Кибербезопасность в частной клинике: разбор угроз, схем вымогательства и инструкция по защите от эксперта СберЗдоровья

Редакция: Какие схемы вымогательства используют злоумышленники сегодня? Раньше все было просто: вирус заблокировал компьютер, заплатил — получил ключ.

Дмитрий Тараненко: Сегодня классическая схема уже не работает. Эволюция финансовой мотивации привела к появлению логичной с точки зрения преступника модели — двойного шантажа.

Вот как это происходит по шагам:

1. Кража. Прежде чем запустить шифровальщик, злоумышленники тихо скачивают всю базу данных. Все анализы, паспортные данные, истории болезни — теперь у них.

2. Блокировка. Только после кражи они шифруют вашу инфраструктуру. Работа клиники останавливается.

3. Торг №1. Вам приходит требование: «Платите сумму X за расшифровку».

4. Торг №2. Сразу после этого, или если вы попытаетесь восстановить ИТ системы из бэкапов, приходит второе сообщение: «А еще заплатите сумму Y, чтобы мы не выложили в открытый доступ анализы ваших пациентов. Подумайте о репутации».

Вы можете заплатить энное количество раз, но так и не получить никаких гарантий.

Редакция: Многие руководители рассуждают прагматично: «Средние затраты на безопасность — 4 миллиона рублей в год. Выкуп просят 5 миллионов. Может, проще ничего не делать, а в случае беды просто заплатить и забыть?». В чем здесь ошибка?

Дмитрий Тараненко: Стратегия «заплатим, если что» ведет к финансовым потерям и уголовной ответственности. Помимо того, о чём поговорили выше, рассмотрим ещё три основных причины.

Первая – техническая несостоятельность программ-вымогателей. Хакеры, специализирующиеся на взломе, часто используют некачественное программное обеспечение – даже после уплаты выкупа вероятность получить работающий ключ расшифрования невелика. Часто модуль расшифрования может работать с ошибками, повредить файлы или оказаться несовместимым с конкретной конфигурацией системы. Денежные средства при этом вернуть невозможно, как и данные.

Вторая проблема кроется в юридическом статусе платежа. Перевод денежных средств на счета киберпреступников, связанные с политически мотивированными группировками, может быть квалифицирован как финансирование терроризма. Заранее об этом неизвестно, но в дальнейшем – влечет ответственность по соответствующим статьям Уголовного кодекса.

Третья – штрафы за утечку данных. С 2025 года введены оборотные штрафы за утечку персональных данных. Наличие утечки является самостоятельным основанием для наложения штрафа, независимо от факта уплаты выкупа злоумышленникам.

Редакция: Какими ещё могут быть виды ущерба от кибератаки на медицинскую организацию?

Дмитрий Тараненко: В медицинских учреждениях последствия атак более серьезны по сравнению с другими отраслями, поскольку затрагивают жизнь и здоровье пациентов. Среди основных:

1. Остановка операционной деятельности.

Выход из цифровые платформы для автоматизации работы клиник приводит к невозможности записи пациентов на прием. При отсутствии записи поток пациентов прекращается. Врачи и диагностическое оборудование простаивают. Выручка значительно снижается, при этом постоянные расходы – аренда, фонд оплаты труда, налоги – сохраняются. Длительный простой создает кассовый разрыв.

2. Прямые финансовые затраты на восстановление ИТ-инфраструктуры. Услуги специалистов по реагированию на инциденты оплачиваются по повышенным тарифам.

Кроме того, известен случай, когда в сети клиник в результате атаки была утеряна база данных историй болезни и результатов анализов. Для возобновления медицинской помощи клиника была вынуждена за собственный счет организовать повторное проведение анализов и диагностических процедур для тысяч пациентов.

3. Репутационные риски.

Утечка медицинских данных приводит к оттоку пациентов и прекращению сотрудничества с партнерами. Восстановление репутации после инцидента требует затрат многих ресурсов.

Редакция: У руководителя клиники нет крупного ИТ-отдела и бюджета на сложные системы защиты. С чего начать повышение уровня кибербезопасности?

Дмитрий Тараненко: Рекомендую начать с пяти шагов.

Шаг 1. Управление доступом сотрудников.

Необходимо проверить, отключены ли учетные записи бывших сотрудников от внутренних ресурсов, а также ввести регламент, согласно которому при увольнении сотрудника его учетная запись блокируется немедленно. Запретить использование общих учетных записей.

Шаг 2. Резервное копирование.

Необходимо убедиться в работоспособности системы резервного копирования и ежеквартально проводить тестовое восстановление данных из резервной копии.

Шаг 3. Обучение персонала.

Сотрудники являются основным вектором фишинговых атак, поэтому важно регулярно проводить инструктаж по распознаванию фишинговых писем, установить порядок действий при переходе по подозрительной ссылке, организовать учебную фишинговую рассылку для проверки бдительности сотрудников.

Шаг 4. Безопасность Wi-Fi сети.

Проверить конфигурацию беспроводной сети. Гостевая сеть для пациентов и рабочая сеть клиники должны быть разделены на уровне оборудования.

Шаг 5. Аудит внешних сервисов.

Проверить, какие сервисы доступны из сети Интернет. Убедиться в отсутствии открытых портов управления, незащищенного удаленного доступа и уязвимых сервисов на сетевом периметре.

Редакция: Существуют ли схемы фишинга, направленные именно на медицинский персонал?

Дмитрий Тараненко: Да, в медицинской сфере часто встречаются попытки мошенничества, когда злоумышленники пытаются выманить у сотрудников важные данные или заразить рабочие компьютеры. Обычно они используют методы, которые вызывают доверие или создают ощущение срочности.

