تحميل الملفات غير الآمن يعرض مؤسسات الرعاية الصحية للخطر؛ وإليك كيفية معالجة هذه المشكلة  

وفقًا لمنظمة HIMSS، يستخدم أكثر من 80% من مؤسسات الرعاية الصحية حاليًا الخدمات السحابية لتخزين البيانات الصحية أو معالجتها. وتدخل يوميًا آلاف الملفات إلى بيئات الرعاية الصحية من:

• المرضى الذين يستخدمون أجهزة شخصية غير خاضعة للإدارة
• مقدمو الخدمات والمتخصصون من الجهات الخارجية
• مختبرات التشخيص ومراكز التصوير الطبي
• شركات التأمين وشركاء الفوترة وشبكات الإحالة

تبدو هذه الملفات غير ضارة.

تعد ملفات PDF والنماذج الممسوحة ضوئيًا والصور وأرشيفات ZIP وملفات DICOM من العناصر المعتادة في سير العمل في مجال الرعاية الصحية، ولذلك فإن القائمين على التعامل معها يثقون بها بطبيعة الحال.

يكمن الخطر في هذه العادية البحتة. فالملفات نفسها التي تحتوي على بيانات حساسة للمرضى أو خيارات العلاج قد تخفي بيانات وصفية أو نصوص برمجية أو كائنات مضمنة أدوات التقليدية فحصها.

لا يمكن للرعاية الصحية الحديثة أن تعمل فعليًا بدون الخدمات القائمة على السحابة.

تتيح منصات الرعاية الصحية عن بُعد مشاركة المستندات قبل الزيارات الافتراضية وبعدها. وتعتمد أنظمة السجلات الطبية الإلكترونية على التكامل مع الخدمات السحابية لتبادل البيانات بين مقدمي الخدمات.

مع تزايد حجم البيانات المُحمَّلة، تتسع أيضًا مساحة التعرض للهجمات. وللأسف، لا يُعد تقليص مساحة التعرض للهجمات خيارًا متاحًا، حيث إن ذلك يتطلب العودة إلى أساليب اتصال عفا عليها الزمن. ومثل هذه الخطوة إلى الوراء أمر غير معقول؛ فهي ستؤدي أيضًا إلى إبطاء جميع العمليات وتجعل رعاية المرضى أقل كفاءة بكثير.

بشكل عام، لا يمكن القول إن الخدمات الصحية الخدمات تمامًا مسألة الأمن السيبراني.

وذلك بسبب الجهل أكثر منه سوء النية، تعتمد هذه الأنظمة على الإجراءات الأمنية المدمجة لدى مزودي الخدمات السحابية أو على أدوات أمنية خارجية أدوات جوانب معينة من سير العمل: أدوات برامج مكافحة الفيروسات، وأنظمة منع تسرب البيانات (DLP)، ووسطاء أمنCloud (CASB)، أو الضوابط الأمنية المدمجة في السحابة.

ومع ذلك، فمن بين جميع أدوات الأمان أدوات ، لم يُصمم سوى القليل منها لتأمين عمليات تحميل الملفات بشكل كامل.

• تكتشف محركات مكافحة الفيروسات في المقام الأول التهديدات المعروفة، وغالبًا ما تفوت البرامج الضارة المتطورة أو التي لم يُكتشف لها حل بعد والمخبأة في هياكل ملفات معقدة.
• يمكن لنظام DLP (منع فقدان البيانات) تحديد البيانات الحساسة وحجبها، لكنه لا يقوم بأي شيء للكشف عن التهديدات المحتملة في الملفات أو تحييدها.
• تركز حلول CASB على التحكم في الوصول ومراقبة الاستخدام، لكنها لا تقوم بفحص دقيق أو تنقية للملفات التي يتم تحميلها.
• يضمن مزودو Cloud أمن البنية التحتية، لكنهم لا يتحملون أي مسؤولية عن سلامة محتوى الملفات نفسها

وهذا يترك فجوة خطيرة في مرحلة التحميل.

