UNSINKABLE meets UNTHINKABLE פוסט לציון 108 שנים לטביעתה של הטיטניק והלקחים להגנת סייבר בימינו אנו

פוסט זה הוא עדכון משמעותי לפוסט שנכתב במקור בשנת 2012 לאחר צפיה בסרט תיעודי ששודר באותה השנה, במלאת 100 שנה לטביעת הטיטניק. בעדכון זה ננפץ כמה פרות קדושות באשר לאסון (כמו למשל קופסת הזכוכית הנעולה בה הייתה המשקפת שיועדה למתריעים בפני הקרחון ובגלל המפתח החסר לא נצפה הקרחון במועד, או מס' סירות ההצלה הבלתי מספיק, למעשה היו על הטיטניק יותר סירות הצלה מאשר הרגולטור דרש ועוד...).

מדובר בסרט של ערוץ הנשיונל ג'יאוגרפיק שקרוי: "טיטאניק - מקרה סגור- Titanic – case closed" (https://www.youtube.com/watch?v=UxQvij8Ttug). הסרט הוא מסעו של אדם אחד, ההיסטוריון והחוקר טים מלטין שחוקר את האירועים שהובילו לאסון הימי החמור ביותר אי פעם. הוא עבר על כל העדויות המקוריות של הניצולים ושל אלה של קברניט הספינה הסמוכה, "קליפורניאן", ויומני ספינות ששטו יום לפני ויום אחרי האסון כדי לקרוא את מה שכתבו על המצב באזור. בסרט הוא מספק מענה לשתי תעלומות:

1. מדוע המתריעים שהיו על תורן בגובה 30 מ' בקדמת הטיטניק, ופעלו לפי ההוראות המתאימות למזג האוויר, אכזבו, ובמקום התרעה של 20 דקות סיפקו התרעה של 55 שניות? הם לא היו שיכורים או רדומים. המתריע שרד את האסון והעיד בוועדות החקירה.

2. מדוע האונייה הקרובה מאד לטיטניק, הקליפורניאן, לא שייטה לאזור האסון על מנת להציל את הניצולים הרבים?. לו הייתה עושה כן, רבים היו ניצלים מטביעה או קפיאה במי הקרח.

וכל זה במה הוא קשור להגנת סייבר בימינו אלה?

1.   על אחריותו של רגולטור להתאים את הוראותיו למציאות המשתנה.

א.     טיטניק:

1.   הרגולטור קבע יש לבנות אוניות בטוחות לשיט טרנס אטלנטי. לנושא סירות ההצלה לא ניתנה התייחסות עדכנית. מספר סירות ההצלה נקבע ע"פ תפוסת האוניה ולא לפי מספר הנוסעים. הייתה אומנם טבלה שדרשה שכמות סירות ההצלה ותפוסתן תגדל ככל שגדלה תפוסת האוניה, אך טבלה זו הסתיימה בתפוסה של 10,000 טון וכלל לא התייחסתה למספר הנוסעים בספינה.

2.   תוצאה: השקעה (אמיתית) גבוהה בהבטחת בטיחות האוניות מפני טביעה. כמות סירות ההצלה  נקבעה ע"פ דרישות הרגולטור, שהפכו ללא רלוונטיות.

3.  מציאות: החלו להיבנות ספינות בתפוסות של עשרות אלפי טונות. הטיטניק לדוגמה הייתה בת 46,000 טון והיו אף ספינות שנבנו באותה התקופה בעלות תפוסה גדולה יותר. אבל, הרגולטור לא שינה את הוראותיו בעניין זה.

4.   מה קרה על הטיטניק: על הטיטניק היו יותר סירות הצלה מאשר הרגולטור דרש. ע"פ החישוב, נדרשו ע"פ דרישת הרגולטור סירות הצלה בתפוסה כוללת של 1,060 איש. בפועל, על הטיטניק היו סירות הצלה בתפוסה כוללת של 1,078 אנשים, דהיינו, יותר מהמספר הנדרש ע"י הרגולטור. אלא שתפוסת הנוסעים ואנשי הצוות המכסימלית הייתה 3,300. פער בלתי נתפס. ל-2/3 מכמות האנשים שיכלו להימצא על האוניה לא היו בכלל סירות הצלה.לאחר האסון הרגולטור שינה את ההוראות. אבל זה לאחר שמחיר הדמים הנורא כבר שולם. כשל נוסף היה באי תרגול אנשי הצוות בתפעול נהלי חירום לשימוש בסירות, והתוצאה שבמקום מעל 1,100 שיכלו להינצל באמצעותן, נצלו בפועל רק 700.

