Evenimentul care a marcat închiderea proiectului Romanian Cyber Care Health (RO-CCH) a fost organizat la București și a fost dedicat prezentării rezultatelor obținute și schimbului de bune practici în domeniul securității cibernetice pentru sectorul sănătate. 

În cadrul conferinței de închidere a proiectului Romanian Cyber Care Health care a avut loc miercuri, 26 martie, la București, au fost prezentate principalele rezultate ale proiectului și modul în care acestea contribuie la îmbunătățirea activității instituțiilor medicale din România. Totodată, evenimentul a facilitat un dialog între factori de decizie, experți în securitate cibernetică și reprezentanți ai instituțiilor medicale, cu scopul identificării soluțiilor comune pentru creșterea rezilienței cibernetice în acest domeniu. 

Directoratul Național de Securitate Cibernetică (DNSC) este beneficiarul unei finanțări nerambursabile pentru implementarea proiectului „Romanian Cyber Care Health” (RO-CCH). Această finanțare a fost acordată de Comisia Europeană prin Programul Digital Europe, în cadrul apelului DIGITAL-2022-CYBER-02, subiectul DIGITAL-2022-CYBER-02-SUPPORTHEALTH, tipul de acțiune: Digital SME Support Actions, acordul de finanțare (Grant Agreement) nr. 101101522 între Comisia Europeană și DNSC, proiect implementat în perioada ianuarie 2023 – martie 2025.

Cei prezenți la eveniment au putut afla cum se pot adapta instituțiile medicale din România la provocările socio-tehnice și la noile amenințări digitale, iar echipa DNSC a prezentat o serie de livrabile cu concluziile obținute în cadrul proiectului RO-CCH (manager de proiect a fost Nicoleta Negulescu): 

• modele organizaționale pentru maturitate și reziliență cibernetică 
• strategii concrete pentru gestionarea vulnerabilităților IT&C specifice sectorului medical 
• soluții pentru creșterea nivelului de conștientizare și formarea continuă a personalului în domeniul securității datelor pacienților. 

Schimbare de paradigmă: se alocă fonduri pentru proiecte în securitatea cibernetică

Dan Cîmpean (foto), directorul Directoratului de Securitate Cibernetică, a atras atenția datele pacienților reprezintă, în fața unor posibile atacuri cibernetice, „riscuri extrem de serioase și extrem de reale”, ele putând fi accesate. Tocmai de aceea, o componentă esențială este educarea personalului medical din spitale și clinici, pentru ca aceste date să nu ajungă pe mâna hackerilor și să nu fie tranzacționate. Totuși, paradigma se schimbă în prezent, iar UE alocă fonduri pentru proiecte ce au în vedere securitatea cibernetică în sistemul / sectorul medical. 

„Ce vedem la nivel de Uniune Europeană? Este acordată din ce în ce mai multă atenție către sectorul Sănătate; se alocă fonduri din ce în ce mai mult pentru creșterea nivelului de reziliență, pentru implementarea unor proiecte, programe, activități, fie că sunt de școlarizare, fie că sunt menite a construi și a crea tooluri, instrumente, proceduri, ghiduri, manuale, tot felul de lucruri pe care le puteți folosi în activitatea pe care o aveți”, a explicat Dan Cîmpean în discursul său din deschiderea conferinței de miercuri. 

Un alt aspect interesant pe care directorul DNSC l-a menționat a fost că orice sistem este vulnerabil, iar sistemul de Sănătate nu face excepție, tocmai de aceea este importantă componenta de educare a utilizatorului: 

„În domeniul securitate cibernetică, ambiția noastră nu este să vă transformăm pe toți – toată România – în experți cyber. Cuvântul cyber apare, comparativ cu acum câțiva ani, acum e peste tot. (...) Ceea ce înseamnă că e un domeniu relevant. Pe domeniul cyber, sunt trei elemente-cheie: oameni, procese și tehnologii. Ghiciți care este cel mai vulnerabil? Aproape întotdeauna aproape toți vectorii de atac țintesc spre utilizatorul standard sau pe utilizatorii cu privilegii foarte mari: administratorii de rețea, administratorii de sisteme, de platforme etc.” 

Lupta pentru a preveni atacurile cibernetice este o muncă continuă, a mai punctat Dan Cîmpean, amintind că esențial este să ții utilizatorul alert în acest domeniu: „Partea asta de educare a utilizatorului IT este absolut fundamentală și noi recomandăm întotdeauna, dacă puteți, să vă concentrați pe a educa factorii de decizie, în primul rând, pentru că ei dau tonul în organizație”. 

Igiena cibernetică, la mare căutare 

Prin folosirea unor cuvinte foarte simple, medicilor li se poate explica cât de important este să fie conștienți că există riscuri mari în mediul online, la nivel de securitate cibernetică, mai ales dacă acești medici lucrează cu datele pacienților, cu date sensibile. 

