Кибербезопасность в здравоохранении: как снизить риски и избежать потерь

По данным аналитиков, к 2026 году ситуация с кибербезопасностью в здравоохранении будет определяться не столько появлением новых методов атак, сколько растущим разрывом между заявленными мерами защиты организаций и их реальной эффективностью в сокращении потерь. Анализ данных за период с 2023 по середину 2025 года показывает, что основными причинами значительных финансовых убытков в сфере здравоохранения являются социальная инженерия, пробелы в системах резервного копирования и недостаточное управление данными.

Уже имеющиеся данные дают тревожную картину. В 2024 году медицинские учреждения США сообщили об утечке 275 миллионов записей данных, что более чем вдвое превышает показатель предыдущего года и является самым масштабным разовым инцидентом в истории сектора. За тот же период число атак программ-вымогателей на здравоохранение выросло на 32%. Только инцидент с Change Healthcare привел к раскрытию данных примерно 190 миллионов человек. Для руководителей служб информационной безопасности (CISO), финансовых директоров (CFO) и советов директоров ключевой вопрос не в масштабе утечек, а в том, какие данные о претензиях раскрывают реальные угрозы, вызывающие потери, и какие инвестиции в безопасность действительно приносят измеримое снижение рисков.

Что движет потерями в сфере здравоохранения

По данным анализа, в первой половине 2025 года 88% существенных потерь были вызваны методами социальной инженерии, и ситуация в здравоохранении полностью отражает эту тенденцию. Фишинг, компрометация корпоративной электронной почты (BEC) и уязвимости у поставщиков услуг регулярно фигурируют в отчетах об инцидентах. К этому добавляются пробелы в резервном копировании, которые оставляют организации беззащитными перед программами-вымогателями, а также ошибки в пикселях отслеживания (невидимых элементах веб-страниц), которые незаметно приводят к утечке конфиденциальной информации пациентов.

Также отмечается, что ландшафт угроз более разнообразен, чем кажется на первый взгляд. Хотя хакерские группировки BlackCat и Cl0p чаще всего упоминались в контексте атак на здравоохранение, успешные вторжения распределены более равномерно между такими операторами, как Interlock, Lockbit и Medusa. Это важно для служб безопасности: укрепление защиты только от самых известных имен, при игнорировании менее заметных угроз, является распространенной ошибкой, которую постоянно выявляют данные.

Требования о выкупе также возросли. В первой половине 2025 года в сфере здравоохранения сумма требований по выкупу в некоторых инцидентах достигала 4 миллионов долларов США. Эти затраты приобретают особый вес, когда на кону стоит жизнь и здоровье пациентов, а отказ от выплаты означает не только операционные сбои, но и прямые клинические риски.

Меры кибербезопасности, снижающие риски в здравоохранении

Анализ выявил пять мер безопасности, которые демонстрируют наибольшее измеримое снижение рисков в медицинских учреждениях. Ни одна из этих мер не является экзотической, и большинство медицинских организаций могут внедрить их без радикального пересмотра бюджета:

• Шлюзы безопасной электронной почты
• Неизменяемые резервные копии (которые невозможно изменить или удалить после создания)
• Многофакторная аутентификация для всего удаленного доступа
• Формализованное управление данными
• Регулярные настольные учения, включающие клинические операции

Два наблюдения оказались особенно актуальными для здравоохранения. Неизменяемые резервные копии обеспечивают более высокую степень снижения рисков в медицине, чем в среднем по другим отраслям. Это объясняется тем, что атаки программ-вымогателей на клинические системы требуют иного подхода к восстановлению, чем, например, атаки на программное обеспечение для планирования ресурсов предприятия (ERP) у производителя. Кроме того, организации с формализованным комитетом по управлению данными демонстрируют снижение рисков более чем в три раза по сравнению с аналогичными учреждениями в других секторах. Это подчеркивает, что значительная часть уязвимостей в здравоохранении находится на уровне самих данных, а не только на конечных устройствах.

Более важным, чем любая отдельная мера, является их комплексное применение. Все перечисленные меры действуют до или во время инцидента, а не после. Именно здесь достигается измеримое снижение рисков.

Почему возникают проблемы с бюджетом на кибербезопасность

Руководители служб информационной безопасности в сфере здравоохранения сталкиваются с распространенной проблемой: меры контроля, обеспечивающие наибольшее снижение рисков по моделям, часто наименее заметны для высшего руководства, тогда как меры, наиболее очевидные для руководства, нередко имеют слабую корреляцию с сокращением реальных потерь. Именно эту асимметрию призвана устранить количественная оценка киберрисков.

На практике медицинские организации, успешно решающие эту проблему, предпринимают три шага. Во-первых, они переводят внедрение мер безопасности в денежный эквивалент, который финансовый директор может сравнить с другими капитальными инвестициями. Во-вторых, они приоритизируют расходы на основе данных о претензиях, определяющих меры с высокой окупаемостью инвестиций (ROI) в их секторе, вместо того чтобы просто следовать шаблонным спискам. В-третьих, они проводят настольные учения, привлекая не только ИТ-специалистов, но и руководителей клинических отделов, поскольку решения, определяющие, превратится ли инцидент с программами-вымогателями в угрозу для пациентов, не являются чисто техническими.

Примеры из практики

Два показательных примера из практики иллюстрируют эту разницу. Региональная система здравоохранения среднего размера была уверена в надежности своей защиты, но столкнулась с реальностью во время крупного инцидента с программами-вымогателями. Выяснилось, что файлы клинических изображений не были включены в стратегию резервного копирования. Это привело к росту затрат на восстановление, увеличению регуляторных рисков и серьезным сбоям в оказании медицинской помощи.

В отличие от этого, биотехнологическая компания среднего сегмента рынка выбрала иной подход. Она разработала программу количественной оценки и приоритизации киберрисков, сопоставила свои меры защиты с наиболее вероятными сценариями потерь и смогла перенаправить расходы на безопасность в сторону мер с максимальной отдачей. Когда произошла попытка компрометации корпоративной электронной почты, внедренные меры сработали, и инцидент не привел к финансовым потерям.

Разница между этими двумя исходами заключалась не в размере бюджета, а в том, как каждая организация решила его использовать.

Что следует предпринять руководителям служб безопасности сейчас

Предлагается три конкретных шага, которые можно реализовать без масштабной трансформации:

• Проведение аудита резервного копирования. Аудит системы резервного копирования организации необходимо провести с учетом реалистичного сценария атаки программ-вымогателей. Он должен включать не только административные файлы, но и клинические системы, а также данные медицинских изображений. По данным исследований, пробелы в резервном копировании являются одним из главных факторов, усугубляющих последствия атак программ-вымогателей в здравоохранении.
• Оценка устойчивости к социальной инженерии. Необходимо напрямую измерить устойчивость к социальной инженерии. Настольные учения, симуляции фишинговых атак и проверки конфигурации шлюзов электронной почты проводятся быстрее, чем многие организации предполагают, а значительная доля потерь из-за социальной инженерии делает эти меры высокорентабельными.
• Количественная оценка рисков для руководства. Переведите три-четыре наиболее значимых сценария риска в денежный эквивалент и представьте их совету директоров. Разговор с финансовым директором будет более продуктивным, если запрос будет сформулирован как снижение потерь, а не как расходы на технологии. Количественная оценка рисков делает такой подход обоснованным.

Это подчеркивает необходимость количественной оценки рисков на основе вероятных сценариев материальных потерь. Без нее обсуждение бюджета остается абстрактным, в то время как угрозы остаются реальными. Важно позволить данным о претензиях, а не планам поставщиков, определять список приоритетов.

Твитнуть