Руководство по улучшению киберзащиты стоматологической практики

Стоматологическая практика становится все более зависимой от технологий, что увеличивает риск кибератак.

Первым шагом в защите вашей стоматологической практики от кибератак является понимание рисков. Это руководство было создано, чтобы помочь практикам определить потенциальные риски и разработать соответствующий план кибербезопасности. Киберпреступники становятся все более изощренными и способны нацеливаться на уязвимые стоматологические кабинеты, используя различные методы, включая фишинг, вредоносные программы и программы-вымогатели. Эти атаки могут оставаться незамеченными в течение нескольких лет, пока практика не будет скомпрометирована.

Однако можно снизить риск кибератак, выполнив ряд простых шагов. В этом руководстве представлены некоторые практические рекомендации по кибербезопасности, которые вы можете немедленно применить для защиты своих данных.

Каковы наиболее распространенные угрозы для стоматологических клиник?

Согласно Институт Понемона, в 2017 году средняя стоимость утечки данных составила 3.62 миллиона долларов. Институт Ponemon также сообщает, что отрасль здравоохранения подвергается наибольшему количеству кибератак по сравнению с любой другой отраслью. Стоматологические практики не застрахованы от кибератак и утечки данных.

По сути, исследование, проведенное Центр ресурсов по краже личных данных обнаружили, что в 2021 году общее количество утечек данных (1,862) увеличилось более чем на 68% по сравнению с предыдущим годом. Это установило новый рекорд по сравнению с предыдущим историческим максимумом, зафиксированным в 2017 году (1506 случаев). Киберпреступления, связанные с программами-вымогателями, удвоились в последующие годы, начиная с 2020 года. По прогнозам, атаки программ-вымогателей превзойдут фишинг как основную причину утечки данных в 2022 году.

Ниже приведены примеры распространенных киберугроз для стоматологических клиник:

Вредоносное ПО, распространяемое по электронной почте

Примерно 30% утечек данных вызваны вредоносными программами, распространяемыми по электронной почте. Этот тип вредоносных программ можно загрузить с фишингового веб-сайта, и вредоносное программное обеспечение может заразить компьютер через вложения электронной почты или ссылки.

Фишинг-атаки

Фишинговая атака, также известная как атака «целевой фишинг», представляет собой попытку получить конфиденциальную информацию, такую ​​как пароли, номера кредитных карт и личные идентификационные номера, путем отправки электронных писем, которые кажутся отправленными из законного источника.

Ransomware

Атаки программ-вымогателей становятся все более распространенными из-за угрозы киберпреступников, нацеленных на стоматологические клиники. Эти атаки с большей вероятностью повлияют на небольшие офисы и практики, в которых нет надежных компьютерных технологий, поскольку их может быть трудно обнаружить и устранить.

Шпионское ПО

Это может распространяться через USB-накопители и другие портативные носители. Его можно установить через зараженное вложение электронной почты или ссылку.

Вредоносные расширения браузера

Это вредоносное расширение для браузера часто представляет собой тип рекламного ПО, которое скрывает строку URL-адреса и заменяет ее рекламой, переадресацией или другой нежелательной рекламой.

Вирусы

Вирус — это тип вредоносного программного обеспечения, которое может нанести ущерб компьютеру или электронному устройству, повреждая файлы, распространяясь по сети или даже изменяя операционную систему.

Worms

Червь — это тип вредоносного ПО, которое распространяется путем воспроизведения себя на других компьютерах в Интернете. Червь может быть написан для использования уязвимостей в системе безопасности и распространения с использованием тактики социальной инженерии, методов эксплуатации сети или по электронной почте.

Передовые методы для вашей стоматологической практики для защиты ваших данных

Используйте безопасные приложения

Скачивайте и используйте приложения только из официальных магазинов. Если они больше не нужны, полностью удалите приложения.

Поскольку официальные магазины приложений (Apple App Store или Google Play Store) подвергают приложения как минимум определенному уровню контроля, прежде чем их разрешат предлагать там, вероятность локализации угроз безопасности значительно ниже. 

Однако загружайте на свое устройство только те приложения, которые вам действительно нужны, и удаляйте все приложения, которые вам больше не нужны, настолько полно, насколько это возможно.

Всегда устанавливайте текущую версию приложения

Всегда своевременно устанавливайте обновления, чтобы избежать уязвимостей.

Как и операционные системы, обновления обычно содержат последние исправления безопасности в дополнение к новым функциям, поэтому любые бреши в безопасности, которые могли существовать ранее, могут быть закрыты.

Безопасное хранение данных локального приложения

Используйте только приложения, которые шифруют документы и сохраняют их локально.

Обратите внимание, что по возможности данные не хранятся в облаке. Создавайте резервные копии своих мобильных устройств и используйте опцию, предлагаемую операционной системой, для создания зашифрованных резервных копий и сохраняйте их только на устройствах, которые находятся под вашим контролем. Избегайте использования резервных копий в облаке, даже если они предлагаются в зашифрованном виде.

Не отправляйте конфиденциальные данные через приложения

Чтобы предотвратить нежелательную утечку потенциально конфиденциальных данных, используйте максимально строгие настройки защиты данных, при которых неконтролируемый доступ к другим конфиденциальным данным на смартфоне (например, общий доступ к адресной книге и, следовательно, ко всем сохраненным контактным данным, фото альбом и т. д.) невозможно предотвратить нельзя использовать.

