ما هي مديري مديري مديري مديريشي الأمنية والرعاية الصحية التي تحتاج إلى معرفتها حول انتهاكات أوراكل
يحتوي التأثير المحتمل لخرق خوادم Oracle Health’s Cerner Legacy على CISO و CIOS من التخطيط لعلاج الرعاية الصحية كيفية الاستجابة.
لم تعترف شركة تكنولوجيا المعلومات الصحية علنا بالخرق ولكنها كانت التواصل مع العملاء المتأثرين، تقارير bleepingcomputer. تتعامل الشركة أيضًا مع حادثة أخرى تنطوي على خوادمها السحابية.
مع وجود بيانات المريض للخطر ، ما الذي يجب أن يفكر فيه مديرات تخدير مديري المعلومات في الرعاية الصحية و CISO في هذه الانتهاكات والسحابة الدائمة للمخاطر الطرف الثالث؟
انتهاكات النظام القديم
لم تستجب أوراكل لطلب معلومات Weatho Week للتعليق على Oracle Health Breach. حتى الآن ، تظل الشركة مشدودة حول كلا الخرقات. هذا الافتقار إلى الشفافية يولد انتقاد كبير.
المتسللين تمكنت من الوصول إلى خوادم Cerner القديمة مع البيانات التي لم يتم نقلها بعد إلى تخزين السحابة من Oracle ، وفقًا لتقارير رويترز. تم إخطار بعض عملاء الرعاية الصحية في يناير.
نطاق الخرق ليس واضحًا بعد. اعتبارًا من 3 أبريل ، لم يتم نشر الخرق الذي يؤثر على عملاء الرعاية الصحية في أوراكل في مكتب الحقوق المدنية (OCR) لوزارة الصحة والخدمات الإنسانية الأمريكية (OCR) بوابة اختراق.
استحوذت Oracle على شركة Cerner Electronic Health Records في عام 2022. اعتبارًا من يناير 2024 ، كان لدى Oracle Cerner أ حصة 21.7 ٪ من سوق EHR في المستشفى الداخلي ، ثانياً فقط إلى ملحمة ، وفقًا للرعاية الصحية النهائية.
يقول سكوت ماتيلا ، CISO و COO من الصحة الداخلية، شركة الامتثال للرعاية الصحية والأمن السيبراني.
بالفعل ، هناك تقارير عن أن المستشفيات التي يتم ابتزازها من قبل ممثل تهديد باستخدام اسم “أندرو” ، وفقًا لـ BleepingComputer. يهدد الممثل بتسرب البيانات إذا لم تسعل المستشفيات الملايين في العملة المشفرة.
سكوت ماتيلا
الحادث الثاني ، الذي يتضمن خوادم تسجيل الدخول إلى Oracle Cloud SSO ، ينطوي على سرقة مزعومة من 6 ملايين سجل، تقارير bleepingcomputer. الشركة في البداية ونفى الخرق على الرغم من التحليل من الباحثين الأمن. منذ ذلك الحين اعترفت بالخرق ، وأبلغ بعض عملائها ذلك لقد سُرقت بيانات اعتماد العميل القديمة من بيئة قديمة ، تقارير بلومبرج.
مخاطر النظام القديمة ليست جديدة في صناعة الرعاية الصحية. إنه أمر نموذجي لترحيل البيانات ، مثل نقل البيانات من خوادم Cerner القديمة إلى Cloud’s Cloud ، لتكون عملية بطيئة ، وفقًا لماتيلا.
يقول ماتيلا: “نتوقع أنه مع أي نوع من ترحيل البيانات. لديك بعض العملاء الذين من الواضح أنهم صغار حقًا ، وسيكونون سهلاً لأنها خطي للغاية”. “ولكن بعد ذلك ، سيكون لديك هذه المنظمات الأكثر تعقيدًا التي لن تنفصل عن تلك البنية التحتية المحلية ، وتستغرقها وقتًا”.
تمثل هذه الأنظمة القديمة هدفًا عصيرًا لممثلي التهديدات الذين يبحثون عن بيانات قيمة مع حاجز أقل للدخول.
“الكثير من هذه الأنظمة القديمة القديمة ، فإنها تحصل على نوع من المحشو في الزاوية قليلاً وتنسى لأن معظم طاقتنا تركز على بناء أحدث وأكبر شيء” ، ClearData، وهي شركة أمنية متعددة الأمن لصناعة الرعاية الصحية ، تخبر Information Week.
اتخاذ إجراء
من المحتمل أن يكون غربلة تفاصيل الحادثين والمعلومات المحدودة التي يتم مشاركتها أمرًا محبطًا للمؤسسات التي يمكن أن تتأثر.
يقول ماتيلا: “كلما طال انتظارنا ، كلما قلنا المعلومات التي نشاركها كمجتمع – جيد أو سيئ أو غير مبال – تضع مزيد من الأذى والمخاطر حتى على أكثر المنظمات أهمية التي تعمل بالفعل على هوامش رقيقة وفرق متوترة بشكل مفرط”.
لقد حان الوقت لعملية تخزين المؤتمر الإسلامية للرعاية الصحية و CISO التي تعمل مع Oracle Health لكسر خطط الاستجابة للحوادث.
