5 Ancaman Keamanan Siber Terbesar bagi Industri Layanan Kesehatan

Industri layanan kesehatan terus bergulat dengan berbagai ancaman keamanan, mulai dari ancaman orang dalam hingga malware dan serangan DDoS. Berbeda dengan industri lain, layanan kesehatan dihadapkan pada serangkaian tantangan unik.

Keterbatasan anggaran dan kurangnya kepemimpinan eksekutif telah menyulitkan penyedia layanan untuk tetap menjadi yang terdepan, namun kegagalan dalam melakukan hal ini dapat mengakibatkan hilangnya nyawa. Tidak hanya itu, informasi kesehatan yang dilindungi (PHI) juga sangat berharga, itulah sebabnya penjahat dunia maya sangat ingin mendapatkan informasi tersebut.

Menurut artikel berikut, biaya rata-rata pelanggaran data (per catatan yang dicuri) untuk penyedia layanan kesehatan adalah $355, dibandingkan dengan $158, untuk organisasi yang tidak terkait dengan layanan kesehatan.

Percaya atau tidak, PHI bahkan lebih berharga daripada informasi kartu kredit (PCI), dan bentuk informasi pengenal pribadi (PII) lainnya. Untuk mengilustrasikan maksud saya, Anda dapat menjual PCI dan PII di pasar gelap seharga $1-$2 per catatan. PHI, di sisi lain, dapat menghasilkan $363 per catatan, menurut penelitian yang dilakukan oleh Infosec.

Anda mungkin bertanya-tanya mengapa hal ini terjadi, karena alasannya mungkin tidak langsung terlihat jelas. Pertama, tidak seperti informasi kartu kredit dan nomor Jaminan Sosial, informasi kesehatan tidak dapat dibatalkan atau diubah. Penjahat dunia maya dapat menggunakan informasi kesehatan dalam jangka waktu lama dan untuk berbagai tujuan penipuan, seperti klaim asuransi palsu, atau untuk mendapatkan akses terhadap obat-obatan dan peralatan medis, yang dapat mereka jual di pasar gelap.

Sekarang setelah Anda tahu alasannya, mari kita lihat caranya. Di bawah ini adalah 5 ancaman keamanan siber terbesar yang perlu diwaspadai oleh penyedia layanan kesehatan untuk memastikan bahwa mereka dapat menjaga informasi kesehatan mereka yang berharga dari tangan yang salah.

1. Ransomware di Layanan Kesehatan

Serangan Ransomware biasanya datang dalam bentuk lampiran email. Namun, hal ini juga dapat dipicu oleh pengguna yang mengeklik tautan berbahaya, atau dengan melihat iklan yang mengandung malware (malvertising).

Setelah serangan dimulai, ia akan mengenkripsi file korban, dan kemudian menyajikan pesan yang meminta mereka melakukan pembayaran Bitcoin dengan imbalan kunci dekripsi. Tentu saja, hingga uang tebusan dibayarkan, atau sistem telah dihapuskan dan dipulihkan, semua sistem dan data penting yang relevan tidak akan dapat diakses.

Kebanyakan orang akan mengingat serangan ransomware WannaCry pada bulan Mei 2017, yang mengganggu 80 rumah sakit NHS di Inggris, sehingga mencegah dokter mengakses rekam medis.

Meskipun belum pernah terjadi serangan sebesar ini dalam beberapa waktu terakhir, hanya masalah waktu sampai serangan lain terjadi, mungkin dengan skala yang lebih besar.

2. Pelanggaran Data di Layanan Kesehatan

Pelanggaran data layanan kesehatan merupakan kejadian umum, namun hanya sedikit yang menjadi berita utama, setidaknya tidak seperti yang dilakukan WannaCry. Menurut postingan berikut, layanan kesehatan adalah sektor yang paling diincar. Namun, perlu diperhatikan bahwa persyaratan pelaporan dalam Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPPA) didefinisikan dengan baik dan sangat ketat, sehingga akan menarik perhatian dan dapat menyebabkan angka yang dilebih-lebihkan. Pelanggaran data dapat disebabkan oleh berbagai hal, seperti malware yang dirancang untuk mencuri kredensial, perangkat yang hilang atau dicuri, atau oleh karyawan yang secara tidak sengaja atau sengaja mengungkapkan data pasien.

3. Ancaman Orang Dalam dalam Pelayanan Kesehatan

Ancaman dari dalam merupakan titik buta bagi banyak organisasi. Karena karyawan mempunyai akses sah terhadap sumber daya jaringan, mereka mempunyai kemampuan untuk menghindari pertahanan keamanan siber tradisional.

