לקחים מהפריצות הגדולות בתחום הבריאות בשנת 2015 והערות המתרגם

כותרת חלופית: אלו אמצעי מניעה על ארגוני הבריאות לקדם בשנת 2016?

קישור למאמר המקורי:

http://www.healthcareinfosecurity.com/lessons-from-2015s-top-health-data-breaches-a-8776

עד כמה הייתה השפעת פעילותם של האקרים משמעותית במגזר הבריאות בשנת 2015?

בתשע מתוך עשרת האירועים הגדולים בשנת 2015 ברשימת ה-Wall of Shame"" של משרד הבריאות האמריקני המתעדת חשיפה של מידע אישי/אישי רפואי שהתרחשה במוסדות הבריאות בארה"ב ובגורמים עסקיים הנלווים להם, מעורבת תקיפת האקרים.
מדובר בשינוי ענק לעומת השנים שעברו שבהן תקיפות האקרים היו יחסית נדירות.

התקיפה הגדולה ביותר בשנת 2015, תקיפת סייבר על מבטח הבריאות Anthem Inc.  פגעה בכ-79 מיליון איש, ובכך הפכה להיות הפריצה החמורה ביותר הרשומה ב-"Wall of Shame", שתחילת הרישום בו בספטמבר 2009. ששת תקיפות ההאקרים הגדולות גרמו לדלף מידע של מעל 90 מיליון אנשים.

תקיפות ההאקרים מונות רק 11% מכלל האירועים הרשומים ב-Wall of Shame"", אך במסגרתן נחשפו רשומות של 75% מכלל הקורבנות. בשנת 2015 נוספו 56 תקיפות האקרים לרשימה, תקיפות שבהן נחשף מידע על 112 מיליון אנשים.

תמונת מצב נכון ל-31.12.2015 מציגה סה"כ 1,425 אירועים בהם הושפעו מעל 154 מיליון אנשים. מספר זה גדול פי שלושה ויותר, ממספר הקורבנות עד לפני שנה. זו התוצאה המבהילה של תקיפות האקרים מסיביות.

לקחים להפקה

אם כך, מהם הלקחים העיקריים מהמגפה של המגה-תקיפות בשנת 2015?
על ארגוני הבריאות להתבגר בהתייחסותם לנושא ההגנה בעידן הסייבר. ארגוני בריאות קטנים רבים רק מסמנים "וי" ברשימת תיוג לציות לחוק ה-HIPAA. יחד עם זאת מעניין לציין שהתקיפות הגדולות התרחשו דווקא בארגוני גדולים בהם מצופה שרמת הבשלות של יישום הגנת הסייבר תהיה גבוהה. הצלחת תקיפות האקרים בארגונים כאלה מצביעה על הצורך בניהול סיכונים מתמשך. סיכוני "הסייבר" אינם לגמרי חדשים, אך ההזדמנויות שהם מאפשרים להאקרים משתנה וסיכונים חדשים נוספים. הגנת סייבר שמבוצעת עקב חובת ציות רגולטורית, או כצורך עסקי אסור שתהיה מקובעת, היא חייבת להיסקר ולהשתפר באופן מתמשך.

הצורך במבדקי חדירה – Penetration Testing

תקיפות הסייבר בשנה החולפת מצביעים על צורך דחוף לשפר את מערכת מבדקי החדירה ולבצעם בתדירות קבועה.
נדרש  שישויות במגזר הבריאות כולל עסקים נלווים (Business Associates, ישות שהוגדרה בתוספת לחוק ה-HIPAA שנכנס לתוקף בשנת 2014), יצייתו לתקנים המחמירים יותר מאשר אלו הקיימים בחוק ה-HIPAA SECURITY. ע"פ ה-Wall of Shame"", עסקים נלווים היו מעורבים בכ-20% מכלל האירועים.
מגמה שנצפתה היא שעסקים נלווים מגלים את היתרונות שבניהול סיכונים כנגד יותר משיטה/תקן אחד, כולל HITRUST, SOC, ISO, PCI. בשיטה זו הם מבדלים עצמם כדי להגדיל את רווחיהם. משמש אותם כמכשיר שיווקי שבאמצעותו הם מציגים את רמת הגנת המידע הגבוהה שלהם. דבר זה נכון גם לגבי ספקי שירותי ענן למגזר הבריאות.

צעדים נוספים שיש לנקוט בהם

שילוב מידע בין ארגונים ועסקים נלווים במגזר הבריאות. זה כולל גם צינורות דיווח מסודרים, מי מדווח, למי מדווחים, מה מדווחים, מתי מדווחים. חשוב לדווח גם על חשד לאירוע, גם אם יתברר בסוף שהיה חשד שווא.
חשיבות רבה לתרגל תקיפות מסוג "הנדסה חברתית", על מנת למנוע הצלחתן של מתקפות דיוג
(Phishing). מתקפות אלו עומדות בתדירות גבוהה במרכזם של אירועי תקיפה גדולים.
ממצאים של תרגולים אלו עשויים ללמד שנדרשת הדרכה פנים ארגונית יעילה יותר.
על ארגוני בריאות לשלב מרכיבי הגנת סייבר מקובלים כגון פתרונות מתקדמים לאיתור ומניעת חדירות יחד עם מערכות ניטור לוגים. אך על הארגונים לוודא שיש בידיהם המשאבים הנדרשים על מנת לבצע את הניטור הנדרש באופן מתמשך.