„Un număr relativ mic de măsuri simple de igienă cibernetică vă scutesc în organizația dumneavoastră de foarte multe probleme. Lucruri foarte simple: folosește parole, nu lăsa ecranul nepăzit, nu folosiți în comun același username și același parolă...”. 

Bune practici de avut în vedere în spitale și clinici 

Sunt foarte multe exemple de bune practici în UE, iar multe dintre ele sunt publicate prin genul acesta de proiect, cum este și RO-CCH, a amintit directorul Dan Cîmpean: 

„Unul dintre lucrurile pe care mi le-am propus la Directorat: să facem un mic repository de bune practici și acceleratori, adică materiale de toate felurile, orice de la ghiduri până la aplicații, să punem toate linkurile într-un singur loc, să vi le adunăm noi și să le punem la un loc. (...) O să facem un repository cât mai compact, ușor de urmărit, cu foarte-foarte multe astfel de bune practici. O să facem acest repository, un inventar de astfel de resurse despre care noi credem că sunt utile. S-ar putea ca ceva de acolo să vă fie util”. 

Alina Urs (foto), implicată în proiectul RO-CCH, a explicat în cadrul conferinței de zilele trecute că sectorul medical este unul dintre cele mai țintite de către atacatori, pentru că sectorul medical are un nivel scăzut de maturitate. Iar aceasta este o problemă nu doar în România, ci peste tot în Europa. „Ideea este de a se adăuga resurse de la nivelul Uniunii Europene către statele membre, resurse care să ajungă inclusiv la creșterea nivelului de reziliență cibernetică a entităților precum spitalele de diverse dimensiuni”, a punctat Alina Urs. 

Program de awareness la nivelul unei organizații 

În acest proiect RO-CCH, specialiștii au descoperit că discutând cu personalul de IT care avea parte de sprijinul managementului, acești oameni din personalul de IT au spus că este extrem de dificil să ajungă la medici și să ajungă la personalul medical: „își dau seama că există opoziție” pentru că, în mod normal, un medic de ATI nu va vedea ca fiind prioritară securitatea cibernetică a spitalului – pentru el, prioritară este salvarea vieții pacientului. 

„Cum putem schimba asta? În definitiv, da, de fapt securitatea cibernetică este și responsabilitatea medicului de ATI. Cum faci să adaugi încă un strat unor oameni care deja sunt destul de surmenați, deja simt presiune asupra lor... Oricum securitatea cibernetică nu este ca un business pentru ei, ci e doar ceva de care se ocupă niște băieți care au niște calculatoare într-o debara – și nu exagerez, există acest gen de situații.” 

Ce au descoperit cei de la DNSC în cadrul proiectului în care a fost implicată și Alina Urs, în urma discuțiilor cu cei din sistemul medical? Concluziile au fost formulate sub forma unui model de bune practici, iar în cadrul conferinței, Alina Urs a dat exemple extrem de simple și extrem de utile prin care personalul din departamentul de IT se poate „împrieteni” cu medici, cu personalul medical, astfel încât să îi educe în materie de „igiena cibernetică” a unității sanitare. 

„După ce am făcut brainstorming timp de mai multe săptămâni cu ei, despre cum se poate crește nivelul de awareness, am venit cu următoarea propunere – și v-o împărtășesc și dumneavoastră: vom căuta câte un om în fiecare grup din spital – în grupul rezidenților, în grupul celor de la cardiologie etc., care e, cumva, mai apropiat de subiectul securității cibernetice. Pentru că ei oricum au un grup de WhatsApp sau de altceva. Și atunci cei de la IT le transmit mesaje de awareness (de conștientizare – n.red.) acelor indivizi care sunt OK cu asta, acelor medici sau acelor asistente... Și le spun: dacă ți-a apărut chestia asta [pe ecranul calculatorului], ai grijă la asta. Și în câteva luni au descoperit că există un impact, pentru că mesajul lor, pornind nu de la departamentul de IT, ci de la un om relevant în spitalul respectiv a făcut diferența, și oamenii nu au mai perceput această temă (securitatea cibernetică – n.red.) ca fiind atât de departe de ei.” 

Acesta a fost un exemplu concret care a funcționat în spitale, pentru că cu ocazia acestui proiect, specialiștii au descoperit că personalul din spitale, clinici, servicii de ambulanță etc., dar și specialiști din alte țări – iar concluzia a fost aceeași: 

„Pentru a crește nivelul de reziliență și de conștientizare într-un spital sau într-o organizație din domeniul sănătății, mai ales dacă este într-un sector public, e nevoie de o abordare foarte-foarte customizată, adaptată la cum arată în realitate organizația respectivă.” De ce? Pentru că altfel, pornind cu rețete generale, s-ar putea ca mesajul departamentului de IT în privința securității cibernetice din spitale să nu ajungă la destinatar: medici, asistente, etc. 

În încheiere, Alina Urs a subliniat că securitatea cibernetică este responsabilitatea tuturor, inclusiv a medicilor care lucrează în spitale, nu doar a managementului, nu doar a departamentului de IT.