ב.     סייבר:

1.  רבות מההוראות הרגולטוריות הרלוונטיות להגנת סייבר אינן מתעדכנות להתאמתן לסביבת  האיומים המשתנה. ראו לדוגמה תקני ISO 27001+IS27002 שהנם כבר בני 7 שנים.

2.   המשמעות הנה שהגורמים שמונחים ע"פ הוראות רגולטוריות מיושנות, חשופים בעוד שלדעתם הם עושים כמיטב יכולתם.

2.   על הכנת תרחישי אסון וקיבעון מחשבתי.

א.     טיטניק:

1.    הוראה: יש להימנע מהתנגשות עם קרחון צף (ICEBERG).

2.   כשל בהוראה: אי התייחסות לתנאי ההתחלה: מהו הקשר בין זמן ההתרעה והאם יש או אין אופציה לעמוד בהוראה.

3.      טיטניק: מאחר ואין אופציה אחרת, יש לבצע תמרון התחמקות.

4.   תוצאה: התרעה שנתנה באיחור איננה מאפשרת להתחמק מהתנגשות, אך באין הוראה אחרת, תמרון ההתחמקות חסר כל סיכוי מבוצע..

5.    התוצאה בפועל: התחככות צידית בת 10 שניות של החלק התת מימי של הקרחון בחלק הטיטניק שמתחת למים (בחלק הקדמי של הספינה), קריעת חור בדופן הטיטניק, חדירת מים, טביעת הטיטניק, טביעתם של כ-1,500 מנוסעי הספינה ואנשי הצוות. אסון כבד.

6.   לו היה המרכיב של זמן ההתרעה נלקח בחשבון בהכנת התרחישים, ניתן היה להוסיף תרחיש לתרחיש הקיים, דהיינו, במידה ולא ניתן להתחמק מהתנגשות, מהם תנאי ההתנגשות האופטימליים עבור הטיטניק? התוצאה: התנגשות חזיתית תוך הקטנת המהירות. נזקים היו מתרחשים, אנשי צוות ונוסעים היו נפגעים, אך הטיטניק לא הייתה טובעת.

ב.     סייבר:

1.      הוראה: יש למנוע חדירת מתקפה לתוך הארגון.

2.    כדי לנצח במלחמת הסייבר, יש לשלב שיטות של מודיעין צבאי. לעתים עדיף "לשאוב" פנימה את המתקפה, להונות את התוקף באמצעות לדוגמה, "מלכודת דבש", לתת לו לחשוב שהוא הצליח, ללמוד את דרכי פעולתו ולחסל אותו כאשר הוא בתוך מערך ה-IT/OT הארגוני או להמשיך להונות אותו ולא לחסל כלל את המתקפה, אלא רק להופכה לבלתי מזיקה.

3.   האם ישנם תנאים נוספים שבהם עדיף "להרשות" למתקפה לחדור דרך מעטפת הגנת הסייבר הארגונית לתוך מערך ה-IT/OT הארגוני ולא להדוף אותה?

4.      האם ישנם תרחישים אחרים שבהם צריך " לחשוב אחרת על הגנת סייבר"?

3. הבנה מלאה של תמונת המצב, לרבות, תנאים סביבתיים, האיומים המשתנים, ואמצעי ההגנה הנאותים

אנו מכירים את האמרה הידועה של סון טסו: הכר את עצמך, הכר את האויב ולא תובס. אם תכיר רק אחד מהם, סיכוייך חצי חצי, אם לא תכיר את שניהם, תובס תמיד. המציאות מציירת לנו טוויסט מעניין.

א.     טיטניק:

1.      תנאי מזג אויר מושלמים (לכאורה): שמים בהירים לחלוטין (אומנם ללא ירח), ים חלק כראי.

2.   אמצעי הגנה הולמים (לכאורה) למזג אויר זה: שיוט במהירות מקובלת (אין צורך להאט), צופים בקדמת האונייה ללא משקפת (אלו הנהלים, ועל כן, סיפור תיבת הזכוכית הנעולה שבה מצויה המשקפת לא רלוונטי לעניין). הנחיות לבצוע תמרון התחמקות במידה והצופים מספקים התרעה על התקרבות לקרחון צף. ההתרעה תינתן בערך 20 דקות לפני הפגיעה. בנוסף, רב חובל מיומן שהיה רב החובל של הספינה האחות לטיטניק (האולימפיק) וביצע את המסלול הזה מספר רב של פעמים בעבר, וגם אירעה לו תאונת התנגשות עם סיירת של הצי הבריטי שגרמה לחור בחלק האחורי של האולימפיק, סגירת התא שמוצף, חזרה לנמל היציאה, הורדת 2,200 נוסעים לחוף ושורה של תיקונים שגרמו לאובדן שני שיוטים בין אנגליה לארה"ב.

