Cztery prognozy cyberbezpieczeństwa w ochronie zdrowia na rok 2023

W ciągu ostatnich kilku lat branża medyczna przeszła rozległe transformacje w zakresie cyberbezpieczeństwa porównaniu z innymi, mniej narażonymi na ataki branżami. Pandemia zmusiła firmy i placówki medyczne  do znalezienia nowych, opartych na technologii cyfrowej metod obsługi swoich klientów i aktualizacji infrastruktury cyfrowej w celu utrzymania działalności biznesowej.  Najnowsze badanie KPMG wykazało, że 63% organizacji opieki zdrowotnej wciąż czyni postępy w realizacji swojej agendy cyfrowej.

Ta zmiana doprowadziła do rozwoju usług teleporad i wzrostu liczby partnerów SaaS, urządzeń IoT i infrastruktury cyfrowej. W wyniku tej zmiany w kierunku cyfryzacji branże opieki zdrowotnej są nadmiernie narażone na ryzyko i ataki. To głównie dlatego firmy z branży medycznej odnotowały wzrost liczby cyberataków o 69% względem ostatnich lat przed pandemią, co jest najwyższym wynikiem ze wszystkich innych branż.

Po największej fali zachorowań aktualnym wyzwaniem na rok 2023 jest zrozumienie, jak dostosować się do cyberświata po pandemii, który charakteryzuje się tym, że liczba zagrożeń jest coraz większa, szczególnie dla placówek medycznych. W przypadku branży opieki zdrowotnej wymaga to zrównoważenia ich inicjatyw cyfrowych z cyberbezpieczeństwem oraz wdrożenia szczegółowej, kompleksowej strategii zarządzania ryzykiem i odporności cybernetycznej, która jest przyszłościowa zarówna na rok 2023, jak i kolejne lata.

Oto 4 prognozy dotyczące bezpieczeństwa cybernetycznego opieki zdrowotnej na rok 2023, o których liderzy opieki zdrowotnej powinni wiedzieć.

Bezpieczeństwo urządzeń będzie głównym priorytetem

Korzystanie z urządzeń IoT i podłączonych urządzeń medycznych zawsze stanowiło zagrożenie dla organizacji opieki zdrowotnej ze względu na słabe zabezpieczenia samych urządzeń oraz fakt, że organizacje opieki zdrowotnej na ogół nie podejmują niezbędnych środków ostrożności w celu zminimalizowania ryzyka naruszenia. Prognozy wskazują jednak na to, że wykorzystanie urządzeń IoT wzrośnie, a ciężar ich zabezpieczenia spadnie na kierowników działów bezpieczeństwa.

Przewiduje się również wzrost usług opieki zdalnej przez videokonferencje i teleporad. Opieka zdalna będzie wymagać ciągłego monitorowania i dodatkowych urządzeń, które mogą przekazywać informacje bezprzewodowo, a także stanowić część ogólnego leczenia pacjenta. Organizacje opieki zdrowotnej nie powinny ignorować potencjalnych szkód wynikających z zaniedbań cyberbezpieczeństwa, zwłaszcza że haker może teraz zaatakować osobistą sieć pacjenta, stwarzając nowe ryzyko prawne dla podmiotów świadczących opiekę zdrowotną.

Liderzy ds. cyberbezpieczeństwa będą musieli radzić sobie z coraz bardziej złożonym środowiskiem pełnym potencjalnie niebezpiecznych urządzeń, jednocześnie dbając o to, aby nowe inicjatywy w zakresie zdalnej opieki i telezdrowia nie narażały firmy na ryzyko związane z cyberprzestrzenią, zgodnością z przepisami lub postępowaniami sądowymi.

Prawdopodobnie wzrośnie liczba ataków innych niż ransomware

Od czasu pandemii ataki ransomware odnotowały ogromny wzrost, który wyniósł aż 105% w 2021 r. (względem roku poprzedniego) i 94% w ciągu ostatniego roku w przypadku placówek i firm medycznych. Jednak w 2023 roku prawdopodobnie zaobserwujemy mniej wyraźny wzrost liczby ataków ransomware z kilku powodów. Spadek wartości kryptowalut, najpowszechniejszej formy płatności za ataki ransomware, może prowadzić do tego, że ataki będą miały niższą opłacalność, biorąc pod uwagę ich zmienność wartości.

Rozwój oprogramowania ransomware został dobrze udokumentowany, a dostawcy zabezpieczeń bezustannie pracują nad zminimalizowaniem ryzyka i skuteczności tych ataków.

Czynniki te mogą skłonić hakerów do zmniejszenia liczby ataków z wykorzystaniem oprogramowania ransomware i skupieniu się na innych rodzajach ataków, które mogą mieć wyższy wskaźnik skuteczności. Może to obejmować ataki BEC, phishing i ataki DDoS z żądaniem okupu, w ramach których osoby atakujące zamykają serwery lub witrynę firmy do czasu zapłacenia okupu. Hakerzy wiedzą, że branża opieki zdrowotnej jest lukratywnym celem, więc mogą stać się ich głównym źródłem dochodów.

Przywództwo w zakresie bezpieczeństwa cybernetycznego zostanie potraktowane priorytetowo

Branża opieki zdrowotnej zawsze borykała się z cyberbezpieczeństwem, głównie z powodu braku priorytetów, zasobów i odpowiedniego przywództwa. W ciągu ostatnich kilku lat hakerzy przeprowadzali coraz bardziej skomplikowane ataki o zwiększonej powierzchni oraz zaobserwowano znacznie bardziej agresywne działania.

Pomimo tych nowych i rozszerzonych czynników ryzyka niewiele organizacji opieki zdrowotnej zmieniło swoją strategię i przeznaczyło więcej zasobów na działy cyberbezpieczeństwa i IT. Doprowadziło to do niedostatecznego przygotowania i niedofinansowania sektora opieki zdrowotnej do zwalczania nowych cyberzagrożeń.

