Hopp til hovedinnhold

H-ISAC Hacking Healthcare 5-6-2020

TLP White: I denne utgaven av Hacking Healthcare begynner vi med å undersøke hvordan COVID-19 førte til at Storbritannias (UK) National Health Service (NHS) ga landets etterretnings- og sikkerhetsbyrå nødmakt over nettverkene sine. Vi orienterer deg deretter om et nylig brev fra kongressens lovgivere og diskuterer illustrasjonen av den unike utfordringen med å implementere digital kontaktsporing i USA. Til slutt tar vi en kort titt på hvorfor utenlandske etterretningstjenester retter seg mot deler av helsesektoren, og når det kan forventes å stoppe.

Som en påminnelse er dette den offentlige versjonen av Hacking Healthcare-bloggen. For ytterligere dybdeanalyse og meninger, bli medlem av H-ISAC og motta TLP Amber-versjonen av denne bloggen (tilgjengelig i medlemsportalen.)

 

Velkommen tilbake til Hacking Healthcare.

 

1. COVID-19s cybertrussel fører til mer GCHQ-NHS-samarbeid.

Det er godt dokumentert at, selv midt i COVID-19, fortsetter ondsinnede cyberaktører å målrette helsesektoren. Disse angrepene ser ut til å være utført av både statlige og ikke-statlige aktører og har rettet seg mot alt fra sykehus og forskningslaboratorier til nasjonale helsebyråer og globale helseorganisasjoner.[I], [Ii], [Iii] I et forsøk på å bidra til å sikre at disse cyberangrepene ikke hindrer Storbritannias nasjonale helsetjenestes evne til å reagere på COVID-19, har helsesekretær Matt Hancock benyttet nødmakt for å gi regjeringens kommunikasjonshovedkvarter (GCHQ) tilgang til " informasjon knyttet til sikkerheten til ethvert nettverk og informasjonssystem som holdes av eller på vegne av NHS eller et folkehelseorgan.»[Iv]

GCHQ er Storbritannias nasjonale etterretnings- og sikkerhetsorganisasjon og er organisasjonen som huser Storbritannias nasjonale cybersikkerhetssenter (NCSC). Ved å la GCHQ gjennomgå cybersikkerheten til NHSs nettverk og systemer, vil NHS sannsynligvis motta tilbakemelding fra NCSC om hvilke systemer og nettverk som kan være i fare, samt hvordan man kan forbedre cybersikkerheten mer generelt.

NCSC har forsøkt å lette eventuelle bekymringer enkeltpersoner måtte ha over samarbeidet mellom en etterretningsorganisasjon og NHS ved å gjenta at denne nye makten ikke tillater dem å motta pasientdata, og at NCSC ikke har noen interesse i å skaffe dem.[V] Videre vil nødkraften, som stammer fra NHS Act of 2006, automatisk utløpe 31. desemberst med mindre den er endret. Selv om denne spesielle innsatsen kan være forsvarlig og virker begrenset i omfang, har noe NHS-GCHQ-samarbeid om COVID-19-innsats fått tilbakeslag.

For eksempel har NCSCs engasjement i opprettelsen av NHSs sentraliserte kontaktsporingsapplikasjon utløst debatt. Personvernforkjempere er på vakt mot deres engasjement, og bekymrer seg for at en kombinasjon av sentralisering og oppdragskryp til slutt vil føre til utilsiktet og farlig bruk av dataene som samles inn.[Vi] Noen talsmenn innrømmer imidlertid at NCSC har mulighetene til å forbedre beskyttelsen av data som samles inn under bruk av sporingsappen.[Vii]

 

Analyse og handling

*H-ISAC-medlemskap kreves*

 

2. Lovgivere vil ha svar på kontaktsporing.

Lovgivere i USAs Representantenes hus skrev til Health and Human Services (HHS) sekretær Alex Azar i forrige uke for å bedre forstå Trump-administrasjonens tilnærming til kontaktoppsporing. Spesifikt siterte de bekymringene deres for at en omfattende landsomfattende strategi mangler, og at stater har blitt overlatt til å gå videre med tilnærminger til digital kontaktsporing som øker bekymringer om personvern, effektivitet og interoperabilitet.[Viii]

Brevet bidrar til å illustrere en hindring i USA med å rulle ut et sikkert nasjonalt digitalt kontaktsporingsprogram. I andre land har den nasjonale regjeringen ganske enkelt valgt å eller ikke opprette et digitalt kontaktsporingsprogram og har til slutt bestemt hvordan dette skal implementeres. Som brevet til sekretær Azar bemerker, i mangel av en klar føderal strategi, begynner statene å ta på seg å undersøke og utvikle kontaktsporingsprogrammer og relaterte digitale applikasjoner.[Ix]

Husets lovgivere fremhevet at en slik tilnærming risikerer å skape usammenhengende, ineffektive forsøk på å spore COVID-19 som mangler interoperabilitet og forverrer personvern- og sikkerhetshensyn.[X] Selv om Trump-administrasjonen gir klare veiledninger og støtte for et landsomfattende kontaktsporingsprogram, kan det skape flere uforsonlige anstrengelser hvis støtte kommer etter at noen stater har brukt ressurser på å lage sine egne programmer.

