نفوذگران در بيمارستان | ماجرای اخاذانی که سیستم ثبت الکترونیکی یک بیمارستان را از کار می‌اندازند

[Arash.All]

http://www.shabakeh-mag.com/Data/Articles/Items/2010/6/1003910.jpg

اشاره: نفوذگری می‌تواند فقط براي خرابکاری (یا حتی نوعی سرگرمی بیمارگون) یا کلاهبرداری و پول در آوردن انجام شود، اما در هر دو صورت خسارت‌هاي مالی فرد قربانی در میان است. خسارتی که باتوجه به نوع و ابعاد حمله می‌تواند حتی يک سازمان را به مرز نابودی بکشاند. اما این کلاهبرداران دیجیتال تا کجا می‌توانند پیش بروند؟ اگر سازمان مورد بحث مرکزی باشد که با جان مردم سر و کار داشته باشد چه؟ خودکارسازی و دیجیتالی کردن امور در بسیاری از سازمان‌ها، به‌خصوص در کشورهای در حال توسعه از جمله در کشور ما، هنوز اتفاق نیفتاده و کارکنان این سازمان‌ها هنوز با قلم و کاغذ و پرونده‌های کاغذی بیماران سر و کار دارند. بنابراین، طبیعی است که دیجیتالی کردن امور در چنین مراکزی، از جمله بیمارستان‌ها می‌تواند تأثیر چشم‌گیری در روند کار داشته باشد و با توجه به این‌که در این کشورها بسیاری از این نهادها در آستانه دیجیتالی شدن هستند، استفاده از تجربه‌هاي دیگران می‌تواند آن‌ها را از بسیاری از خطرها (که جان مردم را درگیر می‌کنند) دور کند. این مقاله به بازگویی یک نمونه از چنین نمونه‌هایی پرداخته و ماجرای گرفتار شدن یک بیمارستان کوچک را در دام تبهکاران بیان می‌کند و در ادامه نیز راهکار ارائه‌شده سه نفر از کارشناسان اين عرصه را برای این مشکل طرح مي‌کند.
«امنیت شبکه شما به‌دردنخور است. اما ما می‌توانیم به شما کمک کنیم؛ در ازاي صد هزار دلار پول نقد که بیمارستان کوچک شما را در مقابل هر گونه فاجعه‌ای بیمه می‌کند.» پل لِی‌من پس از خواندن این ایمیل، هنگامی که آن را پاک می‌کند، به خود می‌گوید: «مسخره است؛ چیزهایی که مردم سعی می‌کنند از اینترنت به‌دست آورند.» لی‌من، مدیرعامل بیمارستان سانی‌لیک، وقتی در یک عصر جمعه با خیال راحت ايميل‌هاي خود را بررسي می‌کرد، این ایمیل عامیانه را از فرستنده‌ای ناشناس پیدا کرد. او پنج سال پیش با نگرش به ارمغان آوردن جدیدترین فناوری‌ها برای سانی‌لیک به این بیمارستان کوچک آمد.

پل اعتقاد داشت، سانی‌لیک فقط در صورتی می‌تواند رشد کند که عادت‌ها و رویه‌های قدیمی و منسوخ را کنار بگذارد و جایگزینی رکوردهای کاغذی با رکوردهای پزشکی الکترونیکی یا EMR (سرنام Electronic Medical Record) باعث ارتقاي کیفیت مراقبت از بیماران می‌شود. پل پس از جست‌و‌جویی محتاطانه یک جوان مشتاق به‌نام جاکوب دِیل را به‌عنوان سرپرست آی‌تی سانی‌لیک استخدام کرد و با او روی عملی کردن نگرش پل کار کرد.

موفقیت استفاده از EMR سانی‌لیک را از یک مرکز مراقبت‌های پزشکی ناشناخته به الگویی برای بیمارستان‌های کوچک در هر جایی تبدیل کرد. پس از آن اقدام، همه کارکنان کادر پزشکی برای بررسی فایل بیماران از دستگاه‌های الکترونیک استفاده می‌کنند. البته بسیاری از پزشکان در ابتدا در مقابل این تغییر مقاومت می‌کردند، با این ترس که فناوری جدید توجه را از علائم و نشانه‌های بیماران منحرف کند. اما پس از گذشت زمان، حتی افرادی که بیش از همه به روش‌های قدیمی معتقد بودند، اعتراف کردند، EMRها باعث افزایش کارایی شده‌است، به‌عنوان مثال، با بررسی خودکار خطاهای تجویز و فعل و انفعالات دارویی.

موفقیت درخشان واحد آی‌تی نوپای پل، آن را به بخش ارزشمندی از بیمارستان تبدیل کرد. مدیرعامل بیمارستان از EMRها به‌عنوان میراث خود یاد می‌کند که تا سال‌ها در خدمت بیمارستان خواهد بود. خطری که در ایمیل تهدیدآمیز نهفته بود باعث بر انگیخته شدن هیچ اضطرابی در دل پل نشد. او اعتقاد راسخی به جاکوب داشت؛ کسی که انرژی پرتکاپوی او حتی در سر و وضع و لباس پوشیدنش نیز نمایان است. در حالی‌که سیستم تحت توسعه بود پل بارها اصرار ورزید که حریم خصوصی مسئله‌ای بسيار پراهمیت است.

