Vlákno názorů k článku Jak vymýtit Windows XP ve zdravotnictví od ernie - Nějak nechápu, proč jsou tyhle věci připojený k...
-
Michal (neregistrovaný)
Protože třeba z tomografu za jediné vyšetření vylezou desítky gigabajtů dat, ty se musí někam uložit, pak prohlédnout a zpracovat zpravidla na jiné stanici v síti jiným lékařem, pak k nim musí mít přístup doktoři kteří třeba budou provádět operaci, což bude úplně jiné odělení nemocnice a někdy dokonce úplně jiná nemocnice, atd. Proto by nebylo moc praktické mít úplně oddělenou síť (air-gap) jen na tyhle přístroje..
-
Tyhle věci nejsou připojené k internetu. Jsou připojené k nemocniční síti, protože z nich potřebujete dostat data. Ať jde o RTG, EKG, nebo třeba laboratorní výsledky, všechny stroje jsou připojené k síti, a data z nich padají do nemocničního informačního systému, ke kterému přistupuje zdravotnický personál z PC, notebooků a tabletů.
Problém je v tom, že desktopová PC v té nemocniční síti mají přístup na inet. Takže sestra v noci na sesterně kouká na videa koček na Facebooku, a sanitář sjíždí videa kočiček na pornhubu. Browsery mají stovky zranitelností ročně, a pokud někdo ze zaměstnanců špatně klikne, infikuje se daný počítač, a z něj se infekce dále šíří jak na systémy ke kterým má aktuálně přihlášený uživatel práva, tak na nezáplatované systémy. Dalším vektorem je email. Nemocnice mají spoustu zaměstnanců (třeba VFN přes 5000), a spousta z nich má email. Když někdo z nich klikne na špatný link z mailu, nebo otevře zavirovanou přílohu, tak opět může dojít k infikování stroje a následnému šíření té infekce. Pak jsou tu notebooky které se mohou nakazit mimo pracoviště, nakažené klíčenky které může někdo přinést zvenku, a samozřejmě WiFi. Plus nezapomínejte na fyzickou bezpečnost: prakticky kdokoliv může do areálu vnést počítač a fyzicky ho připojit k síti. To jsou takhle z hlavy největší problémy.
Pokud se infekce začne šířit mezi počítači, tak si často najde cestu i k těm neaktualizovaným počítačům.
Samozřejmě se dá problému do jisté míry předcházet: aktualizovat SW, vynucovat antivirus a firewall na počítačích, rozdělit síť na vhodně definované segmenty a oddělit je firewally, proškolit uživatele, atd. Jenže za nemocniční plat moc IT odborníků nenajdete. O ty opravdu dobré se perou soukromé firmy a nabízejí jim úplně jiné platy, takže na nemocnici zbydou často ti slabší a méně motivovaní (čest výjimkám). Pak jsou tu omezené rozpočty na IT. A nakonec: malware je dneska dost drsný a nepromíjí ani malé chyby. Když se to "vhodně" sejde a útočník zaútočí na velikou spoustu nemocnic, bylo by skoro překvapení, kdyby to ani jednou nevyšlo.
-
kolemjdoucí (neregistrovaný)
Tak jednoduché to není, aby VLANy řešily oddělení provozu. Navíc komunikace přístrojů s informačními systémy nemocnic často končí na použití MS sdílení, takže se pak v případě VLAN stejně musí CIFS protokol routovat a díra ve Windows v CIFS šíření útoku i při oddělených VLANech nezabrání. Tož tak.
-
M. (neregistrovaný)
Upřimně, to samo o sobě nefunguje. Ani když to chráněné PC je odděleno od okolního světa, izolovaná nepropojneá síť, 3x 2 metry betonu zdi, vstup jen cca desítka osob (většinou IT dost dobře znalých osob) z personálu cca 2000 lidí a i v této síti radostně řádí viry a další bordel donesený přes USBčka na těch W2K/NT4 stanicích (pravda, ta pro funkci pdostatná část IT na bázi DEC alpha serverů s VMS asi je Windows breberkám odolná).
-
M. (neregistrovaný)
Ano, to je další možnost skládačky. V podsatě na špitály v hledání podobných věcí bude tlačit i slavné GDPR a pak zákon o kybnetické bezpečnoti (pro špitály s větším počtem pacoušů a dat).
