Fransa'da huzurevine fidye yazılım saldırısı riski: sağlık verisi işlerken neyi riske atıyoruz?

Saldırganlar özellikle sağlık ve bakım kurumlarını hedef seçiyor çünkü biliyorlar ki bir e-ticaret sitesi iki gün kapalı kalsa para kaybeder ama bir huzurevi sistemine bir saat bile erişemezse hayati risk doğar. Bu çaresizliği bildikleri icin fidyeyi ödeme ihtimaliniz daha yüksek görülüyor. Teknisyeninizin yaklaşımı çok tehlikeli.

Antivirüs yalnızca bilinen imzalara bakar; fidye yazılımları ise genellikle sıfır gün açıkları veya çalınmış kimlik bilgileriyle sisteme girer. Yerel sunucunuzdaki ağ paylaşımlarını (SMB) denetleyin. Yedekleme üniteniz ana ağa bağlıysa saldırgan önce o yedekleri siler veya şifreler, sonra ana sistemi kilitler.

Pazartesi günü ilk iş teknisyeninize şu soruyu sorun: 'En son ne zaman bir yedeği temiz bir cihaza geri yüklemeyi (restore) test ettik?' Eğer test edilmemişse, o yedeğe sahip değilsiniz demektir. İkinci iş olarak harici bir diske manuel yedek alıp kasaya kilitleyin.

Fransa'da benzer ölçekte 50 yataklı bir klinikte çalışan tanıdığımın başına geldi. Tek bir çalışanın açtığı sahte fatura eki yüzünden tüm sunucu kilitlendi. ARS ve jandarma siber birimi dahil oldu, sistemleri ayağa kaldırmak 19 gün sürdü ve harici danışmanlık masrafı 28.000 EUR tuttu.

Medikal cihazlarınız veya hasta başı monitörleriniz aynı yerel ağa mı bağlı? Eğer ofis bilgisayarlarıyla tıbbi veritabanı aynı alt ağda (VLAN) duruyorsa bir muhasebe bilgisayarına giren zararlı yazılım dakikalar içinde tüm hasta takip sistemine yayılır.

Ayda 800 EUR alan bir teknisyenin siber güvenlik uzmanlığı olması beklenemez; o kişi muhtemelen yazıcı bağlayıp ofis lisanslarını yeniliyordur. 'Antivirüs var birşey olmaz' diyen birine sağlık altyapısının güvenliği kesinlikle emanet edilmez, bağımsız bir denetim şart.

Fransa Halk Sağlığı Kanunu ve RGPD kapsamında özel kategorideki verilerin kaybı veya yetkisiz ifşası durumunda yalnızca CNIL'e değil, hakları ihlal edilen sakinlerin kendilerine veya yasal vasilerine de doğrudan yazılı bilgilendirme yapma yükümlülüğünüz bulunmaktadır.

Geçen yıl komşu bölgedeki bir bakımevi pazar gecesi saldırıya uğradı. Sabah personelin hastaların tansiyon ve insülin dozlarını ezbere hatırlayamadığı için paniklediğini bizzat anlattılar. Acil kağıt dosyalarınız hazır değilse o gün yaşanacak kaosun maliyeti hiçbir cezayla kıyaslanamaz.

Bu başlığı açtığınız iyi olmuş. Ölçmeden karar verince hep aynı yere geliyoruz.

kaydettim.

Bende tam tersi oldu, o yüzden yazıyorum. Otomatik tarama raporu ile sızma testi aynı şey deil.

Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil. Not olarak bırakayım, lazım olur.

Kafamdaki soru işareti kalktı, teşekkürler. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Asıl mesele rakam değil, o rakamın neye göre çıktığı. Ben olsam bu yoldan giderdim.

iki yil once ayisini yasadim... ya bunu bastan yaazili hâle getirmezseniz sora tartisma cikiyor.

bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor. not olarak bırakayım, laazım olur

Yukarıdaki cevap işin özünü söylemiş. Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Bunu biraz açabilir misiniz? bu arada sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

Yazılı olmayan her madde ileride iki tarafın da farklı hatırladığı bir madde. Kendi durumunuz farklıysa tabii değişir.

detayya inersek şöyle: Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

teknik tarafını biraz açayım ama iki hafta boyunca not tutmak altı aylık tahminden iyi sonuç veriyor.

insanlar süreci deil alışkanlığı savunur sonra neyse dirnç oradan gelir.