צופה עתיד
מגפת תקיפות הסייבר תמשיך. פריצות אלה ימשיכו בהיקפים גדולים, וגם יתפסו תשומת לב תקשורתית מכיוון ש"אורך חיי מדף" הנו ארוך, עקב סיבוכיות בהליך הניקוי שאחרי אתור המתקפה והליכי האכיפה והענישה שעלולים להתרחש אפילו מספר שנים אחרי התגלות האירוע לראשונה. כך הוא חוזר לכותרות שוב ושוב.
אירועי תקיפה יתגברו עקב החשיפה של המגזר לInternet of Things"", האינטרנט של הדברים,
הערך העולה של מידע רפואי מוגן ורשומות רפואיות אישיות בשוק השחור המחתרתי שעושה בהם שימוש בפשעי גניבת זהות והונאות מתדלק את העלייה בתקיפות.
נראה יותר ארגוני בריאות רוכשים כיסוי ביטוח סייבר. אותם המבטחים ידרשו מארגוני הבריאות רמת הגנת סייבר גבוהה במידה מספקת.

הערת המתרגם:

מדוע מצליחים ההאקרים גם בארגונים שבהם מצופה שהגנת הסייבר תהיה טובה במידה מספקת? כי הם לכאורה "מצייתים לדרישות החוקים הרלוונטיים".

מאז תחילת העשור הקודם פשטה התפישה ש"ציות לחוק/רגולציה = הגנה נאותה". ככה עם SOX, PCI, HIPAA  ועוד אחרים. פעם אחר פעם תפישה זו נוחלת כישלון חרוץ. במקום להפסיק להיצמד ל"ציות לשם ציות" עדיין ממשיכים באותו הקו.
החקיקה או הרגולציה תמיד תפגר אחרי ההתפתחות הטכנולוגית ואחרי היזמות הארגונית. הגנת סייבר נאותה אסור שתיצמד לחקיקה/רגולציה. היא צריכה להיצמד לתהליכי השינוי היכן שהם מתרחשים.

היכן מתרחשים תהליכי השינוי? בשני מקומות/תהליכים עיקריים:

1.        יצרני טכנולוגיית סייבר לרכיביה השונים, חומרה, קושחה, תוכנה. מוצרי טכנולוגיית סייבר ועל אחת כמה וכמה בעידן IOT, חייבים שיהיו מורכבים כאשר הגנת סייבר משולבת בתכנונם ובייצורם. מדובר בהנדסת חומרה ותוכנה משולבת יד ביד עם הגנתה. בעידן שבו האזרח או הארגון ירכוש מוצרי IOT, החשיבות של הגנת סייבר מוטמעת בתכנון ובייצור עולה פי כמה מונים.

2.        תהליכי הרכש השונים והטמעת רכיבי טכנולוגיית סייבר חדשים/מעודכנים בארגונים. הרכש עשוי להיות עבור הארגון או שהרכש הוא שירות שהארגון רוכש והשימוש בו ייעשה ישירות ע"י הלקוח של הארגון. תהליך שנעשה נפוץ יותר ויותר דווקא בארגוני בריאות, שבו ארגון הבריאות רוכש שירותי בריאות מספק חיצוני, ואלו מסופקים ע"י הספק ישירות למטופל של ארגון הבריאות.

הWall of Shame"-" הוא כינוי לאתר משרד הבריאות האמריקני שבו מתועדות הפריצות שבהן נחשף מידע אישי/רפואי-אישי על יחידים. בכל אירוע נחשף מידע על לפחות 500 יחידים.   https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf

 

הגנת סייבר ואבטחת מידע – המרחב המשתנה והשלכותיו

רבות כבר נכתב מה ההבדל שבין אבטחת מידע והגנת סייבר. במאמר אצביע על ההשלכות שאמורות להיות לכך על מערכות המידע, ואבטחת מידע/הגנת סייבר.

נתחיל כמובן בהבדל שבין אבטחת מידע והגנת סייבר או בהבדל שבין מערכות מידע וסייבר.

השינוי נגזר ממיקומם של רכיבי המחשוב. בתחילה מחשבים היו עולם נפרד. מחשבי מיינפריים מוקמו באולמות נפרדים ורק לפני כשלושים שנה מחשבים (ולא מסופים) החלו למצוא את דרכם לשולחנות העבודה במקומות העבודה שלנו. בשלב הבא, במאה הנוכחית המחשוב חדר בהיקף חסר תקדים למכשירים שאותם אנו מכירים. רמזורים בקרנות רחובות מנוהלים באמצעות חדרי בקרה ממוחשבים, מצלמות אבטחה כוללות תוכנה ונשלטות מרחוק על גבי תשתית האינטרנט מחדרי בקרה ממוחשבים, מכשור רפואי כדוגמת מכשירי רנטגן ואולטרה סאונד הנם מכשירים הכוללים יישומים (תוכנה) על גבי מערכות מחשוב תקניות, המכוניות שלנו, מערכות ייצור והולכת האנרגיה, ועד למערכות ניהול מיזוג האוויר ובקרת כניסה לבניינים מנוהלים באמצעות מחשבים ומערכות מחשוב.

ההגנה הנדרשת לכל אלה כבר חורגת מהגנה על סודיות, שלמות אמינות וזמינות של מידע. הגנה נדרשת לתפקוד התקין של הרכיב הממוחשב וגם למידע. לדוגמה: מכשיר רנטגן מייצר בסופו של דבר תמונת רנטגן שהיא סוג של מידע. נדרש להגן על תפקוד המכשיר מפני (בין היתר) גורם עוין שינסה לשבש את פעילותו באמצעות פגיעה ברכיבי המחשוב המנהלים אותו, ובנוסף נדרש להגן כבעבר על המידע (סודיות, שלמות, אמינות וזמינות) שהוא מייצר, תמונת הרנטגן.

מה השתנה? הרי גם קודם נדרש מנהל אבטחת המידע להגן על המחשב ועל המידע שבו.

אני אמשיך בדוגמה של מגזר הבריאות ואתן אח"כ גם דוגמה ממערכות ניהול הבניין.