Že povolím zaměstancům jejich počítače a půjdou vyhrazenou sítí ven, podobně jako mám pak třeba vyhrazenou síť pro pacienty (aspoň do doby, než nám EU hodí na hlavu odpovědnot provzovatele za data tekoucí neveřejnou sítí, kterou provozuje). Plus pak musím ještě pořešit napájení těch počítačů a jejich revize. :-)
Ale aktuální realita v řadě špitálů je taková, že se z té guest sítě pro pacoše dostanu i k vnitřním věcem. :-(
A i těch soukromých firem, kde by to bylo takto pěkně a funkčně odděleno moc neznám, a to mají IT zdroje n jiném levlu, než provinční nemocnice. -
M. (neregistrovaný)
Jakmile svému zaměstnanci dovolím, aby si přinesl svoje zařízení, které se připojí do elektriky (ať už je to nabíječka na mobil, notebook, rádio, ...), tak se stávám odpověný já za to elektrozařízení, že je v pořádku. Musím ho zaevidovat, kontrolovat, revidovat, ...
Pokud dojde k průseru, od nabíječky zaměstance bafne firma a způsobí to škodu, tak odpovědnost jde za mnou. Taková jest legislativní realita...
Proto řada firme zakazuje soukromé elektrospotřebiče svým zaměstancům.A vedle elektro se nám a rok zkomplikuje tato situace i z pohledu zprcovávání osobních dat. Pokud zaměstnanci povolím používat jeho vlastní prostředky tak, že na nich bude pracovat s osobními údaji, tak daný prostředek musí být pod kontrolou a správou firmy, a to i vpřípadu blbého soukromého mobilu (ale to se týká firem dovolujícíh BYOD a ne zde aktálně řešené varianty, kdy jeho placatku chci chvályhodně oddělit od "firemního/špitálního").
Ano, je to diletansví, které zcela zapdá do kontextu článku. Takže pak nějaký virus je pk už jen vrchol.
-
M. (neregistrovaný)
Protože legislativa nařizující nakládání s elektro zřízením existuje desítky let a při průseru je to vidět, je to občas kontrolováno, tak to některé firmy řeší (a velká část neřeší, protože netuší, že něco řešit má, dokud to někoho nepřizabije).
Legislativa ohledně zacházení s datovou sítí a IT přitom fakticky neexistuje (vyjma obecných předpisů), respektive vzniká až v poslední době a v provozu se to objeví až časem (snad) - např. zmíněné zákony o kybernetické bezpečnosti a GDPR minimálně. Také při průseru to není tak rychle vidět a lepe se to tutlá, než hořící firemní sídlo. Mrtvej pacient se svede na něco jiného, než že ho usmažil hacknutý RTG. :-)
Takže toto bude chtít čas. Zmíněný GDPR bude celkem problém, tam nejvíc to dopadne na zdravotnictví a pojištováky. A nejsem si jist, zda na to budou mít, pokud např. Škodovka bokem říká, že respektování GDPR v jejich IS/procesech bude dle odhadu zatím snad v řádů desítek-stovek MKč, a to neskladují vyložene zvlášť chráněná data, která jsou ve zdravotnictví...
-
Trident (neregistrovaný)
To zarizeni prinesl zamestnanec nebo pacient proti vnitrnim predpisum a tudiz nedoslo k pochybeni zamestnavatele. Tak se to vysvetli bezpecakovi/revizi, vyda se naoko pokarani zamestnanci ( tj. problem vyresen) a normalne se to u koncoveho zamestnance prehledne). Tohle je minimalni prestupek proti predpisu ktery je nanic.
Pred inspekci(vetsinou jsou ohlasene) se rekne sestram at vyndaji schovaji nabijecky na mobily.V ceskych nemocnicich mne irituje spise diletantstvi ze nikdo sestram nevysvetli rozdil mezi zalohovanymi zasuvkami,nezalohovanymi a pak zasuvkami ktere jsou jeste za nemocnicnim oddelovacim trafem. Toto je dulezita vec ktera cloveku muze zachranit zivot.
Nemocnice jsou obvykle produkty brutalismu a tam chyti maximalne papiry v kosi a ta nabijecka tak vyhodi jistic nebo jen blafne.
Oba dva vime ze tento predpis je k nicemu a bezne by to resily vyhrazene zasuvky nebo uzamykatelna charging mista. Zas se snazime byt papezstejsi nez papez. CR a Nemecko ma nejslozitejsi legislativu co se elektra tyce. -
j (neregistrovaný)
2Trident: Az na to, ze ty jako zamestnavatel musis zajistit, ze takove zarizeni nikde nepripoji. A je zcela na tobe jak to udelas, to nikoho nezajima. Takze vymluv si muzes vymyslet kolik chces, ale nesplnil si svoji zakonnou povinost = tvoje vina.
