Planul UE pentru protecția față de atacurile cibernetice

Comisia a prezentat miercuri planul de acțiune al UE pentru consolidarea securității cibernetice a spitalelor și a furnizorilor de servicii medicale. 

Sănătatea este sectorul critic în care s-au raportat cele mai multe atacuri cibernetice, conform statisticii europene – în 2023 au fost declarate 309 de incidente semnificative de securitate cibernetică care au afectat asistența medicală.

Acest lucru se întâmplă pentru că spitalele investesc mult mai puțin decât companiile energetice sau de transport aviatic, de exemplu, în securitate cibernetică. Sectorul sănătății ocupă doar locul șapte, în rândul a 12 sectoare studiate într-o analiză CE, în ceea ce privește proporția cheltuielilor pentru securitatea informațiilor din totalul cheltuielilor IT (8,3% este media din sănătate).

România este un caz exemplar, întrucât numeroase spitale nu aveau anul trecut, când a fost raportat un val de atacuri asupra unor spitale, nici măcar programe antivirus.

(Citește și: Bitdefender oferă softuri antivirus gratuite spitalelor de stat, după atacurile cibernetice din ultimele zile)

Principalele măsuri stabilite prin Planul european de acțiune

Acesta este primul pas în protejarea sectorului sănătății de amenințările cibernetice și ar trebui să conducă la îmbunătățirea capacității de detectare, pregătire și răspuns la astfel de amenințări.

Digitalizarea aduce o revoluție în domeniul asistenței medicale, permițând servicii mai bune pentru pacienți prin inovații precum dosarele electronice de sănătate, telemedicina și diagnosticarea bazată pe IA.

Riscul atacurilor cibernetice, însă, crește exponențial odată cu digitalizarea sistemului. Atacurile care pot întârzia procedurile medicale, pot crea blocaje în camerele de urgență și pot perturba serviciile vitale ce ar putea avea un impact direct asupra vieții oamenilor.

Înființarea unui Centru european de sprijin specializat pentru spitale

Planul de acțiune propune, printre altele, ca ENISA, Agenția UE pentru Securitate Cibernetică, să înființeze un Centru paneuropean de sprijin în materie de securitate cibernetică pentru spitale și furnizorii de servicii medicale, oferindu-le orientări, instrumente, servicii și formare adaptate, menționează Comisia Europeană.

Inițiativa se bazează pe cadrul mai larg al UE de consolidare a securității cibernetice la nivelul infrastructurii critice și marchează prima inițiativă sectorială de implementare a întregii game de măsuri ale UE în materie de securitate cibernetică.

Cele patru priorități pe care se axează Planul:

• O mai bună prevenire. Planul contribuie la consolidarea capacităților sectorului sănătății de a preveni incidentele de securitate cibernetică prin măsuri de pregătire consolidate, cum ar fi orientări privind punerea în aplicare a practicilor critice în materie de securitate cibernetică. În al doilea rând, statele membre pot introduce, de asemenea, vouchere de securitate cibernetică pentru a oferi asistență financiară microîntreprinderilor, spitalelor mici și mijlocii și furnizorilor de servicii medicale. În cele din urmă, UE va dezvolta, de asemenea, resurse de învățare în materie de securitate cibernetică pentru profesioniștii din domeniul sănătății.

• O mai bună detectare și identificare a amenințărilor. Centrul de sprijin în materie de securitate cibernetică pentru spitale și furnizorii de servicii medicale va dezvolta un serviciu de alertă timpurie la nivelul UE, care va furniza alerte în timp aproape real cu privire la potențialele amenințări cibernetice, până în 2026.

• Răspunsul la atacurile cibernetice pentru a reduce la minimum impactul. Planul propune un serviciu de răspuns rapid pentru sectorul sănătății în cadrul rezervei UE pentru securitate cibernetică. Instituită în Legea privind solidaritatea cibernetică, rezerva oferă servicii de răspuns la incidente de la furnizori privați de servicii de încredere. Ca parte a planului, pot avea loc exerciții naționale de securitate cibernetică, împreună cu elaborarea unor manuale pentru a ghida organizațiile din domeniul sănătății să răspundă amenințărilor specifice la adresa securității cibernetice, inclusiv a ransomware-ului. Statele membre sunt încurajate să solicite raportarea plăților de răscumpărare de la entități, pentru a le putea oferi sprijinul de care au nevoie și pentru a permite autorităților de aplicare a legii să ia măsuri subsecvente.