במערך המחשוב הרגיל, המנמ"ר (מנהל מערכות המידע) קונה, מתקין ומפעיל מחשבים, מנהל אבטחת המידע דואג למערכות האבטחה, לדוגמה, אנטי וירוס, כנגד תוכנה זדונית. מה נדרש? לקבוע מדיניות הפעלה, להתקין ולהפעיל את מערכת האנטי וירוס בהתאם למדיניות.

במערך המכשור הרפואי מי שקובע האם בכלל נתן להתקין אנטי וירוס במכשיר, ואם נתן איזה אנטי וירוס יותקן הוא יצרן המכשור ולא המוסד הרפואי שרוכש אותו. אנטי וירוס הנו רכיב אבטחה בסיסי. כיצד נתן להגן על מחשב מפני קוד דוני ללא אנטי וירוס? בעיה. אז הנה הבדל אחד. אבטחת המידע במערך מכשור רפואי הנה פועל יוצא של פעולת גורם חדש במרחב הפעילות המיחשובית, היצרן של המכשיר.

הבדל שני הנו מיקומו של מנהל מערכות המידע בשרשרת הרכש. בעוד שרכש מחשבים נעשה מתקציב ובשליטה של מנהל מערכות המידע, רכש מכשור רפואי, לא כל שכן תפעולו נעשה בידי גורם הנדסי-רפואי-מקצועי. לגורם זה זרים שיקולי מערכות המידע. כל שאיפתו, לרכוש את המכשיר הרפואי הטוב ביותר. ומה עם המידע שהוא מייצר? הרי בסופו של יום מכשיר הרנטגן מייצר תמונת רנטגן (מידע) שאמורה לעבור לרשומה הרפואית של המטופל, וזה כבר כן באחריותו של מנהל מערכות המידע. אז אי שם בדרך, מיידעים את מנהל מערכות המידע, שכן מדובר בתמונה שמועברת בתקן ידוע (DIcom) וזו כבר איננה בעיה.

הגנת המכשיר איננה אם כן מעניינו של מנהל מערכות המידע שכן איננו קשור להליך רכישתו, התקנתו והשימוש המקצועי בו. אבל זה בהחלט תפקידו של מנהל הגנת הסייבר.

דוגמה נוספת תהיה מערכות ניהול בניין, כמו מיזוג אוויר, מעליות, בקרת כניסה ויציאה, גילוי אש ועשן, הצפה וכד'.

גם מערכות אלו הפכו בשנים האחרונות לממוחשבות בעצמן ומנוהלות ומבוקרות מחדרי בקרה ממוחשבים. מי מנהל מערכות אלו? הנהלת הבניין, קצין הביטחון והבטיחות. מנהל מערכות המידע איננו מכיר אותן. אבל על מנת לשתק בנק לא צריך לפגוע במערך המחשוב של הבנק, מספיק לשתק את מערך מיזוג האוויר של ה-Data Center שבו מצויים מחשבי הבנק. על מנת לשתק בניין משרדים רב קומות, מספיק לשבש את מערך מיזוג האוויר המרכזי או מערך ניהול ובקרת המעליות. כדי לגרום פגיעה לתפקוד שוטף של בית חולים מספיק להשתלט על מערך אספקת החמצן ולשבש אותו.

הדוגמאות מציגות הרחבה משמעותית של השימוש והחדירה של מחשבים דיגיטליים למערך החיים. הרחבה זו מחייבת הרחבת הצורך להגן על תפקודם, כאשר בחלקו הגנה זו מתחילה בשולחנות התכנון ובאולמות הייצור של המכשירים עצמם, דהיינו, אצל היצרן, וזאת בנוסף להגנת סודיות, שלמות, אמינות וזמינות המידע.

הבנה זו מחייבת (בין היתר) חשיבה חדשה לגבי העוסק במקצוע ולגבי התקציב העומד לרשותו.

מיקומו של מנהל הגנת הסייבר:

מאחר וברור לחלוטין שמדובר בהרחבה משמעותית של מוטת השליטה של מנהל הגנת הסייבר אל מעבר לתחומי טכנולוגיית המידע (שבאחריות מנהל מערכות המידע הארגוני), אזי אחת מן השתיים:

א.   מנהל אבטחת המידע פועל במסגרת מערך טכנולוגיית המידע הארגונית. במצב זה, נראה כי מנהל הגנת הסייבר כבר איננו יכול להמשיך ולפעול במסגרת מצומצמת זו ועליו לפעול מחוץ למערך מערכות המידע של הארגון.

ב.   יבוצע שינוי ארגוני רחב יותר ובמסגרתו מנהל מערך טכנולוגיית המידע ייהפך למנהל מערך הסייבר הארגוני, כלומר יחלוש על כל אותן הטכנולוגיות המחשוביות שהארגון עושה בהן שימוש. אז מנהל הגנת הסייבר יוכל להמשיך לפעול במסגרת מערך הסייבר הארגוני או יותר נכון, יהיה זה מקומו הטבעי. מהפיכה זו, של שינוי התפישה הארגונית לגבי ניהול הטכנולוגיות הדיגיטליות שהארגון נדרש להן על מנת לפעול בעולם הטכנולוגי המתחדש ראוי לייחד לה פוסט בפני עצמו. בעולם יש שמאפיינים מהפיכה זו בתפקיד ארגוני חדש – Chief Digital Officer – CDO. כאמור, זה נושא בפני עצמו.

ומה לגבי תקצוב הגנת הסייבר:

עשרות שנים שנינו את המנטרה: תקציב אבטחת המידע הנו % מתקציב טכנולוגיית המידע. מקובל היה המספר 5% ועתה יש המכפילים אותו ל-10% ולעתים אף יותר.