جاکوب نیز با خیال راحت و اطمینان کامل توضیح داد که دیجیتالی کردن رکوردها همچنین امنیت آن‌ها را زیاد می‌کند. با وجود این، پل ‌هنگام آغاز به‌کار سیستم مضطرب بود، اما گذشت سه سال شک او را خاموش کرد. اگرچه او می‌دانست هیچ سیستم کامپیوتری‌ای بی‌نقص نیست، اما اطمینان داشت که خطري جدی شبکه را تهدید نمی‌کند؛ به‌خصوص از سوی شخص اخاذی که حتی مهارت‌های اولیه تایپ را نیز ندارد. او موضوع را در طول تعطیلات آخر هفته به‌دست فراموشی سپرد، اما پل در ساعت هشت صبح روز دوشنبه ایمیل دیگری با موضوع «ما به شما اخطار داده بودیم» دریافت کرد که داخل آن چیزی نوشته نشده بود. دشوارترين روز کاری پل لی‌من به آغاز خود نزدیک می‌شد.

دسترسی ممنوع
یکی از پزشکان فریاد می‌زند: «یک بیمار آماده جراحی داریم. همین حالا به آن رکوردها نیاز داريم!» پرستاری که او سرش فریاد کشید، از دستگاهی که در دست داشت، ذره‌ای چشم بر نداشت. پزشک فکر کرد که فقط یک هفته از آغاز به‌کار پرستار می‌گذارد و همین حالا بی‌کفایتی‌اش را به اثبات می‌رساند. او بی‌صبرانه دستگاه رکوردخوان را از دست پرستار کشید و شماره دسترسی خود را وارد کرد. تنها چیزی که روی صفحه ظاهر شد، یک پیغام «دسترسی ممنوع» بود.

پزشک ناله‌کنان گفت: «این چیه؟ من همین دیروز فایل‌های این بیمار را نگاه کردم!» واحد آی‌تی شبکه را به گونه‌اي طراحی کرده‌بود که فقط پزشکان، پرستارها و مدیرانی که نیاز داشتند به آن دسترسی داشتند. اما امروز همه چيز به طرز وحشتناکي غلط از آب درآمده است. پرستار ایستاده بود و دست‌به‌کمر سر تکان می‌داد و در مقابل وسوسه کوبیدن دستگاه روی میز مقاومت می‌کرد. در همین حال، پزشک خود را به‌سرعت به واحد آی‌تی رساند. حتي متوجه دسته‌ای از پرستاران مضطرب با کارت‌های پزشکی خالی‌ای که نتایج بررسی‌های صبح باید در آن‌ها می‌بود، نشد.

اما در قلب واحد آی‌تی او با صحنه‌ای غیرعادی روبه‌رو شد. گروهی از پزشکان ناراضی بیرون اتاقی شیشه‌ای جمع شده‌بودند؛ سرورهایی که با سر و صدا در حال کار بودند در رک‌هایی در این اتاق جا خوش کرده‌بودند. داخل اتاق چند نفر از کارکنان آی‌تی دیوانه‌وار مشغول کار بودند. وقتی او کمی نزدیک‌تر شد همکاران خود را با دستگاهی در دست دید که همان پیغام را نشان می‌دادند: «دسترسی ممنوع!»

رکوردها به‌عنوان خون‌بها
چند دقیقه بعد، وقتی پل سومین ایمیل را دریافت کرد، جاكوب در اتاق او بود. هر دوی آن‌ها در سکوت مطلق به نمایشگر پل زل زده‌بودند. پیغام جدید با همان لحن عامیانه اشتباه و دیکته اشتباه می‌گفت: «شرط می‌بندیم دوباره چیزهای از دست‌رفته‌تان را می‌خواهید. احتمالاً باید بهتر از آن‌ها مراقبت می‌کردید. با مبلغ ناقابل صد هزار دلار می‌توانید به‌راحتی این کار را انجام دهید.» پل شاکیانه گفت: «این دیگر چه مزخرفاتی است؟ دکترهای من در راهروها غوغا به‌پا کرده‌اند.» جاکوب زیر لب جواب داد: «این یک ابزار اخاذی گسترده است. این افراد به‌جای گروگان گرفتن دو نفر بابت مبلغی ناچیز، کل سازمان را در مشت خود دارند. آن‌ها برای ابزار رمزگشایی صد هزار دلار می‌خواهند.» همه اعضای گروه او برای بازیابی سیستم در حال تلاش بودند. کدهایی که همیشه اجازه دسترسی انتخابی به رکوردها را می‌داد، به‌گونه‌اي دستکاری شده‌بودند که امکان هیچ گونه دسترسی‌ای به آن‌ها وجود نداشت.

جاکوب در پاسخ به سؤال پل که پرسید: «چگونه به سیستم ما راه پیدا کرده‌اند؟» پاسخ داد: «شاید از طریق دستگاه یکی از کاربران. شاید کسی فکر کرده که نرم‌افزار ضدویروس دانلود می‌کند یا یکی از نرم‌افزارهای موجود را به‌روز می‌کند.» پل گفت: «یک احمق در میان کارکنان ما می‌تواند چنین آشفته‌بازاری به بار آورد؟» پل در یک لحظه ناخوشایند دریافت که واحد آی‌تی سانی‌لیک به‌اندازه کافی بزرگ یا ماهر نبوده که بتواند از پس چنین مشکل خرابکارانه‌ای بر آید. در طول سه سال گذشته فناوری‌های امنیتی پیشرفت چشم‌گیری داشته‌اند، در حالی که به‌دلیل نامشخصی سانی‌لیک با این روند هم‌قدم نشده‌بود.

http://www.shabakeh-mag.com/Data%5CGallery%5C2010%5C6%5CHaker-Bimarestan--04_s.jpg (http://www.shabakeh-mag.com/img.aspx?l=/data%5cgallery%5c2010%5c6%5chaker-bimarestan--04.jpg)همین چند روز پیش پل اطمینان خاطر کامل داشت که نفوذ به‌سیستم در عمل غیرممکن است. اما اکنون او با این واقعیت هراس‌آور روبه‌رو شده‌بود که سیستم در تمام این مدت ضعف داشته است. همه رکوردها روی شبکه نسخه پشتیبان داشتند، بنابراین اطلاعات هیچ بیماری به‌طور کامل از بین نمی‌رفت. اما در آن لحظه، سانی‌لیک به‌هيچ‌وجه نمی‌توانست رکوردها را برای پزشکانی فراهم کند که برای مراقبت از بیماران نیازی مبرم به آن‌ها داشتند. تمام بیمارستان می‌رفت که در حالت ایست کامل قرار بگیرد.

پل می‌گوید: «این واقعاً...» او به‌خاطر کمبود کلمه چند لحظه از صحبت باز می‌ایستد و ادامه می‌دهد: «واقعاً بد است. واقعاً، واقعاً بد.» سپس نگاهش را متوجه جاکوب می‌کند. چشمان مسئول آی‌تی تنگ شده‌بودند و احساسی سبعانه او را فرا گرفته‌بود. او می‌گوید: «چه انسان کثیفی می‌تواند یک بیمارستان را هک کند؟ افراد بیمار و رنجور برای آن‌ها هیچ اهمیتی ندارند؟ هر بار فکر می‌کنی از این بدتر نمی‌شود، اما این آدم‌ها هر بار پست‌تر می‌شوند.»

پل تقریباً بر سر جاکوب فریاد می‌زند: «تا آنجا که من شنیدم هکرها به هیچ اصل اخلاقی‌ای پایبند نیستند.» او ادامه می‌دهد: «آن‌ها باید متوجه شده باشند که وابستگی ما به این رکوردها ما را به‌شکل ویژه‌ای آسیب‌پذیر می‌کند. اگر یک سایت را برای چند ساعت از کار بیاندازند، آن شرکت احتمالاً پول از دست می‌دهد. شاید حتی مقدار زیادی پول. اما اگر رکوردها را از دسترس یک بیمارستان خارج کنند، ممکن است کارکنان به بیمارانی آسیب برسانند که برای محافظت از آن‌ها به‌دشواری کار کرده‌اند. موضوع دیگر پول نیست. اینجا جان انسان‌ها است که در معرض خطر قرار گرفته است.»

جاکوب در جواب با لحنی دفاعی می‌گوید: «افراد من با هر امکانی که در اختیار دارند در حال مقابله با این مسئله هستند. با در اختیار داشتن وقت کافی می‌توانیم کنترل سیستم را باز یابیم. بعد هم امنیت را ارتقا می‌دهیم تا مطمئن شویم دیگر هرگز چنین اتفاقی نخواهد افتاد. ما یک سیستم کشف آلودگی مبتنی بر شبکه نصب خواهیم کرد. از حالا به بعد، دیگر فقط دفع متجاوزان کافی نیست.»

پل به آرامی رفتار خود را کنترل می‌کند و می‌گوید: «سؤال این است که چه زمانی برنده خواهیم شد؟ ما بیش از این نمی‌توانیم بدون رکوردها پیش برویم.» جاکوب در جواب می‌گوید: «این معادل دیجیتال جنگ تن‌به‌تن است. ما بهتر از این افراد با سیستم آشنا هستیم. اما آن‌ها از مزیت غافلگیری برخوردارند. من نمی‌توانم دقیقاً بگویم چه زمانی به برد می‌رسیم. برای چنین مسئله‌ای یک راه‌حل سریع وجود ندارد.» پل در حالی که با سر به نمایشگر اشاره می‌کند: «آن‌ها یک راه‌حل سریع پیشنهاد کرده‌اند.» جاکوب ناباورانه می‌پرسد: «تو که واقعاً به پرداخت به این آدم‌ها فکر نمی‌کنی؟ اگر یک بار زیر بار پرداخت برویم، برای همیشه به یک هدف تبدیل خواهیم شد. این کار را انجام نده. این کار درستی نیست. پل! ما می‌توانیم بر این افراد غلبه کنیم. فقط کمی وقت به من بده.»

بمبی در گذر ثانیه‌ها
لیزا منکینز، سرپرست هیئت حقوقی سانی‌لیک می‌گوید: «پل! ما باید از شر اين ماجرا خلاص شویم.» لیزا همچون روزهای دیگر موهایش را از پشت بسته بود و لباس یک‌رنگ همیشگی‌اش را پوشیده بود. اما قیافه او همچون کسی بود که چند ساعت شکنجه را تاب آورده‌است. واحد آی‌تی پس از آخرین ایمیل نفوذگران دو بار موفق به بازیابی سیستم شد، اما فقط دو دقیقه بعد از بازیابی سیستم دوباره با مشکل مواجه شد. طبق اظهارات جاکوب، با وجود همه تلاش‌های واحد آی‌تی نفوذگران به باز یافتن دسترسی ادامه دادند. بیشتر کارکنان از لحاظ احساسی دچار خستگی شدند. بیمارستان به تمام پزشکان اعلام کرد که دستورات و تجویزها را روی کاغذ بنویسند.

دکترهای جوان‌تر که کاملاً به EMR عادت داشتند، گیج شدند. حتی پزشکان باسابقه‌تر هم فراموش کرده‌بودند «پانصد میلی‌گرم آموکسی‌سیلین» را چطور به‌شکل خوانا بنویسند. پل برای صحبت درباره کنترل خسارات لیزا را به اتاق خود فرا خواند. منکینز می‌گوید: «موقعیت قانونی ما در چنین وضعیتی بیش از حد مخاطره‌آمیز است. هر چه این وضعیت بیشتر ادامه پیدا کند مخاطرات نیز بیشتر می‌شود. در حقیقت هر ثانیه که می‌گذرد یک زیان است. پزشکان در ضروری‌ترین موارد در حال بازگشت به رکوردهای کاغذی قدیمی هستند، اما آن رکوردها منسوخ ‌شده‌اند.

عصر امروز دارویی برای یک بیمار استفاده کردیم که به آن آلرژی داشت. خوشبختانه واکنش او چندان شدید نبود، اما ممکن است دفعه بعدی این‌قدر خوش‌شانس نباشیم.» لیزا در جلوی میز پل یک قدم عقب و جلو رفت و ادامه داد: «ما باید گزینه‌های خود را تعیین کنیم. به نظر من واحد آی‌تی نمی‌تواند این مشکل را با سرعت مورد نیاز حل کند؛ اگر اساساً بتواند آن را حل کند.»

پل در جواب می‌گوید: «آن‌طور که جاکوب به من توضیح داد، واحد آی‌تی برای بازیابی کنترل به مقدار مشخصی زمان احتیاج دارد.» او تمام صبح را تلاش کرده‌بود تا اطمینانش را به جاکوب حفظ کند، اما این اطمینان در حال ناپدید شدن بود.

هر بار که سیستم بازیابی مي‌شد، امید در دل پل موج زد، اما فقط تا لحظه‌ای که سیستم دوباره با مشکل مواجه شد و پیغام «دسترسی ممنوع» روی صفحه ظاهر شد. لیزا می‌گوید: «خودت مي‌داني ما زمان زيادي در اختیار نداریم.» پس از لحظه‌ای سکوت با چهره‌ای گرفته ادامه می‌دهد: «تو می‌دانی که ما برای چنین کاری بودجه داریم. بودجه‌ای که از دست رفتن آن قابل‌قبول است. ما بیمه‌ای داریم که خطرات آی‌تی را شامل می‌شود و پولی که به این افراد بدهیم.

پرونده‌های معالجه نادرست تنها از نظر هزینه‌های قانونی می‌توانند صدها هزار دلار برای بیمارستان هزینه در بر داشته باشند و از نظر خسارات این هزینه به میلیون‌ها دلار می‌رسد. صد هزار دلار در برابر هزینه‌هایی که با تلف کردن این زمان به ما تحمیل می‌شود، ناچیز است. من فکر می‌کنم که پرداخت این غرامت عملی‌تر و حتی اخلاقی‌تر است. هر چه بیشتر صبر کنیم، آسیب بیشتر و جدی‌تری به بیماران و خود خواهیم رساند.»

پل پاسخ می‌دهد: «من این ایده را دوست ندارم؛ اصلاً این یک جایزه بی‌قید و بند به اخاذان است. این کار فقط به این افراد جرأت بیشتری می‌دهد و شاید به حمله‌های دیگر به بیمارستان‌های دیگر منجر شود.» پس از یک مکث ادامه می‌دهد: «اما شاید تنها چیزی باشد که داریم.» هنوز لیزا از دفتر خارج نشده که جرج نودسن، سرپرست بخش با شتاب وارد می‌شود. او می‌گوید: «پس کی می‌خواهید این مشکل را حل کنید؟ اصلاً می‌دانید اگر یک فرد ناباب از این ماجرا بو ببرد، چقدر به اعتبار ما آسیب خواهد زد؟» جرج در سانی‌لیک فردی باسابقه و ناآرام بوده‌است.

او ‌هنگام ورود پل سال‌ها در آنجا بوده است و احتمالاً بعد از او هم در بیمارستان خواهد ماند. آن‌ها در روزهای معرفی EMR بر سر این موضوع اختلاف داشتند، اما پس از موفقیت آن با هم صمیمی شدند. اما حالا جرج هر چیزی به‌نظر می‌رسید، به‌جز صمیمی. پل به او پاسخ می‌دهد: «همه تا حد ممکن به‌سختی کار می‌کنند. این موقعیت برای همه ما دشوار است.» جرج خشمگینانه می‌گوید: «گمان نکنم بدانی که چقدر دشوار بوده. اگر مي‌دانستي، به‌جای آسیب زدن به بیماران به درمان آن‌ها مي‌پرداختي. اگر مي‌دانستي از شکستن عهد خود می‌ترسیدی؛ آن هم به‌خاطر این‌که یک خوره کامپیوتر که فکر می‌کرده سیستمش خیلی قوی‌تر از آنچه واقعاً هست، بوده.»

پل تحت تأثیر عصبانیت مرد مسن‌تر پاسخ داد: «جرج! تو می‌دانی سیستم الکترونیک چقدر برای بیمارستان خوب بوده‌است. تو خودت این موضوع را تصدیق کردی.» جرج فریاد می‌کشد: «من نمی‌دانستم چه هزینه‌ای باید بپردازیم! تو کاری می‌کنی که همه کارکنانت نالایق به‌نظر برسند یا حتی بدتر! شاید کاغذ کند بود، اما قابل‌اطمینان بود. پل؛ اگر زود این مسئله را حل نکنی دیگر هرگز دستم را به آن دستگاه‌های نحس نمی‌زنم و می‌دانم که افراد بسیار دیگری هم اینجا همین احساس را دارند.»

اضطرابی در عمق وجود
پل در سالن استراحت بخش روی صندلی راحتی لم داده‌بود و به سقف نیمه‌روشن خیره شده‌بود. ساعت يک صبح بود. گروه آی‌تی هنوز در بیمارستان بود؛ در حال پیکار با دشمنی نادیده. راهبرد پیروزی سریع با دفاع جایگزین شده‌بود و به نیمه‌شب کشیده‌بود. جاکوب هر نوع ابزار رمزگشایی آنلاینی که پیدا می‌شد امتحان کرد و گروه او در سراسر بیمارستان پخش شده بودند و برای پیدا کردن سرنخی همه کامپیوترها را اسکن می‌کردند.

پل چشمانش را بسته بود و همچنان در خیال خود کدشکن‌های متفقین را می‌دید که با ماشین رمز آلمانی‌ها کلنجار می‌روند. موقعیت سانی‌لیک صد در صد اضطراری به‌نظر می‌رسید. او با وجود تمام تلاشش نمی‌توانست ذهن خود را پاک کند و به خواب برود. احساس مسئولیت برای همه آنچه آن روز پیش آمده‌بود، احساس گناه را به سینه‌اش می‌فشرد. حتی با وجود سه سال موفقیت مداوم، در طول مدتی که کارکنان تقریباً بدون استثنا قدردان تأثیرگذاری مثبت EMRها بودند، پل به‌راحتی می‌توانست به‌خاطر آورد که با چه سختی‌ای جنگید تا موفق شود سیستم را نصب کند و توافق دیگران را به‌دست آورد. اگر نمی‌توانست این بحران را به‌سرعت حل کند، هر آنچه رشته بود پنبه می‌شد.

پزشکان در ابتدا سرسختی و مقاومت زیادی از خود نشان می‌دادند و جرج تنها کسی نبود که بخواهد بگوید: «من به تو گفته بودم.» اگر او فقط همین یک بار به نفوذگران پول پرداخت می‌کرد، سانی‌لیک می‌توانست از آن پس امنیت را اولویت شماره یک خود قرار دهد و اطمینان حاصل کند که دیگر هرگز چنین اتفاقی نخواهد افتاد. پل آه‌کشان این فکر را از سر گذراند. آیا او واقعاً به‌فکر پرداخت این پول زور به تبهکاران بود؟

در ادامه، راهكاري پيشنهادي سه كارشناس متخصص را مرور مي‌كنيم.

بررسی دقیق و مداوم
توصیه‌های پیتر آر استفن‌سن، رئیس دپارتمان کامپیوتینگ و مدیر ارشد امنیت اطلاعات دانشگاه نورویچ

اگر در و پنجره‌های شبکه خود را با آنتی‌ویروس بسته‌اید و هر منفذ و شکاف آن را با فایروال پوشانده‌اید و ابزارهای امنیتی دیگری در شبکه خود کار گذاشته‌اید، احتمالاً از دست نفوذگران یا بدافزارها در امان خواهد بود. اما در این مورد، تمهیداتی برای نفوذ امنیتی پیش‌بینی نشده و یک فرد بی‌دقت (مثلاً یکی از کارکنان که از طریق یک کامپیوتر متصل به شبکه بیمارستان خرید اینترنتی کرده) درها را به‌روی بدافزار گشوده‌است.

http://www.shabakeh-mag.com/Data%5CGallery%5C2010%5C6%5CHaker-Bimarestan--01_s.jpgمتأسفانه در بسیاری از بیمارستان‌ها امنیت داده همچون نوشداروی بعد از مرگ است. به‌تازگي از جلوی کیوسک اطلاعات یک بیمارستان رد می‌شدم که باید یکی از کارکنان در آن پاسخ‌گو باشد. اما کامپیوتر موجود در آن و نمایشگر روشن بودند و هیچ‌کس آنجا نبود؛ یعنی تخطی کامل از قوانین ایالات متحده در رابطه با محافظت از حریم خصوصی بیمار.

سیستم سانی‌لیک به این علت به‌طوردائم از کار می‌افتاده [پس از راه‌اندازی دوباره] که نفوذگران با هر بار درست شدن سیستم، راه جدیدی پیدا می‌کرده‌اند. علت این امر شاید این باشد که یک بدافزار با ارسال یک پیغام به نفوذگران، به آن‌ها اجازه می‌داده اطلاع یابند که جاکوب و اعضای گروهش مشغول چه کاری هستند. اگر پل به‌محض رسیدن اولین پیغام به گروه آی‌تی اجازه داده بود از ماجرا باخبر شوند، آن‌ها می‌توانستند بلافاصله ارتباط سیستم را با اینترنت قطع کنند و اطمینان یابند که هیچ بدافزاری نمی‌تواند از خارج وارد شبکه شود. این کار همچنین هر راه نفوذ ایجادشده توسط نفوذگران را مسدود می‌کرد.

سپس آن‌ها باید بررسی می‌کردند که تبهکاران به شبکه دسترسی پیدا کرده‌اند یا خير. این غیرعادی نیست که یک فرد اخاذ برای ترساندن گیرنده و دریافت وجه از او به ارسال پیغام به قربانی اقدام کند. جاکوب و گروهش باید گزارش‌های سیستم را برای پی‌گیری هر گونه تغییری بررسي می‌کردند. اگر آن‌ها واکنش به‌موقعی از خود نشان می‌دادند، ممکن بود بر ایمیل دوم پیش‌دستی کنند یا از نفوذ بیشتر جلوگیری کنند.

گروه آی‌تی چگونه می‌توانست شبکه را درست کند؟ اول، مدیران سیستم باید رمزهاي عبور خود را بازیابند و کنترل را دوباره به‌دست آورند.‌ از لحاظ فنی، این یعنی خاموش کردن سرورها، پاک کردن کامل و امن همه دیسک‌های سرورها با پاک کردن داده‌ها و بازنویسی آن‌ها با داده‌های اتفاقی و اطمینان یافتن از این‌که برنامه‌های امنیتی کاملاً به‌روز و فعال هستند. گروه آی‌تی باید یک اسکن کامل بدافزار روی هر ایستگاه کار موجود در بیمارستان انجام دهد تا از برگشتن حمله از یکی از کامپیوترهای کارکنان جلوگیری شود. اگرچه این اسکن کار و انرژی زیادی می‌طلبد، اما کاملاً حیاتی است.

اما تبهکاران چه می‌شوند؟ ایمیل‌ها حاوی راهنمایی‌های جالبی درباره هویت آن‌ها بوده‌اند. غلط‌هاي املايي نشان‌دهنده جوان یا خارجی بودن نويسنده یا یک فردمبتدي است که برنامه حمله را از اینترنت دانلود کرده‌است. همچنین ممکن است تبهکاران خیلی هوشمند باشند و همیشه بهتر آن است که مهارت‌های نفوذگران را دست‌بالا بگیریم. شاید آن‌ها حتی «بیگانه» نباشند. یک کارمند کینه‌توز یا یکی از بیماران که از جلوی یک ایستگاه کاری بدون متصدی رد می‌شده می‌تواند آسیب زیادی به بار آورد. سانی‌لیک قبل از اتصال دوباره به اینترنت باید به‌مدت 24 ساعت بررسی کند که چه پیش می‌آید. اگر نفوذگران افرادي خودی باشند که دسترسی را برای خود حفظ کرده‌اند، ممکن است سعی کنند آن را بازیابند.

حتی اگر پل یک مشاور امنیتی استخدام کند، کاری که من توصیه می‌کنم، بسیار بعید است که بتواند نفوذگران را پیدا کند. در هر حال، مشاور می‌تواند در ساخت پرونده‌ای از نفوذگران، ارتقاي امنیت، آموزش کارکنان اصلی و افزایش امنیت کمک کند تا سانی‌لیک در آینده از خود محافظت کند.

مقاومت در برابر اخاذان
توصیه‌های ریچارد ال نولان، استاد دانشگاه واشنگتن و یکی از نویسندگان کتاب «ماجراهای یک راهبر آی‌تی»

این نمونه‌ای از حمله‌هایی است که هر سازمانی، کوچک یا بزرگ، در معرض خطر آن قرار دارد. هیچ کدام از سازمان‌های وابسته به فناوری از دست افراد بی‌شماری که هدفشان مختل کردن عملیات شرکت‌ها است، در امان نیستند؛ آن‌ها این کار را گاهی فقط به‌خاطر تفریح، گاهی با اهداف بدخواهانه یا بهره‌برداری شخصی انجام مي‌دهند.

http://www.shabakeh-mag.com/Data%5CGallery%5C2010%5C6%5CHaker-Bimarestan--02_s.jpgاین به آن معنا است که مدیرعامل و مدیران در محافظت در مقابل تهدید، برای «قضاوت کسب‌وکاری درست» مسئول هستند. اشتباه اول پل از دست دادن ایمیل اول بود. همه تهدیدهای مرتبط با بخش آی‌تی باید جدی گرفته شوند؛ با وجود این آگاهی پل باید بلافاصله جاکوب دیل را باخبر می‌کرد. هیچ سیستمی در بخش آی‌تی ضدگلوله نیست.

علاوه بر این، سازمان‌ها بايد برای وقتی که خطری سیستم‌ها را تهدید می‌کند که ابعاد نامشخصی دارد، طرحی داشته باشند. سانی‌لیک باید یک سیستم پشتیبان فعال و کاملاً امتحان‌شده ترتیب می‌داد تا از خدمات بی‌وقفه و محافظت از همه چیز مطمئن شود. پزشکان و پرستارها برای تشخیص، حل مشکل و درمان بیماران آموزش دیده‌اند. سیستم‌های آی‌تی این کار را آسان می‌کنند، اما قرار نیست جایگزینی برای درمان بیماران باشند. این حقیقت که بیمارستان نرم‌افزار به‌روز امنیتی یا یک تأمین‌کننده امنیت قابل‌اطمینان خارجی و طرحی برای اوقات اضطراری نداشته است، غیرموجه است.

مقابله با این بحران از مقابله با تهدیدهای نامعلوم (همچون نرم‌افزارهای روبات‌مانندی که به‌طور اتفاقی به غیرفعال کردن و خرابکاری می‌پردازند یا دزدی داده‌های مشتری) آسان‌تر است، زیرا سانی‌لیک می‌داند که حمله‌ای در میان است: یک نفر دسترسی امنیتی را تغییر داده‌است. اما پل به‌عنوان مدیرعامل چه‌کاری باید انجام دهد؟ اول بهتر است صندلی راحتی را رها کند و از این امید واهی که بخش آی‌تی می‌تواند سیستم را بازیابی کند و بیمارستان را دوباره در جریان عادی بیاندازد، دست بردارد.

وقتی بیمارستان‌های CareGroup گروهی از متخصصان مراقبت بهداشتی در شرق ماساچوست موقعیت مشابهی را در سال 2002 تجربه کردند، مدیرعامل، مدیر ارشد اطلاعات، پزشکان، پرستاران و بخش پشتیبانی شروع به انجام کارها همچون دهه 1970 کردند، یعنی قبل از نصب سیستم یکپارچه EMR. متخصصانی که اوضاع را به‌خاطر می‌آوردند، افرادی را که همواره به کامپیوترها وابسته بودند، آموزش دادند. چنان‌که جان هالامکا، مدیر ارشد اطلاعات به کارکنانش گفت: «خبر خوب این است که مراقبت بهداشتی هیچ زیانی به خود ندید.»

پل نیز باید ارتباط خود را کاملاً با همه اعضا حفظ می‌کرد. او باید می‌دانست که در محیط شبکه‌ای امروز هیچ رازی وجود ندارد. هر نفوذی در بخش آی‌تی سازمان مربوطه را مجبور می‌کند که بپرسد، ما باید چقدر از این حمله را فاش سازیم؟ در این موقعیت، پل باید همه چیز را برای همه افراد درگیر، از قبیل کارکنان، مدیران، بیماران و مردم فاش سازد.

تحت هیچ شرایطی او نباید تسلیم خواسته‌های اخاذان شود، زیرا هیچ تضمینی وجود ندارد که آن‌ها هیچ خرابکاری بیشتری جاسازی نکرده باشند. کدها باید خط‌به‌خط بررسی و به‌طور کامل پاک شوند. زیرساخت‌های شبکه بیمارستان و سیستم‌های آی‌تی دیگر بیمارستان باید برای خرابی‌های احتمالی تجزیه و تحلیل شوند و توسط یک نرم‌افزار امنیتی به‌روز محافظت شوند.

در نهایت، پل باید با این حقیقت روبه‌رو شود که ممکن است شغل خود را از دست بدهد. پس از همه این اتفاقات، اوست که مسئولیت همه منابع راهبردی بیمارستان، از جمله آی‌تی را به‌عهده دارد. علاوه بر این، مدیران نیز باید برای کوتاهی‌های راهبردی جوابگو باشند. بیمارستان سانی‌لیک اخطاری بسیار جدی درباره یک مشکل در حال توسعه برای همه مدیران ارشد و بقیه مدیران در خود دارد.

مذاکره با نفوذگران
توصیه‌های پر گولِستراپ، مدیرعامل Clipper Projects در کپنهاگ

ممکن است ناخوشایند به‌نظر برسد، اما من پیشنهاد می‌کنم که سانی‌لیک مبلغ درخواستی را به تبهکاران بپردازد (مسلم است که تهدید حقیقی است و بیماران در معرض خطری قابل رسیدگی قرار دارند).
این کار شاید تنها راهی باشد که پل لیمن را قادر می‌سازد بیماران سانی‌لیک را از آسیب محافظت کند و از مخاطره مسئولیتی که لیزا منکینز از آن هراس دارد، جلوگیری می‌کند.

http://www.shabakeh-mag.com/Data%5CGallery%5C2010%5C6%5CHaker-Bimarestan--03_s.jpgچرا این کار را توصیه می‌کنم؟ به‌عنوان یک مدیرعامل در نوامبر 2008 مجبور شدم با چنین موقعیتی روبه‌رو شوم؛ زمانی که دزدان دریایی سومالی در خلیج عدن به یک کشتی پانزده میلیون دلاری حمله کردند که به Clipper Group تعلق داشت. دزدان دریایی خدمه سیزده نفره کشتی را به‌مدت 71 روز گروگان گرفتند. من رهبری گروه واکنش اضطراری را به‌عهده داشتم که مسئول اطمینان یافتن از امنیت کشتی و خدمه بود.

معامله با اخاذان از وظایف تعریف‌شده یک مدیرعامل نیست. در مورد مربوط به ما، تبهکاران همه کارت‌ها را در دست داشتند. در طول آن ماجرا، یاد گرفتم که دزدی دریایی سومالی یک کسب‌و‌کار دارای حساب و کتاب است که بازیگران و سرمایه‌گذارانی دارد. اگرچه ممکن است دزدان زندگی را بر گروگان‌ها سخت کنند، اما آزار جدی آن‌ها در برنامه دزدان قرار ندارد؛ این در مدل کسب‌و‌کار دزدان دریایی برابر با مرگ است.

دزدان آگاه بودند که زمان در جبهه آن‌ها قرار دارد. اگر ما پول را نمی‌پرداختیم، آن‌ها به راحتی کشتی و خدمه را به نابودی می‌کشاندند. سیستم کامل آن‌ها نیز تأمین منابع مورد نیاز کشتی را راحت می‌کرد. هیچ مدیرعاملی نمی‌تواند تا مدت نامحدودی در مقابل بستگانی که فشار می‌آورند، روزنامه‌های پر هیاهو و سیاستمداران مصر تاب بیاورد. در انتها چاره‌ای نداشتیم جز پرداخت میلیون‌ها دلار به دزدان دریایی (بیمه مبلغ را پرداخت کرد).

در مورد مربوط به پل، نخستین و مهم‌ترین گام استخدام یک مذاکره‌کننده ماهر و از نظر احساسی بی‌طرف است که بتواند باب گفت‌و‌گو را با نفوذگران باز کند و آن‌ها را درگیر گفت‌و‌گو نگه دارد تا آن‌ها دست به شرارتی بیش از این نزنند. همزمان با پیشروی فرآیند مذاکره‌کننده اطلاعات را میان دو طرف رد و بدل می‌کند؛ در حالی که گروه آی‌تی جاکوب دیل نیز روی راه‌اندازی دوباره سیستم کار می‌کنند و سپس به بخش‌های امنیتی و اضطراری که از ابتدا باید اولویت اول می‌بودند، قدرت می‌بخشند. در این زمان، پلیس و متخصصان قانونی می‌توانند رد تبهکاران را بگیرند و کار آن‌ها را مختل سازند.

در حالی که مذاکرات در حال انجام است، همه چیز به یک بازی شطرنج می‌ماند. مذاکره‌کننده و گروه اضطراری می‌توانند روی چیدن شرایط و تدارک اقدامات لازم کار کنند. وقتی توافق حاصل شد، بحث مبلغ به‌پایان می‌رسد و کل ماجرا تمام می‌شود. سؤال دیگر این است: پس رسانه‌ها چه می‌شوند؟ خبرنگارها به‌طریقی از آنچه در سانی‌لیک پیش آمده باخبر خواهند شد. در مورد مربوط به ما، تصمیم بر این شد که با رسانه‌ها به‌صورت مستقیم صحبت کنیم تا کمک کنیم که آگاهی مربوط به خطری که از جانب دزدهای دریایی وجود داشت، افزایش یابد.

اگر صاحبان کشتی پیشنهاد دزدانی را که در این کسب‌و‌کار هستند، درک کنند و آمادگی انجام مذاکرات سخت را داشته باشند، امکان مقابله درست با موقعیت را خواهند یافت. ما در طول فرآیند مذاکره یاد گرفتیم که پول اخاذی‌شده کجا می‌رود و چگونه هزینه می‌شود و قانون از این اطلاعات استفاده خوبی می‌کند.

Shabake-Mag