Προσομοιώσεις Phishing στον τομέα της Υγείας: Εκπαιδεύστε το προσωπικό χωρίς κίνδυνο για PHI

Οι προσομοιώσεις phishing στον χώρο της υγείας χρειάζονται πολύ αυστηρότερα κιγκλιδώματα από τις συνηθισμένες καμπάνιες ευαισθητοποίησης. Νοσοκομεία, κλινικές, πάροχοι ασφάλισης, εργαστήρια και προμηθευτές λογισμικού υγείας χειρίζονται προστατευμένες πληροφορίες υγείας, ροές φροντίδας ασθενών που είναι ευαίσθητες στον χρόνο, ροές εργασίας ασφάλισης, κοινόχρηστες συσκευές και πύλες τρίτων. Ένα ασφαλές πρόγραμμα θα πρέπει να βελτιώνει τις συνήθειες αναφοράς χωρίς να συλλέγει μυστικά, να εκθέτει δεδομένα ασθενών ή να διακόπτει την κλινική εργασία.

Αυτό κάνει το ερώτημα αγοράς πιο πρακτικό παρά δημιουργικό: μπορεί η πλατφόρμα να υποστηρίξει ρεαλιστικά σενάρια βάσει ρόλων, ελέγχους απορρήτου, επαναλήψιμη αναφορά και αποδεικτικά στοιχεία ελέγχου χωρίς να μετατρέψει την άσκηση σε ένα ριψοκίνδυνο εγχείρημα λειτουργίας; Η απάντηση έχει σημασία για τους μηχανικούς ασφάλειας που διαχειρίζονται τη ροή email, τους διαχειριστές IT που υποστηρίζουν τους χρήστες, τους CISO που χρειάζονται μετρήσιμη μείωση κινδύνου και τους εμπλεκόμενους συμμόρφωσης που χρειάζονται τεκμηριωμένα αρχεία.

Αυτός ο οδηγός είναι μόνο αμυντικός. Δεν περιλαμβάνει πρότυπα phishing, βήματα συλλογής διαπιστευτηρίων, τεχνικές παράκαμψης φίλτρων mail ή οδηγίες για μη εξουσιοδοτημένο έλεγχο.

Ξεκινήστε με τον ειδικό για την υγεία κίνδυνο, όχι με τα γενικά ποσοστά κλικ

Οι ομάδες υγείας αντιμετωπίζουν οικεία θέματα κοινωνικής μηχανικής, αλλά ο επιχειρησιακός αντίκτυπος είναι διαφορετικός. Μια χαμένη αναφορά μπορεί να καθυστερήσει την τριάδα του helpdesk, να εκθέσει ένα σύστημα που απευθύνεται σε ασθενείς, να δημιουργήσει κίνδυνο απάτης χρέωσης ή να αυξήσει την πίεση σε ήδη απασχολημένο κλινικό προσωπικό. Μια καμπάνια που μετρά μόνο ποιος έκανε κλικ δίνει στους ηγέτες πολύ λίγα για να βελτιώσουν.

Ορίστε την πρώτη προσομοίωση γύρω από ένα επιχειρησιακό ερώτημα:

• Μπορεί το προσωπικό να αναγνωρίσει και να αναφέρει ύποπτα μηνύματα μέσω της εγκεκριμένης διαδρομής;
• Χρειάζονται οι κλινικές, οι λογιστικές, οι HR και οι IT ομάδες διαφορετική μετέπειτα εκπαίδευση;
• Περιλαμβάνονται κοινόχρηστα inbox και κοινόχρηστοι σταθμοί εργασίας με ελεγχόμενο τρόπο;
• Μπορεί το helpdesk ή το SOC να διακρίνει τις αναφορές προσομοίωσης από το πραγματικά ύποπτο mail;
• Παράγει η πλατφόρμα αποδεικτικά στοιχεία που είναι χρήσιμα για ανασκοπήσεις ασφάλειας και συζητήσεις συμμόρφωσης;

Για τους περισσότερους οργανισμούς υγείας, το ποσοστό αναφοράς, ο χρόνος μέχρι την αναφορά, τα επαναλαμβανόμενα μοτίβα έκθεσης και η ασφαλής συμπεριφορά παρακολούθησης είναι πιο χρήσιμα από το ακατέργαστο ποσοστό κλικ. Τα κλικ μπορεί να παραμορφωθούν από προεπισκοπήσεις, κινητές συσκευές, περιέργεια και εργαλεία ασφάλειας mail. Η συμπεριφορά αναφοράς δείχνει αν οι άνθρωποι ξέρουν τι να κάνουν στη συνέχεια.