3.   איומים נוספים שלא נלקחו בחשבון: קושי עצום להבדיל בין שמים וים, הכוכבים משתקפים במים החלקים, אין קו אופק. את זה ידעו הצופים. את אחת ההשלכות של מזג האויר יוצא הדופן שלתוכו נכנסה הטיטניק הם לא ידעו, וזו אי היכולת להבחין בקרחונים, אלא ממש לפני ההתנגשות בהם, לרבות תופעות של מיראז' (כמו פטה מורגנה במדבר) שככל הנראה לא היו ידועות אז.

4.    תוצאה: אמצעי ההגנה שננקטו אינם כוללים התייחסות לתוספת האיום הידועה (איפה קו האופק?) ובוודאי שלא לתוספת האיום הלא ידועה (אי יכולת לצפות בקרחונים מרחוק). שינוי של אפילו תוספת איום אחד מחייבת היערכות הגנתית אחרת, שכן יש כעת פער באמצעי ההגנה לעומת האיום הידוע, ובוודאי למול תוספת האיום הלא ידוע. האם יש להניח כברירת מחדל שכאשר מתווסף איום ידוע, עלול להסתתר עוד איום או איומים נוספים שבאותו הרגע אינם ידועים?

ב.     סייבר:

1.      המקבילה היא פשוטה מאד:

א.   אי הכרת מלוא היקפו של האיום המתעדכן, ואפילו השינוי הנו תוספת קטנה (לכאורה), תוביל לאי עדכון בה בעת של אמצעי ההגנה שמשמעותו פער מידי באמצעי ההגנה. האיום החדש כבר מסכן את מערך ה-IT/OT הארגוני, ההגנה שהייתה ללא פער הפכה ללקויה.

ב.     פער בהגנה משמעותו פוטנציאל לחדירת מתקפה.

ג.    מדובר בהרבה יותר מאשר רק השגת מודיעין בזמן אמת על האיומים העדכניים. מדובר ביכולת לנתח את המודיעין במהירות, להפנים את ההשלכות למול אמצעי ההגנה המופעלים ולהתאימם לתנאים שהשתנו, למרות שלכאורה התנאים השתנו רק "קצת". מאתגר מקצועית וניהולית. כאמור, ייתכן שיש להתייחס לסיטואציה של תוספת איום אחד כבעייתית יותר, שכן מדובר באיום ידוע אחד, וייתכן ועלול להסתתר עוד איום (או איומים) שבאותה נקודת זמן איננו יודע והוא מסוכן אף יותר.

שנים שלא כתבתי. כעת זמן קורונה.

עברו מספר שנים מאז הפסקתי לכתוב את הבלוג.

עדיין באבטחת מידע שהיום נקראת הגנת סייבר.

כעת זמן קורונה. בהמשך אכתוב גם על אבטחת מידע והגנת סייבר.

ראיון היום בבוקר עם פרופ' ארנון אפק, היום המשנה למנכ"ל שיבא, בעבר מנכ"ל משרד הבריאות.

https://www.inn.co.il/News/Flash.aspx/726997

החל מהדקה הרביעית הוא מספר שקרא בסופ"ש מאמר בכתב עת רפואי נחשב ובו פירוט כיצד טיוואן מתמודדת.

המעניין שבגלל האינטרנט גם אני האזרח הפשוט יכול לקרוא את אותו המאמר. ואכן טיוואן הפעילה תוכנית מוכנה מראש ברגע הראשון שהם הבינו שזה שידור חוזר של הסארס. מתי זה היה? ב-31 לדצמבר שנת 2019.

הם התכוננו למערכה הזו במשך שנים והגיעו אליה מצויידים כיאות לרבות חמ"ל ייעודי, מערכות מידע וכלי אנליטיקה ובדיקות פרואקטיביות. בדומה למה שמדינת ישראל התכוננה למערכת סייבר.

