Útočník často netuší, aké škody môže spôsobiť

IT bezpečnosť zariadení Siemens Healthineers na celom svete strážia slovenskí softvéroví inžinieri zo Žiliny, Košíc a Bratislavy. Chránia ich pred neviditeľnými útokmi, aby nik nemohol zneužiť životne dôležité údaje o pacientoch. Zároveň sa podieľajú na bezpečnostnej architektúre nových digitálnych a virtuálnych technológií. Kompetenčné centrum Cyber Security je unikátne pracovisko, akých vo svete nie je veľa. Od jeho založenia ho vedie expert na kybernetickú bezpečnosť Ján Ščamba.

Pred dvadsiatimi rokmi mal lekár všetky záznamy o pacientoch na papieri a viedol si kartotéku, zamknutú v skrinke. Dnes je všetko inak – digitalizácia zmenila aj medicínu.
Áno, s postupom digitalizácie sa však zvyšujú aj hrozby. Len v Spojených štátoch spôsobia útoky každoročne škody za takmer šesť miliárd dolárov a unikne 27 miliónov dát pacientov. Zmyslom kybernetickej ochrany je zabezpečiť, aby mal lekár vždy k dispozícii správne údaje toho správneho pacienta, mohol im dôverovať a na ich základe sa rozhodnúť pre liečbu.

V čom spočíva kybernetická ochrana?
Kybernetická bezpečnosť má dva aspekty. Proaktívne sa snažíme zabrániť potenciálnym útokom, pričom sa riadime logikou postupov, ktoré by robil možný útočník. Spolupracujeme s vývojármi pri návrhu architektúry aplikácie, aby riešenie bolo správne    z hľadiska funkcionality, ako aj bezpečnosti. Potom aplikáciu v rôznych etapách vývoja testujeme a hľadáme prípadné chyby. Druhý aspekt je reaktívny a týka sa ochrany už nasadených zariadení u zákazníka – zapĺňame bezpečnostné diery, ak sa objavia. Žiaden softvér totiž nie je stopercentný, vždy existuje nejaké slabé miesto, cez ktoré by sa k nemu mohol dostať útočník.

Kde je najviac systém zraniteľný?
Ako technologická firma a výskumno-vývojové centrum sa venujeme bezpečnosti softvéru. Ďalšou otázkou je potom reálne nasadenie u zákazníka. Nemáme dohľad na tým, kto všetko má v nemocnici alebo laboratóriu k zariadeniu prístup. Prístroje konštruujeme tak, aby boli zabezpečené pred fyzickým zásahom, nikto napríklad nemôže do neho vložiť svoje USB zariadenia. V zahraničí je bežné zabezpečenie dvojstupňovou autentifikáciou, teda nielen kľúčom, ale aj iným prvkom. Ale ľudia sú vynaliezaví a vždy existuje riziko, že sa im podarí obísť aj fyzickú ochranu.

"Stále treba mať na pamäti, že žiaden softvér nie je stopercentný
a nikdy ani nebude."

Čo je teda najväčším rizikom?
Ľudský faktor – treba byť neustále ostražitý, mať na pamäti, že žiadna ochrana nie je stopercentná a nikdy ani nebude. Ľudia sú zvedaví a tvoriví, neprestanú skúšať, čo všetko dokážu. Zozbierajú rôzne dáta, čriepky informácií dajú dohromady a nájdu dieru v systéme, o ktorej sme doteraz nevedeli, pretože ju predtým nikto nevyskúšal. Útočník pritom ani nemusí chcieť ublížiť a neuvedomuje si, čo všetko môže spôsobiť. Môže však zmeniť výsledky diagnóz alebo nahrať vlastné obrázky a lekár sa bude rozhodovať na základe falošných dát. Prípadne môže odstaviť energetiku nemocnice počas náročnej operácie.

Znie to dosť hrozivo.
Existujú, samozrejme, obranné metódy – pravidelne sa monitoruje internet aj intranet a ak sa odhalí prebiehajúci útok, spustia sa mechanizmy na jeho zastavenie. Niektoré bezpečnostné koncepty dokonca rátajú aj s odvetným útokom. Využíva sa pritom umelá inteligencia, ktorá začne útok vracať späť a útočníka zničí. Diskutuje sa o etických otázkach takejto obrany, či ide o adekvátnu reakciu, keďže nevieme, kto je na druhej strane a s akým úmyslom vedie útok. Určite by som protiútok nezveril umelej inteligencii, nie je zatiaľ natoľko vyspelá, aby mohla o takýchto dôležitých otázkach autonómne rozhodovať.