• Descurajare: Protejarea sistemelor europene de sănătate prin descurajarea atacatorilor care reprezintă amenințări cibernetice. Aceasta include utilizarea setului de instrumente pentru diplomația cibernetică, un răspuns diplomatic comun al UE la activitățile cibernetice răuvoitoare.

Planul de acțiune va fi pus în aplicare împreună cu furnizorii de servicii medicale, cu statele membre și cu comunitatea de securitate cibernetică. Pentru a perfecționa în continuare acțiunile cu cel mai mare impact, astfel încât pacienții și furnizorii de servicii medicale să poată beneficia de acestea, Comisia va lansa în curând o consultare publică cu privire la acest plan, deschisă tuturor cetățenilor și părților interesate.

 Acțiunile specifice vor fi puse în aplicare progresiv în 2025 și 2026, mai spune Comisia. 

Asigurarea unei infrastructuri digitale reziliente și sigure este esențială pentru implementarea spațiului european al datelor privind sănătatea.

Statistică și cazuistică – 83% din atacurile cibernetice asupra infrastructurii sănătății sunt motivate financiar, 10% ideologic

• Ransomware rămâne o provocare majoră în materie de securitate cibernetică în UE și la nivel mondial, un raport estimând un cost anual global de peste 250 de miliarde euro până în 2030. Atunci când infractorii care folosesc ransomware atacă, nu numai că ei criptează datele victimelor în schimbul unei răscumpărări, dar copiază tot mai multe informații sensibile pentru a exercita o presiune suplimentară.

• O altă provocare importantă o reprezintă vulnerabilitățile software și hardware: conform Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA), sectorul sănătății este sectorul care a declarat cele mai multe incidente de securitate legate de astfel de vulnerabilități.

• Alte amenințări în creștere includ atacurile de tip DDoS (distributed denial-of-service), concepute pentru a copleși un sistem vizat cu un flux de trafic, făcându-l inaccesibil utilizatorilor legitimi.

• Sectorul sănătății se confruntă cu tendințe similare ale amenințărilor la adresa securității cibernetice, cu un accent pronunțat pe atacurile ransomware. Conform ENISA, ransomware a reprezentat 54% din incidentele de securitate cibernetică analizate în sectorul sănătății în perioada 2021-2023.

• 83% din atacuri au avut o motivație financiară, determinată de valoarea ridicată a datelor din domeniul sănătății, în timp ce 10% dintre atacuri au avut o motivație ideologică.

• Un raport din 2024 al Comisiei a constatat că 71% dintre atacurile care au avut efecte asupra îngrijirii pacienților, cum ar fi întârzierea tratamentului, a diagnosticării și accesul afectat la serviciile de urgență, au fost de tip ransomware.

• În timpul pandemiei COVID-19, un atac ransomware a paralizat părți importante ale sistemului irlandez de asistență medicală, ducând la anularea cel puțin a unor servicii în 31 din cele 54 de spitale de boli acute în dimineața incidentului. Atacul a pornit de la un e-mail de tip phishing care conținea un atașament malițios.

• Conform Eurobarometrului 2024 privind competențele cibernetice, doar 25 % dintre companiile intervievate din sectorul sănătății, educației și asistenței sociale au oferit cursuri de formare sau de sensibilizare cu privire la securitatea cibernetică în ultimele 12 luni.

• Conform ENISA, sectorul sănătății ocupă doar locul 7 din cele 12 sectoare studiate în ceea ce privește proporția cheltuielilor pentru securitatea informațiilor din totalul cheltuielilor IT, 8,3% fiind media în sectorul sănătății.

(Citește și: Atacul cibernetic asupra spitalelor continuă – se cere o răscumpărare de 157.000 de euro (3,5 bitcoin)

****