אני הייתי מצפה שהעולם יקרא איך ישראל מתמודדת ולא שבישראל יקראו איך טיוואן מתמודדת. כדי שזה יקרה צריך כנראה לשכפל את יכולותינו בעולם הסייבר למערכת הבריאות. לא עשינו את זה? עכשיו נשלם בריבית דריבית.

כעת אנחנו וכל העולם לומדים את הדגם הזה, כמובן תוך התאמות. למה? כיוון שבטיוואן, לפחות נכון לעכשיו הם הצליחו.

ממליץ לקרוא:

https://jamanetwork.com/journals/jama/fullarticle/2762689…

יש גם טבלה ע"פ סוג פעולה ותאריכים.

https://cdn.jamanetwork.com/ama/content_public/journal/jama/0/jvp200035supp1_prod.pdf?Expires=2147483647&Signature=bIZCLS7ZLWTJd~U~H40JgiEGdFb3ggVUJpBvJ7KdANK7HgK1zaj4uWHvqweGym1nWfO~nXt9Y5i1vX79pF7zjjqfzmJAy3udTdpVVZQe07xnQIPcBMXLwZ5XjgTO8yKFXVIpxsXhrmOu8sGSpKiEmQ86ZCKfOTar7fMAGmUCtjiYVFwf31K3REWAA-r3hZyoZpqz3QKpVgpsRpF9fV9thQCq0~yvbvRKTH4PcoB~CZgmXH7rpVb6bILXQn5zBCphf6pyLAa4zIebUEKfCdCYdSdi9LeIEUsesqsYpNWgHJcr4K1LC0hFlst0RHQz-vZ7I-OvrX~5jel6zjjtuDQzjQ__&Key-Pair-

בריאות טובה לכולנו.

יאיר

This Viewpoint describes the outbreak response infrastructure developed by the Taiwanese government following the SARS epidemic in 2003 and actions in response to COVID-19, including dedicated hotlines for symptom reporting, mobile phone messaging and case tracking, and the ramping up of facemask...

קיר הבושה: מחצית ראשונה של שנת 2016 - מגמות בפגיעה במידע רפואי בארה"ב

תרגום מאמר : http://www.healthcareinfosecurity.com/wall-shame-mid-year-2016-breach-trends-a-9245

שני דברים שאני, יאיר, לוקח מהמאמר הזה כלקחים נכון להיום:

1. לפחות בארה"ב, האקרים מסבים את תשומת ליבם מארגוני בריאות גדולים (שכנראה מוגנים יותר)למרפאות קטנות יותר. גם שם יש מידע ששווה לגנוב, וככל הנראה שם קל יותר לפרוץ. האם המצב בישראל דומה?
2. המעבר לשימוש בשירותי ספקים האוגרים אצלם את המידע הרפואי האישי (כדוגמת ספקי שירותי ענן למיניהם), עלול להוות סיכון, שכן פריצה לספק אחד משמעותה עלולה להיות פגיעה באלפי ארגונים המשתמשים בו כספק שלהם. 

 

המניין הפדרלי של פגיעה בנתונים רפואיים מראה שעד כה ב-2016 דווחו יותר תקיפות של האקרים מאשר בתקופה המקבילה אשתקד. למרות זאת, תקיפות אלו כך נראה לעת עתה, משפיעות על פחות קורבנות מאשר השפיעו מספר קטן בהרבה של מגה-תקיפות שארעו בתחילת שנת 2015.

תמונת מצב נכון ל-7 ביולי של "קיר הבושה" שבו משרד הבריאות האמריקני מציג באופן פומבי את כל הפגיעות שבהן נחשף מידע רפואי על 500 או יותר אנשים (באירוע בודד), מראה כי עד כה היו 43 דיווחי פריצה/אירועי IT המשפיעים על סך של כ-2.7 מיליון בני אדם ב-2016.

לשם השוואה, במהלך אותם החודשים בשנת 2015, תועדו 37 דיווחים על אירועי פריצה ב"קיר הבושה", אבל למרות המספר הנמוך יותר של פגיעות, מספר הקורבנות היה גדול בהרבה: 93.2 מיליון בני אדם. כמעט פי 35 ממספר האנשים שנפגעו ממספר פריצות האקרים גדול יותר בחציון הראשון של 2016.

מדוע ההבדל גדול כל כך? במהלך המחצית הראשונה של 2015, ספג מגזר הבריאות בארה"ב מספר פריצות בגין תקיפת האקרים גדולות, ביניהן שתי הגדולות ביותר עד היום: על חברת Anthem שפגעה ב-78.8 מליון, ועל Premera Blue Cross שפגעה ב-11 מליון אנשים.