Totez plati trebas o pouzivani prileb a dalsich ochranych pomucek, leckdo si mysli, ze staci kdyz to peoni podepisou ... jenze pokud neni schopen dolozit, ze taky trval na tom ze to dodrzovat a nosit budou, tak jde opet pripadnej smrtak za nim - a nikoho nezajima ze ta prilba by byla stejne hovno platna kdyz na nej spad dvoutunovej kus cehosi.
-
wsh (neregistrovaný)
To může říct jen teoretik, který to nezkoušel v praxi. Já jsem zažil na nejmenovaném úřadě, kde pracují s bezpečnostně citlivými údaji, že podle podobných pravidel (tuším od NBÚ) měli vyhrazený certfikovaný počítač. Je to 2-3 roky zpátky a bylo to staré PC s CRT monitorem, na které se prášilo, ale muselo tam být. V praxi se stejně používali na běžnou práci normální počítač a smartphone.
Kdo viděl, jak složité systémy musí používat dnešní doktoři, i když jsou to třeba lidi v důchodovém věku, těžko může po nich chtít, aby si prohlíželi rentegeny na jednom PC a pak třeba psali zprávy na jiném. Zvlášť když samozřejmě nejde o porno, ale online je spousta odborných informací.
-
I kdybyste ochránil samotné stroje s WinXP, v takovémto scénáři stejně jen zmenšujete škody. (Ano, lepší než nic.) I koncové počítače budou mít přístup k zajímavým datům. Jen by se malware na CT dostal jen k datům z CT a ne k datům z RTG.
Pomohl by tu vhodně nakonfigurovaný QubesOS. Není problém nechat otevírat linky z mailu v DispVM, u příloh by to asi taky šlo vynutit, atd. Útočník by pak možná něco vyphishoval nebo ukradl credentials ke zmíněnému Facebooku, ale to je tak všechno.
Praktický problém ale je, jak spravovat hromadu strojů s QubesOS. To by si vyžádalo nějakou customizaci, která by ale stála nějaké peníze.
-
nemo (neregistrovaný)
Digitalny rengen alebo MR generuje snimky ktore sa niekde musia ukladat, v nudzovom pripade sa vypalia na konzole na cd/dvd ale pri vecsich nemocniciach sa pouzije PACS server. Aj koli tomu ze nejaky lekar musi ten snimok popisat a moze sediet niekde inde alebo aj komplet mimo nemocnice. Stale ale kopec tychto zariadeni, respektive vyrobcovia , pozaduju pripojenie do internetu koli remote diagnostike pripadne rovno prihlaseniu. Ono to je aj financne a casovo vyhodnejsie pre nemocnicu - nieco sa pose*ie na CT a ak je to nieco na konzole, neprechadzaju snimky atd, tak sa vzdialene pripoji technik a skontroluje to, co stoji menej ako keby mal do tej nemocnice spravit vyjazd, nehovoriac o casovom hladisku.
-
Petr M (neregistrovaný)
Jenomže na tu správu a diagnostiku se může technik dostat třeba pomocí VPN, nemusí mít krabici s defaultním admin/admin a deset let starým firmwarem vystrčenou na veřejnou IP adresu. A oddělit WiFi pro pacoše, pracovní LAN a přístrojovou LAN na každým oddělení a firewall mezi odděleníma jsou snad základ.
A na ransomware je jeden zaručený lék,co zabírá jak paralen na zvýšenou teplotu. Čerstvá offline záloha.
-
karel (neregistrovaný)
No k te zaloze, IT by i chtělo ale zde často bývá problém ve financích, a to nejen v nemocnicích ale obecně lidé nechápou proč mají platit za krabičky které v lepším případě nikdy nepoužijí. A tam kde to chápou, se i tak kroutěj kvůli ceně. A často mají přednost jiné věci, třeba nový koberec do kanceláří.
-
Adam KaliszStříbrný podporovatelOpravdu kvalitní backup nestojí moc, prakticky jen hardware a nějaké znalosti. Mrkněte se na Baculu nebo Bareos.
