Názory k článku
NÚKIB: Systémy v benešovské nemocnici vyřadil skutečně ransomware

Co mohli mít špatně, měli špatně (vyhodnocení zveřejněné zprávy):
=> žádný krizový scénář a plán obnovy, jedou z čisté vody
=> bez záložního serveru, "fjú"

Z doslechu znám situaci IT v několika takových zařízeních a k takovým otázkám se tam ani nedostanou protože IT pracovníků je tam málo a nedělají to ani na plný úvazek a podceňují základní zabezpečení. Ostatní personál je naprosto v drtivé většině počítačově negramotný a nijak se nepracuje na zlepšení. Takže toto není výjimečný případ a divím se, že se to nestává častěji. Nebo se tomu jen nedostává medializace.
Z osobní zkušenosti je pro mě nejhorší nepochopení vedoucích pracovníků. Přijde jim to směšné. A o vzdělávání zaměstnanců se moc bavit nechtějí, natož to pak realizovat. Přitom zaměstnance považuji za jeden z nejslabších článků všech zabezpečení.

13. 12. 2019, 07:21 editováno autorem komentáře

"Systémy v benešovské nemocnici vyřadil skutečně ransomware. "
no to je ale zjištění... tohle snad nemusí zkoumat a sdělovat nám úřad pro kybernetickou bezpečnost.... tuhle informaci věděl po prvních sekundách vyděšenýho čučení na kaši v souborech s koncovkou .octopus každej admin co tam zapnul počítač připojenej diletantsky na systém sdílenejch složek včetně zálohovacího serveru (soudě podle vyděšenejch reakcí a toho že je celá nemocnice už 2 dny mimo. Prostě diletantimus nejvyššího kalibru).
Žádný zálohy ecidentně nemaj, to by se to tak neřešilo.

Ty systémy jsou od sebe odděleny pevným rozhraním. Není to tak, že by si mohla nemocnice přistupovat volně k souborům v pojišťovně. Pokud padne zabezpečení jednoho, nemusí to nutně ohrozit druhého. Navíc v tomto případě asi ani nebyla nemocnice cílem, prostě se to tam náhodou dostalo.

Já jsme v rámci své práce dodával "bezpečnostní" prvky do nemocnice pouze o trochu menší než je tato a zkoušel dodávat do stejně velké a v obou případech bylo IT na poloviční úvazek, v prvním případě člověk sdílený na práci IT s servisem nějakých zařízení (polohovací postele, pacientské alarmy apod.) v druhém externí OSVC, kdy byl v nemocnici přítomen pouze dva dny v týdnu. Byl tam mix dvou aspektů, v prvním případě zděšení odpovědného pracovníka IT, že by tam měl někdo něco dodávat a navíc ten kdo tam chce něco dodat tvrdí, že to nemají úplně v pořádku kontra aspekt "opravdu to potřebujeme pane Hrdličko?" od někoho kdo drží peníze. Odbornost toho, kdo drží peníze byla "už máme antivir = všechno je vyřešeno", odbornost IT "mám tu antivir a Mikrotika = bezpečnost je vyřešena".
Skoro všechny záležitosti řeší dodavatele aplikací/vybavení, mají na těch RTG takové marže, že pošlou na instalaci člověka, co vyřeší i napojení do LAN, viděl jsem i extrémní případ, kdy byl v síti takový bordel, že tam raději aby to mohli servisovat dali Conel a platili si data od operátora. Už jsem se setkal s tím, že jsem IT říkal, že budeme chtít na něco VLANu a nevěděli o co jde. Všechno na hromadě, DHCP někdo spustil před 15 lety a od té doby to nějak jede.
Pak jsou asi větší nemocnice, kde jsou na mne moc velké tendry a neúčastníme se a tam je to personálně naopak, mají třeba 14 lidí, ale bordel je o to větší.
Za mne je problém v tom, že v klasické státní správě se instalují jenom PC/servery a to dělají lokální lidi, v nemocnicích jsou přístroje, které musí instalovat dodavatel = nemá smysl držet vlastní lidi, protože v 80% stejně musí vše řešit on. Takže ten člověk tam přijede na týden, trochu si to zmapuje a nějak to zprovozní a dva měsíce totéž řeší zase dodavatel dalšího přístroje.

Díky elektronizací a propojování všech systémů hrozí ještě větší riziko. Dnes jsou nemocnicni systémy napojený na registry obyvatel, eRecepty a lékové záznamy. Tonáž jednou praskne tak data všech občanů budou na prodej. Odborník nehackuje SÚKL nebo refistr obyvatel, ale připojené systémy. Ty následně kůže sosat aniž by kdokoliv zjistil co se děje a odkud.
Nemocniční systémy jsou napojené na pojišťovny, registry obyvatel, erecept, lékovy záznam, eneschopenky. Připravují se ezadanky a plno dalších. Sítě jsou propojené, aby si mohli vyměňovat například rentgeny apod.
V počítačích lekařů jsou také uložené kvalifikované certifikáty všech lékařů, protože bez těch nevystaví dnes nikdo ani erecept. Takže to je jen lavina, která se sype. Nekvalitní správa IT systémů bude výsledkem národní tragédie, kdy všechny naše data budou jednoho dne na prodej. Kluci mají štěstí že jim to jen zašifrovali. Kdyby to byl únik, je to mnohem mnohem horší.