שינוי מגמות?

השינוי באירועי תקיפת ההאקרים מגלה מגמה חדשה, כך לדברי מספר חוקרי אבטחה ופרטיות.

לדברי דן ברגר, מנכ"ל חברת הייעוץ לאבטחה Redspin, "מעניין ומדאיג הוא, כי אופי ההתקפות הללו השתנה", ומוסיף, "במקום ההתקפות בקנה מידה גדול (בחסות מדינה) על מבטחים כפי שראינו בשנת 2015, נראה כי אתרי טיפול ראשוניים ומרפאות מיוחדות – מרפאות כף רגל (podiatry), מכוני דימות, מכוני אונקולוגיה, מרפאות טיפול בכאב – הופכים  ליעדי המתקפות השנה. מה שאני מבין מזה שיותר שחקנים מקומיים וגונבי זהויות נוטים להיות מעורבים - וכי הביקוש בשוק השחור למידע רפואי אישי נשאר חזק".

לדברי עו"ד לפרטיות דוד הולצמן, סמנכ"ל ציות בחברת CynergisTek חברת ייעוץ אבטחה אחרת, "ישנם גם גורמים אחרים שתרמו לעלייה במספר תקריות שנגרמו ע"י האקרים. מקורות רבים בתעשייה רואים מגמות ברורות של עלייה במספר הדיווחים של התקפות זדוניות מוצלחות אשר מסתננות לתוך מערכות מידע שבהן נאגר מספר רב של רשומות רפואיות. האם המגמות הנוכחיות הנן התוצאה של מספר רב יותר של התקפות מוצלחות, או העלייה במספר הדיווחים הנה בשל ערנות מוגברת ועלייה ביכולת האתור של אירועי הפריצה?"

עד כה ב -2016, אירוע הפריצה הגדול ביותר למידע רפואי שמקורו בתקיפת האקר דווח בחודש מרס ע"י  21^ST Century Oncology. האירוע הזה - שהוא גם הגדול ביותר של כל הפרות HIPAA שתועדו עד היום בשנת 2016 ב"קיר הבושה" השפיע על 2.2 מיליון יחידים.

 

חמשת הפריצות הגדולות ביותר בשנת 2016 שמקורן בתקיפות האקרים ואשר חשפו מידע רפואי אישי

הישות שנפגעה	# היחידים שמידע אודותם נחשף
21ST Century Oncology	2.2 מליון
Southeast Eye Institute, P.A dba eye Association of Pinellas *	87,314
Medical Colleagues of Texas	68,631
Alliance Health Networks, LLC	42,372
Stamford Podiatry Group, P.C *

* הפריצה כתוצאה מתקיפת סייבר על שותף עסקי Bizmatics. על נושא זה בהמשך הכתבה.

למה לצפות?

בהחלט ייתכן, כי עד לסוף השנה, יתווסף מספר גדול של אירועי תקיפה שמקורם בהאקרים ל"קיר הבושה".

לדוגמה, לא הוסיפו ל"קיר הבושה את תקיפות תוכנת הכופר שהתרחשו בתחילת השנה. אין ביטחון שאירועים אלו דווחו למשרד הבריאות האמריקני בגלל חוסר בהירות ששרר האם תקיפות אלו נכללות בדרישת הדיווח. בין אותם האירועים נתן להזכיר את התקיפה על המרכז הרפואי בהוליווד שדיווח ששילם כופר בסך 17,000 דולר כדי לשחרר את הרשומות הרפואיות שלו שהוצפנו באותה התקיפה.

בין אירועי התקיפה שמקורם בהאקרים שדווחו ע"י לפחות 17 ארגונים שונים, ישנה תקיפת סייבר אחת על ספק שרותי ענן לרשומות רפואיות המשותף שלהם, חברת Bizmatics. http://prognocis.com/

עד עתה, קרוב ל-264,000 יחידים הושפעו מתקיפת הסייבר על חברת Bizmatics. החברה מדווחת באתר האינטרט שלה כי בתוכנת הרשומות הרפואיות שלה PrognoCIS משתמשים מעל 15,000 עובדי מקצועות הרפואה, מספר מומחי אבטחה מעריכים כי יישויות נוספות עשויות לדווח על פגיעה ביחידים המקושרים ל- Bizmatics. Bizmatics היא  שותף עסקי כהגדרתו בחוק ה-HIPAA.

