Vad har hänt?
Vid jubileumskonferensen för sjukhusens IT-chefer i Berlin presenterade professor Sebastian Schinzel och Nico Brüggemann från Fraunhofer-institutet för säker informationsteknik (SIT) en krissimulering av en cyberattack mot ett fiktivt, för Tyskland typiskt sjukhus. I ett seminarium tog 23 deltagare på sig 12 roller – från IT och ledning till medicinsk chefsbefattning och vårdpersonal, samt informationssäkerhet och krisstab. Målet var att ta reda på om ett sjukhus förblir handlingskraftigt när IT-systemen helt faller bort.
Det som simulerades var inte själva tekniken, utan den organisatoriska reaktionen – med realistiska brandväggsutdrag, passande namn, domäner och nätverk samt så kallade injects, det vill säga inspelade händelser som pressfrågor eller systemavbrott.
Detaljerna
Den simulerade attacken börjar oansenligt: Genom klassisk OSINT-research (Open Source Intelligence) samlar angriparen in e-postadresser, namn, funktioner och ledtrådar om externa system via sjukhusets webbplats. Utifrån detta formuleras ett skräddarsytt phishing-mejl. I scenariot faller en IT-medarbetare med administrationsrättigheter för detta. Angriparen använder därefter VPN-åtkomsten, skannar nätverket, hittar en Exchange-server och kommer åt inloggningsuppgifter där. Från och med den punkten räknas enligt Brüggemann i princip hela Active Directory som komprometterat.
Därefter följer eskaleringen: misstänkta loggar, dataläckage, system som slutar fungera såsom sjukhusinformationssystem, röntgen- och laboratoriesystem – och till sist ett utpressningsbrev.
I övningen fungerade eskaleringskedjan från administratör via IT-chef och informationssäkerhetsansvarig (ISB) till ledningen bra, liksom tydliga principbeslut som att inte betala lösensumma och att koppla bort sjukhuset från internet. Svårare var återvägen: krisstaben blev en enkelriktad gata, information flödade in men knappt tillbaka. IT-medarbetare satt tidvis i angränsande rum utan kännedom om fattade beslut.
Ett centralt resultat gällde dokumentationen: Under övningen frågade någon efter en åtgärd som redan var beslutad – men ingen hade dokumenterat den. Även reflexreaktionen att omedelbart stänga ner allt visade sig vara problematisk: en okontrollerad nedstängning förstör forensiska spår, och det är dessutom ofta oklart vilka system som just då behövs akut, till exempel under en operation. Den bättre åtgärden är oftast riktad nätverksseparering.
När IT-systemen faller bort försvinner också osynliga processer: inskrivning, provsvar, bildarkiv, medicinering, schemaläggning, matförsörjning. I övningen handlade det därför även om budgångar, skiftbyten och pragmatiska lösningar som att betala ut löner motsvarande föregående månad, eftersom en ny beräkning inte var möjlig.
Sammanhang
Schinzel, som varit aktiv inom IT-säkerhetsbranschen i över 20 år och tidigare själv arbetat som penetrationstestare, betonade: "Jag har aldrig tidigare upplevt en sådan dynamik." Han pekade på ett möjligt framtida hot från skadlig kod som har tillgång till en LLM och anpassar sig själv – då skulle det klassiska motmedlet, att koppla bort internetanslutningen, kanske inte längre fungera, till exempel om angripare internt hittar ett grafikkort där de kan köra en liten modell.
Schinzel har egen erfarenhet från ransomware-attacken mot FH Münster 2022. Från andra drabbade högskolor hörde han hur kriser kan spåra ur: friställda IT-chefer, avdelningar som slutar prata med varandra just när kommunikation är livsavgörande.
Särskilt belysande är insikten om återställningstiden: team uppskattar ofta återgången till normal drift till dagar, men realistiskt handlar det om veckor till månader. Ett fall från Frankfurt-området, som Brüggemann känner till, tog cirka ett år att återställa till ursprungligt tillstånd – och då hade man inte ens krypterat data, utan enbart komprometterat Active Directory. Säkerhetskopior förblir visserligen oumbärliga, men löser inte problemet med en komprometterad infrastruktur.
Praktiska tips
- Organisera krisstaben som tvåvägskommunikation: det behövs personer som kontinuerligt rör sig mellan rummen och håller alla inblandade uppdaterade.
- Definiera fasta roller för protokoll och lägesbild: Vem dokumenterar beslut, vem håller åtgärdslistan, vem informerar internt och externt?
- Knyt roller till vikarier istället för namn, eftersom personer kan vara frånvarande.
- Stäng inte reflexmässigt ner allt – pröva istället riktad nätverksseparering och bevara forensiska spår.
- Förbered analoga reservprocesser för inskrivning, medicinering, schemaläggning och matförsörjning om e-post, Teams och telefoni slutar fungera.
- Planera för realistiska tidshorisonter för återställning – veckor till månader istället för enbart dagar.
Framåtblick
Simuleringarna är vetenskapligt upplagda: förlopp och beslut utvärderas, och deltagande sjukhus får en slutrapport. Fraunhofer SIT söker för närvarande efter fler sjukhus som studiedeltagare. Scenarierna anpassas i förväg via ett frågeformulär till respektive IT-miljö, men förblir jämförbara sinsemellan. Brüggemann betonade för heise online att endast med ett större antal övningar kan man i slutändan få fram tillförlitliga data. Deltagarnas återkoppling flödar därmed direkt in i vidareutvecklingen av simulering och beredskapsprocesser.
För sjukhusens IT-bransch ger övningen därmed viktiga impulser: informationssäkerhet kan inte helt enkelt delegeras till IT-avdelningen, utan berör hela organisationen – från vårdpersonal till ledning. Särskilt vid sammanslutningar med flera verksamhetsorter blir situationen snabbt komplex vid en akut händelse, som en deltagare i övningen sammanfattade det.
