Sağlıkta siber güvenliğin kritik önemi, hangi kritik detayları barındırıyor? Gelin, detaylı yanıtlara birlikte bakalım…

Sağlık sektöründe dijital dönüşüm ve çevrimiçi hizmetlere entegrasyon, özellikle COVID-19 pandemisi ile birlikte büyük hız kazandı. Reçetelerde birkaç sene öncesinde gidildiğinde, kağıda bilgileriniz, teşhis ve ilaçlar yazılır, doktorunuzun imzasıyla eczaneye giderdiniz. Şimdiyse telefondaki SMS mesajını eczacıya söylemek yeterli. Buradaki hız ve pratiklik, dijital dönüşüme dair akılda kalıcı örneklerden sadece biri. Ancak sağlık sektöründe artan dijitalleşme bazı olumsuz unsurlardaki kayda değer artışı da beraberinde getirdi. Zira sağlık sektörü, kötü niyetli siber saldırganların veya yaygın bilinen ifadesiyle hacker’ların öncelikli stratejik hedefleri arasında. Bu noktada büyük miktarda verinin depolanması, gerektiğinde görüntülenmesi ve tüm unsurları ile siber güvenlik temelinde korunması elzem. Peki, sağlıkta siber güvenliğin kritik önemi, hangi detayları barındırıyor? Gelin, yanıtlara birlikte bakalım.

Hacker’lar ve Sağlık Sektörü

Hacker’ların sağlık sektörüne artan ilgisinin arkasında, kritik sağlık verileri ve tıbbi bilgilerin önemi var. Zira bu tip veriler, kimlik hırsızlığı, dolandırıcılık ve sigorta sahtekârlığı gibi pek çok yasal olmayan işlemde kullanılabilir. Ayrıca siber saldırganlar söz konusu verilere izinsiz olarak ulaştıktan sonra, geri vermek vaadiyle sağlık kuruluşlarından fidye olarak yüksek meblağlar talep edebilir (Bu arada kesinlikle önerilmemesine karşın fidye ödense bile çoğu zaman hacker’lar, ilgili erişimleri ya da verileri sağlık kuruluşlarına geri vermez ve neden oldukları mağduriyetin ölçeğini daha da genişletirler).

Sağlık sektörünün öncelikli hedefler arasında yer almasının başlıca nedenlerinden bir diğeri de bilgilerin, hayat kurtarıcı tıbbi müdahaleler bağlamındaki kıymeti. Örneğin hastanede hasta kayıtlarına erişimin ve sistemlerin devre dışı bırakılmasının sonuçlarının başında insan hayatının tehlikeye girmesi bulunuyor. Bu yüksek risk faktörü nedeniyle operasyonel nedenler ve hasta güvenliği için kuruluşların fidye taleplerine boyun eğdiği görülebiliyor. Fidye talebi kavramı, hacker ya da hacker gruplarının bir sistemi veya veri kümesini ele geçirip tekrar kullanılabilmesi/erişimi için sahibinden (sağlık kuruluşundan, vb.) fidye talep etmesi şeklinde özetlenebilir.

Sağlık sektöründe artan sağlık verileri ile birlikte güvenlik açıkları dediğimiz problemler daha yoğun şekilde öne çıkıyor. Kastedilen güvenlik açıklarına akılda kalıcı örnek olarak, bir sağlık personelinin “12345” gibi çok basit şifreyle kritik verileri görebildiği ekrana erişim sağlaması gösterilebilir. Hacker’lar, bu tür şifreleri kolaylıkla aşıp (hack’leyip) ilgili ekranlara, dolayısıyla verilere ulaşabiliyor. 12345, tıpkı “qwerty” (klavyelerde, soldan sağa ilk harfler) ya da tutulan spor kulüplerinin 1903, 1905, 1907 gibi kuruluş tarihleri gibi günümüzde kullanımı önerilmeyen basit şifrelerden biri.

Çok daha spesifik güvenlik açıkları da var. Örneğin eski işletim sistemlerinin kullanımı, ek güvenlik sorunlarına ve siber risklere kapı aralıyor. 2021 tarihli bir araştırmaya göre Türkiye’deki sağlık kuruluşlarının sadece yüzde 10’u kullandıkları tıbbi ekipmanlarda güncel yazılımlar çalıştırıyordu. Günümüzde bu oranın çok daha yüksek olduğunu tahmin etmek mümkün olsa da siber risklerin potansiyeli hala güncel. MRI cihazları, bilgisayarlar, vb. teknolojik ürünlerde yeterince modernize edilmeyen dijital altyapılar, sürekli büyüyen tehdit unsurları olarak hassas varlıklarını devam ettiriyor.

Hastaneler, klinikler ve kaynakları sınırlı sağlık kuruluşlarının siber farkındalık kazanmaları çok önemli. Dolayısıyla sağlık çalışanlarının siber güvenlik bilincine sahip olmaları da bir diğer tamamlayıcı öğe durumunda. Farkındalık sahibi personel eksikliğinin haiz olduğu sağlık kuruluşlarında sosyal mühendislik, oltalama gibi siber saldırılarla karşılaşma potansiyeli daha yüksek. Oltalama saldırıları sonucunda farkında olunmadan indirilen zararlı yazılımlar ve çeşitli hacker araçlarının yanı sıra hassas bilgilerin paylaşımı gibi siber saldırı unsurları güncelliğini koruyor.

Sağlık sektörünü hiç olmadığı kadar tehdit eden oltalama saldırıları, yüksek potansiyelli risk boyutları nedeniyle daha fazla detayı gerekli kılıyor.