ويمكن للمهاجمين استغلال هذه الثغرة بشكل أكبر لإخفاء الأكواد الخبيثة داخل ملفات تبدو بريئة، أو إدخال برامج ضارة من نوع «صفر يوم» في الملفات المؤرشفة، أو استخدام عمليات تحميل الملفات كوسيلة هجومية لاختراق النظام.

ينص القانون الفيدرالي HIPAA على معايير صارمة على الصعيد الوطني لحماية المعلومات الصحية المحمية (PHI). ويخضع الأطباء والمستشفيات وشركات التأمين على حد سواء لهذه المعايير. 

ومع ذلك، غالبًا ما تتسرب الملفات التي تحتوي على معلومات صحية محمية (PHI) أو برامج ضارة مخفية إلى أنظمة الرعاية الصحية، عن طريق عمليات التحميل إلى السحابة دون فحص. ويمكن أن تتعرض المعلومات الصحية المحمية (PHI) للكشف بعدة طرق:

• حقول المستند المرئية
• البيانات الوصفية المضمنة
• طبقات الصور
• الأشياء المخفية

يمكن أن تكون البرامج الضارة مدمجة داخل الفواتير أو نماذج الموافقة أو ملفات الصور.

إذا دخلت ملفات تحتوي على معلومات صحية محمية (PHI) أو ملفات تحتوي على برامج ضارة إلى أنظمة الرعاية الصحية، فإن ذلك يشكل انتهاكًا مباشرًا لقانون HIPAA.

كما أن مسألة الشفافية، التي تنص عليها قانون HIPAA، تمثل مشكلة أيضًا.

بمجرد تخزين الملفات على منصات SaaS، غالبًا ما تفقد المؤسسات القدرة على تتبع كيفية الوصول إلى البيانات أو مشاركتها أو الاحتفاظ بها.

يؤدي الافتقار إلى الشفافية إلى ثغرات في السرية والنزاهة والتوافر؛ وهي جميعها متطلبات أساسية بموجب قانون HIPAA.

في الواقع، غالبًا ما تفشل المؤسسات في تقييم المخاطر التي تنطوي عليها التقنيات الحديثة والتخفيف من حدتها، بما في ذلك معالجة الملفات عبر السحابة، كما أكد ذلك مكتب حقوق الإنسان التابع لوزارة الصحة الخدمات الإنسانية الأمريكية الخدمات HHS).

ما نحتاج إليه هو نهج أكثر صرامة لتعزيز الأمن، يمنع تسرب المعلومات الصحية المحمية (PHI)، ويحافظ على الشفافية، ويحول دون اختراق البرامج الضارة. وبدون ذلك، تواجه المؤسسات تحديات في عمليات التدقيق، وتخلفًا عن الالتزامات المتعلقة بالإبلاغ عن الاختراقات، وفقدان ثقة المرضى.

عندما تتعرض السجلات الصحية للاختراق، فإن العواقب المترتبة على ذلك تتجاوز بكثير مجرد الاحتيال المالي الذي يتعرض له الأشخاص الذين سُرقت بياناتهم.

تشمل العواقب المحتملة لسرقة بيانات الرعاية الصحية سرقة الهوية، أو المطالبات التأمينية الاحتيالية، أو الحصول غير القانوني على الوصفات الطبية.

والأسوأ من ذلك، أن مثل هذه الانتهاكات تكشف عن معلومات شخصية للغاية. وقد يعرض هذا الانتهاك للخصوصية الأشخاص الذين يتلقون رعاية الصحة النفسية أو الخدمات الإنجابية أو الدعم المتعلق بتعاطي المواد المخدرة لخطر الوصم والتمييز والأذى العاطفي الدائم.

حتى المرضى الذين لا يعانون من أي مشاكل صحية خطيرة قد يفقدون ثقتهم في النظام، مما يدفعهم إلى تأخير تلقي الرعاية أو إخفاء معلومات حيوية عن الأطباء.

