«Кибербезопасность в больнице, это не просто устаревшее железо и вирусы в регистратуре. Это сложившаяся десятилетиями система, где медицинская необходимость, административная халатность, техническая ветхость и нормативные парадоксы создают идеальный шторм. Этот шторм уже нанёс ущерб реальным людям, а не только бюджетам, и в России его последствия могут быть ещё серьёзнее из-за изоляции от глобальных практик и рынка.»
Базовый расклад: почему больница — не банк
Когда речь заходит о защите данных, обычно представляют банки или госструктуры с многомиллионными бюджетами на безопасность. В медицине другая экономика. Основная задача лечебного учреждения — спасать жизни, и любые вложения в ИТ оцениваются через призму этой цели. Закупка нового аппарата ИВЛ всегда будет в приоритете над обновлением межсетевого экрана. Это создаёт фундаментальный дисбаланс: ценность данных (медицинская тайна, истории болезней) высока, а ресурсы на их защиту хронически недостаточны.
Но это лишь вершина айсберга. Самая большая уязвимость проистекает из самой сути медицинской помощи — её неотложности и критичности. В отделении реанимации или во время сложной операции нельзя остановить процесс для установки патча безопасности или перезагрузки сервера после срабатывания системы предотвращения вторжений. Доступность систем — их главное свойство, и этим пользуются злоумышленники.
Анатомия больничной сети: где прячутся уязвимости
Типичная ИТ-инфраструктура медучреждения, это слоёный пирог из несовместимых эпох.
Медицинские информационные системы (МИС)
Это ядро, цифровая история болезни. Часто это тяжёлое, кастомизированное под нужды конкретной больницы ПО, работающее на устаревших серверах. Разработчики МИС фокусируются на функциональности для врачей, а не на безопасности. Многие системы до сих пор используют устаревшие протоколы шифрования или хранят пароли в открытом виде. Обновления выпускаются редко, а их установка — рискованная процедура, которая может «сломать» настройки и привести к простою.
Медицинские IoT: от КТ-аппарата до инфузомата
Самая опасная зона. Современный аппарат компьютерной томографии, это по сути мощный компьютер с специализированным ПО, часто работающий на базе Windows XP или 7, интегрированный в сеть для отправки снимков в архив. Производители медицинского оборудования считают его «аппаратом», а не «устройством в сети». Продажа сопровождается жёстким лицензионным соглашением, запрещающим любое стороннее вмешательство, включая установку антивируса или обновление ОС. В результате сотни критичных устройств годами работают с известными уязвимостями, будучи «чёрными ящиками» для ИТ-специалистов больницы.
Административный сегмент и периферия
Здесь обитают бухгалтерия, регистратура, кадры. Рабочие станции часто загружены пиратским ПО, пользователи открывают вложения из писем от «ФНС». Этот сегмент традиционно слабо отделён от медицинского, что позволяет угрозе, начавшись с фишингового письма бухгалтеру, добраться до сервера МИС.
- Сетевая сегментация либо отсутствует, либо выполнена формально, что позволяет свободно «гулять» по сети из любого её уголка.
- Учётные записи часто общие («врач_хирургического_отделения»), с простыми паролями, которые годами не меняются.
- Беспроводные сети для пациентов и гостей иногда используют ту же инфраструктуру, что и внутренняя сеть, из-за экономии на оборудовании.
Российская специфика: 152-ФЗ, ФСТЭК и импортозамещение
В России к общемировым проблемам добавляется слой регуляторных и технологических особенностей.
152-ФЗ о персональных данных обязывает больницы, как операторов ПДн, защищать информацию. Но медицинские данные, это не просто ФИО и телефон. Это особые категории (состояние здоровья), требующие высшего уровня защиты. На практике это выливается в формальное выполнение требований: покупку сертифицированных средств защиты информации (СЗИ), написание горы документов (модель угроз, политика безопасности), которые после проверки Роскомнадзора ложатся на полку.
Требования ФСТЭК для госкомпаний и критической информационной инфраструктуры (КИИ) ещё строже. Крупные медицинские центры, особенно федеральные, часто попадают под эти требования. Это означает необходимость использовать только сертифицированное отечественное ПО и СЗИ, что в условиях санкций и ухода зарубежных вендоров создаёт огромные сложности. Зарубежное медицинское оборудование может перестать поддерживаться или не иметь совместимых драйверов для российских ОС.
Импортозамещение в медицине идёт сложно. Даже если МИС переведена на «Альт Линукс» или «Ред ОС», то встроенное ПО томографа или биохимического анализатора с этим несовместимо. Возникают «островки» изолированного импортного оборудования, которое технически невозможно интегрировать в защищённый отечественный контур, но которое жизненно необходимо для работы. Это создаёт управляемые, но постоянные бреши.