-
Anonym (neregistrovaný)
Vidíte to příliš jednoduše. Technik firmy Rentgen a spol. by musel mít pro všech 150 nemocnic, kterým firma prodala krabici, 150 různých VPN účtů se 10 různými klienty. A pak by jeho práce byla "drahá". K tomu v nemocnici Praha se na VPN mění heslo každých 14 dnů, v nemocnici Prdelkovice nad Bebravou každé 3 týdny. A tady končí sranda. Výrobce vidí bezpečnost svou optikou: nezajímá mě, vyrábím krabičky na prosvětlování lidí. Ano, řešení to má, ale jak bylo uvedeno jinde, platy v nemocničním IT nelákají, investice do IT se bere jako nutné zlo, takže dokud nebude opravdu masívní průšvih, který donutí management investovat nejen do IT techniky, ale i do IT lidí, tak tu jen řešíme kvadraturu kruhu :(
-
SB (neregistrovaný)
Ani jedno, co jste uvedl, není argumentem. Jestli je pro firmu, která si naúčtuje za JEDEN rentgen desítky milionů, problém vést JEDEN účet na VPN, tak taková firma ať jde do piči. Předpokládám, že celá nemocnice nepoužívá jedinou VPN, pak je u dané VPN otázkou bezpečnostní politiky změna hesla.
-
. . (neregistrovaný)
je někde bezpečnostní problém, strč tam VPN, to jsou asi nejčatější rady v diskuzích. To ale nic neřešní, nemocnice nemají problém v přístupu do sítě z venku nebo odposloucháváním komunikace uvnitř sítě, největší problém je v přístupu k jednotlivým službám, když už jsem uvnitří sítě, mám skoro neomezené možnosti a jednotlivé služby nejsou řádně zabezpečeny, používají se protokoly, které mají slabiny atd.
-
Adam KaliszStříbrný podporovatel
Existuje i něco, co umožňuje pouze P2P komunikaci. Např. FUDO od Wheel Systems http://www.wheelsystems.com/en/products/wheel-fudo-psm/ s čímž mám osobně dobrou zkušenost. Můžete se dokonce jako admin např. i podívat na záznam komunikace, nebo s externím dodavatelem živě řešit nějaký problém, prostě se připojíte do streamu např. RDP nebo SSH. Ano, provoz to v podstatě rozbalí, podívá se dovnitř a zase zabalí. Celé je to postavené na FreeBSD a vyvíjí to v Polsku. Pro administrátory docela požehnání.
-
Anonym (neregistrovaný)
To je problém. Nevedete JEDEN účet, vedete jich 150, a každý má jinou politiku podle toho, jaký admin v dané nemocnici zrovna pracuje. K tomu bonus, ta VPNka se nepoužívá denně, jen pro údržbu (čti průser), takže admin v Prdelkovické nemocnice smaže dlouho nepoužívaný VPN účet a příští měsíc se objeví problém, ale technik se už na ten rentgen nedostane.
A o tom to bohužel je. Pracuji ve firmě, kde bereme bezpečnost vážně. Desítky dodavatelů. Technicky naprosto žádný problém dát dodavateli VPNku. Jenže, z důvodu bezpečnosti buď jednorázové heslo, takže dodavatel obratem ztratí klíčenku. Nebo námi vlastněný notebook, pro změnu ten když se dlouho nepřihlásí do sítě, tak z bezpečnostních důvodů jej AD odmítne. No, takže ve finále stejně je přístup pro diagnostiku přes sdílení plochy. A zde, aby opravdu byla sranda, tak je to přes Skype, Webex, Logmein, Zoom, SecureMeeting, a to jsem si vzpomněl jen na poslední týden. Kupodivu zatím nikdo nechtěl Teamviewer nebo Hangouts, ale otázka času :)
-
j (neregistrovaný)
Tak nejak, zrovna sem nahazoval zakaznikovy novej web ... na nic se neptal, s nikym to nekonzultoval, pozadavak byl jen tohle bude odted nas web ... mno coz, forwardnul sem DNS tam kam chtel, a dal to resit nebudu.
Dusledky (ty o kterych vim a na ktery sem upozornoval) nekolik dalsich webu sosalo data z toho puvodniho = nefunckni. web jako takovej vypada a (ne)funguje v kazdym browseru jinak (typicka zprasopatlanice plna js).
Pocitam ze ITk v nemcnici funguje uplne stejne = objednali sme novej rengen, bude treba ho zapojit ... ono to neumi ssl? ... Smlouva je podepsana, vec objednana ... => ITk pokrci rameny a zapoji to.
A pak se v TV zvanilove prsej tim, jak je treba najmout nejakyho dodavatele (za par miliard) kterej udela nejakej ten bezpecnosti audit (za dalsich par miliard) aby se zjistilo to, co vi i uklizecka, ze ta bezpecnost stoji zahovno.