Yakın Plan: Sağlık Sektörünü Tehdit Eden Oltalama Saldırısı Nedir?

Oltalama saldırısı nedir sorusunun yanıtına, siber güvenlik teriminin ilginç ismi ile başlayacağız. İngilizce kelime kökeni olan “phishing”in Türkçe’deki karşılığı ‘balık tutma’ fiili ve siber güvenlik terimi olarak kullanımı da oltalama saldırısı. Oltalama saldırısı, aslında balık tutmaya benzer şekilde kötü niyetli siber saldırganların -tuzak halinde linkler- içeren e-postalarını, SMS mesajlarını, sahte sosyal medya paylaşımlarını kullanıcılara (hedeflerine) ulaştırmasıdır. Esasen olta yerine e-mail gibi araçlar kullanılır ve balık yerine de internet kullanıcıları avlanmak isteniyordur. Telefon aramasıyla da oltalama saldırıları yapılır, buna da vhishing denir. Aynı konseptte ama daha çok üst düzey yöneticileri tuzağa çekme odaklı saldırıların da farklı bir adı var: Business E-mail Compromise (BEC) saldırıları…

Oltalama saldırılarında hacker’lar, genellikle çok fazla hasta verisi (kişisel veri) toplayan sağlık sektörünü tuzağa düşürmeye çalışıyor. Burada önceki bölümlerde bahsedilen güncel olmayan güvenlik altyapıları da siber risk skalasındaki zayıf noktalar arasında gösterilebilir.

Akılda kalacak bir örnekleme ile devam edelim. “büyük ikramiyeyi kazandınız”, “araba kazandınız!” gibi SMS’ler, e-postalar aslında oltalama saldırılarıdır. Bunlarda, merak uyandırılarak cevap verilmesi ya da bir linke tıklanması ile kötü amaçlı yazılımların yüklenmesi odaklanır.

Bir de “mızrak oltalama” denilen konsept var. Hedefli phishing de denilen bu saldırı tipi, oltalama saldırıları grubunda yer alırken farkı ise belirli bir hedefe yönelik özel kurgulanmış içerikler sunması. İleri safha bir siber saldırı metodolojisi ile örneğin hastane personeline ‘beklediğiniz ilaçlar geldi’ gibi daha çok ilgi çekebilecek sahte içerikler servis ediliyor. Genel itibarıyla anlık dikkat dağınıklığı, farklı türde güvenlik açıkları derken tüm oltalama saldırıları, başlı başına yüksek risk faktörleri barındırıyor. İşte tam da buradan hareketle sağlık kuruluşlarının proaktif ve inovatif önlemleri devreye alması önem taşıyor.

Oltalama Saldırıları Nasıl Önlenir ve Proaktif Siber Güvenliğin Önemi

Geçmişteki bazı siber saldırılar, riskin boyutlarının daha iyi anlaşılmasına katkı sağlayabilir. 2017’de İngiltere Ulusal Sağlık Servisi’ni hedef alan ve WannaCry fidye yazılım saldırısı olarak kamuoyunda yer bulan gelişmede sağlık sistemi adeta çökmüş, 20 bine yakın randevu iptal edilmişti. 2020’de Almanya’da bir hastane, acil hasta kabulünü durdurmak zorunda kaldı. 2021’de COVID-19 aşı merkezine yapılan siber saldırı ile birçok kişi mağdur oldu. 2022’de ise sadece ABD’de 700’ün üzerinde büyük veri ihlali vakası kaydedilirken 50 milyonun üzerinde hasta verisi ifşa oldu.

Sağlık sektörü, siber güvenlik tehditlerine karşı yüksek farkındalık ile ciddi adımlar atmak durumunda. Uzmanlara göre güvenlik açıklarının kapatılması, altyapı modernizasyonu, yazılım güncellemeleri, siber güvenlik eğitimleri gibi olmazsa olmazlar daha ileri seviyede devreye alınabilir. Bu kapsamda, siber saldırılara karşı direnç için teknik düzeydeki spesifik çözümler de operasyonel süreçlere dahil edilebilir. İki faktörlü (2FA), çok faktörlü (MFA) kimlik doğrulamanın standart olarak kullanımından operasyonel devamlılık planları oluşturulmasına, acil müdahale ekiplerinden siber güvenlik denetimlerine kadar birçok unsurun stratejik planlamalara dahil edilmesi gerekebilir.

Oltalama saldırıları özelindeki gelişmiş çözümlerin uygulanması, siber güvenliğin bu hassas risk alanında bir hayli önemli. Bu kapsamdaki İşNet’in Oltalama Simülasyonu, kurum çalışanlarını gerçek dünyadaki siber tehditlere karşı test eden, eğiten ve hazırlayan kapsamlı bir siber güvenlik çözümü. Modern siber saldırıların merkezinde yer alan sosyal mühendislik taktiklerine karşı, çalışanların direnç seviyesini ölçümleyerek dijital varlıkların koruma altına alınmasına destek olduğu gibi proaktiftir. Sıfır risk prensibiyle kurgulanan kontrollü simülasyonlar ile kurumsal güvenliğin en kritik halkası olan insan faktörü proaktif bir savunma hattına dönüştürülür. Henüz bir saldırı gerçekleşmeden zayıf noktaların tespiti ve çalışanların siber farkındalıkla donatılması için idealdir.

Sektörün lider firmalarından İşNet’in oltalama saldırılarına yönelik çözümleri ile sağlık kuruluşları, çok daha güvenli.

Daha fazla detay için buraya tıklayabilir, sorularınız için bizimle iletişime geçebilirsiniz.