Это также относится, например, к обычным мессенджерам и приложениям для социальных сетей.

Нет облачного хранилища личных данных

Не использовать облачное хранилище, интегрированное в продукты Office, для хранения личной информации.

Опять же, воздержитесь от использования облачного хранилища. Особенно когда речь идет о личных данных, эти данные не должны храниться в облаке без законного основания и определенных там спецификаций.

Аутентификация для веб-приложений

Используйте только интернет-приложения, которые строго защищают ваш доступ (страница входа и процесс, пароль, учетная запись пользователя и т. д.).

Для этого он должен быть как минимум защищен логином с логином и паролем. Если это предлагается, они должны активировать так называемую «двухфакторную аутентификацию», которая требует второй функции безопасности в дополнение к вводу пароля. Часто это PIN-код, который отправляется через отдельное приложение на заранее указанное надежное устройство (смартфон, планшет, ПК) или в виде SMS на номер мобильного телефона, который вы ранее сохранили.

Особенно безопасным методом является регистрация с помощью смарт-карты (например, карты электронного стоматолога, карты ZOD, SMC-B), которая также представляет собой двухфакторную аутентификацию, поскольку, с одной стороны, наличие соответствующей смарт-карты, а с другой стороны требуется соответствующий PIN-код.

Не настраивайте и не разрешайте автоматический доступ или вызовы веб-приложений.

Доступ к Интернету всегда должен быть преднамеренным и контролируемым. Поэтому ни при каких обстоятельствах не позволяйте загруженным приложениям или другим приложениям автоматически получать доступ к веб-приложениям.

Регулировать разрешения и доступ для группы людей и для каждого человека

Обратите особое внимание на четкое назначение при совместном использовании папок в сети. Назначайте только те папки, которые абсолютно необходимы людям или группам, и дополнительно ограничивайте назначенные папки. Определите, какими правами (чтение, запись, удаление и т. д.) обладают отдельные лица или группы.

Съемные носители данных необходимо проверять на наличие вредоносного ПО с помощью актуальной программы защиты каждый раз при их использовании.

Если вы используете съемные носители, такие как USB-накопитель, проверяйте их с помощью антивирусного программного обеспечения, установленного на вашем компьютере, перед каждым использованием, особенно если ими обмениваются между различными системами и перед их передачей.

Всегда надежно и полностью стирайте носители данных после использования. Ваш компьютер предлагает различные варианты для этого.

В зависимости от используемой операционной системы у вас есть различные варианты. С помощью дополнительных специальных приложений может быть осуществлено более интенсивное удаление, которое может быть необходимо, так как «обычный» процесс удаления обычно не удаляет сами данные, а только ссылку на них, чтобы они больше не отображались системой. 

Однако данные можно сравнительно легко восстановить с помощью некоторых свободно доступных программ. Подходящие программы удаления обычно перезаписывают удаляемые данные несколько раз, чтобы впоследствии их нельзя было восстановить.

Для управления доступом к сетевым компонентам и информации управления необходимо использовать соответствующую аутентификацию.

Компоненты, используемые в сети, такие как брандмауэры, маршрутизаторы, коммутаторы и т. д., должны быть как минимум защищены надежными паролями. Доступ к этим устройствам и, следовательно, к конфигурации или информации, хранящейся там, не должен быть возможен без пароля или другой безопасной аутентификации.

Резервное копирование и аварийное восстановление

Резервное копирование и аварийное восстановление являются ключевой частью безопасности. Резервные копии должны храниться как минимум в двух-трех разных местах. Защищать нужно не только систему резервного копирования, но и файлы, для которых были созданы резервные копии, чтобы при необходимости их можно было восстановить.

Политики и процедуры безопасности

Политики и процедуры безопасности должны подробно описывать, как защищаются информационные активы организации. Политики и процедуры должны документироваться, утверждаться и обновляться не реже одного раза в год.

Физическая охрана

Физический доступ к компьютерным системам должен строго контролироваться. Все двери должны быть заперты, должны использоваться карты доступа и ключи, а все помещения должны быть хорошо освещены с достаточным количеством естественного света для просмотра информации.

Электронная безопасность

Все компьютерные системы и сетевые службы должны иметь соответствующие меры безопасности. Все пользователи должны использовать свои собственные логины и пароли. Политики и процедуры информационной безопасности должны быть интегрированы в общие усилия организации по управлению рисками, включая человеческие ресурсы, физическую безопасность, планирование непрерывности бизнеса и аварийное восстановление.

Заключение

Наилучшая компьютерная безопасность достигается за счет многоуровневого подхода к информационной безопасности. Каждый уровень предоставляет свой набор элементов управления для обеспечения безопасного доступа к данным и их безопасного использования, но каждый уровень имеет свои собственные уязвимости.

Важно распознавать эти уязвимости и применять соответствующие меры контроля, как описано выше. Важно иметь сильную и надежную политику безопасности, поскольку она поможет защитить все активы организации. Хорошая политика безопасности поможет стоматологической практике поддерживать безопасную и надежную сетевую среду.

Стоматологи должны принимать необходимые меры предосторожности для защиты своей стоматологической практики от киберпреступлений. Это включает в себя использование надежных паролей, регулярное обновление программного обеспечения и обучение сотрудников передовым методам работы. Следуя советам, приведенным в этой статье, практикующие врачи могут минимизировать риск кибератаки и обеспечить безопасность данных своих пациентов.