-
Petr M (neregistrovaný)
Kdo chce, hledá způsoby, kdo ne, hledá důvody.
Tak se prostě do serveru, na který to ukládá foty, lupne další síťovka a mašina jde za ni. Server má plnou kapacitu linky na komunikaci s mašinou (už jenom tím se dá investice do karty odůvodnit), je aktualizovaný a nebezpečnou infrastrukturu si pohlídá routovací služba a firewall na něm.
-
Souhlas. A ještě drsnější je to, že řada VPN potřebuje specifické klienty. Routery bývají často neaktualizované a/nebo poslední dostupná verze VPN klientů nepodporuje nové klientské OS. Instalace více VPN klientů na stejný stroj občas rozhodí síť takže nefunguje... U nás to řešíme pomocí VM, do kterých se ten VPN crapware instaluje.
-
Trident (neregistrovaný)
Desitky milionu nejsou ve zdravotnictvi zadne penize. Ty jako zakaznik si muzes vybrat maximalne ze 4 vyrobcu z nichz 3 z nich splnuje medicinske nalezitosti ktere potrebujes. A posledni z nich je vyrobce s vyvojem v cine bez certifikaci pro EU/CR.
A zadny z nich nesplnuje bezpecnostni kriteria protoze ty priority jsou v tech normach trochu jinde.
Nevim kde zijes. Fakt jak nekdo muze byt takhle hloupy a myslet si ze ve zdravotnictvi si vyberes z x vyrobcu a x typu a jeste si muzes diktovat.
Desitky milionu nejsou zadne penize. Tolik proplanuju na nasem IT kazdy den a jsem jenom lepe placena lopata. -
petr (neregistrovaný)
Tohle je problem obecne a spital je v tom vicemene nevine.
Predstavte si ze pro svoji praci potrebujete stroj ktery umi dva ci tri vyrobci na svete. Samozrejme ze vam ho vsechni nabidnou i s komplet servisem jehoz soucasti je vzdalena sprava/dohled. A kupodivu vzdy je to o otevrenem portu - nejcasteji rdp / http / https / vnc . Pokud date pozadavek na vpn pristup , tak vam zdvorile reknou ze toto nepodporuji a pri debate s jejich ITkem se dozvite , ze je to pro ne neresitelny , protoze tech zakazniku maji nekolik desitek/ stovek a vpn klientu je nekolik desitek a vetsina se na jednom compu vzajemne nesnese ( namatkou checkpoint / cisco ) . Pokud je to pro vas problem , ten otevrenej port, tak to muzete omezit na jejich IP adresy (ale nekdy ne ) a jinak ze taky samozrejme muzete jit jinam. Jinde se ale setkate s naprosto stejnym pristupem ...
Posledni trend je, ze nekteri vyrobci zacali do siti svych zakazniku davat svoje "servisni stanice" . Ve skutecnosti to je nejcasteji PC s RedHat/debian nebo windows a OpenVPN klient udrzuje permanentni vpn tunel k nim do site. K teto stanici nemate vubec zadny pristup a tato stanice _musi_ mit konektivitu do netu. O zabezpeceni tohoto stroje si nedelejte iluze ....
-
Petr (neregistrovaný)
K masine vas nepusti , neb ji maji ve sve sprave , k "servisni stanici" vas nepusti neb ji maji ve sve sprave. To je dnesni realita. Pokud lze realizovat dedikovanou VLAN a paranoidni FW mate relativne vyhrano. Pokud je servisni konzole a UI na jednom eth rozhranni a neumi vlan , mate smulu. Potkal jsem bohuzel oboji ...
-
Petr M (neregistrovaný)
Nemocnice je zodpovědná za osobní data pacošů i za vlastní chod a pověst. Navíc nemocnice je ta, kdo platí a tím určuje pravidla.
Nastaví si interní směrnici pro servis IT a dá podmínku jejich dodržování do VŘ a hotovo. Teda pokud je vůle ze strany vedení a není to jako před lety upgrade znojemskýho CT...
-
Trident (neregistrovaný)
Presne tak to ma ale kolega ze storage solutions oddeleni. Plny pytlik ruznych tokenu a karticek. Pak to samozrejmne zdrzi reseni problemu protoze vetsinou login uz za pul roku nefunguje. U vojaku primy pristup neni, rekne se co maji udelat a oni to udelaji. Worst case se muzou poslat dva provereni lide. Jim se vyplati koupit vsechno 2x.
ČLÁNKY DO MAILU