Množství různých typů kyberútoků se v poslední době zvyšuje, shodují se tuzemské nemocnice oslovené Zdravotnickým deníkem. Většině z nich se zatím vyhnul velký cílený útok, různým formám phishingu, při němž se útočníci snaží získat důvěrná data nemocnice, ale čelí v podstatě denně. Prevence před širokou škálou kybernetických hrozeb je finančně i organizačně náročná, ale nemocnice ji podstupují a považují to za nutnost. Sází přitom jak na posilování technologických řešení, tak na edukaci vlastních zaměstnanců.
Čelit kyberútokům se bohužel pro tuzemské nemocnice stalo v poslední době denním chlebem. „Kyberútokům čelíme denně,“ říká mluvčí Krajské nemocnice Tomáše Bati ve Zlíně Dana Lipovská. Dodává ale: „Doposud jsme naštěstí nemuseli řešit situaci, kdy by se útočníkům podařilo překonat nastavené bezpečnostní mechanismy.“
Její slova potvrzuje i mluvčí Ústřední vojenské nemocnice v Praze (ÚVN) Adéla Davidová. „Kybernetické útoky na infrastrukturu, identity a zranitelnosti jsou na denním pořádku, stejně tak i reakce na ně,“ uvádí Davidová s tím, že ani ÚVN v poslední době nečelila takovému útoku, který by ovlivnil chod nemocnice. V případě, že by taková situace nastala, mají ale v nemocnici jasno, jak by postupovali. „O takových případných událostech bychom komunikovali se všemi dotčenými stranami a s úřady jako jsou Národní úřad pro kybernetickou a informační bezpečnost, Útvar pro odhalování organizovaného zločinu a Ministerstvo zdravotnictví. Určitě bychom také oficiálně informovali na našich webových stránkách a prostřednictvím dalších komunikačních kanálů, jako jsou sociální sítě,“ popisuje Davidová.
Velkému cílenému útoku nemuseli zatím čelit ani Oblastní nemocnici Kolín. „Jediné, co pravidelně pozorujeme jsou phishingové kampaně rozesílané prostřednictvím emailu,“ potvrzuje mluvčí nemocnice Iveta Vávrová.
Podobně jsou na tom ve Fakultní nemocnice Olomouc. „Nečelili jsme velkému systémovému kyberútoku. Množí se ale případy phishingu, říká mluvčí FN Olomouc Adam Fritscher. Dodává ale, že tento typ útoků zatím nemocnici nezpůsobil závažnou újmu. „Díky obezřetnosti našich zaměstnanců, kteří jsou kvalitně interně školeni, byl phishing vždy rozpoznán a ke škodě nedošlo,“ popisuje.
Bezpečnostní opatření musí být flexibilní
Všechny oslovené nemocnice potvrdily, že se na útoky připravují a snaží se pracovat na technologických řešeních a zároveň edukovat své zdravotníky a další zaměstnance. „Fakultní nemocnice Hradec Králové se setkává s různými formami kybernetických útoků a využívá k ochraně svého počítačového systému před počítačovými viry moderní firewall, antivirový systém a nové technologie na ochranu e-mailové komunikace, do kterých pravidelně investuje. V rámci řízení kybernetické bezpečnosti spolupracujeme také s dalšími organizacemi při výměně zkušeností ohledně případného napadení systému a možných hrozeb. Důležitou součástí kybernetické bezpečnosti je také osvěta zaměstnanců nemocnice v oblasti bezpečného chování na internetu a přístupu k informačním technologiím,“ vyjmenovává preventivní opatření Fakultní nemocnice Hradec Králové její mluvčí Jan Špelda.
Připraveni na široké spektrum útoků se snaží být také v pražské ÚVN. „Neustále rostoucí počet a intenzita útoků je a musí být flexibilně zohledňována v bezpečnostních opatřeních, na kterých spolupracujeme s IT tak, abychom zajistili kybernetickou odolnost. V souvislosti s evropskou směrnicí NIS2 je potřeba se připravovat nejen na vnější, ale i na vnitřní hrozby. Právě připravenost je neoddělitelnou součástí budování odolnosti kybernetické a informační infrastruktury. Je založená na reaktivních a preventivních opatřeních – tedy na organizačních, technických, vzdělávacích a monitorovacích aktivitách, které pomáhají hrozby a zranitelnosti odhalit a odstranit, aby jejich dopad na chod nemocnice nebyl žádný nebo minimální,“ vysvětluje Adéla Davidová z ÚVN.
„Snažíme se pravidelně školit zaměstnance a plánujeme nasazení EDR (nástroj pro detekci bezpečnostních hrozeb – pozn. red.), které zabrání například připojování soukromých, neautorizovaných úložišť, jako jsou USB flash disky, do nemocniční sítě,“ popisuje Iveta Vávrová preventivní kyberbezpečnostní opatření kolínské nemocnice.
„Implementujeme systém řízení bezpečnosti informací ISMS dle zákona a vyhlášky o kybernetické bezpečnosti. A jelikož jsme dle zákona určeni jako provozovatelé základní služby, musíme plnit minimálně zákonné povinnosti,“ uvádí k preventivním opatřením kybernetické bezpečnosti Adam Fritscher z FN Olomouc. A dodává: „Ke konkrétním opatřením nebo technologiím se nemůžeme veřejně vyjadřovat. V oblasti prevence se snažíme průběžně zvyšovat povědomí zaměstnanců o nutnosti dodržovat konkrétní pravidla a zásady práce s IT technologiemi zejména pravidelným školením a informováním o aktuálních hrozbách.“
Ke konkrétním technických opatřením se nechtěla vyjádřit ani Krajská nemocnice Tomáše Bati ve Zlíně. Její mluvčí Dana Lipovská ale popsala preventivní opatření aspoň v obecné rovině. „Klíčová je kromě IT opatření také odpovědnost a uvědomělost každého zaměstnance nemocnice. I v této oblasti probíhají každoročně školení,“ uvedla.
Některé oslovené nemocnice nechtěli téma kyberútoků a ochrany proti nim z bezpečnostních důvodů komentovat. „K otázkám, které se týkají kybernetické bezpečnosti, se ze zásady nevyjadřujeme,“ uvedla Iva Nováková, tisková mluvčí Nemocnice České Budějovice. Informace z této oblasti veřejně nekomunikuje ani Oblastní nemocnice Mladá Boleslav. „Zveřejňování našich kroků bereme jako návod pro tuto problematiku. Nemocnice jsou takovými útoky téměř neustále,“ vysvětlila tisková mluvčí nemocnice Hana Kopalová.
Jakub Němec
