Zmiana priorytetów cyberbezpieczeństwa szpitali. "Pieniądze nie zawsze trafiały do kluczowych obszarów"

1 lat temu 71

Inwestycja w niektóre systemy bezpieczeństwa, jak SIEM czy NAC nie jest przewidywana w związku z obowiązującym, tegorocznym zarządzeniem prezesa Narodowego Funduszu Zdrowia Teraz Fundusz wraz z Ministerstwem Zdrowia kładą nacisk m.in. na kopie bezpieczeństwa, firewalle i systemy EDR Przyczyną aktualizacji listy priorytetów są m.in. ograniczone zasoby kadrowe - wynika z informacji Ministerstwa Zdrowia Podczas VIII Kongresu Wyzwań Zdrowotnych (Health Challenges Congress – HCC, Katowice, 9 -10 marca 2023 r.) zaplanowaliśmy sesję, w której eksperci będą rozmawiać o cyberbezpieczeństwie w medycynie. ZAREJESTRUJ SIĘ

Priorytety bezpieczeństwa 2023: firewall, kopia zapasowa, poczta i EDR

Rok 2023 zaowocował zmianą priorytetów w szpitalnym cyberbezpieczeństwie. Tekst zarządzenia prezesa Narodowego Funduszu Zdrowia z 2022 roku został uchylony w całości, a w jego miejsce pojawił się nowy akt aktualizujący priorytetowe obszary finansowania. Obecnie - przypomnijmy - finansowaniem objęte są kopie zapasowe, firewalle, zabezpieczenie poczty elektronicznej oraz systemy klasy co najmniej EDR, na poziomie architektury serwera.

EDR, czyli Endpoint Detection and Response to, jak nazwa wskazuje, oprogramowanie przeznaczone do detekcji zagrożeń już na końcowych urządzeniach użytkowników. Umożliwia zatem monitoring punktów końcowych w czasie rzeczywistym, jak również analizę danych i automatyczne reagowanie na zagrożenia z poziomu stacji roboczych.

Kopie zapasowe z kolei pozwalają zachować istotne dane, a zatem również dostęp do nich, na przykład w przypadku zaszyfrowania ich przez cyberprzestępców w ataku ransomware. Mogą być pomocne także w przypadku wewnętrznych awarii infrastruktury IT. Firewalle monitorują ruch sieciowy w organizacji, zarówno przychodzący, jak i wychodzący, i zezwalają na dostęp do sieci lub go blokują. Systemy bezpieczeństwa poczty elektronicznej chronią m.in. przed atakami ransomware czy phishingiem.

To ważne zmiany w stosunku do ubiegłego roku

Na mocy ubiegłorocznego zarządzenia prezesa Narodowego Funduszu Zdrowia w sprawie finansowania działań w celu podniesienia poziomu bezpieczeństwa systemów teleinformatycznych świadczeniodawców (wersja z 20 maja 2022 r.) finansowaniem (do 31 grudnia 2022 r.) objęte były działania, podnoszące poziom bezpieczeństwa systemów teleinformatycznych uprawnionych placówek. Miały one polegać na wykonaniu co najmniej jednej z określonych w zarządzeniu czynności. Na liście pojawiły się pozycje, takie jak zakup i wdrożenie oprogramowania, systemów i usług zapewniających "prewencję, reakcję i detekcję" zagrożeń cyberbezpieczeństwa, między innymi systemów SIEM.

Systemy SIEM (Security Information and Event Management) pozwalają na agregowanie zdarzeń bezpieczeństwa z wielu różnych urządzeń i systemów, w tym systemów bezpieczeństwa. Umożliwiają korelowanie zdarzeń oraz analizę historyczną, automatyczną detekcję i obsługę zdarzeń bezpieczeństwa przez operatorów. Dane analizowane przez SIEM mogą być pozyskiwane z różnych źródeł, m.in. z serwerów DNS czy firewalli, a także z systemów EDR.

Innym rodzajem systemu zawartego w ówczesnym wykazie NFZ jest NAC (Network Access Control). Są to systemy umożliwiające ograniczenie dostępu do sieci należącej do organizacji użytkownikom i urządzeniom nieautoryzowanym lub niezgodnym z polityką bezpieczeństwa i wymaganiami systemów. Dzięki NAC organizacja może mieć pewność, że wszystkie urządzenia podłączone do sieci firmowej są zgodne z przyjętymi zasadami bezpieczeństwa.

Co na to Ministerstwo Zdrowia?

- Po ponad 9 miesiącach dofinansowania rozwiązań z zakresu cyberbezpieczeństwa w szpitalach widzimy, w jaki sposób podmioty lecznicze pożytkują przekazane środki. Nie zawsze inwestują je w priorytetowe obszary - podkreśla resort w korespondencji z Rynkiem Zdrowia i zaznacza, że przeanalizowało incydenty cyberbezpieczeństwa, które miały miejsce w minionym czasie.

- Docierały do nas także sygnały ze strony samych podmiotów leczniczych, że ograniczone zasoby kadrowe w IT nie pozwalają na wdrożenie i późniejszą skuteczną eksploatację zaawansowanych systemów cyberbezpieczeństwa. Skłoniło nas to, aby rekomendowane priorytety, wskazane w dokumencie Plan działania w zakresie cyberbezpieczeństwa w ochronie zdrowia, wzmocnić w zarządzeniu przedłużającym finansowanie na 2023 r.

Licencję SIEM-a nadal mogą kupić niektóre podmioty

- Podmioty lecznicze, które rozpoczęły realizację dofinansowania w 2022 r. mogą je realizować na dotychczasowych zasadach - mają dłuższy termin - zapewnia Ministerstwo Zdrowia.

Resort przypomina także, że podmioty, które w ubiegłym roku nie złożyły wniosku o dofinansowanie, w tym roku mogą to zrobić i wystąpić o dofinansowanie czterech kluczowych obszarów oraz przeprowadzenia szkoleń.

Jednocześnie Ministerstwo zaznacza, że "szpitale, które w ubiegłym roku nie przystąpiły do projektu (nie podpisały umowy), a przystąpią do niego w tym roku, będą realizowały zakres wskazany jako priorytetowy, w którym nie ma systemów NAC i SIEM".

- Każdy szpital musi przeprowadzić audyt końcowy. Jeśli wskaże on konieczność uzupełnienia systemów bezpieczeństwa o NAC i SIEM i będzie w stanie je skutecznie wdrożyć i eksploatować, to może podjąć decyzje o zakupie takich systemów - informuje MZ.