Deși sistemele spitalelor nu au fost atacate direct de către hackeri, spitalele au devenit ținte în momentul în care infrastructura companiei a fost compromisă. Nu este confirmat și nici specificat de autorități modul exact prin care hackerii s-au folosit de sistemul software-ului Hipocrate pentru a propaga atacul de la Romanian Soft Company către unitățile de sănătate. Știm însă faptul că protocolul RDP, protocol ce permite accesul de la distanță, a jucat un rol important în tot acest incident.

Cel mai probabil, compania Romanian Soft Company folosea protocolul RDP pentru a gestiona de la distantă serverele din cadrul instituțiilor pe care rula software-ul Hipocrate, iar atacatorii s-au folosit de acesta pentru a propaga ransomware-ul pe serverele instuțiilor. (Ipoteză neconfirmată)

Acest atac este un exemplu foarte bun de Supply Chain Attack, un atac cibernetic în care hackerii se folosesc de furnizori pentru a ajunge la ținta finală. Nu știm mai multe detalii despre infrastructura instituțiilor sau modul prin care atacatorii s-au folosit de ea, dar putem observa cum în aceste cazuri nu contează doar securitatea cibernetică și nivelul de protecție al unei entități, ci și securitatea tuturor furnizorilor din lanțul de aprovizionare al acestora. Un sistem este securizat atât timp cât cea mai slabă verigă a ansambului sistemului este securizată.

Conform informațiilor furnizate de MS și DNSC, ,,majoritatea ” spitalelor afectate aveau copii recente de siguranță a datelor. Subliniem pe această cale importanța implementării masurilor de securitate cibernetică, dar și planificarea și implementarea corectă a procedurilor de management pentru incidente de acest tip. Ce s-ar fi întâmplat cu pacienții dacă toate datele din sistemul informatic erau pierdute?

Nu putem însă trece cu vederea următorul termen din anunțul făcut public de către DNSC: ,,majoritatea” –  deci nu toate? Ce date au fost pierdute?  Au fost acele unități auditate conform legii de un specialist? Ce riscuri au fost identificate? Ce măsuri au fost luate?

Este încă o situație în care ni se demonstrează importanța auditurilor de securitate cibernetică și riscul la care ne putem expune dacă nu luăm în considerare recomandările specialiștilor avizați atât de reglemetările legale cât și de expertiza reală în domeniu. Subliniem faptul că unitățile de sănătate reprezintă operatori de servicii esențiale, iar conform legii 362/2018 aceștia au obligația de a implementa măsuri adecvate pentru a preveni și minimiza astfel de incidente cibernetice.