Päevaleht kirjutas kuu aja eest Pärnu haigla näitel, kuidas just selline rünnak, nagu eile eelkõige Suurbritannias toimus, võib vabalt ka Eestis juhtuda.

“Hetkel, kui teid on medikamentidega unne suigutatud ja arst valmistub tegema keerulist operatsiooni, ilmub ekraanidele teade, et kõik selle haigla serveritesse laaditud andmed on krüptitud ja neile pääseb ligi siis, kui haigla tasub lunaraha. Teie olete samal ajal lahtilõigatuna operatsioonilaual, ühendatud nendesamade küberpättidega,” kirjutas Päevaleht. Teadaolevalt juhtus enam-vähem täpselt nii mitmes Briti haiglas.

Et saada aimu, kuidas on lood siin, saatis Päevaleht kõikidele Eesti haiglatele päringu, millal nad viimati IT turvaauditi tegid. Vastused jahmatasid. Enamik haiglaid pole IT turvaauditit teinudki. Need, kes on, on seda enamasti teinud pärast mõnd hirmutavat IT-üllatust.

Ligi kaks aastat kaevandasid kaks Pärnu haigla töötajat haigla IT süsteemis virtuaalraha. Üks neist vallandati, teine jätkas tööd IT spetsialistina. Postimehe andmeil jäeti see töötaja haiglasse palgale seetõttu, et ta põhjendas bitcoinide kaevandamist professionaalse enesearendamise võimalusega. Ent virtuaalraha kaevandamine on haigla IT süsteemile väga suur turvarisk. Mullu kevadel, kui puhkes Pärnu haigla skandaal, oli peaasjalikult juttu haiglajuhi Urmas Sule ametiauto ostmisest ja sellele eritellimusega elektrilise konksu tellimisest, kümnete tuhandete eurode väärtuses kaduma läinud prügikottidest ja majapidamispaberist. Avalikkus ei tea, et pärast virtuaalraha kaevandamist tellis haigla IT turvaauditi, et saada aimu, mis seisus on haigla IT-tervis.

Audit näitab, et haiglal puudub ajakohane ja realistlik ülevaade võrku ühendatud seadmetest.

IT turvaaudit tehti mullu augustis. Tegemist on asutusesiseseks kasutamiseks märgitud dokumendiga, mis annab ülevaate puudujääkidest. Audit näitab, et haiglal puudub ajakohane ja realistlik ülevaade võrku ühendatud seadmetest. Volitamata seadmeid saab märkamatult võrku ühendada ja nendega saab rünnata kogu haigla sisemist IT taristut. Puudub regulaarne ja täielik ülevaade seadmetele paigaldatud tarkvarast.

Eesti haiglate IT-turvalisuse eest vastutab nende juhtkond. Kuigi tegemist on elutähtsa teenuse osutajatega, ei monitoori ega kontrolli haiglate IT-võimeid keegi. Osa raviasutusi panustab IT turvalisusele ja selle testimisele vähe või n-ö olmetasemel. Siiski on ka positiivseid näiteid, kus tavapärasele hoolikale IT monitooringule on tellitud juurde näiteks ründetestid. Põhja-Eesti regionaalhaigla (PERH) juht Agris Peedu ütles, et haigla IT audit valmis jaanuaris ja näitas, et haigla tegeleb infoturbe maandamisega. Teine positiivne näide on Tartu ülikooli kliinikum, millele sotsiaalministeerium tellis 2015. aastal auditi ja see tehti sama kõrgete nõudmistega nagu riigiasutustel.

Tänavune aasta on RIA spetsialistide sõnul küberturvalisuse mõttes Eesti kõige riskirohkem aasta.

RIA on tervishoiuteenuse osutajate IT süsteemide pärast märksa suuremas mures kui ministeeriumid. Tänavune aasta on RIA spetsialistide sõnul küberturvalisuse mõttes Eesti kõige riskirohkem aasta. RIA juhtivanalüütik Kadri Kaska ütles aastaraamatu esitlusel, et küberkuritegevus hakkab Eestis ületama traditsiooniliste kelmuste osakaalu. Suur osa neist jääb varjatuks. Eraldi tõid RIA spetsialistid esile tervishoiusektori, mille puhul on mujal maailmas küberkelmidele lunaraha maksmise tõenäosus olnud kõige suurem. Mujal maailmas on 90% lunarahajuhtumeid olnud just meditsiinisektoris.

Kõige suurem küberturvalisuse risk on uuendamata tarkvara, kus ligi 100 000 Eesti ettevõtte kodulehtedest ligi pooltel on tarkvara uuendamata. Ka praegu maailmas leviva suure küberrünnaku üheks peasüüdlaseks peetakse uuendamata Windowsi tarkvara, sest turvaaugu, mida Wannacry viirus kasutab, paikas Microsoft juba märtsi keskel.

RIA-le teadaoevalt ei ole Eestis veel WannaCry levikut näha ning ka teateid intsidentide kohta pole nendeni jõudnud, täpsustas RIA intsidentide käsitlemise osakonna juht Klaid Mägi.

“Olgugi, et küsitakse suhteliselt väikeseid summasid (tänased UK lunarahanõuded olid 300-600 USD), siis maksmine ei ole mugavusväljapääs. Tasub meeles pidada, et tegemist on siiski kurjategijatega ning on suur hulk juhtumeid, kus isegi lunaraha maksmisel ei saada tagasi kontrolli süsteemide üle. Seega lunaraha maksmine ei garanteeri ligipääsude tagasisaamist, makstud lunaraha tagasinõudmise võimalus puudub ning lisaks edendab lunaraha maksmine kuritegevust ning muudab juba kasumit teeninud kurjategijad veelgi ahnemaks,” lisab RIA.