Κρατήστε τα PHI και το πλαίσιο ασθενών έξω από την προσομοίωση

Ο ευκολότερος τρόπος να κάνετε μια προσομοίωση στον χώρο της υγείας μη ασφαλή είναι να την κάνετε υπερβολικά ρεαλιστική. Μην χρησιμοποιείτε πραγματικά ονόματα ασθενών, λεπτομέρειες ραντεβού, διαγνώσεις, αριθμούς απαιτήσεων, αποτελέσματα εργαστηρίων, ιατρικές εικόνες, συνταγές, αναγνωριστικά ασφάλισης ή μηνύματα πύλης. Μην ζητάτε από τους εργαζομένους να πληκτρολογήσουν κωδικούς πρόσβασης, κωδικούς MFA, δεδομένα ασθενών, δεδομένα χρέωσης ή προσωπικές πληροφορίες σε μια σελίδα προορισμού.

Χρησιμοποιήστε ανύπαρκτο, χαμηλής ευαισθησίας επιχειρησιακό πλαίσιο αντί γι' αυτό. Μια ασφαλής σελίδα προορισμού μπορεί να διδάξει το μάθημα εξηγώντας τα σήματα που θα έπρεπε να επιβεβαιώσει ο εργαζόμενος, το επίσημο κανάλι αναφοράς και την εγκεκριμένη επιχειρησιακή διαδικασία. Δεν χρειάζεται να συλλέξει ένα μυστικό για να αποδείξει τον κίνδυνο.

Το Υπουργείο Υγείας και Ανθρωπίνων Υπηρεσιών των ΗΠΑ δημοσιεύει πόρους κυβερνοασφάλειας για την υγεία μέσω του 405(d), συμπεριλαμβανομένης πρακτικής καθοδήγησης για οργανισμούς του τομέα υγείας. Αντιμετωπίστε αυτούς τους πόρους και τις δικές σας νομικές/συμμορφωτικές απαιτήσεις ως την αρμόδια αρχή για τον χειρισμό προστατευμένων δεδομένων. Μια πλατφόρμα προσομοίωσης phishing θα πρέπει να βοηθά στην επιβολή αυτών των ορίων, όχι να ζητά από την ομάδα ασφάλειας να τα διαχειρίζεται χειροκίνητα.

Τμηματοποιήστε τα σενάρια ανά ροή εργασίας και αντίκτυπο στη φροντίδα

Τα προγράμματα ευαισθητοποίησης στον χώρο της υγείας λειτουργούν καλύτερα όταν σέβονται τον τρόπο με τον οποίο πράγματι λειτουργούν οι διαφορετικές ομάδες. Ένας νοσηλευτής σε κοινόχρηστο σταθμό εργασίας, ένας υπάλληλος υποδοχής που χειρίζεται κλήσεις για ραντεβού, ένας ειδικός χρέωσης που επεξεργάζεται μηνύματα ασφαλιστικών φορέων και ένα στέλεχος που εγκρίνει σύμβαση προμηθευτή δεν αντιμετωπίζουν το ίδιο πρόβλημα επαλήθευσης.

Χρήσιμα τμήματα περιλαμβάνουν:

• κλινικό προσωπικό που λαμβάνει ειδοποιήσεις βάρδιας, προγραμματισμού, πολιτικής και πύλης
• ομάδες γραφείου πρώτης επαφής που χειρίζονται ροές εργασίας για ραντεβού, ασφάλιση και επικοινωνία ασθενών
• ομάδες χρέωσης και κύκλου εσόδων που ασχολούνται με τιμολόγια, απαιτήσεις, επιστροφές και πύλες πληρωτών
• χρήστες IT και helpdesk με προνομιακή πρόσβαση ή ευθύνες επαναφοράς λογαριασμών
• στελέχη και διοικητικά στελέχη που εγκρίνουν προμηθευτές, συμβόλαια και επείγοντα αιτήματα
• ομάδες υποστήριξης τρίτων ή εξωτερικοί συνεργάτες, αν βρίσκονται εντός του πεδίου του προγράμματος ευαισθητοποίησης