השינוי השני הנדרש, תקציב הגנת הסייבר צריך להיות אחוז מתקציב הסייבר הארגוני.

לא יודעים מהו. תחפשו אותו, הארגונים יכולים לחשב אותו. הם רוכשים סייבר, הם יודעים כמה זה עולה. עכשיו נחזור ונהיה שמרנים ונותיר את זה 5% אבל מתקציב הסייבר הארגוני.

מנהל מערכות המידע במרכז הרפואי BIDMC על לקחים שהפיק בנושאי אבטחה. (מאמר מתורגם).

 המקור בקישור הבא:

  http://www.healthcareinfosecurity.com/cio-halamka-on-security-lessons-learned-a-7292            

פריצות ואירועי חירום אבטחתיים אחרים עשויים להיות זרזים משמעותיים ביצירת שינוי, כך אומר גו'ן הלמקה, מנמ"ר  Beth Israel Deaconess Medical Center - BIDMC בבוסטון, ארה"ב. הארגון נקט במספר צעדים על מנת לשפר את אבטחת המידע והפרטיות לאור מספר אירועים.

שניים מהזרזים לשינוי היו גניבת מחשב נייד שלא היה מוצפן שכלל מידע של אלפי מטופלים, וההתרחשויות שבאו בעקבות הפיגוע במהלך תחרות ריצת המרתון בבוסטון בחודש אפריל 2013, הסביר הלמקה במהלך הרצאה שנשא ב-8 בספטמבר במסגרת כנס בנושא אבטחת מידע ופרטיות של ארגון  HIMSS:

Healthcare Information and Management Systems Society.  

לאירוע גניבת המחשב הנייד:

מצלמות האבטחה סייעו לגורמי האכיפה בזיהוי ובמעצר של גנב המחשב הנייד. המחשב נגנב ממשרדו של רופא שקנה אותו זמן קצר לפני כן. אם כן מה הבעיה? המחשב לא אותר מעולם. התוצאה: חקירה יקרה מאד של צוותי פורנזיק ורגולטורים. המחשב הנייד כלל מידע על 3,900 חולים. הלמקה מסכם שאחרי תשלום של 600,000 דולר ופעילויות שנמשכו שנה ומחצה של תובע כללי והמשרד לזכויות האזרח אנו קרובים לחתימה על הסדר.

כתוצאה מהאירוע, המרכז הרפואי החמיר את מדיניות ההצפנה לכל המכשירים בבעלות המרכז הרפואי, כמו גם לרכיבים בבעלות פרטית המשמשים אותם במסגרת עבודתם (Bring Your Own Device - BYOD). חברי צוות במרכז הרפואי חייבים להצהיר כי רכיביהם האישיים מוצפנים לפני שמאושר להם שימוש בהם במסגרת העבודה.

Bombing Aftermath – תוצאות פיגוע הפצצה

לאחר הפיגוע במהלך ריצת המרתון, BIDMC טיפל בשני תריסרי נפגעים אך גם במבצעי הפיגוע עצמו. כתוצאה מכך, המרכז הרפואי נחשף לבחינה קפדנית של רגולטורים ממשלתיים וגורמי אכיפת חוק על מנת להגן על פרטיותם של המטופלים.

סרטים אדומים הוצמדו לתחנות העבודה של המשתמשים על מנת להזהיר את הצוות המטפל מפני פגיעה בפרטיות מטופלי ריצת המרתון שתוביל לפיטורם. המרכז הרפואי החמיר מאד את הגישה לרשומות ותיעוד הגישה וחקר כל מי שנחשד בפגיעה בפרטיות.  לאור הגישה האגרסיבית לא התבצעה בפועל גישה שאיננה הולמת.

הניסיון בטיפול באירוע החירום הניע את הנהלת המרכז הרפואי לשכור שירותי חברה חיצונית על מנת לבצע סקר ולקבל תמונה השוואתית בטיפול באבטחת מידע למול ארגונים במגזרי הבנקאות, משרד ההגנה, ומשווקים קמעונאיים בתחום המסחר המקוון.

תוצאות הסקר קבעו כי המרכז הרפואי דומה בחוסנו למרכזים רפואיים אחרים בארה"ב. זו איננה מחמאה גדולה, כדברי הלמקה.

כתוצאה מהסקר הארגון יישם מספר שינויים.

שינוי באופן שבו הארגון מנהל את הסיכון הפנימי. למרכז הרפואי לא הייתה שיטת ניהול סיכונים פורמלית. מצב זה היקשה על השוואה שנה על גבי שנה. במענה הארגון אימץ את האמור בפרק:
                                                                                               A Framework for Managing Risk

במסמך:

           NIST 800-66 : An Introductory Resource guide for implementing HIPAA Security Rule

שינויים אחרים כוללים עדכון ניהול המשתמשים כך שיכלול סקירה קבועה של תפקידי המשתמשים (בפועל) כדי לוודא התאמת הרשאותיהם לגישה למידע וליישומים. תוכניות להגברת מחויבות ומודעות עובדים כוללות בחינה בפועל של העובדים באמצעות משלוח יזום של דוא"ל פישינג מתחזה על מנת לצפות מי מקליק ונופל במלכודת, כדי לספק לו הדרכה נוספת.

כתוצאה מגניבת המחשב הנייד שופרה האבטחה הפיזית באמצעות הוספת שומרים בכל המתקנים בשעות שלאחר הפעילות.

במהלך השנתיים הקרובות במרכז הרפואי יגדיל את מצבת כוח האדם העוסקת באבטחת מידע ב-14 עובדים נוספים. המנמ"ר משמש בתפקיד מנהל אבטחת המידע (בפועל) בשנה האחרונה לאחר שמנהל אבטחת המידע הקודם (מרק אולסון) עזב לארגון אחר.