Mereka mungkin juga memiliki pemahaman yang lebih mendalam tentang jaringan dan segala kerentanan yang ada. Mengingat betapa berharganya informasi kesehatan, karyawan nakal mungkin memutuskan untuk menjual informasi tersebut sendiri, atau mungkin mereka akan menjual kode akses kepada peretas.

Namun perlu diingat bahwa ancaman orang dalam tidak selalu berbahaya. Sebenarnya, insiden keamanan yang disebabkan oleh kelalaian karyawan, seperti mengeklik tautan berbahaya, atau kehilangan perangkat yang memiliki akses ke PHI, kemungkinan besar lebih sering terjadi.

4. Serangan DDoS di Layanan Kesehatan

Pada bulan Maret tahun ini, sebuah Rumah Sakit di Paris, yang “sangat sibuk merawat sejumlah besar pasien corona”, terkena serangan DDoS, menurut postingan berikut.

Serangan penolakan layanan terdistribusi (DDoS) dirancang untuk membanjiri jaringan dengan lalu lintas, sehingga membuatnya tidak dapat dioperasikan. Seperti yang dapat Anda bayangkan, serangan DDoS bisa sangat mengganggu, karena dokter tidak dapat mengakses sumber daya jaringan penting, seperti catatan pasien, email, dan sebagainya.

Tidak seperti vektor serangan lainnya, yang seringkali dimotivasi oleh keuntungan finansial, serangan DDoS terutama dilakukan demi menimbulkan gangguan, mungkin karena alasan pribadi, politik, atau ideologi.

5. Kompromi Email Bisnis (BEC) di Layanan Kesehatan

Kompromi Email Bisnis (BEC) adalah teknik yang digunakan untuk mengelabui karyawan agar mentransfer uang ke rekening bank palsu. Serangan-serangan ini sangat ditargetkan, dan penipu mungkin menghabiskan banyak waktu untuk meneliti organisasi dan karyawannya sebelum memulai serangan.

Tentu saja, para penipu akan mencoba menyasar karyawan yang mampu melakukan transaksi keuangan, seperti mereka yang bekerja di bagian akuntansi. Mereka sering berpura-pura menjadi CEO, CFO, atau eksekutif terkenal lainnya. Serangan BEC ternyata sangat efektif.

Menurut artikel ZDNet berikut ini, FBI mengklaim bahwa penipuan BEC adalah “jenis kejahatan dunia maya yang paling merusak dan efektif tahun lalu” (2019).

Bagaimana Penyedia Layanan Kesehatan Dapat Melawan Ancaman Keamanan Siber?

Penyedia layanan kesehatan harus melakukan segala yang mereka bisa untuk mencegah gangguan terhadap layanan mereka untuk memastikan bahwa mereka dapat memberikan perawatan pasien yang tepat kepada mereka yang membutuhkannya. Yang pertama dan terpenting, mereka harus berusaha membangun budaya keamanan, yang memerlukan pelatihan dan penyegaran secara berkala.

Semua karyawan harus memahami tanggung jawab mereka dalam melindungi jaringan dan informasi pasien yang dipercayakan kepada mereka. Penyedia layanan harus memastikan bahwa mereka memiliki kebijakan kata sandi yang kuat dan menggunakan autentikasi multifaktor (MFA) jika memungkinkan. Mereka harus mematuhi “prinsip hak istimewa terendah”, untuk memastikan bahwa karyawan hanya diberikan akses terhadap data yang mereka perlukan untuk menjalankan peran mereka.

Mereka juga harus memastikan bahwa mereka telah menerapkan serangkaian teknologi yang memadai untuk membantu mereka mendeteksi dan merespons aktivitas yang tidak wajar. Teknologi tersebut mencakup perangkat lunak anti-virus, firewall, dan solusi pencegahan intrusi lainnya, serta teknologi yang menyediakan Pencegahan Kehilangan Data (DLP) dan Analisis Perilaku Pengguna (UBA) waktu nyata, untuk memastikan bahwa mereka mengetahui secara pasti siapa yang memiliki akses ke data pasien tertentu, dan kapan.

Jika Anda ingin melihat bagaimana Platform Keamanan Data Lepide membantu perusahaan layanan kesehatan di seluruh dunia memenuhi kepatuhan HIPAA dan mendeteksi serta bereaksi terhadap ancaman, jadwalkan demo dengan salah satu teknisi kami atau mulai uji coba gratis Anda hari ini.