Μην ξεκινήσετε με όλα τα τμήματα ταυτόχρονα. Διαλέξτε μία ή δύο ροές εργασίας όπου το εκπαιδευτικό αποτέλεσμα είναι σαφές. Μια πρώτη καμπάνια στον χώρο της υγείας μπορεί να επικεντρωθεί στην αναφορά ύποπτων ειδοποιήσεων κοινόχρηστων αρχείων ή στην επαλήθευση απροσδόκητων μηνυμάτων λογαριασμού προμηθευτή. Ο στόχος είναι να βελτιωθεί μια συμπεριφορά που ο οργανισμός μπορεί πραγματικά να υποστηρίξει.

Προστατέψτε τις κλινικές λειτουργίες από περιττή διατάραξη

Η ασφαλέστερη προσομοίωση δεν είναι αυτή που φτάνει σε κάθε inbox την πιο φορτωμένη δυνατή στιγμή. Οι λειτουργίες στον χώρο της υγείας περιλαμβάνουν αλλαγές βάρδιας, κορυφώσεις στην προσέλευση ασθενών, παράθυρα απόκρισης σε περιστατικά, παράθυρα ενημερώσεων, εποχικές αιχμές όγκου, δραστηριότητα πιστοποίησης και πραγματικές έκτακτες ανάγκες. Μια πλατφόρμα θα πρέπει να καθιστά εύκολο τον προγραμματισμό, τον περιορισμό ρυθμού, την παύση και τον αποκλεισμό χρηστών όταν χρειάζεται.

Πριν από την έναρξη, τεκμηριώστε:

• τμήματα και τοποθεσίες εντός πεδίου
• αποκλειόμενες ομάδες, όπως ομάδες περιστατικών σε ετοιμότητα ή ενεργές ομάδες απόκρισης σε κρίση
• χρονικά παράθυρα αποστολής ανά βάρδια και ζώνη ώρας
• στελέχωση helpdesk και SOC κατά τη διάρκεια της καμπάνιας
• χειρισμό κλιμάκωσης εάν οι εργαζόμενοι καλέσουν την ομάδα ασφάλειας ή τον προϊστάμενο
• πώς θα σταματήσει ή θα τεθεί σε παύση μια καμπάνια αν συγκρουστεί με πραγματικό περιστατικό

Αυτό είναι ιδιαίτερα σημαντικό για οργανισμούς με κοινόχρηστα γραμματοκιβώτια, κοινόχρηστους σταθμούς εργασίας, kiosks, κλινικές συσκευές ή ομάδες που δεν διαβάζουν email συνεχώς. Η προσομοίωση θα πρέπει να ταιριάζει στο περιβάλλον υγείας και όχι να προσποιείται ότι κάθε εργαζόμενος δουλεύει σαν υπάλληλος γραφείου.

Χρησιμοποιήστε σελίδες προορισμού για εκπαίδευση, όχι για συλλογή δεδομένων

Μια ασφαλής για την υγεία σελίδα προορισμού προσομοίωσης θα πρέπει να εξηγεί τι συνέβη, τι θα μπορούσε να είχε ελέγξει ο εργαζόμενος και τι να κάνει στη συνέχεια. Δεν θα πρέπει να μιμείται πύλη ασθενών, σύνδεση σε EHR, πύλη ασφαλιστή, σελίδα μισθοδοσίας ή ροή μεταφόρτωσης εγγράφων με τρόπο που ενθαρρύνει την εισαγωγή μυστικών.