وبناءً على ما سبق، فإن سد أي ثغرات أمنية في مؤسسات الرعاية الصحية يصبح جزءًا لا يتجزأ من الرعاية الشاملة للمرضى.

وفي الحالات الأكثر خطورة، قد يؤدي هجوم برامج الفدية إلى حجب الوصول إلى السجلات الطبية الأساسية أو تعطيل الأنظمة الحيوية، مما يعرض الأرواح للخطر.

وكان هذا هو الحال في عام 2017، مع هجوم «واناكري» على أنظمة الخدمة الصحية الوطنية (NHS). وأدى الهجوم إلى إلغاء عمليات جراحية وتحويل مسار سيارات الإسعاف، مما أثبت مرة أخرى كيف يمكن للحوادث السيبرانية أن تتفاقم بسرعة لتتحول إلى أزمات صحية عامة.

نظرًا لأن الهجمات الإلكترونية في قطاع الرعاية الصحية تهدد كل من رعاية المرضى وسمعة المؤسسة، فإن كبار مقدمي خدمات الرعاية الصحية يعيدون النظر في نهجهم تجاه الأمن السيبراني.

ما كان يُعرف سابقًا بـ«مشكلة تقنية المعلومات»، والتي كانت تُحل من خلال عقود مع مزودي خدمات خارجيين، أصبح الآن مسألة تتعلق بسلامة المرضى.

وإذا كان تأمين البيانات وخطط العلاج هو السبيل إلى تقديم رعاية ممتازة للمرضى، فإن تحميل الملفات لا يمكن أن يظل، إذا جاز التعبير، بؤرة للعدوى.

يتطلب التحميل Secure عدة مستويات من الفحص، ويجب أن تخضع الملفات لعمليات مسح وتحليل متعددة قبل قبولها في أنظمة السحابة.

تتضمن قائمة مراجعة أمان التحميل المخصصة لقطاع الرعاية الصحية ما يلي:

• الفحص المتعدد المحركات للبرامج الضارة لتحسين دقة الكشف
• CDR (إزالة العناصر النشطة وإعادة بناء المحتوى) لإزالة المحتوى النشط دون التأثير على الملف 
• الفحص الدقيق للملفات قبل تخزينها أو مشاركتها للكشف عن البرامج الضارة المراوغة أو المتطورة 
• الكشف عن المعلومات الصحية المحمية (PHI) والبيانات الحساسة (وحجبها) داخل الملفات 
• تطبيق السياسات بما يتوافق مع متطلبات قانون HIPAA

يحول هذا النهج عمليات التحميل من أحداث تُعتمد عليها بشكل أعمى إلى عمليات خاضعة للرقابة وقابلة للتدقيق.

MetaDefender Cloud يعمل كطبقة أمان مخصصة لاستقبال ملفات الرعاية الصحية.

وهي تعمل على اعتراض الملفات وتحليلها قبل وصولها إلى المنصات السحابية أو السجلات الطبية الإلكترونية أو أنظمة التعاون.

تستخدم المنصة تقنيات متطورة للكشف عن البرامج الضارة من خلال تشغيل عدة محركات فحص في وقت واحد. وهذا يعزز التغطية ضد التهديدات المعروفة وغير المعروفة.

يقوم برنامج CDR بإزالة البرامج النصية والماكروات والكائنات المضمنة من المستندات الطبية مع الحفاظ على قابليتها للاستخدام السريري.

يساعد فحص البيانات الحساسة على الحد من تعرض المعلومات الصحية المحمية (PHI) من خلال تحديد المحتوى الحساس وحجبه قبل مشاركة الملفات أو تخزينها. كما أنه يصنف أنواع البيانات الحساسة، ويحدد كيفية معالجة البيانات وتخزينها وحمايتها.

يتيح التكاملAPICloud MetaDefender Cloud في سير عمل ملفات الرعاية الصحية، بما في ذلك بوابات المرضى ومنصات الرعاية الصحية عن بُعد وأنظمة تسجيل المرضى التابعة لجهات خارجية.