Cloud Precautions –  זהירות בענן

צעד נוסף בהגברת אבטחת המידע הנו שימוש סלקטיבי בשירותים מבוססי ענן.

לדוגמה, נחסמת הגישה לDrop Box מכיוון שהספק איננו מוכן לחתום על הסכם שותף עסקי (Business associate), שהנה דרישה של HIPAA. המשמעות של ספק שמכריז על עצמו כ-שותף עסקי הנה שהוא מקבל על עצמו את דרישות חוק ה-HIPAA Security Rule. למשתמשים יש עכשיו בחירה של שני ספקי שירותי ענן לשמירה ושיתוף קבצים: מערכת אכסון ענן פנימית ושירותי צד ג' של ספק ששמו לא נמסר, אך אותו ספק הסכים לחתום על הסכם שותף עסקי – Business Associate כפי שחוק ה-HIPAA מחייב.

שופרו גם בקרות גישה לרשת על מנת למנוע גישה לרכיבים בלתי מזוהים. שימוש בזיהוי ביומטרי של טביעת בוהן Biometric thumb print authentication תוטמע על מנת לציית לדרישת הרגולציה של ה -Drug Enforcement Agency - DEA 

על מנת למנוע שיגור רשומות חולים באופן לא מאובטח באמצעות דוא"ל בין רופאים, מסמכים קליניים משוגרים באופן אוטומטי באמצעות פרוטוקול מאובטח: Direct secure messaging protocol.

תובנות שמסייעות

דן ברגר, מנכ"ל חברת האבטחה Redspin אומר שהנכונות של הלמקה לדון בבעיות האבטחה אצלו והלקחים שהפיק באירוע פומבי מסייעים למרכזים רפואיים אחרים.

כאשר אתה שומע לקחים אלו מארגון כמו BIDMC וממנמ"ר כמו ג'ון הלמקה אתה מפנים שאירועי אבטחת מידע הנם בלתי נמנעים גם בארגונים שבהם המנמ"ר הנו בעל חזון והתנהלות פרואקטיבית. אין זה ענין של ציות, אלא של ניהול סיכונים.

הערת המתרגם:

אין זו הפעם הראשונה שמנמ"ר זה פורס בפני הציבור אירועים שקרו ב-BIDMC והלקחים שהפיק. האירוע המפורסם ביותר היה בשנת 2002 עת קרסה מערכת התקשורת במרכז הרפואי והחזירה אותו בבת אחת עשרות שנים לאחור. את האירוע תאר מספר שנים מאוחר יותר בקישור הבא:

                       http://geekdoctor.blogspot.co.il/2008/03/caregroup-network-outage.html

The CareGroup Network Outage

מאמר מתורגם – "פריצות במגזר הבריאות בארה"ב עברו את 1,000 האירועים. מומחים מספקים תובנות לגבי לקחים[1]

הרישום הפדרלי של אירועי פריצה עיקריים למאגרים רפואיים בארה"ב עבר את רף 1,000 האירועים הרשומים. הרישום כולל רק את אלו המשפיעים על לפחות 500 או יותר אנשים. הרישום הנו חובה ע"פ חוק ה-HITECH האמריקני ומבוצע החל מספטמבר ¹2009.

רקע:

בארה"ב קיימים שני חוקים חשובים העוסקים בהגנת פרטיות ואבטחת מידע למגזר הבריאות:

1.      HIPAA – Health Insurance Portability and Accountability Act: כולל שני "תת חוקים". האחד לנושא הגנת הפרטיות והשני לנושא אבטחת מידע.

2.      HITECH –  Health Information Technology for Economic and Clinical Health act אשר נחקק כחלק מחוק רפורמת הבריאות של הנשיא אובמה. משדרג נושאים ב-HIPAA. 

לאחרונה נוסף חוק שלישי (תוספת ל-HIPAA). ה-HIPAA OMNIBUS, אשר בין היתר מחייב "שותף עסקי – Business Associate" של מי שמחזיק רשומה רפואית פרטנית (לדוגמה ספק שירותי גיבוי או ספק שירותי ענן...) לציית לדרישות HIPAA.

אבל לענייננו המרכיב החשוב ביותר הנו חוק ה- Breach Notification Final Rule(שנחקק במסגרת ה-(HITECH מאוגוסט 2009, ואשר מחייב ישויות החייבות לעמוד ב-HIPAA לדווח למשרד הבריאות האמריקני על אירוע אשר פגע בפרטיות או באבטחה ובמהלכו התאפשרה גישה בלתי מורשית למידע הרפואי המוגן באופן שהשימוש או החשיפה מהוות סיכון משמעותי בתחום הכלכלי, התדמיתי או נזק אחר (HARM) לאדם שנפגע. גולת הכותרת הנה שכאשר מדובר בלמעלה מ-500 יחידים באירוע בודד, האירוע לא רק מדווח למשרד הבריאות אלא גם הופך לפומבי באתר האינטרנט של משרד הבריאות ("קיר הבושה – Wall of Shame")[2].

ללא קשר לכמות הנפגעים הפוטנציאליים בכל אירוע, החקיקה מאפשרת הטלת קנסות כבדים (עד מיליוני דולרים) באירוע בודד.

עתה נפנה לתרגום המאמר בסופו שלוש מסקנות/המלצות למנהלי אבטחת מידע ולמחוקקים/רגולטורים בישראל.

עשרת האירועים החמורים ביותר משפיעים על כ-18.4 מיליון אנשים, יותר מחצי מסך של 31.5 מיליון אנשים שעלולים להיות קורבנות של 1,010 אירועי פריצה עיקריים המדווחים מאז שהוחלה החובה החוקית בספטמבר 2009.

