Несанкционированное физическое вторжение чревато кражей цифровых данных
Принято считать, что случающиеся время от времени утечки персональных данных, историй болезни в медицинских учреждениях непременно связаны с хакерской активностью или халатностью персонала. Между тем, пишет Эд Фикель в апрельском выпуске журнала Security Magazine, нельзя забывать, что предполагаемые хакеры могут избрать и другой путь к данным: проникнуть в помещение, выкрасть компьютер или же подсоединиться к ведомственной компьютерной сети через флешку либо другим способом.
Об этом хорошо известно тем, кто обеспечивает охрану и безопасность больниц с помощью современных систем СКУД, включая видеонаблюдение, организует тренинги персонала на предмет своевременного выявления попыток «социальной инжинирии».
В смысле безопасности сфера здравоохранения идет впереди образования, но уступает финансовым организациям. В крупных клиниках дело обстоит лучше, чем в небольших госпиталях.
В фокусе исследования, проведенного Мичиганским государственным университетом, - 1 150 случаев утечки медицинских данных о 164 миллионах пациентов в период с октября 2019 г. по декабрь 2017 г. Ученые обнаружили такую картину: 53% утечек стали результатом несанкционированного проникновения в компьютерные сети изнутри, и меньше половины случаев – из-за внешних хакерских атак.
Никакая технология не выручит, если работающий персонал не будет заботиться о безопасности, замечает Брайан Уоррен, в недавнем прошлом вице-президент Ассоциации служб безопасности в сфере здравоохранения. «Вы заходите в комнату для медсестер и видите разложенные на столах, открытые медицинские документы. Их не надо похищать. Достаточно сфотографировать» (Security Magazine, April, 2019).
Конечно, для успешной кражи необходимо совпадение ряда условий: незаметное проникновение в помещение, лежащие без присмотра документы, оставленный открытым компьютер, пока его пользователь отошел перекусить. Пара минут – и вы в базе конфиденциальных данных.
Том Аугуст, отвечающий за информационную безопасность в медучреждении John Muir Health, серьезно озабочен надлежащей физической охраной. Не только возможными кражами носителей информации, но и доступностью к данным прямо на рабочих местах. Он настоятельно рекомендует зашифровывать всю важную информацию, пользоваться закрываемыми на ключ ящиками для хранения карт памяти с USB интерфейсом, блокировать рассылку служебных приложений вовне через электронную почту.
Брайан Уоррен особое внимание придает обучению персонала правилам пользования средствами идентификации. «Вы должны в любой момент знать, где находится ваш пропуск. Не оставляйте на столе. Не забывайте на приборной панели автомобиля. Когда обнаруживаете пропажу пропуска, немедленно информируйте службу безопасности для его дезактивации. Если выяснится, что вашим бэджиком воспользовался кто-то другой, то мы обязательно призовем виновника к ответу и спросим, что он делал в служебном помещении в три часа утра?».
Эксперты уверены, что потерянные электронные пропуска представляют наибольшую головную боль. Как правило, они пропадают вне службы и вне рабочего времени. Чаще всего их забывают на ночь в автомобилях. Говорит Джефф Хаук, директор по безопасности Memorial Healthcare, штат Мичиган: «Я постоянно провожу работу с персоналом, внушая, что со служебными пропусками надо обращаться так же аккуратно и осторожно, как с ключами от дома. Если пропуск потерян, тут же сообщайте в службу безопасности, чтобы никто другой не успел бы им воспользоваться» (там же) .
В дополнение к продвинутой системе видеонаблюдения, способной отслеживать и сигнализировать отклонения от нормальной картинки в поле зрения видеокамер, персонал обучается навыкам замечать и реагировать на все, что вызывает подозрения: неизвестный посетитель без сопровождения, неадекватное поведение гостей, например, попытка взглянуть на экран включенного компьютера. Все что подозрительно, надо тщательно проверять.
В некоторых медучреждениях электронные пропуска предусматривают возможность расплачиваться в столовой или магазине подарков внутри организации. Хороший аргумент для тренинга: «Вы же не будете бросать, где попало, свою зарплатную карту, или одалживать ее знакомому со словами «вернешь потом»! Точно так же относитесь и к служебным пропускам!».
Эксперты советуют использовать помимо электронных карт пин-коды. В этом случае при краже или потере карты злоумышленник не сможет ей воспользоваться. Более высокий уровень безопасности предусматривает возможность дополнительно использовать средства биометрии - сканирование рисунка ладони или радужной оболочки глаза.
(продолжение в следующем номере нашего журнала)
|
вернуться назад