De i Den europeiske union (EU) kan kanskje sympatisere med dette problemet til en viss grad. EU vil utvilsomt foretrekke et enkelt, interoperabelt kontaktsporingssystem på tvers av sine mange medlemsland, men forskjeller i meninger om personvern, sikkerhet og tekniske detaljer driver dem fra hverandre.[Xi] Tyskland, Italia, Østerrike og andre ser ut til å være ivrige etter en innsats fra Apple og Google som vil lette personvernfrykten, mens Frankrike, Storbritannia og Norge har lenet seg mot mer sentralisert innsats.[Xii]  Hvordan dette utspiller seg i EU kan gi oss et glimt av hva USA står for uten en sammenhengende nasjonal strategi.

 

Analyse og handling

*H-ISAC-medlemskap kreves*

 

3. Nasjonale spionbyråer søker COVID-19-vaksineforskning.

I følge direktøren for USAs nasjonale motintelligens- og sikkerhetssenter bruker utenlandske etterretningsbyråer sine cyberevner for å få tilgang til data relatert til COVID-19-vaksineforskning.[XIII]

Advarsler om denne typen aktivitet, bekreftet av FBI og etterretningskilder i Storbritannia og Canada, indikerer at det har skjedd siden mars i noen tilfeller.[XIV] Videre, helseorganisasjoner som stolt sier at de jobber med en covid-19-vaksine eller behandling, gjør ikke seg selv noen tjenester. Ifølge assisterende assisterende direktør for FBI Tonya Ugoretz ser det ut til at de helseorganisasjonene som er offentlig identifisert som involvert i covid-19-forskning, markerer seg for målretting.[Xv]

Incitamentet for å stjele COVID-19-forskning er betydelig. Alle data som kan brukes til å lage en COVID-19-vaksine vil nesten helt sikkert gi prestisje og et politisk løft til regjeringen som annonserte det. Videre, selv om en vaksine nesten helt sikkert vil bli delt umiddelbart, vil uansett hvilket land som administrerer den først, sannsynligvis få et ben på sine regionale eller globale partnere i økonomisk gjenoppretting.

Analyse og handling

*H-ISAC-medlemskap kreves*

 

 

Kongressen -

 

Tirsdag, mai 5th:

– Ingen relevante høringer

 

Onsdag, mai 6th:

– Ingen relevante høringer

 

Torsdag, mai 7th:

– Ingen relevante høringer

 

 

internasjonalt Høringer/møter -

 

– Ingen relevante høringer

 

 

EU -

 

Tirsdag, mai 12th:

-Europaparlamentet – møte for miljø, folkehelse og mattrygghet

 

 

Konferanser, webinarer og toppmøter -

– Cybersecurity for the 21st Century av IronNet – Webinar (5/14/2020)

https://h-isac.org/hisacevents/byironnet/

–H-ISAC månedlig medlemstrusselbriefing – webinar (5)

https://h-isac.org/hisacevents/h-isac-monthly-member-threat-briefing-8/

–H-ISAC Security Workshop – Frederick, MD (6/9/2020)

https://h-isac.org/hisacevents/h-isac-security-workshop-frederick-md/

–AAMI Exchange – New Orleans, LA (6/12/2020-6/15/2020)

https://h-isac.org/hisacevents/aami-exchange/

–H-ISAC Security Workshop – Lisboa, Portugal (6) (UTSETT)

https://h-isac.org/hisacevents/h-isac-security-workshop-lisbon-portugal/

–H-ISAC Security Workshop – Buffalo, NY (6)

https://h-isac.org/hisacevents/h-isac-security-workshop-buffalo-ny-2/

–H-ISAC 2020 Spring Summit – Singapore (6/23/2020-6/25/2020)

/toppmøter/

H-ISAC månedlig medlemstrusselbriefing – webinar (6)

https://h-isac.org/hisacevents/h-isac-monthly-member-threat-briefing-9/

– Healthcare Cybersecurity Forum – Mid-Atlantic – Philadelphia, PA (7/17/2020)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/426497

– Healthcare Cybersecurity Forum – Rocky Mountain – Denver, CO (7)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/426499