Καλές απαιτήσεις για τη σελίδα προορισμού:

• κανένα πραγματικό διαπιστευτήριο, κωδικοί MFA, PHI, δεδομένα πληρωμής ή μεταφορτώσεις εγγράφων
• σαφής εκπαιδευτική ανατροφοδότηση αμέσως μετά το κλικ
• οδηγίες σε απλή γλώσσα για την εγκεκριμένη διαδικασία αναφοράς
• καμία εμφανής ντροπή εργαζομένων ή κατάταξη ομάδων
• καμία λήψη στιγμιότυπων πραγματικών εσωτερικών κλινικών συστημάτων, εκτός αν έχει εγκριθεί επίσημα και έχει αποδομηθεί
• αναλυτικά στοιχεία που υποστηρίζουν τη βελτίωση της εκπαίδευσης χωρίς υπερσυλλογή προσωπικών δεδομένων

Αν χρειάζεστε βαθύτερο μοντέλο γι' αυτό, ο οδηγός του AutoPhish για ασφαλείς σελίδες προορισμού προσομοίωσης phishing εξηγεί πώς να μετράτε τη συμπεριφορά χωρίς να συλλέγετε μυστικά.

Κάντε ρητούς τους κανόνες απορρήτου και πρόσβασης

Οι ομάδες υγείας συχνά χρειάζονται αποτελέσματα ονομασμένων χρηστών για στοχευμένη παρακολούθηση, αλλά τα ονομαστικά δεδομένα δεν θα πρέπει να γίνουν ένα χαλαρό διοικητικό αναφοράς. Αποφασίστε ποιος μπορεί να βλέπει ατομικά αποτελέσματα, πότε αρκεί η ανώνυμη αναφορά, για πόσο χρόνο διατηρούνται τα δεδομένα και πώς χειρίζονται οι εξαιρέσεις για ευαίσθητες περιπτώσεις εργαζομένων.

Ορίστε:

• αν οι προϊστάμενοι βλέπουν ατομικά, σε επίπεδο ομάδας ή ανώνυμα αποτελέσματα
• ποιος μπορεί να εξάγει δεδομένα και για ποιον σκοπό
• περιόδους διατήρησης για συμβάντα καμπάνιας και αρχεία εκπαίδευσης
• πώς ενημερώνονται οι εργαζόμενοι για το πρόγραμμα ευαισθητοποίησης
• πώς εμπλέκονται το HR, οι νομικές υπηρεσίες, τα εργατικά συμβούλια ή οι εκπρόσωποι εργαζομένων όπου απαιτείται
• αν οι ανάδοχοι και οι τρίτοι ακολουθούν τους ίδιους κανόνες

Για ευρωπαϊκούς οργανισμούς υγείας ή πολυεθνικές ομάδες, η διακυβέρνηση απορρήτου μπορεί να απαιτεί πρόσθετη διαβούλευση πριν από την έναρξη του ελέγχου. Ο οδηγός του AutoPhish για εκπαίδευση phishing φιλική προς το απόρρητο καλύπτει με περισσότερη λεπτομέρεια τη συναίνεση, την ανωνυμοποίηση, τη διατήρηση και την εμπιστοσύνη των εργαζομένων.

Επικυρώστε τη ροή mail χωρίς να αποδυναμώσετε τους ελέγχους ασφάλειας

Οι οργανισμοί υγείας συχνά λειτουργούν με στρώματα άμυνας email, πύλες τρίτων, πολιτικές Microsoft 365 ή Google Workspace, ελέγχους τερματικών, εργαλεία ασφαλούς email και ενσωματώσεις ticketing. Μια προσομοίωση που απαιτεί ευρεία allowlisting μπορεί κατά λάθος να διδάξει το λάθος επιχειρησιακό μάθημα: χαμηλώστε τους ελέγχους όποτε μια δοκιμή χρειάζεται να πετύχει.

Ρωτήστε τους προμηθευτές πώς υποστηρίζουν την εξουσιοδοτημένη παράδοση διατηρώντας, όσο γίνεται, τη συνηθισμένη αμυντική στάση. Οι μηχανικοί ασφάλειας θα πρέπει να μπορούν να τεκμηριώσουν domains αποστολής, ευθυγράμμιση DNS, ρύθμιση ασφάλειας mail, συμπεριφορά του κουμπιού αναφοράς και οποιεσδήποτε προσωρινές εξαιρέσεις. Οι διαχειριστές IT θα πρέπει να ξέρουν πώς δρομολογούνται οι αναφορές χρηστών και αν οι αναφορές δημιουργούν tickets, ειδοποιήσεις ή συμβάντα προσομοίωσης.