 

כל עשרת האירועים החמורים ביותר (ע"פ מספר הנפגעים בפריצה), המתועדים באתר האינטרנט של משרד הבריאות האמריקני ("קיר הבושה") קשורים לאובדן או גניבה של רכיבי מחשוב או רכיבי זיכרון שאינם מוצפנים. ככלל, גניבה או אובדן של רכיבים שאינם מוצפנים קשורים לכחצי מכלל אירועי הפריצה העיקריים הרשומים ברשימה הפדרלית של "קיר הבושה".

לדברי בריאן אוונס מחברת הייעוץ טום וולש, "עשרת האירועים העיקריים מצביעים על חשיבותה של ההצפנה להגנה על מידע המצוי בתנועה או במנוחה. מאחר ופתרון ההצפנה מסופק כיום כמענה "out of the box" (ללא עלות) או כתוסף מוצר צד ג' (בעלות נמוכה יחסית), אזי נתן לצמצם באופן משמעותי את הסבירות של פגיעה. להבטיח שהצפנה מיושמת באופן הנכון הנה צעד בסיסי שכל הארגונים חייבים לבצע".

 

אבל אי קיומה של הצפנה איננה מצביעה על תקלה נקודתית בהגנה על המידע הרפואי האישי שמדאיגה את מומחי האבטחה, למעשה, לדבריהם, העדר הצפנה הנו סימן לכשלי אבטחה מהותיים יותר.

 

"ראשית, אי בצוע הצפנה איננו טעות אבטחה, זוהי החלטה ניהולית גרועה", אומר מומחה האבטחה מק מקמילן, מנכ"ל חברת האבטחה סינרגיקטק.

בעשרת האירועים החמורים, כמו גם בהרבה אירועים אחרים, "ההצפנה לא נכשלה, היא מעולם לא יושמה". כך לדבריו. "טעויות אחרות כוללות אי ידיעה היכן מצוי המידע, היכן הסיכון, ועקב כך אי קביעת בקרות נאותות לטיפול בסיכון." 

תחומי בעיות אחרות לדברי מקמילן, כוללים את הכישלון בבחינת נהלי האבטחה של שותפים עסקיים (מה שאצלנו ייקרא "מבדק ספקים"), וחוסר בניטור גישת משתמשים למידע רפואי רגיש ובקרות שאינן מספקות לזיהוי משתמשים ומערכות. ואחרון, אך לא בחשיבות, תוכניות הדרכה המתוכננות באופן כושל, מונעות ומתמקדות בציות לדרישות במקום מה משתמשים באמת צריכים לדעת על מנת לשרת את ההגנה על נכסי המידע של הארגון.

אוונס מתמצת את המצב באופן הבא: "ארגוני בריאות אינם מיישמים את העקרונות הבסיסיים של אבטחה. מבוצעים בהם מאמצי אבטחה חלקיים ללא ראיה ארגונית כוללת ומשולבת ללא ממשל תאגידי או הלימה לשאר פונקציות ותהליכי ניהול סיכון ארגוניים אחרים. ארגונים רבים חסרים תהליך הערכת סיכונים מתמשך ונכשלים באיתור איומים, סיכונים ופגיעויות או ביישום שיטתי של בקרות. הם לא קבעו בעלות וחבות לאבטחה ולציות לדרישות. כתוצאה מכך, הן אינם מצייתים לרגולציות אבטחה נאותות, תקנים ודרישות".

סקר אבטחת המידע בבריאות לשנת 2014 מראה שרק כמחצית מארגוני הבריאות בארה"ב כתבו אסטרטגיית אבטחה.

אוונס גם מתלונן שרבים הארגונים שמיישמים "רשתות שטוחות", ארכיטקטורות אד-הוק וטכנולוגיות שאינן מגובות במשאבים, תמיכה וניהול מספקים. הם אינם מיישמים מדיניות ונהלים מתאימים או אוכפים את מה שיישמו. תפעול של ושימוש בעקרונות יסוד אבטחתיים יכול להציע שיפור משמעותי בניהול סיכוני המידע לדבריו.

לקחים שנלמדו

לקחים מרכזיים שנתן להפיק מהאירועים העיקריים הנ"ל:

לדברי מקמילן:

1.        כל אחת מהפריצות הללו לא הייתה מחויבת המציאות, את כולן היה נתן למנוע, באם נהלים בסיסיים של אבטחת מידע היו מקוימים. המשמעות היא שלא מדובר במתקפות מתוחכמות כלל וכלל, אלא בטעויות שנבעו משיפוט לקוי ואי יישום אבטחה פשוטה.

2.        סטייה קלה ופשוטה מנהלי אבטחה טובים עלולה להיות בעלת משמעויות גדולות לארגון. רבים מהם (אך לא כולם) היו יכולים לקבל מענה באמצעות הצפנה.

3.        למרות שרק כ-20% מכלל הפריצות משויכות לאירועים בשותפים עסקיים (Business associates), המספר קופץ דרמטית ל-50% כאשר מצמצמים את ההתייחסות רק לפריצות העיקריות, דהיינו אלו שבהן הפגיעה הנה במספר הגדול ביותר של מטופלים. אלו עדיין מספר שניים בחיוב הכספי ב"קיר הבושה". (הפרשנות שלי למשפט זה הנה שהשותפים העסקיים עד לאחרונה לא שילמו קנסות כספיים כבדים, ועל כן הם שניים בחשבון הקנסות שעליהם לשלם).

תחת החוק החדש HIPAA Omnibus Rule שנכנס לתוקף בשנה שעברה, שותף עסקי  אחראי לציות מלא ל-HIPAA ועל כן במקרה של הפרה הנו בר תביעה באופן ישיר, וכמו הישויות המכוסות (Covered entities), נתון לפעילות אכיפה של הגורם המוסמך בארה"ב. אלו עשויים לכלול קנסות עד לגובה של 1.5 מיליון USD להפרה בודדת של HIPAA.