– Healthcare Cybersecurity Forum – Sørøst – Nashville, TN (9/9/2020)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/426517

–H-ISAC Security Workshop – Greenwood Village, CO (9)

https://h-isac.org/hisacevents/h-isac-security-workshop-greenwood-villiage-co/

– Healthcare Cybersecurity Forum – Northeast – Boston, MA (9)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/427126

–H-ISAC Cyber ​​Threat Intel Training – Titusville, FL (9)

https://h-isac.org/hisacevents/h-isac-security-workshop-titusville-fl/

–H-ISAC Sikkerhetsverksted – Forchheim, Tyskland

https://h-isac.org/hisacevents/h-isac-security-workshop-forchheim-germany/

–Toppmøte om sikkerhet og tredjepartsrisiko – National Harbor, MD (9-28)

GRF Summit on Security & Third Party Risk Digital Series

– Healthcare Cybersecurity Forum – Texas – Houston, TX (10/8/2020)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/428840

–CYSEC 2020 – Dubrovnik, Kroatia (10 – 27)

https://h-isac.org/hisacevents/cysec-2020-croatia/

–H-ISAC Security Workshop – Mounds View, MN (10)

https://h-isac.org/hisacevents/h-isac-security-workshop-buffalo-ny/

– Healthcare Cybersecurity Forum – Pacific Northwest – Seattle, WA (10/28/2020)

https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/428886

–H-ISAC Security Workshop – Seattle, WA – (10)

https://h-isac.org/hisacevents/h-isac-security-workshop-seattle-wa-2/

– Healthcare Cybersecurity Forum – California – Los Angeles, CA (11/12/2020)

–H-ISAC Security Workshop – Paris, Frankrike (11)

https://h-isac.org/hisacevents/h-isac-security-workshop-paris-france/

 

 

Diverse –

 

– Hvordan cyberkriminelle tåler COVID-19

https://krebsonsecurity.com/2020/04/how-cybercriminals-are-weathering-covid-19/

– COVID-19 eksternt arbeid forårsaker topp i Brute-Force RDP-cyberangrep

https://healthitsecurity.com/news/covid-19-remote-work-causes-spike-in-brute-force-rdp-cyberattacks

– Med henvisning til hacking-trusler begrenser Trump utenlandsk utstyr i amerikansk elektrisk sektor

https://www.cyberscoop.com/executive-order-bulk-power-system-hacking-threats/

–Hvor godt kan algoritmer gjenkjenne det maskerte ansiktet ditt?

https://arstechnica.com/tech-policy/2020/05/how-well-can-algorithms-recognize-your-masked-face/

 

Kontakt oss: følg @HealthISAC,

[I] https://securityboulevard.com/2020/04/fbi-warns-of-major-spike-in-cyber-attacks/

[Ii] https://www.who.int/news-room/detail/23-04-2020-who-reports-fivefold-increase-in-cyber-attacks-urges-vigilance

[Iii] https://www.reuters.com/article/us-czech-cyber/prague-airport-says-thwarted-several-cyber-attacks-hospitals-also-targeted-idUSKBN2200GW

[Iv]https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/879049/Security_of_NHS_and_Public_Health_Services_Digital_Systems__Coronavirus__Directions_2020.pdf

[V] https://www.hsj.co.uk/technology-and-innovation/hancock-grants-gchq-powers-over-nhs-it-systems/7027528.article

[Vi] https://thecyberwire.com/stories/d2c4f4e3e511425e87b4714c68e44e2e/contact-tracing-and-exposure-notification-a-look-at-the-underworld

[Vii] https://thecyberwire.com/stories/d2c4f4e3e511425e87b4714c68e44e2e/contact-tracing-and-exposure-notification-a-look-at-the-underworld

[Viii]https://energycommerce.house.gov/sites/democrats.energycommerce.house.gov/files/documents/HHS.2020.4.30.pdf

[Ix] https://www.nga.org/wp-content/uploads/NGA-Report.pdf

[X]https://energycommerce.house.gov/sites/democrats.energycommerce.house.gov/files/documents/HHS.2020.4.30.pdf

[Xi] https://www.ft.com/content/10f87eb3-87f9-46ea-88ab-8706adefe72d

[Xii] https://www.ft.com/content/10f87eb3-87f9-46ea-88ab-8706adefe72d

[XIII] https://www.bbc.com/news/technology-52490432

[XIV] https://www.bbc.com/news/technology-52490432

[Xv] https://www.reuters.com/article/us-health-coronavirus-cyber/fbi-official-says-foreign-hackers-have-targeted-covid-19-research-idUSKBN21Y3GL

H-ISAC fysisk sikkerhetsvarsel: orkanberedskap
60 dagers gratis Helse-ISAC-medlemskap