Cyber Vs. Récupération de la catastrophe de reprise: comment les systèmes de santé se préparent-ils au pire
Cela a commencé avec un faux compte.
Pendant la pandémie Covid-19, la majeure partie du réseau de santé de l’Université du Vermont a déménagé dans une œuvre lointaine. La fille de l’employée a reçu E -mail, qu’elle croyait être venue de l’association de sa maison. Quand elle n’a pas pu ouvrir l’attachement, elle l’a remise à sa mère, qui l’a ouverte sur son ordinateur de travail, puis a ensuite rejoint le VPN du système médical.
De même, l’organisation a été exposée à des ransomwares.
“Vous n’avez pas l’occasion de voir comment cela se passe entre les systèmes et essayez de l’arrêter”, explique Nate Couture. “Tout le monde descend. Nous avions 1300 serveurs qui se déplaçaient sur une portée de 15 minutes.”
Des incidents, tels que les attaques de ransomwares en octobre 2020 contre l’un des plus grands systèmes de santé du Vermont, obligent les dirigeants informatiques à faire face à la différence entre le rétablissement du cyber et la reprise. Les plans traditionnels de DR supposent que les organisations peuvent rapidement réinitialiser les systèmes à partir des avancées et restaurer les opérations. Les cyber-incidents, cependant, nécessitent une approche fondamentalement différente, tandis que les organisations de santé utilisent parfois des systèmes temporaires de semaines lorsqu’ils reconstruisent leur environnement.
“La récupération traditionnelle après une catastrophe signifie revenir à la normale des incidents physiques et environnementaux”, explique Lee Kim, responsable de la cybersécurité et de la vie privée à HIMSS. “La récupération d’un cyber-incident signifie de retourner à des incidents normaux de cybersécurité. Ce sont des choses intangibles qui ne sont généralement pas dans notre supervision, si nous ne les recherchons pas.
Cliquez sur la bannière ci-dessous Lisez le récent rapport de recherche sur la cybersécurité de la CDW.
Fournir des soins au milieu de la crise informatique
L’attaque contre le réseau de santé de l’Université du Vermont a révélé un écart critique – et extrêmement courant dans la stratégie de préparation. Bien que le système de santé ait eu les procédures de problèmes informatiques de routine, ces plans ont été conçus pour convenir aux pannes qui ne durent que quelques heures ou peut-être des jours. Mais avec un système d’enregistrement électronique épique de hors ligne pendant quatre semaines, les solutions papier se sont rapidement révélées insuffisantes.
“Il existe certains services cliniques où il n’y a pas de plan de temps d’arrêt”, explique Couture. “Vous pouvez faire un cartographie des patients sur papier et vous pouvez faire beaucoup de vos salles de soins et de soins ambulatoires régulières sans un grand nombre de technologies. Mais vous ne pouvez pas faire de radiation en oncologie sans la technologie qui le soutient.”
Pour un incident typique pour une catastrophe, l’organisation fermerait simplement le traitement radiatif oncologique jusqu’à ce que les systèmes reviennent en ligne et rencontreraient plusieurs réunions dans ce processus. Mais avec les systèmes pendant des semaines, ce serait une lacune inacceptable dans les soins, donc Couture et son équipe ont construit un environnement intérimaire isolé qui a permis de poursuivre le traitement du cancer, même si les équipes ont couru pour terminer l’analyse médico-légale et la restauration. Ils ont également construit la version hors ligne du DSE dans le système médical DSE, connecté directement à certains ordinateurs et imprimantes de bureau, et ont fourni des impressions de médecins cliniques de données sur les patients.
Informations supplémentaires: L’observabilité améliore le système informatique et favorise les soins aux patients.
En plus de renouveler les systèmes, l’hôpital a dû remplacer 5 500 points de terminaison menacés et mettre en œuvre de nouveaux outils de sécurité au milieu de la crise. La réaction comprenait le déploiement de la plate-forme Falcon EDR Crowdstrike, la migration pour les sauvegardes inchangées de la section et le partenariat avec le ZSCaler pour la visibilité de la sécurité du cloud, lorsque le site sur site de l’outil a échoué.
Les nouvelles solutions, par exemple Couture, ont mis le système de santé dans une meilleure position pour empêcher les attaques répétées – et récupérées rapidement si elles apparaissent.
“Nous sommes dans un combat où vous ne reviendrez jamais pour frapper”, dit-il. “Votre tâche consiste à essayer de ne pas intervenir, de pouvoir faire un coup si vous vous frappez et de reculer du coussin lorsque vous descendez.”
Préparation des temps d’arrêt prolongés
Depuis 2018, le Memorial Hermann à Houston a régulièrement effectué des exercices de ransomware pour évaluer comment l’organisation continuerait de fournir des soins aux patients si l’attaque réduisait les systèmes pendant une période plus longue.
“Lorsque nous l’avons fait pour la première fois, nous avons amené nos équipes de gestion exécutive et nos opérations cliniques”, explique Ciso Randy Yates. “Nous avons demandé ce qui se passerait si nous avions une attaque et que nous ne pouvions pas utiliser certains systèmes informatiques:” Que se passerait-il si elle disparaissait si vous ne pouviez pas imprimer si vous ne pouviez pas scanner? “
Yates et son équipe pensaient qu’il était nécessaire de construire les outils et les processus de cyber-résistance pour aider les équipes cliniques et opérationnelles à faire constamment leur travail, même si le réseau a chuté pendant plusieurs jours ou semaines.
DÉCOUVRIR: Les organisations de santé ont besoin d’une stratégie de cyber-résistance qui soutient le succès.
La pratique rend parfaite pour la cyber-résistance
Adam Lee, directeur de la gestion des urgences et de la résistance organisationnelle dans Memorial Hermann, a dirigé deux ans pour cartographier les processus critiques entre les départements et a identifié ce dont chaque zone a besoin pour maintenir les opérations pendant 30 jours que quelques heures.
Le système de santé a également commencé à effectuer un exercice technique de l’équipe rouge / équipe bleue, où des tiers tentent de vérifier les attaques contre les compétences de surveillance des tests. Ces exercices ont aidé à clarifier ce que l’organisation pourrait faire pour un meilleur soutien à la cyber-résistance après l’attaque.
“Parfois, il utilise les outils que nous avons”, explique Yates. “Mais nous avons réalisé que dans certains cas, nous avions besoin de nouvelles compétences.”