Типичные атаки и их реальные последствия
В отличие от атак на компании, где основная цель — деньги или данные, в больницах последствия измеряются в человеческих жизнях и спасённых (или нет) часах.
| Тип атаки | Как происходит | Реальное последствие (не финансовое) |
|---|---|---|
| Рэнсомвер (шифровальщик) | Проникает через фишинг или уязвимость в МИС, шифрует файлы на серверах, включая архивы снимков и историй болезней. | Отмена плановых операций, невозможность просмотреть историю болезни пациента с хроническими заболеваниями, задержка в постановке диагноза по КТ/МРТ. |
| Отказ в обслуживании (DDoS) | Атака на внешние ресурсы больницы (запись на приём, портал для пациентов) или на внутренние серверы. | Коллапс в регистратуре, очереди, срыв диспансеризации. В критическом случае — невозможность получить актуальные данные анализов в операционной. |
| Взлом медицинского оборудования | Эксплуатация известной уязвимости в аппарате, часто через сеть. Может быть целенаправленной. | Искажение результатов анализов (гемоанализатор), изменение режимов работы инфузомата или аппарата ИВЛ (теоретически возможные сценарии, демонстрировавшиеся исследователями). |
| Утечка данных | Кража баз данных МИС через уязвимость или инсайдера с последующей продажей на чёрном рынке. | Шантаж пациентов с редкими или социально-неодобряемыми диагнозами, дискриминация при трудоустройстве, психологический ущерб. |
Кто стоит за атаками и что им нужно
Мотивация атакующих на медицинские учреждения эволюционировала.
- Криминальные группировки (Ransomware-as-a-Service): Основные действующие лица. Их цель — быстрые деньги. Они понимают, что больница, в отличие от завода, не может неделями простаивать. Давление на руководство огромное: жизни пациентов против бюджета. Поэтому вероятность выплаты выкупа в медицинском секторе традиционно высока, что делает его лакомой мишенью.
- Государственные хакерские группы (APT): Могут интересоваться медицинскими данными конкретных лиц (политиков, учёных, военных) или проводить атаки для дестабилизации ситуации в регионе/стране. Утечка данных о здоровье руководства может быть использована для шантажа или пропаганды.
- «Внутренние» угрозы: Не всегда злонамеренные. Чаще, это врач, который копирует данные пациента на флешку, чтобы поработать дома, или системный администратор, оставляющий «чёрный ход» для удобства удалённой поддержки.
Что делать? Стратегия не для идеального мира
Ждать, пока все больницы получат финансирование как банки, и заменят всё оборудование, бессмысленно. Нужны практичные шаги в рамках существующих ограничений.
- Приоритет: Сегментация и инвентаризация. Самый эффективный и относительно недорогой метод. Необходимо жёстко разделить сеть на сегменты: медицинское оборудование, МИС, административная часть, гостевой Wi-Fi. Доступ между сегментами — только по строгим правилам. Параллельно — составить полный реестр всего, что подключено к сети, особенно медицинских устройств, с указанием версий ПО и ОС.
- Работа с самым слабым звеном: людьми. Регулярные, короткие и понятные тренировки для всего персонала — от хирурга до санитарки. Не про «киберугрозы», а про конкретные действия: «Не вставляй неизвестную флешку в аппарат УЗИ», «Как выглядит подозрительное письмо от ‘поставщика'», «Куда звонить, если экран погас и появилось требование выкупа».
- Партнёрство с производителями оборудования. Требовать от вендоров медицинской техники соблюдения минимальных стандартов безопасности, возможности установки агентов мониторинга или предоставления изолированных каналов для обновлений. На госуровне это может регулироваться условиями госзакупок.
- План на случай атаки, а не после. «План действий при инциденте» должен быть не документом для ФСТЭК, а отработанным сценарием. Кто отключает сеть? Как передаются данные между отделениями на время простоя (бумажные журналы, условные сигналы)? Как коммуницировать с пациентами и СМИ? Основная задача плана — сохранить функционирование медицинских услуг любыми доступными средствами.
- Использование российского регулятора как помощника. Вместо формального закрытия чек-листов ФСТЭК и 152-ФЗ, использовать эти требования как основу для построения реальной защиты. Например, обязательность средств криптографической защиты информации (СКЗИ) — не бюрократия, а способ реально зашифровать базы данных МИС. Документирование процессов — основа для понятных регламентов действий персонала.
Кибербезопасность в больнице, это не ИТ-задача, а элемент медицинского риска, наравне с риском инфицирования или врачебной ошибкой. Её игнорирование уже приводит к задержкам в лечении, стрессу пациентов и врачей, а в пределе — к прямой угрозе жизни. Страшно не то, что системы уязвимы — страшно, что это многими до сих пор воспринимается как техническая накладка, а не как часть клинической практики, требующая такого же внимания, как стерилизация инструментов.