem rocznym do 1,5 mln $) oraz odpowiedzialnością karną.

3. Przykłady wycieków

• Publiczne serwery PACS/DICOM (systemy obrazowania) bez haseł → skany MRI/CT dostępne w sieci.

• Ransomware w szpitalach → kradzież i publikacja danych pacjentów w Darknecie.

• Nieuprawnione kopiowanie danych przez pracowników (pendrive, e-mail).

• Nieprawidłowa utylizacja sprzętu (np. dyski z danymi).

4. Konsekwencje

• Dla pacjentów: ryzyko kradzieży tożsamości, szantażu, dyskryminacji (np. przy ubezpieczeniu).

• Dla placówki: kary finansowe, utrata reputacji, procesy sądowe.

• Dla personelu: odpowiedzialność dyscyplinarna, cywilna, a czasem karna.

5. Zapobieganie wyciekom

• Szyfrowanie danych w spoczynku i transmisji (AES-256, TLS).

• Segmentacja sieci i kontrola dostępu (MFA, role-based access).

• Regularne testy bezpieczeństwa (pentesty, audyty).

• Monitorowanie logów i systemów SIEM.

• Szkolenia personelu (phishing, procedury RODO/HIPAA).

• Polityka retencji i bezpiecznego usuwania danych.

🔥 Jak działa ransomware w szpitalu?

1. Wejście do systemu

   • phishing (fałszywy e-mail z załącznikiem),

   • luki w systemach PACS/HIS,

   • słabe zabezpieczenia RDP (zdalny pulpit),

   • brak aktualizacji (np. Windows, serwery).

2. Rozprzestrzenienie

   • zainfekowanie komputerów personelu,

   • przejęcie serwerów HIS, PACS, LIS (laboratorium),

   • szyfrowanie baz danych, obrazów (RTG/MRI/CT), raportów.

3. Żądanie okupu

   • wyświetlenie żądania zapłaty w kryptowalucie,

   • groźba publikacji danych pacjentów (tzw. double extortion).

🌍 Znane przypadki

• Niemcy, Düsseldorf (2020)

  • Atak ransomware doprowadził do paraliżu szpitala uniwersyteckiego.

  • Pacjentka z ostrym stanem musiała być przekierowana do innej placówki – zmarła.

  • To pierwszy przypadek, gdzie prokuratura badała atak cybernetyczny jako potencjalne spowodowanie śmierci.

• Irlandia, HSE (Health Service Executive, 2021)

  • Największy atak w Europie na służbę zdrowia.

  • Wszystkie systemy IT w kraju zostały wyłączone, odwołano wizyty i badania.

  • Szacowane koszty: ponad 600 mln €.

• USA (różne przypadki)

  • Setki szpitali zostały zaatakowane przez grupy takie jak Ryuk, Conti, LockBit.

  • W niektórych przypadkach szpitale płaciły okup w wysokości milionów dolarów.

  • Skutki: brak dostępu do EHR (Electronic Health Records), odwołane operacje, używanie papierowej dokumentacji.

⚠️ Skutki ataku ransomware

• Paraliż oddziałów (brak dostępu do wyników badań, obrazów diagnostycznych).

• Opóźnienia w leczeniu, odwołane operacje.

• Ryzyko utraty życia pacjentów.

• Straty finansowe i reputacyjne (setki milionów €/$).

• Obowiązek zgłoszenia wycieku (RODO/HIPAA).

🛡️ Środki ochrony

• Segmentacja sieci (oddzielenie HIS, PACS, urządzeń medycznych od sieci biurowej).

• Regularne backupy offline (air-gapped, testowane przywracanie).

• Aktualizacje i łatki systemów operacyjnych i medycznych.

• MFA i ograniczony dostęp do RDP i systemów krytycznych.

• Systemy EDR/SIEM – wczesne wykrywanie złośliwej aktywności.

• Szkolenia personelu – phishing to najczęstsza brama wejścia.

⚠️ Ryzyka integracji urządzeń medycznych z siecią

• Stare systemy operacyjne – wiele aparatów działa na Windows XP/7, które nie mają aktualizacji bezpieczeństwa.

• Brak segmentacji – urządzenia medyczne są w tej samej sieci co komputery biurowe.

• Otwarte porty/protokoły – DICOM, HL7, SMB – bez szyfrowania i autoryzacji.

• Urządzenia mobilne (BYOD) – lekarze korzystają z własnych laptopów/telefonów do przeglądania wyników.

• Wi-Fi pacjentów i gości – jeśli nie jest odseparowane, może prowadzić do infekcji sieci szpitalnej.

🛡️ Dobre praktyki (defense-in-depth)

1. Segmentacja sieci (VLAN) – osobne sieci dla:

   • HIS/EHR (administracja pacjentów),

   • PACS/DICOM (obrazy),

   • urządzeń medycznych (MRI, USG, EKG, pompy),

   • sieci biurowej,

   • Wi-Fi pacjentów/gości.

2. Firewall i kontrola ruchu

   • Whitelisting komunikacji (np. PACS ↔ HIS, ale nie ↔ Internet).

   • Blokada nieużywanych portów (SMB, RDP).

3. Monitorowanie i IDS/IPS

   • Analiza nietypowego ruchu sieciowego.

   • Wykrywanie prób lateral movement.

4. Bezpieczny zdalny dostęp

   • VPN z MFA dla serwisu aparatury.

   • Zakaz otwartych RDP z Internetu.

5. Patch management

   • Regularne aktualizacje OS i aplikacji.

   • Jeśli brak wsparcia – izolacja lub wymiana urządzenia.

6. Zasada najmniejszych uprawnień (least privilege)

   • Lekarz widzi tylko dane swoich pacjentów.

   • Technicy mają dostęp tylko do diagnostyki sprzętu.

⚠️ Ryzyka wynikające z używania Windows XP/7 w medycynie

• Brak poprawek bezpieczeństwa → podatność na znane exploity (np. EternalBlue, WannaCry).

• Łatwe rozprzestrzenianie ransomware w sieci lokalnej.

• Brak szyfrowania w protokołach komunikacji (DICOM, SMBv1).

• Brak zgodności z RODO/HIPAA – używanie niewspieranego systemu to naruszenie zasad „state of the art” (art. 32 RODO).

• Ryzyko fizyczne – atak może zablokować aparat RTG czy respirator, wpływając bezpośrednio na pacjentów.

📌 Największe ryzyko

• PACS/HIS ← atak z urządzenia XP → rozprzestrzenienie ransomware.

• USG/RTG/MRI ← brak aktualizacji, otwarte porty DICOM/SMB.

• IoMT (pompy, EEG, EKG) ← realne zagrożenie zdrowia i życia pacjentów.