כתוצאה מכך, מומחים אחדים צופים שמספר הדיווחים על אירועי פריצה שבהם מעורבים שותפים עסקיים יגדל. הסיבה העיקרית לדעתם הנה שהם מקפידים פחות מהישויות המכוסות על נהלי אבטחת המידע הרפואי ובהחלט ייתכן שאחדים מהם עדיין לא מודעים לחובה החדשה שהוטלה עליהם.

לדברי מקמילן הרבה שותפים עסקיים אינם מאמינים שהם שותפים עסקיים (ע"פ הגדרת המונח ב-HIPAA), או שהם מנסים להגביל את אחריותם כיוון שהם מאמינים שרק חלק מהחוק חל עליהם. שותפים עסקיים אינם מבצעים ניתוח סיכונים (Risk Analysis) כפי שמבצעות הישויות המכוסות המקבילות. בקיצור, הם "אינם בעניין"... עדיין.

במקרים אחדים, שותפים עסקיים "חיים בהכחשה" או שהם חסרי ידע לחלוטין לגבי חבותם ב-HIPAA, כך מסכם אוונס וממשיך, חזרתי מכנס שבו עובדת של שותף עסקי שאלה בעצתי לגבי הצוות המשפטי שלה שהתעקש שהחברה שלהם איננה חייבת לציית לחוק האבטחה של HIPAA. אותה החברה מאמינה שכל פריצה לרשומה הכוללת מידע רפואי אישי (Personal Health Information) הנה הבעיה של הישות המכוסה ולא שלהם. ייעצתי לה שהצוות המשפטי יקרא מחדש את חוק ה-HIPAA Omnibus.

 

צופה פני עתיד

לדברי אוונס: כל ארגוני הבריאות חייבים להגדיר מדיניות ונהלים לאבטחת המידע, לקבוע דרישות מינימום ולוודא שהם מיושמים כפי שנדרשו.

הם חייבים לוודא שנושא הבעלות והחבות מוגדר היטב. עליהם לבחון את תהליכי ניהול הסיכונים של כל העוסקים בכך, ולאתגר כל תהליך או גישה שאינם מיטביים, ולדרוש שיפורים היכן שזוהו פערים.

... כמו בכל פונקציית בריאות, עסקים או IT חשובה, מנהיגות תקיפה הנה חיונית לניהול יעיל של סיכוני המידע.

מקמילן אומר ש"קיר הבושה" של הפריצות העיקריות צריך לשמש לנו כתזכורת שעדיין לפנינו דרך ארוכה לפני שאנו כמגזר (הבריאות), נוכל לומר שאנו באמת מגנים על זכות הציבור לפרטיות. וחשוב אף יותר, המשמעות הנה שעדיין בידינו מערכות ומידע בסיכון במגזר שהפך לתלוי בנכסים אלו בכל תהליך רפואי ותפעולי שלו.

אוונס מסכם בראיה דומה: ""קיר הבושה" של משרד הבריאות האמריקני מציג בבהירות שמספר ארגוני בריאות עדיין זקוקים לשיפור של אבטחתם וזאת 9 שנים אחרי שהדרישה לעמוד בחוק האבטחה שלHIPAA  נכנס לתוקף באפריל 2005.

 

לסיכום ולהתייחסות למנהלי אבטחת מידע, למחוקקים ורגולטורים בישראל (זה לא חדש, כתבתי את זה לסיכום מאמר לפני 1/2 שנה. לצערי, דבר לא השתנה מאז):

1.        חקיקה או רגולציה נאותה הנה הבסיס ההכרחי להגנה על הפרטיות וליצירת מסגרת ליישום אבטחת מידע.

2.        פרסום מידע על אירועי אבטחת מידע ופגיעה בפרטיות ע"י גורם ממשלתי מוסמך הנו כלי חשוב באכיפת הדרישות הכלולות בחקיקה/רגולציה, וגם מספקת אפשרות הפקת לקחים לכלל המגזר כדי להימנע מטעויות שנעשו ע"י אחרים.

במגזר הבריאות בישראל, משרד הבריאות אומנם מחייב את יישומו של תקן אבטחת מידע בבריאות, תקן 27799. במסגרת תקן זה קיימת דרישה המקבילה בחלקה ל-Breach Notification Law (בחלקה כיוון שהדיווח הנו לקורבן הפגיעה אבל לא לרגולטור, ללא פרסום פומבי או צעדי ענישה). אך גם דרישה מצומצמת זו איננה מעשית, כל עוד לא קיימת במדינת ישראל תשתית חקיקתית מחייבת לעניין זה.

בשלב זה אני ממליץ למנהלי אבטחת המידע להתייחס לדוחות מבקר המדינה בישראל בנושאי אבטחת מידע כמקבילה לדוחות האכיפה של ה-OCR. נתן למצות מהם את הבעיות שהתגלו ולהפנות שאלה לעצמך בסגנון הבא:

      לו הארגון שאני משמש בו מנהל אבטחת המידע היה הארגון המבוקר, מה היה נכתב עלי בדוח?
      התשובה הנה בסיס טוב וריאלי לתוכנית עבודה על מנת שכאשר תתבצע "ביקורת אמת", התוצאה תהיה
      טובה יותר.

3.        הטלת קנסות גבוהים בצמוד לחובת ביצוע פעילות מתקנת מהווים בדרך כלל אמצעי יעיל, למרות שאירוע בודד עלול לקלקל את הסטטיסטיקה. מדינת ישראל מפגרת מאד בנושא זה.

