Názory k článku Děravé kardiostimulátory i ransomware decimující nemocnice

Třeba objednávková kniha pacientů, kde se mohou podvozek sami objednat do volného termínu.

Na operaci možná ne. Ale na kontroly klidně.
Existují i ambulance kam chodíte bez doporučení (minimálně, když už vás znají). Třeba alergologie.

Přeposílají se data mezi nemocnicemi.

Například dálková správa a diagnostika přístrojů. Samozřejmě za měsíční paušál. Zrovna Philips s jejich RADARem na tohle dost tlačí.

Z vlastní zkušenosti vím, že IT v českých nemocnicích má největší starostí 1. Kde sehnat peníze aby vůbec mohli potřebný HW a SW nakoupit.
2. Jak napsat výběrovku tak aby dostali co potřebuji a nebyli neustále jednou nohou v kriminále. 3. Jak odolat politickým a mocenským tlakům, kdy vám do IT cpou doktoři, docenti atd.. své spřátelené firmy. Vlastně vůbec, spousta doktorů jsou zároveň vyhlášení ajťáci co tomu rozumí. 4. Pokud objednáváte náhradní díly, tak po administrativním kolečku a vysoutěžení máte díl již za půl roku... Tedy pokud to někdo mezitím nezruší.
No a klidně pošlete dotaz do nemocnic jestli mají někoho na pozici bezpečnostního IT manažera. Pošlete to ale radši přímo na IT. Tisková mluvčí vám to totiž klidně potvrdí... Ajo vlastně ne. IT má zákaz komunikovat s novináři... Ještě by se z toho jejich IT sklepa prokecla nějaká nepříjemná pravda.

Jo, a míst půl minuty čtení na monitoru, který mimo tebe nikdo nevidí, se potiskne papír, kde ta informace zůstane na furt a přečte si ji i uklízečka... A to neřeším ekologii.

IT oddělení v českých nemocnicích mají úplně jiné problémy. Musí se poprat s nízkými platy oproti soukromému sektoru a tím i nedostatkem lidí. Pak s nedostatkem peněz na IT technologie. S výběrovými řízení, kde buď zvítězí produkt který není dobrý a nebo se opravdu snažíte dopodrobna vyjmenovat všechna kritéria a jste hned jednou nohou v kriminále, protože to zase vede k jednomu produktu. Výběrovky se táhnou a IT nemá samozřejmě na práci nic jiného, než úředničinu. Dále jsou to politické tlaky a často nekompetentnost vedení nemocnice, kde se s novým volebním obdobím mění ředitel a s ním často i vedení. Tam jsou pak tlaky na spřátelené dodavatele.
Dejte českým nemocnicím dotaz, jestli mají IT bezpečnostního manažera či někoho podobného.

Jo kdyby se nezrušila vojna tak mají stále dost it specialistů na civilce.

<sarkasm payload="Buď v klidu, na zbrojení se prachy našly ..." />

Víš, jak s liší ajťáci?
- Podprůměrný nerozezná útok a neví,co s ním dělat.
- Průměrný dokáže poznat útok a reportovat ho.
- Nadprůměrný dokáže poznat útok a zastavit ho, nebo se na některý útoky připravit dopředu.

Takže jestli ta statistika není o tom, že ty útoky probíhají plošně, ale někde o nich nikdo ani neví...

To mu jasné bude. Jeho chyba je, že vzal dva nesouvisející zdroje, kde jeden tvrdí, že 39% firem na to přišlo a pak druhý zdroj, kde mu tvrdili, že se přijde jen na třetinu útoků a zbylé dvě třetiny firem to ani neví. A z nějakého důvodu mu ani to 39% * 3 = 117% nenapovědělo, že spojit ty dvě informace dohromady je kravina, protože buď spolu nesouvisí (specifická vs obecný průměr), nebo je jedna špatně (a zrovna ta "přijde se jen na třetinu" zavání cucáním z prstu, čemuž by odpovídal i zdroj "lebo nas ucili", což málokdy bývá spolehlivý zdroj přesných a aktuálních informací).

Moje zkusenost z IT zdravotnictvi...
Maji silu resit pouze provozni problemy, aby jim to nejak fungovalo..
Securita je porad na okraji jejich mentalniho zajmu. Dokud se nic nepodela poradne, tak to tady resit zas tak nemusime..

I kdyby hořelo, tak to připíšou k vlastnosti. Jojo takový přístup velice dobře znám.

"dyscomfort" bych napsal s měkkým i, nebo bych to přeložil (zde jako "nepohodlí").
Děkuji za článek!

V USA jako nezálohují, že musí platit výpalné?

Díky za palce dolů ;-), ale vysvětlení by bylo asi lepší...

