Khi ngành y tế tiếp tục số hóa toàn bộ thông tin, nó càng thu hút sự chú ý của tội phạm mạng. Sự phát triển này sẽ là một trong nhiều yếu tố thúc đẩy sự tăng trưởng của thị trường an ninh mạng trong ngành chăm sóc sức khỏe trong thập kỷ tới. Trước đây, những kẻ trộm dữ liệu thường nhắm vào việc đánh cắp thông tin tài chính, thanh toán hoặc số tài khoản ngân hàng từ các máy tính xách tay có ổ cứng chưa được mã hóa hoặc thông qua các chiêu trò lừa đảo đơn giản như thư rác hoặc tấn công lừa đảo. Giờ đây, chúng triển khai các kỹ thuật tấn công tinh vi như SQL injection, Advanced Persistent Threats, Zero Day exploits và ransomware.

Ransomware—một loại tấn công trong đó dữ liệu của một tổ chức bị mã hóa bởi kẻ tấn công và chúng yêu cầu một khoản tiền chuộc để giải mã—đã trở thành một nguồn doanh thu béo bở cho tin tặc đến mức IDC dự đoán các cuộc tấn công như vậy vào các tổ chức y tế sẽ tăng gấp đôi vào tương lai. Báo cáo lưu ý: “Ransomware là một cách dễ dàng và an toàn hơn để tin tặc kiếm tiền với khả năng gây gián đoạn cho công ty, hầu hết các tổ chức sẽ chọn cách đơn giản là trả tiền chuộc.”

Báo cáo nói thêm: “Điều này có những hậu quả không lường trước là tài trợ cho nhiều nghiên cứu và phát triển hơn của những kẻ tấn công, từ đó chúng sẽ phát triển các cuộc tấn công tinh vi và có mục tiêu hơn.” “Ngành chăm sóc sức khỏe là ngành bị tấn công nhiều nhất mà chúng tôi đang thấy hiện nay và điều khiến ngành này khác biệt là nó ảnh hưởng đến mọi người không chỉ về tài chính mà còn về cá nhân,”- Trích Atif Ghauri, CTO tại Herjavec Group, một công ty an ninh thông tin toàn cầu. Cảnh báo về rủi ro của Internet Vạn Vật (IoT) trong ngành y tế. Việc biết lịch sử bệnh tật, những hạn chế về thể chất và các chi tiết cá nhân khác sẽ khiến mọi người gặp rủi ro. Chỉ riêng rủi ro từ IoT thôi, các vụ xâm nhập an ninh y tế có thể dẫn đến tử vong do một máy bơm tim WiFi bị điều khiển với mục đích xấu hoặc một chiếc giường thông minh bị trục trặc trong phòng phẫu thuật. Đó là những điều đáng sợ.

Ngày nay, không có cơ quan thực thi pháp luật nào hiệu quả đối với tội phạm mạng và không có cách nào để biết rằng ngay cả khi tiền chuộc được trả, bạn sẽ lấy lại được dữ liệu của mình. Trả tiền chuộc là một biện pháp tuyệt vọng, chi phí thiệt hại do ransomware không chỉ đến từ hoạt động của tội phạm mạng, mà còn từ các tổ chức y tế không đào tạo nhân viên của họ về các cuộc tấn công lừa đảo có chủ đích và ransomware, không sao lưu dữ liệu, và thiếu sự chuẩn bị chung để phòng thủ an ninh mạng. Các tổ chức y tế cần tăng cường hệ thống phòng thủ (defenses) của họ – và đầu tư vào đào tạo nhân viên, công nghệ, quy trình và kế hoạch ứng phó sự cố (incident responses plans) để đi trước các cuộc tấn công ransomware.

Bệnh viện là mục tiêu dễ bị tấn công nhất

Dẫn chứng cụ thể là Trung tâm Y tế Hollywood Presbyterian ở Los Angeles. Khi chủng ransomware Locky lây nhiễm vào, truyền thông ban đầu tập trung vào bản thân Locky – và việc bệnh viện đã trả khoản tiền chuộc hơn 16.000 USD. Điều tồi tệ hơn là bệnh viện đã bị “khóa chặt” một cách hiệu quả với nhân viên không thể bật máy tính và các khoa xạ trị và ung thư không thể sử dụng thiết bị của họ. Hàng chục cuộc tấn công bằng ransomware vào các bệnh viện đã xảy ra sau thảm họa.