Tak je to nemocnice. Nemocniční IT bývají ty nejvíc podfinancovaný. Kdysi mne v jedné nemocnici nutili i opravovat ukroucenej kabel od myši. Navíc zde bych si tipnul, že bylo napadeno i zálohování a vzhledem k běžnému nekontrolování záloh každý den a test obnovy jednou týdně to je prostě v dost v háji.

Poznámka o záložním serveru je úplně mimo. Ta síť jich mohla mít desítky, každý s jiným systémem a jinými postupy. Navíc "záložní server" je hrozně široký pojem. Pokud by se data kopírovala z produkčního na ten záložní, tak to v tomto případě nic nevyřeší.

Co se týče krizového scénáře, tak NÚKIB jim stejně zabránila v tom tam cokoli řešit, takže měli spoustu času se připravit na další kroky. 600 strojů a bůhví kolik serverů stejně nepřeinstalují přes noc, i kdyby měli sebelepší plán. Za mě to zvládají dobře.

Zde v článku, neb v případě krizového plánu do 24 hodin musí klíčové IT být obnoveno. Dělal jsem na 'blbé' logistice', kde nešlo o život a i v případě totálního výpadku (požár budova), tak v sousedním objektu nabíhal systém ihned. Nasmlouvány firmy. Několikrát simulováno a funkční. Nejvíce času zabralo dávání databáze do synchronizace. Systémy na lokálech se obcházely a on-line se obnovovaly operační systémy (jedno PC asi 30 minut).

napojení neznamená kdykoliv, cokoliv a bez dohledu. Nevím jak pojištovny, pohybují se v bankovnictví, tam existují sofistikované nástroje na sledování provozu a několikaúrovňové zacházení s podezřením na zneužití nebo průnik. Lze provoz zastavit, zpožďovat, vyžadovat ověření, notifikovat či přesměrovat do sandboxu. Dnes si společnosti pomalu zvykají, že to je jejich zodpovědnost.

Stát postupně zavádí nutnost požadavky autorizovat osobním tokenem (klíčem) na kartě jako obranu proti automatizovanému zneužití. Dnes už u spusty komunikací je nutné, aby na popředí byla fyzická osoba, která požadavek vznesla. Někdy ty systémy sami nedokážou spolu pluvit.

Hlavní problém je, že se tříští síly, každý si dělá svoje řešení a každé řešení má svoje mouchy a problémy, protože náklady jsou pořád podstatnou položkou.

Které zveřejněné zprávy?

Žádná veřejná správa od IT oddělení o podrobnostech napdadení systémů té nemocnice není.

Je tu několik tiskových správ a prohlášení které jsou pro neodbornou veřejnost.

Virtualizace = 1 HW server na něm "mohla mít desítky" = mohou mít desítky serverů. Jsme v roce 2019. A samozřejmě selský rozum, jak užívat druhý záložní HW server. Co když po obnově vyhoří budova? Ukradnou server/servery? Absolutně chybí krizový plán. Pokud zahrnuje dobu obnovy více jak 24 hodin, například týden, tak se omlouvám za příspěvek.

situace je obdobná i u těch vělkých nemocnic, čest vyjímkám, jen tam na to mají více lidí. Nemocniční přístroje jsou jeden velký problém, je to drahé, používá to strašně zastaralé technologie a protokoly, mizivá dokumentace a vše zapojují externí pracovníci.

Peníze se sypou pouze do hodně drahých lékařských přístrojů, do vnitřní IT infrastruktury moc ne. Nemocnice spíše bojuje, aby zaplatila lidi, kraje už do nich přispívají tolik, že něco navíc je zatím neprůchozí.

Velký problém je i rychlost nástupu, před 4 lety byly nemocnice, kde ještě ani nebyl pořádně rozvedený internet a opravdu se tahal přes gsm/3g/lte, wifi od naproti a různé. Dnes jsou nemocnice plně zasíťované. Vše je na bedrách lidí na malé úvazky s malou zkoušeností, někdy klobouk dolu.

To co psala ČTK a říkala paní hejtmanka beru jako něco pro čtenáře Blesku a Idnesu na vykreslení katastrofické situace. Protože pro BFU je reinstalace NTB něco jako konec světa.

Osobně při prvních zprávách sem i typoval že jim to začlo těžit BTC . Jenže prehistorická technika s gramofonkem na 5400 otáčkách a 4GB RAM když začne šifrovat je fakt nepoužitelná....