Η πλατφόρμα θα πρέπει επίσης να χειρίζεται καθαρά τα false positives και τις πραγματικές αναφορές. Οι εργαζόμενοι μπορεί να αναφέρουν πραγματικά ύποπτο email κατά τη διάρκεια της καμπάνιας. Η διαδικασία σας δεν θα πρέπει να θάβει αυτές τις αναφορές μέσα στα δεδομένα της άσκησης.

Δημιουργήστε αποδεικτικά στοιχεία που μπορούν να χρησιμοποιήσουν οι εμπλεκόμενοι συμμόρφωσης

Οι ομάδες συμμόρφωσης δεν χρειάζονται μια δραματική ιστορία για το ποιος έκανε κλικ. Χρειάζονται αποδείξεις ότι ο οργανισμός εκτελεί ελεγχόμενη διαδικασία ευαισθητοποίησης, βελτιώνει την εκπαίδευση βάσει αποτελεσμάτων, προστατεύει ευαίσθητα δεδομένα και διατηρεί τα κατάλληλα αρχεία.

Χρήσιμα αποδεικτικά στοιχεία περιλαμβάνουν:

• έγκριση καμπάνιας και πεδίο εφαρμογής
• σημειώσεις έγκρισης σεναρίου και εξαιρέσεις ασφάλειας
• αρχεία ρύθμισης ροής mail
• ημερομηνίες εκκίνησης, κοινά και εξαιρέσεις
• ποσοστό αναφοράς, χρόνος μέχρι την αναφορά και ολοκλήρωση παρακολούθησης
• ενέργειες αποκατάστασης που λήφθηκαν μετά την καμπάνια
• ρυθμίσεις απορρήτου και διατήρησης
• εκτελεστική σύνοψη των διδαγμάτων

Ο οδηγός αναφοράς του AutoPhish, Phishing Simulation Reporting: 12 Features Security Teams Should Compare, είναι μια χρήσιμη λίστα ελέγχου για να αποφασίσετε αν μια πλατφόρμα μπορεί να μετατρέψει τις καμπάνιες σε διοικητικά και ελεγκτικά αποδεικτικά στοιχεία.

Τι να ρωτήσετε τους προμηθευτές πριν από την αγορά

Οι αγοραστές στον χώρο της υγείας θα πρέπει να κάνουν πρακτικές ερωτήσεις που αποκαλύπτουν αν η πλατφόρμα μπορεί να λειτουργήσει με ασφάλεια σε ένα ρυθμιζόμενο, υψηλής πίεσης περιβάλλον.

Ρωτήστε:

• Μπορούμε να τρέξουμε προσομοιώσεις χωρίς να συλλέγουμε κωδικούς πρόσβασης, κωδικούς MFA, PHI ή δεδομένα πληρωμής;
• Μπορούμε να τμηματοποιήσουμε ανά ρόλο, τοποθεσία, βάρδια, τμήμα και κατάσταση αναδόχου;
• Μπορούμε να αποκλείσουμε ευαίσθητους χρήστες ή να θέσουμε μια καμπάνια γρήγορα σε παύση;
• Μπορούν οι σελίδες προορισμού να είναι εκπαιδευτικές και να διαφυλάσσουν το απόρρητο εξ ορισμού;
• Μπορούν οι αναφορές να ανωνυμοποιηθούν ή να περιοριστούν βάσει ρόλου;
• Μπορεί το σύστημα να δείξει τη συμπεριφορά αναφοράς, όχι μόνο τα κλικ;
• Μπορεί να ενσωματωθεί με το κουμπί αναφοράς μας, το helpdesk, την ουρά του SOC ή το γραμματοκιβώτιο ασφάλειας;
• Μπορεί να παράγει αποδεικτικά στοιχεία για την ηγεσία και την ανασκόπηση συμμόρφωσης;
• Μπορούν οι διαχειριστές να εξετάζουν τα σενάρια πριν από την εκκίνηση;
• Μπορεί η πλατφόρμα να υποστηρίξει επαναλαμβανόμενες καμπάνιες χωρίς εύθραυστη χειροκίνητη ρύθμιση;

Αν η απάντηση εξαρτάται από υπολογιστικά φύλλα, στιγμιότυπα οθόνης, χειροκίνητες εξαγωγές, ευρείες εξαιρέσεις mail ή ανεξέλεγκτες επεξεργασίες σεναρίων, το εργαλείο μπορεί να δημιουργήσει περισσότερο επιχειρησιακό βάρος απ' όσο αφαιρεί.