לדברי דן ברגר, "ללא ספק, ניהול סיכוני ספקים הנו אחד האתגרים הקשים שארגון החייב
ב-HIPAA נדרש להתמודד אתו. שיתוף מידע הנה אבן הפינה של רביות מהיוזמות בתחום טיפול שמתמקד בחולה, כאשר הטכנולוגיה הנה המאפשרת. בה בעת, כל חולית חיבור בשרשרת הנה פוטנציאל לחולשה.

מבט רחב יותר מציעה רבקה הרולד, יועצת בתחומי פרטיות, אבטחת מידע וציות http://www.privacyguidance.com/index.html

לדבריה, "קיר הבושה" איננו מספק את התמונה המלאה של כל המגמות בהקשר למידע רפואי. כאשר לוקחים בחשבון את העולם הרחב יותר של תקיפות על מידע, מעבר למרחב הרפואי הרגיל, וגם את המיקומים הנוספים שבהם מידע רפואי אישי מצוי, כדוגמת, מכשור רפואי בבעלות אישית, אינטרנט של הדברים (IOT), גופי צד ג' ומעבר להם, אזי לדעתה קיימת פעילויות תקיפה רבה יותר מאשר בעבר. יחד עם ריבוי גישה בלתי מורשית, אובדן וגניבה של מכשירים יותר מבעבר, כאשר מתחשבים בעובדה שיש לנו יותר מידע מאשר אי פעם בעבר, יותר מחשוב ואמצעי זיכרון ומוטיבציה גדולה יותר לשימוש זדוני במידע אישי שערכו רק הולך וגדל בידי פושעים.

פריצות אחרות

החל מספטמבר 2009 (תחילת התיעוד ב"קיר הבושה") ונכון ל-7 ביולי 2016, תועדו בו 1,600 פגיעות במידע רפואי-אישי המשפיעות על כ-159 מליון יחידים, כולל 141 פגיעות המשפיעות על 4.48 מליון יחידים שתועדו עד כה ב-2016.

חמשת הפריצות הגדולות ביותר בשנת 2016 שבהן נחשף מידע רפואי אישי

הישות שנפגעה	סוג הפגיעה	# היחידים שמידע אודותם נחשף
21ST Century Oncology	האקינג/אירוע IT	2.2 מליון
Radiology Regional Center	אובדן נייר/צילומים	483,063
California Correctional Health Care Services	גניבת מחשב נייד	400,000
Premier Healthcare	גניבת מחשב נייד	205,748
Community Mercy Health Partners	השמדה לא נאותה של נייר/צילומים	113,528

 מלבד תקיפות שמקורן בהאקרים, פגיעות בהיקף גדול שנוספו ל"קיר הבושה" השנה כוללות מבחר אירועים מוכרים כגון, אובדן/גניבת מחשב נייד שתוכנו אינו מוצפן, ורשומות נייר או צילומים שאבדו, נגנבו או לא הושמדו באופן נאות. האירוע של אובדן 483,063 רשומות נייר וצילומי רנטגן המצויין בטבלה לעיל, הנו האירוע החמור ביותר עד היום בקטגוריה זו המתועד ב"קיר הבושה".

פגיעות בשותפים עסקיים

כ-20% מכל הדיווחים המתועדים ב"קיר הבושה" מתעדים מעורבות של שותף עסקי כהגדרתו ב-HIPAA. מומחים צופים עלייה באחוז זה, כיוון שעדכון לחוק ה-HIPAA משנת 2013, הפך את השותפים העסקיים אחראים ישירות לציות ל-HIPAA.

לדבריה של הרולד, "ככל שהמודעות לאיומים לאבטחת המידע ולפרטיות עולה, כך גם המודעות לסיכונים בתוך סוגי הארגונים השונים. מבחינה היסטורית ראיתי שותפים עסקיים שחוו פריצה אליהם ולא הבינו שאלו פריצות, ועל כן לא דיווחו עליהן, למרות שהומלץ להם לדווח. אני גם רואה יותר ישויות מכוסות המעבירות חלק גדול יותר מפעילותן כולל אלו המערבות רשומות רפואיות עם מידע אישי, למיקור חוץ.

לאור כל זאת, אני מאמינה ששותפים עסקיים, כולל קבלני המשנה שלהם מהווים איום גדול יותר ליישויות המכוסות (בחוק ה-HIPAA) מאשר אי פעם בעבר".

