Jak vymýtit Windows XP ve zdravotnictví

Nemíním rozebírat podhoubí celého útoku, kdy na úplném počátku stály tajné služby USA a jejich zacházení se zranitelnostmi různých softwarů. Nebudu se příliš zaobírat ani únikem dat tajných služeb a tentokráte včasnou a upřímnou snahou Microsoftu zalepit díry v nepodporované verzi Windows. Nicméně bych rád prodiskutoval roli Windows XP ve zdravotnictví, neboť podobná situace panuje zřejmě v celém rozvinutém světě a od Spojeného království se (s určitou nadsázkou) lišíme jen mírou propojení zdravotnických přístrojů se sítěmi.

Windows XP a jeho role

Nemocnice a poskytovatelé zdravotních služeb pod hlavičkou National Health System (NHS) ve Spojeném království dlouhou dobu používali Windows XP. Ještě v minulém roce společnost Citrix zjistila, že 90 % počítačů NHS jede na Windows XP, v té době již několik let nepodporované verzi Windows.

Jakmile se tedy v květnu letošního roku přehnala smršť malwaru, která ochromila velkou část britského zdravotnického systému, zdálo se být zprvu nad slunce jasné, že za to může právě nečinnost a laxní přístup k aktualizacím.

Ve skutečnosti však dle NHS Digital počet zařízení běžících na Windows XP klesl na necelých pět procent. To je stále dost, ale od loňska se jedná o výrazný pokrok. Kde se tedy stala chyba?

Problematické aktualizace ve zdravotnictví

Ve zdravotnictví se bohužel nejedná jen o počítače. Jedná se také o přístroje, které v sobě mají zabudovaný firmware – a ten nezřídka běží právě na Windows XP. Do této skupiny patří ultrazvukové přístroje, rentgenové přístroje, výpočetní tomografie, magnetické rezonance, monitorovací přístroje na jednotkách intenzivní péče a urgentních příjmech a podobně.

Aktualizace firmwaru na těchto zařízeních je problematická, výrobce často u starších přístrojů žádné záplaty nevydává, nemluvě o tom, že XPéčka zkrátka již žádnou podporu nemají.

Dalším problémem jsou však i menší přístroje. Pokud jste upgradovali osobní počítač třeba na Windows 10, možná jste se setkali s tím, že vám třeba přestala fungovat tiskárna. Ve zdravotnictví jsou k počítačům připojena i jiná zařízení, třeba elektrokardiografy, elektroencefalografy a další měřicí stanice. K tiskárně časem uživatel najde na internetu nějaký ovladač či workaround, aby mu zařízení opět fungovalo i na novějším operačním systému. U zdravotnických přístrojů takové řešení nepřichází v úvahu. Na počítači, který ovládá tyto měřicí přístroje, tedy musí Windows XP zůstat, dokud výrobce (který, ruku na srdce, mnohdy již neexistuje) nevydá aktualizaci ovladačů.

Update či aktualizace systémů ve zdravotnictví je tedy velmi složitá a i když se podaří dílčí úspěch, tj. vymýtit nepodporované systémy z počítačů, často ještě zůstává dost velký pool zařízení, která aktualizována zkrátka nejsou či ani být aktualizována nemohou.

Jak situaci řešit?

NHS se z opakovaných útoků snad poučil (připomeňme, že výpadek IT systému jej postihl i loni) a vydal několik doporučení, jak zajistit optimální bezpečnost dat. I když díky snaze NHS od minulého roku klesl podíl zařízení s Windows XP na zlomek, ukázalo se, že i tato malá část může způsobit velké problémy.

Takových útoků však bude přibývat, jak příhodně poukázal doktor Krishna Chinthapalli ve svém článku The hackers holding hospitals to ransom v britském časopise The BMJ jen pár dní před masivním útokem. V článku poukazuje na to, že vydírání nemocnic může být dobrý byznys a dokonce některým hackerským skupinám se vyplatí provozovat jakousi zákaznickou podporu, kde na otázky napadených obětí odpovídají a radí, jakým způsobem výkupné zaplatit. Navíc nemocnice často o svém napadení mlčí, dokud mohou, protože zveřejněním útoku se dostávají do nevýhodné situace. Jednak jsou morálně i finančně zodpovědné za únik velmi citlivých dat a jednak je taková událost může na dlouhou dobu zbavit dobré pověsti.

Jako proroctví pak zní Chinthapalliho poslední věta článku, která říká: We should be prepared: more hospitals will almost certainly be shut down by ransomware this year. A tak se také stalo, přestože výjimečně útok nebyl cílen přímo na nemocnice a přestože hackeři z akce výjimečně odešli s téměř prázdnými bitcoinovými peněženkami.

Jak jsme si ukázali, problémy mohou být na obou stranách. Jednak na straně nemocnic a ambulancí, které často nemají dostatečnou kapacitu IT odborníků na to, aby byly systémy udržovány aktuální. A jednak na straně výrobců, kteří mnohdy aktualizace buď nevydávají vůbec, nebo sice vydávají, ale jen po určitou dobu životnosti přístroje. A to je ve zdravotnictví, kde se přístroje udržují při životě, dokud se takřka nerozpadnou, málo. Vymýcení nepodporovaných systémů vyžaduje spolupráci, snahu a aktivní zapojení obou stran.