Zálohují, jenže když mají zálohovací server v doméně a ransomware nakazí PC přihlášené pod účtem nějakého ajťáka, tak ten je zpravidla na PC a serverech lokálním adminem. No a lokální admin má práva k diskům pod systémovým sdílením jako \\server\c$, d$ atd.. V doméně pak nepotřebuje na serveru extra účet, ale dělá vše pod tím doménovým. Když k tomu přidáme tolik moderní zálohování na zálohovací diskové pole bez offsite zálohování třeba na pásky, tak ransomware zašifruje i ty zálohy přímo z PC toho ajťáka.
(Takto se to přibližně stalo).
Rozdíl je totiž mezi adminem, který má školení ve kterých se naučí, že doména je sice žůžo, ale má svá dost velká rizika, které se dají řešit, ale musíte vědět jak, a mezi adminem, který řeší jen provoz a IT mu na hlavu padající a luxus v podobě bezpečnostních fičurek nemá čas.
Nevěřím, že by byl admin kterému je bezpečnost lhostejná, jenže tam kde je IT poddimenzované, je bezpečnost tím prvním co se omezuje, protože je i nejnákladnější. Na čas, na lidi, na peníze.

Bezpecnost neexistuje vetsinou proto, ze soudruh managor/reditel/... prece musi mit pristup vsude, a jeho namestci si prece nebudou pamatovat nejaky hesla, natoz delsi nez jedno pismeno.

ITk pak tak maximale pokrci ramenama, protoze tohle neni jeho starost, on resi pripadnou technickou realizaci, ale ne politicky rozhodnuti jestli se neco udela nebo ne.

Právě proto je třeba toto bezpečnostního IT manažera, který by měl být na úrovni hned pod ředitelem a který by měl být brán vážně. Takový člověk si pak může dovolit se postavit i řediteli. Toto se samozřejmě netýká jen nemocnic, ale všech firem, protože všude má vedení pocit, že ta omezení jsou jen pro ty dole a oni jsou přeci nad nimi. Jenže v soukromé firmě bývají tyto choutky brzděny, protože nad ředitelem je buď nějaký dozorčí orgán, nebo je to majitel, a ten ať si dělá s firmou co chce. Největší škodu by pak totiž pocítil právě on.
Ve státním tento vzorec neplatí. Vedení stejně ví, že je šance 1:1, že půjde po volbách od válu a tak necítí takovou míru odpovědnosti za něco co není jejich a kde se peníze sypou ze státního pytle.
To radši postaví z dotací nějaký nový pavilon, ale už si nespočítají, že jeho provoz už z dotací hrazen není a oni pak nemají na to aby jej provozovali. Tak seškrtají třeba to IT. Stejně bydlej ve sklepě a tam nic nepotřebujou....

mel jsem za to, ze kdyz napr. firma vyrobi rentgen, ktery chybou pristroje upece pacienta, tak za to odpovida vyrobce. je to tak? pokud ano, pak by se prece dalo firmy zalovat za to, ze treba nechali zamerne otevreny podivny port ci napevno zadane pristupove udaje, pres ktery doslo k hacknuti. ale asi ne, protoze v USA je zvykem zalovat a tudiz uz by se zalovalo ve velkem.

Když tě upeče rentgen, tak je na žalobu pozdě.

Ale je to minimalne v CR jedinej spravnej zpusob ... ostatne, kdyz te nekdo bude prejizdet autem, tak se taky mas nejdriv nechat ozralym a sfetovanym ridicem prejet ... a teprve pak si muzes stezovat. Kdyz to udelas opacne (nebo se nedej boze rozhodnes tomu prejeti zabranit) tak za to dostanes 12 let. A zduvodni se to tak, ze prejetej si nebyl, takze ti vlastne nic nehrozilo.

Jakožto zdravotní sestra můžu jen přihlížet. IT v naší nemocnici, ač relativně na úrovni je k smíchu. Chvíli na veřejné wifi běžel Sophos, ten jsem obcházel Torem, a VPN. Ten však ale už na síti není, díky ustavičnému stěžování si personálu a tvrdých filtrech. Počítače na sesternách sic už neběží na XP'čkách, ale sposta softwaru který je proprietární je viditelně děravý, a to ani nemluvím o počítačích na specializovaných pracovištích které ještě staré děravé XP používají kvůli starým přístrojům jejichž software prostě neběží na novějších OS.
Problém je že každý nemocniční software je brán jako kdyby byl ve svém 'sandboxu' a "přece nemocnice je bezpečné místo kam se nikdo nedostane". Jenže je tomu jinak. Se strachem očekávám první únik dat pacientů (Rodná čísla, diagnózy, adresy, telefoní čísla, předepsaná medikace...) A bude to jen horší s pokrokem techniky.