לקחים מהפריצות הגדולות בתחום הבריאות בשנת 2015 והערות המתרגם

כותרת חלופית: אלו אמצעי מניעה על ארגוני הבריאות לקדם בשנת 2016?

קישור למאמר המקורי:

http://www.healthcareinfosecurity.com/lessons-from-2015s-top-health-data-breaches-a-8776

עד כמה הייתה השפעת פעילותם של האקרים משמעותית במגזר הבריאות בשנת 2015?

בתשע מתוך עשרת האירועים הגדולים בשנת 2015 ברשימת ה-Wall of Shame"" של משרד הבריאות האמריקני המתעדת חשיפה של מידע אישי/אישי רפואי שהתרחשה במוסדות הבריאות בארה"ב ובגורמים עסקיים הנלווים להם, מעורבת תקיפת האקרים.
מדובר בשינוי ענק לעומת השנים שעברו שבהן תקיפות האקרים היו יחסית נדירות.

התקיפה הגדולה ביותר בשנת 2015, תקיפת סייבר על מבטח הבריאות Anthem Inc.  פגעה בכ-79 מיליון איש, ובכך הפכה להיות הפריצה החמורה ביותר הרשומה ב-"Wall of Shame", שתחילת הרישום בו בספטמבר 2009. ששת תקיפות ההאקרים הגדולות גרמו לדלף מידע של מעל 90 מיליון אנשים.

תקיפות ההאקרים מונות רק 11% מכלל האירועים הרשומים ב-Wall of Shame"", אך במסגרתן נחשפו רשומות של 75% מכלל הקורבנות. בשנת 2015 נוספו 56 תקיפות האקרים לרשימה, תקיפות שבהן נחשף מידע על 112 מיליון אנשים.

תמונת מצב נכון ל-31.12.2015 מציגה סה"כ 1,425 אירועים בהם הושפעו מעל 154 מיליון אנשים. מספר זה גדול פי שלושה ויותר, ממספר הקורבנות עד לפני שנה. זו התוצאה המבהילה של תקיפות האקרים מסיביות.

לקחים להפקה

אם כך, מהם הלקחים העיקריים מהמגפה של המגה-תקיפות בשנת 2015?
על ארגוני הבריאות להתבגר בהתייחסותם לנושא ההגנה בעידן הסייבר. ארגוני בריאות קטנים רבים רק מסמנים "וי" ברשימת תיוג לציות לחוק ה-HIPAA. יחד עם זאת מעניין לציין שהתקיפות הגדולות התרחשו דווקא בארגוני גדולים בהם מצופה שרמת הבשלות של יישום הגנת הסייבר תהיה גבוהה. הצלחת תקיפות האקרים בארגונים כאלה מצביעה על הצורך בניהול סיכונים מתמשך. סיכוני "הסייבר" אינם לגמרי חדשים, אך ההזדמנויות שהם מאפשרים להאקרים משתנה וסיכונים חדשים נוספים. הגנת סייבר שמבוצעת עקב חובת ציות רגולטורית, או כצורך עסקי אסור שתהיה מקובעת, היא חייבת להיסקר ולהשתפר באופן מתמשך.

הצורך במבדקי חדירה – Penetration Testing

תקיפות הסייבר בשנה החולפת מצביעים על צורך דחוף לשפר את מערכת מבדקי החדירה ולבצעם בתדירות קבועה.
נדרש  שישויות במגזר הבריאות כולל עסקים נלווים (Business Associates, ישות שהוגדרה בתוספת לחוק ה-HIPAA שנכנס לתוקף בשנת 2014), יצייתו לתקנים המחמירים יותר מאשר אלו הקיימים בחוק ה-HIPAA SECURITY. ע"פ ה-Wall of Shame"", עסקים נלווים היו מעורבים בכ-20% מכלל האירועים.
מגמה שנצפתה היא שעסקים נלווים מגלים את היתרונות שבניהול סיכונים כנגד יותר משיטה/תקן אחד, כולל HITRUST, SOC, ISO, PCI. בשיטה זו הם מבדלים עצמם כדי להגדיל את רווחיהם. משמש אותם כמכשיר שיווקי שבאמצעותו הם מציגים את רמת הגנת המידע הגבוהה שלהם. דבר זה נכון גם לגבי ספקי שירותי ענן למגזר הבריאות.