هل أرسل أوراكل إخطارًا لمؤسستك؟ هل هناك أي علامات على ترشيح البيانات أو حركة مشبوهة في شبكتك؟
“خاصة إذا كنت ستفعل شيئًا يعطل الإنتاج في مؤسستك ، فعليك أن يكون لديك سبب وجيه للقيام بذلك” ، ديفين شيرلي ، CISO Arkansas Blue Cross و Blue Shield، يشير. “لذا ، فأنت بحاجة حقًا إلى البحث و [get] أكبر قدر ممكن من المعلومات. “
ديفين شيرلي
إدارة الوصول ضرورية. ابحث عن الهويات التي لا تتعرف عليها. إعادة تعيين كلمات المرور وبيانات الاعتماد. كم عدد كلمات المرور التي يجب إعادة تعيينها على الأرجح يعتمد على مدى تضمين المنظمة مع Oracle ، وفقًا لشيرلي. قد يكون مجرد فريق صغير ، أو قد يكون مئات الأشخاص. قد تحتاج المؤسسة إلى إعادة تعيين كلمة المرور على مراحل.
) يقول شيرلي.
بعد أي حادث ، تحتاج فرق الأمن إلى الحفاظ على المراقبة المستمرة لضمان عدم وجود أي وصول مستمر.
“استمر في المراقبة والبقاء على مقربة مما يجري” ، توصي ماتيلا. “أتوقع على الأقل أن فريق الأمان الخاص بي سيعطيني تحديثًا يوميًا عن أي تقدم يتم إحرازه ، أي شيء تم تحديده ، بأننا نتعامل مع أي مخاطر أو نشاط مشبوه محتمل قد حدث على مدار الستين الماضي إلى 90 يومًا.”
يعد حادث Oracle المستمر بمثابة تذكير لجميع قادة الرعاية الصحية للتفكير في اعتماد مؤسساتهم على الأنظمة القديمة. غالبًا ما يكون ترقية هذه التكنولوجيا مشروعًا باهظ الثمن ومتعدد السنوات ، ولا يمكن لكل منظمة تحمل تكاليف ذلك الآن. لكن هذا لا يعني أن الخطر يجب أن يتحقق.
يقول دوشارم: “إذا كنت قد حصلت على بعض البنية التحتية القديمة حقًا ، فقد لا تتمكن من ترقيتها على الفور – قد تكون هذه مشاريع كبيرة وطويلة الأجل – لكنك تفكر بشكل أفضل في تعويض الضوابط للحفاظ عليها آمنة”.
خطر الطرف الثالث ، مرة أخرى
في العام الماضي ، هزت صناعة الرعاية الصحية من قبل الهجوم الفدية على تغيير الرعاية الصحية. على الرغم من أن هذا الحادث كان درسًا خاطئًا في خطر الطرف الثالث ، إلا أن الصناعة لا تزال تتعلم.
“أستطيع أن أخبرك أنه على الرغم من التغيير في مجال الرعاية الصحية ، على الرغم من خرق النشيد قبل ذلك ، ما زلنا نرى نفس الأنماط من الهجوم التي أسقطت النشيد [and] يقول دوشارم: “لقد خفض هذا التغيير السائد اليوم في بعض أكبر منظمات الرعاية الصحية في البلاد”.
أ عدم وجود مصادقة متعددة العوامل على النظم الحرجة سهلت الهجوم على تغيير الرعاية الصحية ، و 2015 خرق النشيد تضمنت أوراق اعتماد تسجيل الدخول المسروقة.
“إن أكبر طريقتان نرى المهاجمين يحاولان التسلل إلى منظمات الرعاية الصحية هذه: أحدهما هو سرقة الهوية واثنان من البنية التحتية على الأنظمة القديمة” ، يؤكد دوشارم.
تعد أنظمة الرعاية الصحية معقدة للغاية بحيث يكون من الصعب تحديد وتخفيف جميع المخاطر المحتملة. “هناك العديد من النوافذ المكسورة في منظمات الرعاية الصحية التي تجعلها عرضة للانتهاك ، بحيث يكون من الصعب في بعض الأحيان معرفة النافذة التي يجب إصلاحها أولاً” ، يوضح Ducharme.
على الرغم من معرفة أن هذه المخاطر موجودة ، مع إمكانية وجود عواقب وخيمة ، قد لا تعطي منظمات الرعاية الصحية أولوية لموضعها الأمني.
“نحن في اقتصاد مقلوب. إن الغريزة الطبيعية هي البدء في القطع … كل شيء. وأعتقد أن هذا هو المكان الذي يتعين على CIOs و CISO و CEOS والمدير الماليون التفكير في الأشياء من خلال عدسة مخاطرة. نعم ، يمكننا قطع أي شيء وكل شيء: التكنولوجيا ، الأمن ، ولكن ما هي إمكانات المخاطر؟” يسأل شيرلي. “يمكنك توفير مليون دولار أو مليوني دولار بين الحين والآخر بعد ستة أشهر. الآن ، قد تدفع 200 مليون دولار من دعاوى الدعوى الجماعية. هل كان الأمر يستحق ذلك؟”
مخاطر الطرف الثالث لا تسير في أي مكان. ماذا يعني ذلك بالنسبة لصناعة الرعاية الصحية؟
“نحن ذاهبون إلى [need] تغيير واضح في الصناعة. يجب أن يكون هناك. يقول ماتيلا: “لم يعد من المقبول النظر في هذه الأنواع من الأحداث كالمعتاد”.
