Больницы недостаточно подготовлены к киберкризисам, связанным с водой

Системы здравоохранения могут оказаться менее устойчивыми к крупной кибератаке, чем они предполагают, когда критически важные системы, особенно водоснабжение, нарушаются, согласно:Отчет о хобби-упражнениях в Америке 2025 года после действий,» от H-ISAC.

В этом году хобби-упражнения вышли за рамки здравоохранения и включили в себя водный сектор, показывая, как перебои в основных услугах могут усложнить кибер-реагирование и клинические операции. Участники неоднократно обнаруживали, что их сценарии инцидентов неявно предполагают стабильные коммунальные услуги и короткое время простоя, создавая скрытые риски, когда эти предположения терпят неудачу.

«Организации сектора здравоохранения могут не полностью осознавать масштабы и специфику операций и процессов, которые поддерживаются критически важными зависимостями».

Согласно отчету, эти учения также заставили лидеров рассмотреть вторичные и третичные эффекты, такие как требования к охлаждению центров обработки данных или взаимозависимость с поставщиками. Лишь немногие команды выразили уверенность в том, что у них есть полная карта этих зависимостей или ясность в отношении того, как коммунальные предприятия будут расставлять приоритеты в восстановлении во время региональных инцидентов.

Многосторонняя готовность внутри больницы

Эффективное реагирование зависит от уже существующих взаимоотношений между ИТ/безопасностью, клиническими операциями, инженерными, юридическими, кадровыми и коммуникационными вопросами. Команды, которые имели четкие полномочия и практиковали передачу функций — от клинического/инженерного руководства при отключении коммунальных услуг до руководства службой безопасности/ИТ после появления киберкомпонента — показали лучшие результаты в этом сценарии.

«Эффективное реагирование на сложные киберинциденты требует усилий многих заинтересованных сторон».

Регулярные репетиции, штабные учения и постоянные межведомственные встречи, проводимые до кризиса, оказались крайне важными. Участники подчеркнули, что такие отношения невозможно наладить в условиях простоя, когда уход за пациентами находится под угрозой.

Внешняя координация и роль правительства

За пределами четырех стен участники не были уверены в том, понимают ли важные поставщики, что больницы полагаются на их услуги, и насколько быстро произойдет восстановление во время широкомасштабных событий. Также возникли вопросы о том, как государственные, местные и федеральные агентства будут расставлять приоритеты в работе по восстановлению, как изменения в политике могут изменить роли и как на практике будет выглядеть двусторонний обмен информацией.

Межсекторальный обмен информацией остается жизненно важным, поскольку субъекты угроз все чаще нацеливаются на критическую инфраструктуру и стремятся нарушить операционную деятельность. Постоянные региональные форумы, регулярные учения с коммунальными предприятиями и государственными учреждениями, а также построение базовых личных отношений с ключевыми поставщиками стали следующими прагматичными шагами.

Что Health-ISAC, правительство и поставщики услуг могут сделать сейчас

В результате учений были выработаны целевые рекомендации: Health-ISAC должен расширить обучение своих членов относительно имеющихся ресурсов и правовых рамок для обмена информацией; Правительственные партнеры должны уточнить предложения, улучшить двусторонние потоки разведывательной информации и определить приоритетность широкомасштабных инцидентов; В отчете говорится, что поставщики должны провести инвентаризацию критических зависимостей, протестировать избыточность и пересмотреть сценарии для многовекторных событий.

Убери это

• Создайте и поддерживайте живую карту критических зависимостей (вода, электропитание, подключение, охлаждение) и протестируйте путь аварийного переключения для каждой из них.
• Предварительно санкционировать смену ролей в управлении инцидентами (клинические/инжиниринговые → Безопасность/ИТ) для дублирования коммунальных и кибер-событий; потренируйтесь в передаче управления.
• Установите контакты и пути эскалации с коммунальными предприятиями и ключевыми поставщиками; договориться о том, что означает «восстановление приоритета» во время региональных инцидентов.
• Проводить полугодовые межотраслевые совещания с государственными учреждениями и поставщиками; захватывать и внедрять определенные обновления сборника сценариев.
• Обучать руководство и консультировать по вопросам допустимого обмена киберинформацией; привести политику в соответствие с существующей нормативно-правовой базой.

«Эффективное построение настоящих рабочих отношений между элементами реагирования на инциденты организации не может быть достигнуто в стрессовый и ограниченный по времени период продолжающегося инцидента».