Što se dogodilo?
Na jubilarnoj konferenciji voditeljica i voditelja bolničke informatike u Berlinu, prof. Sebastian Schinzel i Nico Brüggemann s Fraunhoferovog instituta za sigurnu informacijsku tehnologiju (SIT) predstavili su simulaciju krize vezanu uz cyberanapad na fiktivnu bolnicu tipičnu za Njemačku. U sklopu seminara 23 sudionika preuzelo je 12 uloga – od IT-a i uprave, preko medicinskog i njegovateljskog vodstva, do informacijske sigurnosti i kriznog stožera. Cilj je bio utvrditi ostaje li ustanova sposobna za djelovanje kada IT potpuno otkaže.
Pritom nije simulirana sama tehnika, nego organizacijska reakcija – s realističnim izvodima iz vatrozida, odgovarajućim imenima, domenama i mrežama te takozvanim „injectima“, odnosno umetnutim događajima poput upita medija ili ispada sustava.
Detalji
Simulirani napad počinje nespektakularno: klasičnim OSINT istraživanjem (Open Source Intelligence) napadač putem bolničke internetske stranice prikuplja adrese e-pošte, imena, funkcije i tragove o vanjskim sustavima. Na temelju toga oblikuje se prilagođena phishing poruka. U scenariju na nju nasjeda djelatnica ili djelatnik IT-a s administratorskim ovlastima. Napadač potom koristi VPN pristup, skenira mrežu, pronalazi Exchange poslužitelj i s njega ukrade pristupne podatke. Od te točke, prema Brüggemannu, praktički se cijeli Active Directory smatra kompromitiranim.
Slijedi eskalacija: sumnjivi zapisi, curenje podataka, ispad sustava poput bolničkog informacijskog sustava, radiologije i laboratorijskih sustava – te konačno poruka s iznudom.
U vježbi je lanac eskalacije od administratora, preko voditelja IT-a i službenika za informacijsku sigurnost (ISB), do uprave dobro funkcionirao, kao i jasne načelne odluke poput neplaćanja otkupnine i odvajanja ustanove od interneta. Teži je bio povratni put: krizni stožer je postao jednosmjerna ulica, informacije su ulazile, ali se gotovo nisu vraćale. Zaposlenici IT-a dijelom su sjedili u susjednoj prostoriji bez znanja o donesenim odlukama.
Jedan ključan rezultat odnosio se na dokumentaciju: tijekom vježbe netko je pitao za mjeru koja je već odavno bila dogovorena – samo što ju nitko nije zapisao. I refleksna reakcija da se sve odmah isključi pokazala se problematičnom: nekontrolirano gašenje uništava forenzičke tragove, a osim toga često nije jasno koji su sustavi upravo nužno potrebni, primjerice tijekom operacije. Bolja mjera obično je ciljano odvajanje mreže.
Ako IT ispadne, prestaju funkcionirati i nevidljivi procesi: prijem pacijenata, nalazi, arhiva snimki, terapija lijekovima, raspored smjena, opskrba hranom. Stoga se u vježbi raspravljalo i o dostavi poruka glasnicima, smjenama i pragmatičnim rješenjima poput isplate plaća u visini prethodnog mjeseca, budući da nije bilo moguće ponovno izračunati iznose.
Kontekst
Schinzel, koji je više od 20 godina aktivan u IT sigurnosnoj sceni i prije je radio kao penetracijski testator, istaknuo je: „Takvu dinamiku dosad nisam doživio.“ Upozorio je na moguću buduću prijetnju od malwarea koji pristupa LLM-u i sam se prilagođava – u tom slučaju ni klasična protumjera, prekidanje internetske veze, vjerojatno više ne bi bila dovoljna, primjerice ako napadači interno pronađu GPU na kojem mogu pokrenuti manji model.
Schinzel ima i osobno iskustvo iz ransomware napada na FH Münster 2022. godine. Od drugih pogođenih visokoškolskih ustanova čuo je kako krize mogu izmaknuti kontroli: smijenjeni voditelji IT-a, odjeli koji prestaju komunicirati baš onda kada je komunikacija ključna za opstanak.
Posebno je informativna spoznaja o vremenu potrebnom za oporavak: timovi povratak u normalan rad često procjenjuju na dane, no realno su potrebni tjedni do mjeseci. Jedan slučaj iz okolice Frankfurta, koji Brüggemann poznaje, trebao je oko godinu dana za povratak u prvobitno stanje – pritom podaci nisu bili ni šifrirani, već je samo Active Directory bio kompromitiran. Sigurnosne kopije ostaju nezaobilazne, ali ne rješavaju problem kompromitirane infrastrukture.
Savjeti iz prakse
- Organizirati krizni stožer kao dvosmjernu komunikaciju: potrebni su ljudi koji neprekidno kruže od prostorije do prostorije i sve sudionike drže u tijeku s aktualnim stanjem.
- Definirati jasne uloge za vođenje zapisnika i pregled situacije: tko dokumentira odluke, tko vodi popis mjera, tko informira interno i eksterno?
- Uloge vezati uz zamjenske osobe, a ne uz pojedina imena, jer ljudi mogu ispasti iz stroja.
- Ne gasiti sve refleksno – umjesto toga provjeriti ciljano odvajanje mreže i sačuvati forenzičke tragove.
- Pripremiti analogne rezervne procese za prijem pacijenata, terapiju lijekovima, raspored smjena i opskrbu hranom u slučaju ispada e-pošte, Teamsa i telefonije.
- Planirati realistične vremenske okvire za oporavak – tjedne do mjesece umjesto samo dana.
Izgledi za budućnost
Simulacije su znanstveno koncipirane: tijek događaja i odluke se analiziraju, a ustanove sudionice dobivaju završno izvješće. Fraunhofer SIT trenutno traži dodatne bolnice za sudjelovanje u studiji. Scenariji se unaprijed prilagođavaju odgovarajućem IT okruženju putem upitnika, ali ostaju međusobno usporedivi. Brüggemann je za heise online istaknuo da se pouzdani podaci mogu dobiti tek s većim brojem vježbi. Povratne informacije sudionika izravno se ugrađuju u daljnji razvoj simulacije i procesa za izvanredne situacije.
Za sektor bolničke informatike vježba time donosi važne poticaje: informacijska sigurnost ne može se jednostavno prepustiti IT odjelu, već se tiče cijele organizacije – od njege do uprave. Posebno kod udruženja s više lokacija situacija u slučaju stvarne krize brzo postaje složena, kako je zaključila jedna sudionica vježbe.