Ένα ασφαλές μοντέλο πρώτης καμπάνιας

Για μια πρώτη προσομοίωση phishing στον χώρο της υγείας, κρατήστε το πεδίο στενό και το μάθημα σαφές. Επιλέξτε μια φανταστική επιχειρησιακή ειδοποίηση που δεν αναφέρεται σε ασθενείς, διαγνώσεις, απαιτήσεις, ραντεβού, συνταγές, επείγοντα περιστατικά ή πειθαρχική πίεση. Χρησιμοποιήστε μικρό κοινό, εγκεκριμένο χρονικό παράθυρο αποστολής, προ-ενημερωμένη διαδρομή helpdesk/SOC και εκπαιδευτική σελίδα προορισμού χωρίς πεδία εισαγωγής δεδομένων.

Μετά την καμπάνια, εξετάστε τι ανέφεραν οι εργαζόμενοι, πόσο γρήγορα έφτασαν οι αναφορές στη σωστή ομάδα, αν λειτούργησε η διαδικασία helpdesk και ποια μετέπειτα εκπαίδευση χρειάζεται. Αντιμετωπίστε το αποτέλεσμα ως λειτουργική ανασκόπηση, όχι ως άσκηση επίρριψης ευθυνών.

Όταν είστε έτοιμοι να συγκρίνετε μια ασφαλέστερη αυτοματοποιημένη πλατφόρμα για επαναλαμβανόμενο έλεγχο ευαισθητοποίησης στον χώρο της υγείας, Εγγραφείτε και αξιολογήστε το AutoPhish σε σχέση με τις απαιτήσεις σας για απόρρητο, αναφορά και ροή εργασίας.

Συχνές ερωτήσεις

Επιτρέπονται οι προσομοιώσεις phishing στον χώρο της υγείας υπό το HIPAA;

Μπορούν να αποτελούν μέρος ενός προγράμματος ευαισθητοποίησης για την ασφάλεια, αλλά ο σχεδιασμός έχει σημασία. Η προσομοίωση δεν θα πρέπει να εκθέτει PHI, να συλλέγει πραγματικά διαπιστευτήρια ή να δημιουργεί περιττό επιχειρησιακό κίνδυνο. Οι οργανισμοί υγείας θα πρέπει να ακολουθούν τις νομικές, συμμορφωτικές και ασφάλειας απαιτήσεις τους όταν ορίζουν το πεδίο, τον χειρισμό δεδομένων και τα αρχεία.

Πρέπει να δοκιμάζονται το προσωπικό του νοσοκομείου κατά τις ενεργές κλινικές βάρδιες;

Μόνο με προσεκτικό προγραμματισμό και εξαιρέσεις. Οι προσομοιώσεις θα πρέπει να αποφεύγουν υψηλής πίεσης κλινικά παράθυρα, πραγματικά περιστατικά, διακοπές στη φροντίδα ασθενών και ομάδες που δεν μπορούν εύλογα να ανταποκριθούν κατά το παράθυρο αποστολής. Η αξία της εκπαίδευσης μειώνεται γρήγορα αν η άσκηση παρεμβαίνει στη φροντίδα.

Ποια μετρική έχει τη μεγαλύτερη σημασία για την εκπαίδευση phishing στον χώρο της υγείας;

Το ποσοστό αναφοράς, ο χρόνος μέχρι την αναφορά, η ασφαλής συμπεριφορά παρακολούθησης, τα επαναλαμβανόμενα μοτίβα έκθεσης και η ολοκλήρωση στοχευμένης εκπαίδευσης είναι συνήθως πιο χρήσιμα από το ποσοστό κλικ από μόνο του. Οι καλύτερες μετρικές βοηθούν τις ομάδες ασφάλειας και IT να βελτιώσουν τη διαδρομή αναφοράς και να μειώσουν τη ριψοκίνδυνη συμπεριφορά χωρίς να ντροπιάζουν τους εργαζομένους.