Например, мошенники присылают письма, которые выглядят как сообщения от государственных органов, например, Минздрава. В них требуют срочно что-то проверить или подтвердить, для чего предлагают перейти по ссылке и ввести логин и пароль от медицинской системы. Человек, думая, что выполняет важное поручение, сам отдаёт доступ к данным.

Также часто приходят письма с вложениями, которые выглядят как обычные медицинские документы — например, снимок МРТ. Врач или лаборант открывает такой файл, и на компьютер попадает вирус.

Злоумышленники могут написать или позвонить от имени главного врача или директора клиники – иногда даже с реального, но взломанного адреса. Они просят срочно предоставить списки пациентов, пароли, финансовые или личные данные сотрудников. В условиях спешки и стресса люди часто выполняют такие просьбы без перепроверки.

Чтобы защититься от подобных схем, важно регулярно напоминать персоналу о правилах цифровой безопасности:

• не переходить по подозрительным ссылкам и не вводить свои данные на незнакомых сайтах;
• не открывать вложения от неизвестных отправителей;
• любые срочные поручения и запросы всегда перепроверять — например, звонить руководителю или в соответствующую организацию по официальным телефонам.

Кроме того, в регламенте безопасности стоит закрепить простую фразу для любого сотрудника: «Пароли и конфиденциальные данные по телефону не передаю, пожалуйста, обратитесь в ИТ-отдел». Это выигрывает время и снимает давление «срочности», не давая социальной инженерии сработать.

Таким образом, мы даём уже готовый инструмент, который сотрудник может произнести на автомате, и заодно перенаправляем злоумышленника туда, где запрос будут проверять.

Редакция: Многие клиники передают ИТ-функции на аутсорсинг. Какие риски возникают и кто несет ответственность при утечке по вине подрядчика?

Дмитрий Тараненко: Согласно Федеральному закону «О персональных данных», оператор — то есть сама клиника — обязан заключить с подрядчиком поручение на обработку данных. Если такого поручения нет, значит, обработка данных неправомерна, а ответственность за любую утечку всё равно ложится на оператора. Без документа подрядчик юридически не является уполномоченным лицом, и клиника отвечает за то, что передала сведения постороннему».

Клиника часто не задумывается, откуда именно подрядчик будет обслуживать сервера. Администратор может сидеть дома за компьютером, кишащим вирусами, и оттуда заходить к вам в сеть как к себе домой. Это прямой путь к утечке медданных. Чтобы так не случилось, нужно сначала оформить все юридически (поручение), а потом технически запретить подрядчику подключаться к вам иначе как через защищенный туннель (VPN) и с подтверждением личности по второму фактору.

Редакция: Существуют ли готовые решения для клиник, не имеющих собственной ИТ-инфраструктуры?

Дмитрий Тараненко: Рынок предлагает облачные сервисы, уже включающие базовые средства защиты. Наиболее подходящий вариант для небольших клиник — виртуальный рабочий стол (VDI). В этой модели все данные и медицинские приложения хранятся в защищенном облаке, а врач видит только «картинку» через браузер. Это означает, что физическая утрата ноутбука или планшета не приводит к компрометации базы пациентов: на самом устройстве информация не хранится, она остается в недоступном для посторонних дата-центре.

Но важно понимать, что VDI защищает прежде всего от утечки через физическую потерю оборудования. Чтобы закрыть риск несанкционированного входа — например, если пароль был украден или аккаунт пытаются взломать, — обязательно требуется многофакторная аутентификация. Этот компонент либо уже встроен в облачную платформу, либо его нужно подключить дополнительно. Поэтому в ответе на вопрос о безопасности я всегда упоминаю эти две вещи вместе: облачный рабочий стол сам по себе спасает от кражи ноутбука, а второй фактор — от попыток несанкционированного доступа.

Стоимость VDI — до 10 000 рублей в месяц за одно рабочее место. В эту сумму входит аренда виртуальной машины, лицензии, базовая киберзащита и резервное копирование. Это готовое техническое решение для клиники, у которой нет своей серверной и штата администраторов. Но нужно помнить, что оно не отменяет юридические обязанности оператора персональных данных: с облачным провайдером всё равно необходимо заключать поручение на обработку данных и настраивать права доступа внутри медицинской системы. То есть за эти деньги вы получаете защищенное рабочее место «под ключ», а юридическую и организационную часть безопасности клиника всё равно выстраивает сама. Мы как раз помогаем медицинским организациям комплексно решать эту задачу.

Редакция: Каков алгоритм действий руководителя при обнаружении факта шифрования файлов?

Дмитрий Тараненко: Рекомендую следующий порядок действий:

1. Отключить сервер от сети. Выдернуть сетевой кабель из сервера. Не перезагружать систему.

2. Не вступать в контакт со злоумышленниками. Не платить выкуп, не вести переписку.

3. Зафиксировать требование выкупа. Сфотографировать экран монитора.

4. Обратиться к специалистам. Связаться с коммерческой службой реагирования на инциденты (CERT, Solar, BI.ZONE) или с дежурной частью Управления «К» МВД РФ.

5. Перейти на аварийный режим работы. Использовать бумажные носители, резервный ноутбук с чистой системой для записи пациентов.

6. Уведомить юриста. Оценить риски взаимодействия с регуляторами и возможные иски пациентов.

7. Не восстанавливать данные на зараженной системе. Восстановление должно проводиться на чистом изолированном оборудовании.

Хотите знать больше? Записывайтесь на онлайн курс в Школе Медицинского Бизнеса «ЮРИДИЧЕСКИЙ ЧЕК АП В РАБОТЕ МЕДИЦИНСКОЙ ОРГАНИЗАЦИИ или все о юридической безопасности клиники» Узнать подробнее и зарегистрироваться можно по ссылке: https://medicalbusinesschool.com/legal_checkap