---

[1] קישור למאמר המקורי: http://www.healthcareinfosecurity.com/health-breach-tally-tops-1000-incidents-a-6891

 

[2] קישור ל"קיר הבושה - Wall of SHAME": http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/breachtool.html

מתי ואיך הפכתי למידען-משהו אישי הפעם וזה קשור מאד לאריק שרון ז"ל. הפוסט הזה מוקדש לזכרו.

במהלך חיי אדם ישנן נקודות שבהם הוא מעורב במשהו כאשר באותו הרגע הוא לא קולט מהי המשמעות ארוכת הטווח.

בשלב כלשהו במהלך שירות הסדיר שלי בצבא התגלגלתי לפיקוד דרום. אריק שרון אלוף הפיקוד. הזמן: חודש דצמבר שנת1971. הוצע לי למלא את מקומה של קצינה שעסקה בנושא שרק לאחר זמן הבנתי שהוא ייחודי (נכון לאותה התקופה), ושהיום ניתן לקרוא לו בשם "מידענות אגמית" או "מידענות מבצעית". אריק שרון הבין כבר אז מהי החשיבות של הפיכת נתונים למידע בתהליך קבלת החלטות מבצעיות.

אלא שנכון לאותה התקופה הגופים היחידים שעסקו בכך בצה"ל היו יחידות שונות באמ"ן (על הבעייתיות של העברת נתונים/מידע בין אמ"ן ואג"ם/מבצעים לא צריך להרחיב כאן, את המשמעות או אחת מהמשמעויות למד על בשרו כל עם ישראל במלחמת יום הכיפורים) ומחלקת ההיסטוריה במטכ"ל (אבל הם עסקו בהיסטוריה, דהיינו, בעבר ולא בעתיד).

אינני יודע באיזה שלב הוחלט ע"י אריק שרון שהנושא מספיק חשוב לו, והוא מוכן להקצות לכך כח אדם. אני הגעתי בדצמבר 1971 ומצאתי את עצמי בתהליך חפיפה עם קצינה שלמיטב זכרוני שמה היה דליה.

הפרויקט הראשון שלתוכו "הוטלתי" (עוד כחלק מהחפיפה שלי) היה למלא איזושהי טבלה שכללה כמובן חיתוך של אירועי פח"ע החל מתום מלחמת ששת הימים ועד לאותו המועד. והיו לנו "חורים" כל מי ששאלנו באותו הלילה במחלקת היסטוריה במטכ"ל ואצל גורמי האמ"ן השונים, לא ידעו למלא לנו את החורים הללו. למחרת לקח אריק שרון את הטבלה והעבירה לראשת ממשלת ישראל, גולדה מאיר. זה היה שיעור מאלף.

(1) מי שחשבתי שיודע, לא יודע, והמשמעות שאני צריך לסמוך הרבה מאד על יכולותי להגיע למידע בעצמי 

(2) כאשר לא יודעים, לא ממציאים, אומרים "לא יודע". גם אם צריך להגיד "לא יודע" לבכירים ביותר.

במהלך שנת 1972 הייתי אני, סמל בצה"ל, הגורם שנבר בחומרים הגולמיים שנוצרו ע"י מש"קי המבצעים בפיקוד ובדוחות המסכמים היומיים והשבועיים על מנת לספק לאלוף הפיקוד, אריק שרון ז"ל לראש המטה ולקצין האגם הפיקודי סיכומים חודשיים וסיכומים עפ"י דרישה. מחשב כמובן לא היה. הכל היה ביד.

הדרישות היו מגוונות ולא אפרט אותן כאן כמובן. דבר אחד אני יכול לומר באופן חד משמעי, מעולם לא נדרשתי "לערבב ידיעות", לכסתח, או חמור מכך לבלף, ההיפך הוא הנכון.

הסוד של הפיכת נתונים למידע טמון במקום אחר והוא "מסמך מוכוון מטרה": מה המטרה לשלמה נועד המסמך? על בסיס זה מבוצעות הפעילויות הבאות:

1. בחירת אלו נתונים גולמיים ייעשה בהם שימוש.

2. בחירת אלו נתונים גולמיים לא ייעשה בהם שימוש.

3. בחירת אופן הצגת הנתונים הגולמיים שהוחלט לעשות בהם שימוש.

4. הצגת שורת הסיכום אשר אמורה לשרת את המטרה אשר בגינה נכתב המסמך.

 

לא ידעתי אז שבשנה זו נזרעו בי זרעי העיסוק בתחום המידענות. תחום שבעשור האחרון משמש אותי בעבודתי כיועץ  אבטחת מידע.

ומילה אחת נוספת על אותה שנה, שנת 1972 והשנה שלאחריה, 1973.

בשנת 1972, ראיתי גוף צבאי עובד בהרמוניה. יש ראש ויש לב. הכל בגלל מי שפיקד על היחידה הזו, אריק שרון. אינני יכול לומר שראיתי הכל ושמעתי הכל ובטח ממרחק שנים כה רב קשה לזכור כל פרט, אבל היה שם משהו מאד מיוחד במקום הזה אז, ולמשהו הזה היה שם: אריק שרון, אלוף הפיקוד.

אני השתחררתי משירות סדיר כחודשיים לפני פרוץ מלחמת יום הכיפורים. אלוף הפיקוד כבר היה גורודיש.

לפני שחרורי ירדתי לפיקוד לשוחח עם מש"קי המבצעים. הם סיפרו לי על כך שמה שהיה איננו עוד.

ההרמוניה שאיפיינה את העבודה של הצוות שאריק שרון ריכז סביבו נעלמה. הפיקוד היה עוד יחידה צבאית שמנוהלת ע"פ פקודות ורק ע"פ פקודות. גם את התוצאה הזו חווינו כאשר פרצה מלחמת יום הכיפורים.