צעדים נוספים שיש לנקוט בהם

שילוב מידע בין ארגונים ועסקים נלווים במגזר הבריאות. זה כולל גם צינורות דיווח מסודרים, מי מדווח, למי מדווחים, מה מדווחים, מתי מדווחים. חשוב לדווח גם על חשד לאירוע, גם אם יתברר בסוף שהיה חשד שווא.
חשיבות רבה לתרגל תקיפות מסוג "הנדסה חברתית", על מנת למנוע הצלחתן של מתקפות דיוג
(Phishing). מתקפות אלו עומדות בתדירות גבוהה במרכזם של אירועי תקיפה גדולים.
ממצאים של תרגולים אלו עשויים ללמד שנדרשת הדרכה פנים ארגונית יעילה יותר.
על ארגוני בריאות לשלב מרכיבי הגנת סייבר מקובלים כגון פתרונות מתקדמים לאיתור ומניעת חדירות יחד עם מערכות ניטור לוגים. אך על הארגונים לוודא שיש בידיהם המשאבים הנדרשים על מנת לבצע את הניטור הנדרש באופן מתמשך.

צופה עתיד
מגפת תקיפות הסייבר תמשיך. פריצות אלה ימשיכו בהיקפים גדולים, וגם יתפסו תשומת לב תקשורתית מכיוון ש"אורך חיי מדף" הנו ארוך, עקב סיבוכיות בהליך הניקוי שאחרי אתור המתקפה והליכי האכיפה והענישה שעלולים להתרחש אפילו מספר שנים אחרי התגלות האירוע לראשונה. כך הוא חוזר לכותרות שוב ושוב.
אירועי תקיפה יתגברו עקב החשיפה של המגזר לInternet of Things"", האינטרנט של הדברים,
הערך העולה של מידע רפואי מוגן ורשומות רפואיות אישיות בשוק השחור המחתרתי שעושה בהם שימוש בפשעי גניבת זהות והונאות מתדלק את העלייה בתקיפות.
נראה יותר ארגוני בריאות רוכשים כיסוי ביטוח סייבר. אותם המבטחים ידרשו מארגוני הבריאות רמת הגנת סייבר גבוהה במידה מספקת.

הערת המתרגם:

מדוע מצליחים ההאקרים גם בארגונים שבהם מצופה שהגנת הסייבר תהיה טובה במידה מספקת? כי הם לכאורה "מצייתים לדרישות החוקים הרלוונטיים".

מאז תחילת העשור הקודם פשטה התפישה ש"ציות לחוק/רגולציה = הגנה נאותה". ככה עם SOX, PCI, HIPAA  ועוד אחרים. פעם אחר פעם תפישה זו נוחלת כישלון חרוץ. במקום להפסיק להיצמד ל"ציות לשם ציות" עדיין ממשיכים באותו הקו.
החקיקה או הרגולציה תמיד תפגר אחרי ההתפתחות הטכנולוגית ואחרי היזמות הארגונית. הגנת סייבר נאותה אסור שתיצמד לחקיקה/רגולציה. היא צריכה להיצמד לתהליכי השינוי היכן שהם מתרחשים.

היכן מתרחשים תהליכי השינוי? בשני מקומות/תהליכים עיקריים:

1.        יצרני טכנולוגיית סייבר לרכיביה השונים, חומרה, קושחה, תוכנה. מוצרי טכנולוגיית סייבר ועל אחת כמה וכמה בעידן IOT, חייבים שיהיו מורכבים כאשר הגנת סייבר משולבת בתכנונם ובייצורם. מדובר בהנדסת חומרה ותוכנה משולבת יד ביד עם הגנתה. בעידן שבו האזרח או הארגון ירכוש מוצרי IOT, החשיבות של הגנת סייבר מוטמעת בתכנון ובייצור עולה פי כמה מונים.

2.        תהליכי הרכש השונים והטמעת רכיבי טכנולוגיית סייבר חדשים/מעודכנים בארגונים. הרכש עשוי להיות עבור הארגון או שהרכש הוא שירות שהארגון רוכש והשימוש בו ייעשה ישירות ע"י הלקוח של הארגון. תהליך שנעשה נפוץ יותר ויותר דווקא בארגוני בריאות, שבו ארגון הבריאות רוכש שירותי בריאות מספק חיצוני, ואלו מסופקים ע"י הספק ישירות למטופל של ארגון הבריאות.

הWall of Shame"-" הוא כינוי לאתר משרד הבריאות האמריקני שבו מתועדות הפריצות שבהן נחשף מידע אישי/רפואי-אישי על יחידים. בכל אירוע נחשף מידע על לפחות 500 יחידים.   https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf