Sağlık sektörü, uzun zamandır siber suçluların hedefinde yer alıyordu. Ancak 2020 yılında COVID-19’un ortaya çıkmasıyla birlikte sektör üzerinde inanılmaz düzeyde bir baskı oluştu.
Sorularımızın yanıtlarını Cisco Orta Doğu ve Afrika Bölgesi Siber Güvenlik Direktörü Fady Younes cevapladı ve COVID-19’un sağlık sektöründe güvenlik üzerinde devam eden etkisini masaya yatırdık.
Sağlık sektörünü hedef alan başlıca siber güvenlik tehditleri neler?
Ne yazık ki sağlık sektörünün güvenliğinin sağlanmasına ilişkin zorlukların karmaşıklık düzeyi ve yarattığı sorunlar ürkütücü düzeyde. Her sektörde olduğu gibi sağlık sektörü de kimlik avından kötü amaçlı yazılımların dağıtılmasına, kimlik hırsızlığından iç tehditlere kadar çeşitli siber güvenlik tehditleriyle karşı karşıya kalıyor. Bunların yanında, sağlık kurumlarının ağlarına bağlı cihaz sayısının giderek artmasını ve daha fazla cihazın ağ bağlantısı gerektirmesini de hesaba katmamız gerekiyor. Nesnelerin interneti (IoT) ve ağa bağlı tıbbi cihazlardan gelen veriler, güvenli ve segmentlere ayrılmış ağların, tıbbi cihazları, misafir kablosuz cihazları, klinisyenlerin cihazlarını ve daha fazlasını siber güvenlik tehditlerine karşı daha iyi korumasını gerekli kılıyor.
Küresel salgın, siber suçlarda herhangi bir yavaşlama sağlamadı. Sadece Türkiye’de geçtiğimiz üç yılda 325.000’den fazla siber saldırı ihbarı yapılırken, hükümet yakın zamanda siber suçlarla mücadele etmek için ulusal bir siber güvenlik planı açıkladı. Günümüzde tüm sektörler arasında güvenlik ihlali başına en yüksek ortalama maliyet 6,54 milyon dolar ile sağlık sektöründe. Yerel ağ, web ve uç nokta bağlantılarının güvenliğini sağlamak için çabalayan sağlık sektörü yöneticilerinin en büyük önceliği siber güvenlik. Bu noktada amaç, kendi sağlık hizmeti sağlayıcılarımız için, hastaların hassas verilerinin ve sanal bağlantıların güvende olduğu daha bütüncül siber güvenlik stratejileri geliştirmek.
Sağlık kuruluşlarının bu kadar çeşitli risk ve tehditlerden korunmak için neler yapması gerekir?
Fady Younes
Sağlık kuruluşları, dijital varlıkları, fikri mülkleri, mali bilgileri ve hasta kayıtlarını koruma konusunda büyük baskı altında. Bizim de siber suçların kurbanı olan bir sağlık kuruluşunun, hastalarının, sigorta şirketlerinin ve klinik iş ortaklarının güvenini ve sadakatini kaybedebileceğini göz önünde bulundurmamız gerekiyor.
Dolayısıyla sağlık hizmeti sağlayıcıları, hastaların gizlilik gereksinimlerine yanıt vererek kişilerin, verilerin ve sistemlerin güvenliğini sağlayacak, tehdit algılama kabiliyetini artırıp yönetim karmaşıklığını azaltacak, bunun sonucunda zamandan ve paradan tasarruf sağlayacak ve sağlık kuruluşlarının odaklandığı konunun sağlık hizmetleri olmasını sağlayacak entegre, birleşik ve uçtan uca bir güvenlik portföyüne ihtiyaç duyuyor.
Çok yönlü bir güvenlik portföyünün öncelikli özellikleri arasında şunlar bulunur:
• Ağ üzerindeki tüm uç noktaları tespit edebilme, her birine genel bir güvenlik durumu atama ve cihaz türü ile tedarikçiye göre profiller ve politikalar oluşturma
• Siber saldırıları hızlıca tespit etme, izole etme ve çözme konusunda yeterlilik
• Cihaz, konum ve kullanıcı düzeyinde hasta verilerine erişimi kontrol altına alarak riskleri en aza indirme
• Analiz ve bilgiye dayalı klinik uyarılardan faydalanarak, BT departmanının belirli bir segmentte bilinen bir sorunu tespit ederken ağın tamamı için güvenlik risklerini azaltmasını sağlama
Bir sağlık kuruluşu için iyi bir siber güvenlik stratejisi nasıl olmalıdır?
Uzaktan çalışmaya geçişle birlikte, uzaktan sağlık ve sanal sağlık hizmetlerine olan talebin artması ve ağ üzerinde daha fazla cihaz ve bağlantının yer almasıyla, sağlık kuruluşlarında siber güvenlik stratejisine yönelik çalışmalar yapmak için bugüne kadarki en kritik zamandayız.
Cisco, sağlık sektöründen 281 çalışanın katılımıyla, dünya genelinde BT, güvenlik ve gizlilik alanında çalışan 4.800 kişinin katılımıyla isimsiz bir anket gerçekleştirdi.
◦ Ankete katılan sağlık çalışanlarından yüzde 51,2’si uygunluk düzenlemelerini karşıladığını düşünürken,
◦ Yüzde 49,1’i mevcut güvenlik programına yöneticilerin güvenini kazandıklarını,
◦ Yüzde 45,9’u büyük siber güvenlik sorunlarını başarıyla engellediklerini,
◦ Yüzde 43,8’i ise en önemli riskleri yönettiklerini ifade etti.
Sağlık kuruluşlarında başarılı güvenlik sonuçlarının elde edilmesine yardımcı olacak stratejilerin tanımlanmasıyla ilgili olarak, ankette üç kategori ele alındı: faaliyetlerin sürdürülmesi, risklerin yönetilmesi ve operasyon verimliliği.
Sağlık kuruluşları, faaliyetlerin sürdürülmesi için proaktif bir yaklaşımla teknolojilerin yenilenmesinin başarıda önemli bir rol oynayacağını ifade etti. Altyapılarının zamanın gerisinde kalmasına izin veren ve ancak bir şeyler bozulduğunda güncelleme yapan kuruluşlar, faaliyetlerinin sürekliliğinin önemli ölçüde düştüğünü ortaya koydu.
Teknolojilerin proaktif bir yaklaşımla yenilenmesi, riskleri yönetme konusunda da en öncelikli üç stratejiden biri oldu. Diğer başarı stratejileri arasında, vakalara zamanında müdahale edilmesi ve hızlı afet kurtarma yer aldı.
Son olarak, operasyon verimliliği kategorisinde birinci sıradaki başarı stratejisi, güvenlik çözümlerinin uçtan uca entegrasyonu ve otomasyonun etkili kullanımı oldu.
Bu rapordan çıkarabileceğimiz sonuç, siber güvenlik stratejisini tanımlamaya, genel güvenlik durumunu korumaya ve ayrıca teknolojilerini düzenli olarak güncelleyip yükseltmeye yönelik proaktif bir yaklaşım ortaya koyan kuruluşların daha başarılı olduğudur.
Sizce sağlık sektöründe hangi fırsatlar gelişmeye devam edecek?
Salgın çok büyük bir yıkım getirse de birkaç olumlu inovasyon da ortaya çıktı ve kritik teknolojilerin kullanımı hızlandı. Hastalar ve hizmet sağlayıcılar artık Webex gibi uygulamalar, uzaktan sağlık, halk sağlığı yönetimi, idari iş birliği, bakım ekibi koordinasyonu ve aile ziyaretlerini içeren daha kapsamlı sanal sağlık hizmetlerinden faydalanabiliyor. Sanal sağlık hizmetleri teknolojisi sayesinde sağlık hizmetleri, fiziksel konum veya uzmanlara ve sağlık hizmeti sağlayıcılarına erişim olanağına bakılmaksızın herkes için ulaşılabilir hale geliyor. Sanal sağlık hizmetleri, sağlık çalışanlarında tükenmişlik hissinin en aza indirilmesini sağlayıp maruz kalma riskini azaltırken, hastalara hizmet sağlamaya devam etmelerini sağlayabilir.
Daha az olanakla daha fazla şey yapma ihtiyacı, klinik ortamlarda yer tespiti konusunda da yeniliklere önayak oldu. Klinik iş akışlarının daha karmaşık olduğu günümüzde, tıbbi cihaz ve ekipmanların yerinin hızlıca tespit edilmesi her zamankinden daha önemli.
Bulut güvenlik hizmetlerinin giderek daha yaygın bir biçimde kullanılmasının yanında, kimlik tespit ve doğrulama çözümleriyle, altyapı yatırımları artık daha sorunsuz ve güvenli bir uzaktan çalışma deneyimi sağlayabilecek. Bu durum, yerel sağlık mercilerinin müdahale sürelerini kısaltırken, hastaların ve sağlık çalışanlarının sağlık durumunu korumaya yönelik olarak uygulamaya aldığı uzaktan sağlık hizmetlerinin kullanıma sunulması konusunda yeni olanakları ortaya çıkardı. Bunun yanında, konum verilerini kullanan yeni teknolojiler sayesinde, sağlık hizmetleri daha yüksek klinik operasyon verimliliği, aynı sürede daha fazla hasta görme olanağı ve kullanılan araçların etkin takibini sağlayabilecek.