Ta potrzeba cyberbezpieczeństwa opieki zdrowotnej zwróciła również uwagę rządu USA. 13 października Zastępca Doradcy ds. Bezpieczeństwa Narodowego ds. Cybernetycznych i Wschodzących Technologii poinformował, że w niedalekiej przyszłości mogą pojawić się nowe standardy cyberbezpieczeństwa dla branży medycznej.

W nowym roku spodziewamy się, że liderzy opieki zdrowotnej w końcu podejmą działania, zaangażują więcej zasobów w cyberbezpieczeństwo i zajmą stanowisko lidera odpowiedzialnego za opracowanie kompleksowej strategii cyberbezpieczeństwa, która proaktywnie zarządza ryzykiem, buduje odporność i przygotowuje organizację do zapobiegania, wykrywania, i możliwości reagowania.

Firmy będą szukać usług zarządzanych w celu optymalizacji budżetów

Pomimo wzrostu priorytetu dla bezpieczeństwa cybernetycznego, ryzyka i zarządzania zagrożeniami, niepewność gospodarcza i obawy przed recesją prawdopodobnie doprowadzą do ograniczenia budżetów i większej kontroli wydatków, co najpewniej wpłynie na działy technologii i cyberbezpieczeństwa.

Cyberbezpieczeństwo często jest marginalizowane, jednak analizy i badania przeprowadzone przez BCG pokazują, że chociaż wielu nabywców IT prawdopodobnie obawia się recesji, spodziewają się oni wzrostu wydatków, zwłaszcza na usługi cyfrowe, w tym skuteczne cyberzabezpieczenia.

Niezależnie od tego, czy na cyberbezpieczeństwo zostanie przeznaczone więcej pieniędzy, czy nie, ważne jest, aby mieć świadomość kosztów. Liderzy w branży opieki zdrowotnej stwierdzili, że usługi zarządzania bezpieczeństwem są znacznie bardziej atrakcyjną opcją w porównaniu z budowaniem fizycznego działu cyberbezpieczeństwa, który prawdopodobnie zwiększy koszty. Jednak musimy pamiętać o tym, że zwiększenie liczby narzędzi bezpieczeństwa i dostawców w środowisku firmy nie przyniesie pożądanego efektu, jeśli nie ma dostępnego działu cyberbezpieczeństwa, który mógłby zmaksymalizować narzędzia.

W 2023 r. MDR, XDR i MSSP prawdopodobnie staną się popularnymi dostawcami cyberbezpieczeństwa dla organizacji opieki zdrowotnej, które są zaangażowane w skuteczne zarządzanie ryzykiem.

Liderzy opieki zdrowotnej muszą nadać priorytet kompleksowej strategii bezpieczeństwa cybernetycznego w 2023 roku

Sposób, w jaki organizacje opieki zdrowotnej reagują, dostosowują się i ustalają priorytety w zakresie bezpieczeństwa cybernetycznego, będą decydować o tym, jaką strategię przyjąć w zakresie cyberbezpieczeństwa. Naruszenia danych są kosztowne, nie można ignorować ryzyka związanego z cyberatakami, a udany atak może być katastrofalny dla placówki medycznej i jej pacjentów, jeśli nie ma proaktywnej strategii. Aby odnieść sukces w cyberbezpieczeństwie i naprawdę dostosować się do dzisiejszego środowiska obciążonego zagrożeniami i reagować na nie, wymagana jest w pełni rozwinięta strategia cyberbezpieczeństwa.

Specjaliści do spraw cyberbezpieczeństwa muszą rozważyć ryzyko cybernetyczne jako ryzyko organizacyjne i opracować strategię obejmującą plan działania firmy i ogólne cele, aby skutecznie zabezpieczyć organizację w miarę jej wzrostu i ekspansji. Muszą również zoptymalizować wszelkie dostępne zasoby i priorytetowo potraktować zabezpieczenie rozszerzonej powierzchni ataków i skutecznie wykorzystywać wszelkie nowe narzędzia, technologie.

Korzystanie z usług zarządzanych to obiecujący trend, który prawdopodobnie będzie miał duży wpływ na powodzenie strategii bezpieczeństwa cybernetycznego firm medycznych. Biorąc pod uwagę priorytety i związane z tym ryzyko, zbudowanie całego działu cyberbezpieczeństwa zajęłoby zbyt dużo czasu i prawdopodobnie doprowadziłoby do mniej skutecznej strategii cyberbezpieczeństwa. Niedobór specjalistów w dziedzinie cyberochrony wciąż stanowi problem dla wielu firm, więc nie ma gwarancji, że dany dział (jeśli powstanie), to zostanie obsadzony, nawet jeśli budżet jest przeznaczony na dodatkowych pracowników.

Korzystanie z jednej z zarządzanych usług, takich jak Bitdefender XDR może pomóc zmniejszyć obciążenie związane z posiadaniem działu cyberbezpieczeństwa, a jednocześnie skorzystać z całodobowego wsparcia, które może być kluczowe w przypadku ataku. Jest to korzystny sposób posiadania proaktywnej wiedzy eksperckiej w zakresie bezpieczeństwa, służącej do wykrywania, naprawiania i reagowania na incydenty związane z cyberbezpieczeństwem. Znalezienie partnera ds. bezpieczeństwa cybernetycznego, który priorytetowo traktuje szybkie wdrażanie, może pomóc organizacji w lepszym wykorzystaniu czasu do wartościowania niż posiadanie własnej strategii.

Jeśli chciałbyś poznać więcej możliwości, które zapewnia oprogramowanie Bitdefender, to zapraszamy do kontaktu.