O škodlivém a zákeřném viru ransomware (programu typu „trojský kůň“), který používají útočníci v kyber-kriminalitě a který napadá data a zamyká obrazovky, se hodně psalo v souvislosti s útokem viru WannaCry, který nedávno napadl tisíce počítačů na celém světě. Tento typ viru uživateli počítače zašifruje všechny soubory, které jsou z daného PC dostupné, včetně souborů na síťových discích. Následně se na obrazovce objeví výzva k zaplacení nějaké částky „výkupného“ (často také ve virtuální elektronické měně bitcoinech), po jejímž zaplacení uživatel obdrží instrukce, by měl program dešifrovat všechny zašifrované soubory.
S masivním útokem tohoto viru se setkalo mj. britské zdravotnictví NHS nebo americká společnost Airway Oxygen. Ta oznámila koncem června 2017, že se stala terčem útoku ransomware viru, přičemž byla napadena zdravotnická dokumentace 550 tisíc pacientů a personální dokumentace 1 160 současných i bývalých zaměstnanců. Americký Office for Civil Rights (OCR, organizace spadající pod Ministerstvo školství) eviduje tento útok jako druhý největší, který napadl zdravotnická data (OCR sleduje tyto incidenty od roku 2009). Airway Oxygen (sídlí ve státě Michigan) je poskytovatelem oxygenoterapie a přístrojů pro domácí léčbu (kyslíkových přístrojů, kyslíkových koncentrátorů apod.) a napadení virem zjistila již 18. dubna 2017. Útočníci získali přístup k citlivým zdravotním údajům pacientů (jméno, adresu, datum narození, telefon, údaje o diagnóze a léčbě a číslo zdravotního pojištění). Společnost však nesdělila, zda požadované výkupné zaplatila. Společnost si budovala dobrou reputaci u klientů při poskytování služeb téměř 40 let. Obdobně jako v EU musí také americké organizace informovat klienty a zaměstnance o tomto porušení bezpečnosti údajů. Airway Oxygen začala také spolupracovat s odborníky na kybernetickou bezpečnost, aby posílila svá bezpečnostní opatření a zamezila tak opakování podobného útoku. Tento bezpečnostní incident byl oznámen po útoku viru WannaCry, který napadl stovky tisíc počítačů ve 100 státech světa. K dalšímu celosvětovému útoku ransomware došlo koncem června virem Petya (který se šířil také pod různými modifikacemi (NotPetya, ExPetr, PetrWrap, GoldenEye, Petya.A, Petya.C nebo PetyaCry).
Tyto incidenty připomínáme v době, kdy si organizace v EU začínají stále více uvědomovat, že kvalitní organizační a bezpečnostní opatření k ochraně a zabezpečení informací pacientů, zaměstnanců a dalších fyzických osob, se stává nedílnou součástí poskytování kvalitní zdravotní péče. Zdravotnické instituce budou muset více spolupracovat s odborníky na počítačové systémy a kybernetickou bezpečnost a nikoliv je považovat za „pijavice“ na finančních zdrojích ve zdravotnictví. Moderní lékařské přístroje pracují většinou se stejnými či obdobnými softwarovými produkty jako počítače. Při útoku na britský NHS se ukázalo, že zdravotnické instituce pracují s počítači a zdravotnickou technikou, jejichž operační systém již není několik let udržován, rozvíjen a především chráněn proti napadení škodlivými viry. Je to jistě poučení také pro české poskytovatele zdravotních služeb. Pohled mnohých na koexistenci zdravotnických pracovníků s bezpečnostními experty se musí zásadním způsobem změnit (pokud se ovšem nechceme vrátit do dob Ignáce F. Semmelweise).
Možná, že by bylo užitečné navrhnout některá zásadní opatření, jak pravděpodobnost útoku snížit:
- Jestliže pracuje s operačním systémem Windows XP, požádejte kolegy z IT útvaru, aby vám na něm vypnuli sdílení tiskáren a souborů a ve firewallu nastavili zákaz přístupu na port 445. Microsoft pro tento operační systém vydal mimořádnou záplatu na opravu zranitelnosti, kterou ransomware WannaCry využívá pro napadení počítače. Samozřejmě je nutné urychleně rozhodnout o přechodu na modernější operační systém, který je umožní jeho aktualizaci (Windows XP již není aktualizován 2 roky). Pokud přechod na moderní systém není možný (zejména u zvláštních či drahých lékařských přístrojů), poraďte se se svými IT experty.
- Buďte obezřetní v emailové komunikaci a neotvírejte soubory od neznámých odesílatelů (zejména reklamní a komerční emaily). Buďte opatrní také v práci se soukromou elektronickou poštou. I v případech, kdy používáte moderní přístroje s moderním operačním systémem, věnujte pozornost jeho pravidelným aktualizacím.
- Pokud je to možné, instalujte do vašich zařízení (zejména do lékařských přístrojů) nové programy jen za asistence IT odborníka.
- Důležité dokumenty a soubory zálohujte. Nenechávejte však zálohovací zařízení trvale připojeno k počítači či k zařízení, z něhož jste soubory zálohovali.
- Věnujte pozornost zavedení organizačních a technických opatření, která mohou snížit míru poškození údajů a zajistit rychlejší obnovu datových souborů. Obecné nařízení (EU) č. 2016/679 („GDPR“) ukládá správcům řadu povinností pro zabezpečení osobních údajů.
- Spolupracujte s pověřencem pro ochranu osobních údajů, pokud jej vaše organizace jmenovala.