Vediete kompetenčné centrum Cyber Security spoločnosti Siemens Healthineers Slovensko. Čo všetko má na starosti?
Pôsobíme v Žiline, Košiciach a v Bratislave a náš tím sa delí na dve časti. Prvá vyvíja aplikáciu, ktorá po celom svete zbiera všetky dôležité bezpečnostné dáta z našich zariadení. Vyhodnocuje ich a zákazníkom poskytuje informácie o ich zraniteľnosti, aké záplaty by mali aplikovať. Deje sa to buď automaticky, alebo na vyžiadanie technika zo Siemens Healthineers. Druhá skupina vyvíja bezpečnostné softvéry, vyhodnocuje riziká a hľadá prípadné diery, cez ktoré by bolo možné napadnúť naše produkty. Ak také nájde, urobí nápravu. Zraniteľnosti pritom ohodnocujú bezpečnostní experti z celého sveta, od Spojených štátov cez Európu, Áziu, Austráliu až po Tichomorie.

Používate aj vlastných hackerov?
Áno, sú naši interní zamestnanci a ich pozícia má názov penetračný tester. Z hľadiska metodiky nie je medzi nimi a hackermi žiaden rozdiel.

V Siemens Healthineers pracujete od roku 2006, na softvérového inžiniera dosť dlhý čas. Čím si vás táto značka získala?
Ľuďom zlepšujeme kvalitu života. S pacientmi síce neprichádzame priamo do styku, ale veľmi ma teší, keď vidím, že lekári s dôverou používajú naše zariadenie. Poznám prípady, keď človeka dlho trápili chronické problémy a náš MR skener bol ako jediný schopný rozoznať príčinu. Sám som to zažil, už mi vraveli, že skončím na vozíku a práve skener značky Siemens Healthineers pomohol lekárovi odhaliť celkom riešiteľný problém. Odvtedy som už stihol zabehnúť niekoľko maratónov.

Šport je dôležitou súčasťou vášho života. Venovali ste sa dokonca najdrsnejšiemu bojovému umeniu MMA. Pomáha vám športová skúsenosť aj v korporácii?
V MMA je dôležitá technika, pohyblivosť, výbušnosť, ale o víťazstve sa vždy rozhoduje v hlave bojovníka, ako dokáže ustáť nápor a stres. Podobne je to aj v pracovnom živote. Človek môže byť technicky zdatný a nadaný, musí mať čosi navyše, aby zvládol všetky tieto zložité úlohy. Za najdôležitejšiu považujem schopnosť tímovej práce. Verím v kolektív a som presvedčený, že ani geniálny jednotlivec neurobí viac ako dobrý tím. Podporujem kreativitu jednotlivcov, ale snažím sa zároveň rozvíjať tímovosť a súhru. Atmosféra v kompetenčnom centre i celkovo v Siemens Healthineers na Slovensku je výnimočná. Keď stretávam bývalých kolegov alebo spolužiakov z iných korporácií a hovorím im, čo a ako riešime, len ticho závidia. Považujem to však za nevyhnutnú podmienku, aby sme boli aj naďalej úspešní. Digitalizácia postupuje veľmi rýchlo a prichádzajú čoraz zložitejšie úlohy, ktoré by sme inak ťažko zvládli. 

"Digitálne dvojča vytvorí dátový model ľudského tela,
na ktorom by bolo možné simulovať zdravotný stav človeka."

Na čom momentálne pracujete?
Z hľadiska bezpečnosti je veľmi zaujímavý projekt singo Virtual Cockpit. Dnešné medicínske zariadenia sú mimoriadne sofistikované a zložité, ich technické možnosti dokážu v plnom rozsahu využiť len špičkoví odborníci, ktorých vo svete nie je veľa. Virtuálny kokpit umožní, aby boli k dispozícii z akéhokoľvek miesta na planéte. „Sadne“ si doň špecialista v Spojených štátoch a môže vyšetrovať a viesť operáciu trebárs v Žiline. Je jasné, aká dôležitá bude pri takejto medzikontinentálnej online komunikácii bezpečnosť dát. Naše kompetenčné centrum úzko spolupracuje už pri samotnom návrhu celej aplikácie, pretože dôsledky útokov si ľahko domyslieť.

Aká digitálna technológia podľa vás o pár rokov zásadne zmení medicínu?
Dnes sa veľa hovorí o digitálnom dvojčati a pracuje sa na aplikácii tejto technológie v medicíne. Digitálne dvojča vytvorí dátový model ľudského tela, na ktorom by bolo možné simulovať zdravotný stav človeka. Pracovať bude s genetickými predispozíciami ochorení, bude zohľadňovať vek, stravovacie návyky, zamestnanie, spôsob života a ďalšie aspekty. Výsledkom bude prognóza zdravotného stavu človeka a na jej základe odporúčania, čo treba robiť, aby sa v budúcnosti predišlo potenciálnemu ochoreniu. Aj tu bude hrať kybernetická bezpečnosť dôležitú rolu – predstavte si, že sa útočník dostane k vášmu digitálnemu dvojčaťu a zmení dáta bez toho, aby na to niekto prišiel. Celkom ľahko sa môže stať, že vám budú podávať lieky, ktoré vám uškodia. A to by bol ten lepší prípad, pretože takto by bolo možné aj zabiť človeka.

Foto: Maňo Štrauch