Dữ liệu y tế là duy nhất, điều này làm cho việc bảo mật và quyền riêng tư của nó trở nên rất quan trọng. Gần đây đã có nhiều báo cáo rằng thông tin sức khỏe cá nhân có giá trị hơn 50 lần trên thị trường chợ đen so với thông tin tài chính và hồ sơ sức khỏe bệnh nhân  bị đánh cắp có thể có giá tới 60 USD cho mỗi hồ sơ.

Các bệnh viện dễ bị tổn thương hơn bất kỳ loại tổ chức nào khác ngay bây giờ với các hệ thống lỗi thời, thiếu nhân sự mạng có kinh nghiệm, dữ liệu có giá trị cao và dễ đe dọa để trả tiền chuộc nhằm lấy lại dữ liệu bệnh nhân, đang thu hút tin tặc đến thị trường y tế. Những loại giải pháp phòng tránh sẽ rất tốn tiền. Thị trường y tế đã bị các nhà nghiên cứu đánh giá thấp vì nó chủ yếu giới hạn trong an ninh CNTT.

Các dự báo của nhà phân tích CNTT đã không theo kịp với sự gia tăng đáng kể của tội phạm mạng, dịch ransomware, việc tập trung lại phần mềm độc hại từ PC và máy tính xách tay sang điện thoại thông minh và thiết bị di động, việc triển khai ồ ạt các thiết bị IoT y tế thông minh đòi hỏi bảo mật nhúng, sự phát triển trong bảo mật vật lý và điện tử của tòa nhà bệnh viện được điều khiển bằng máy tính, tin tặc được thuê để nhắm mục tiêu vào các bệnh viện, các cuộc tấn công mạng tinh vi hơn đang nhắm vào các tổ chức y tế và nhu cầu đào tạo nhân viên về nhận thức an ninh. Nhiều hệ thống bảo mật hoàn toàn lỗi thời và công nghệ mới nổi quá đắt và cồng kềnh để triển khai hoặc thích ứng.

Trong những năm tới, các tổ chức y tế được đề nghị bổ sung các giải pháp bảo mật cho quản lý danh tính và quyền truy cập, quản lý rủi ro và tuân thủ, phần mềm diệt virus và chống phần mềm độc hại và dịch vụ giảm thiểu DDoS, cũng như quản lý thông tin và sự kiện bảo mật hệ thống phát hiện xâm nhập và hệ thống phòng chống xâm nhập.

Tình trạng thiếu nhân lực

Những tin tặc vẫn đi trước nhiều bước trong cuộc đua an ninh mạng. “Một vài tổ chức có các công cụ và quy trình để phát hiện các cuộc tấn công. Thực sự không biết dữ liệu nào đã bị xâm nhập và khi nào.” Các tổ chức y tế thường là những nơi hạn chế nhất để làm việc cho các kỹ sư an ninh mạng. Ngành này theo truyền thống không trả lương cao. Các bệnh viện có một số nền tảng ít đổi mới nhất và lỗi thời nhất. Có nhiều phần mềm vì các lợi ích thương mại, các kỹ sư bảo mật có thể thấy hạn chế trong việc chỉnh sửa mã nguồn từ nhà cung cấp. Sự thiếu hụt lực lượng lao động an ninh mạng đặc biệt cấp tính tại các bệnh viện và nhà cung cấp dịch vụ y tế.

Các tổ chức y tế bị thách thức nghiêm trọng khi nói đến việc tuyển dụng và giữ chân nhân viên bảo mật. Với nhiều ngân sách hơn, các tổ chức y tế có thể không phải là một nơi tồi tệ để các kỹ sư an ninh mạng làm việc sau cùng. Ransomware đang bùng nổ và nó sẽ tiếp tục gây rắc rối cho các tổ chức y tế không đào tạo nhân viên của họ về cách phát hiện và phản ứng với các cuộc tấn công lừa đảo và các mối đe dọa mạng có thể phát hiện được khác.

Mặc dù các cuộc tấn công bằng ransomware vào các tổ chức y tế được dự đoán sẽ tăng gấp bốn lần vào thời kỳ công nghệ phát triển, việc đào tạo nhân viên về nhận thức an ninh và các thực hành sao lưu sẽ giảm nguy cơ bị xâm nhập trái phép, tống tiền dữ liệu — và giảm thiểu sự gián đoạn sau khi bị tấn công đối với hoạt động kinh doanh bình thường và việc chăm sóc bệnh nhân.