KIBERNETIČKA SIGURNOST I PODACI

Kibernetički napad zaustavio isporuke medicinske opreme

Boston Scientific prijavio je globalni zastoj nakon napada na dio svojih informacijskih sustava. Pogođene su poslovne aplikacije za obradu i otpremu narudžbi medicinskih uređaja, a puni rok oporavka nije poznat. Kompanija istražuje opseg incidenta uz vanjske stručnjake i još nije utvrdila hoće li posljedice biti financijski materijalne.

Kibernetički napad zaustavio isporuke medicinske opreme
Depositphotos

Boston Scientific otkrio je 25. kolovoza kibernetički incident koji je ograničio pristup dijelu informacijskih sustava i izazvao globalni poremećaj poslovanja, navodi se u izvještaju podnesenom američkoj Komisiji za vrijednosne papire. Napad je zahvatio aplikacije potrebne za obradu i otpremu narudžbi medicinskih uređaja, pa se digitalni zastoj izravno prenio na fizički opskrbni lanac.

Kompanija je nakon otkrivanja aktivirala plan odgovora, angažirala vanjske stručnjake za kibernetičku sigurnost i počela ograničavati prijetnju. U službenoj objavi od 26. kolovoza navela je da pojedine funkcije i pristup sustavima obnavlja, ali nije mogla odrediti rok potpunog povratka. SecurityWeek je novu stručnu obradu slučaja objavio 27. kolovoza.

Boston Scientific proizvodi uređaje i terapijska rješenja za kardiologiju, neurologiju, onkologiju i druge intervencijske postupke. Zastoj zato nije jednak prekidu obične uredske aplikacije: kašnjenje u obradi narudžbi može utjecati na bolnice, distributere i raspoloživost proizvoda potrebnih za zakazane postupke. Kompanija nije objavila popis pogođenih država, proizvoda ili kupaca.

Regulatorni obrazac 8-K potvrđuje da su ograničeni sustavi i poslovne aplikacije koje podupiru operacije, uključujući procesiranje i slanje narudžbi. Ne navodi da je proizvodnja potpuno zaustavljena niti da su medicinski uređaji u uporabi tehnički kompromitirani. Razlikovanje je važno jer incident zasad pogađa poslovnu infrastrukturu, a ne potvrđenu sigurnost implantata ili kliničkih sustava.

Opseg, priroda i posljedice još se istražuju. Boston Scientific nije objavio je li riječ o ransomwareu, krađi vjerodajnica, iskorištenoj ranjivosti ili napadu dobavljačkog lanca. Nije potvrđeno ni jesu li podaci zaposlenika, pacijenata, bolnica ili poslovnih partnera preuzeti. Svaka tvrdnja o počinitelju ili krađi podataka zato bi u ovoj fazi bila nagađanje.

Kompanija još nije odlučila je li incident razumno vjerojatno materijalan za financijske rezultate. Američka pravila traže pravodobno izvještavanje ulagača o važnim kibernetičkim događajima, ali prijava prije završetka istrage ne znači automatski da je konačna šteta velika. Materijalnost će ovisiti o trajanju zastoja, propuštenim ili odgođenim isporukama, trošku obnove i mogućim pravnim zahtjevima.

Tržišna reakcija bila je negativna jer nepoznat rok oporavka otežava procjenu prihoda u tromjesečju. Usporedbe s napadima na druge proizvođače medicinske opreme daju samo okvir, ne prognozu za Boston Scientific. Različite mrežne arhitekture, sigurnosne kopije, obujam segmentacije i spremnost ručnih procesa mogu skratiti ili produljiti obnovu.

Najvažniji operativni problem je ovisnost otpreme o centralnim aplikacijama. Tvrtka može imati gotov proizvod u skladištu, ali bez sustava za narudžbe, provjeru kupca, dokumentaciju, serijski broj, regulatorno praćenje i logistiku ne može sigurno završiti isporuku. U medicinskoj industriji ručno zaobilaženje tih kontrola nosi veći rizik nego u običnoj maloprodaji.

Incident pokazuje zašto kontinuitet poslovanja mora obuhvatiti više od sigurnosne kopije podataka. Potrebni su odvojeni identiteti, pričuvna komunikacija, unaprijed definirani ručni postupci i prioriteti za kritične narudžbe. Boston Scientific nije objavio koje je alternativne procese aktivirao, pa se njihova učinkovitost može procijeniti tek kada kompanija navede opseg zaostalih isporuka i tempo obrade.

Mogući regulatorni učinak ovisit će i o podacima. Ako istraga utvrdi neovlašten pristup osobnim ili zdravstvenim informacijama, otvorit će se obveze obavještavanja u različitim državama i jurisdikcijama. Ako podaci nisu kompromitirani, glavni će rizik ostati operativni zastoj, ugovorne obveze prema kupcima i trošak forenzike te obnove sustava.