Hackere kan lukke din tandklinik ned

Det er en lørdag i maj sidst på eftermiddagen. Tandlæge Lars Knudsen fra Vordingborg er på vej til fest, da der tikker en besked ind på hans telefon.

- Jeg tør næsten ikke åbne den. Det er en besked fra vores it-firma, og på det tidspunkt kan det næsten kun betyde én ting – at klinikken er blevet udsat for et hackerangreb, fortæller Lars Knudsen.

Han får desværre ret i sin formodning, men har ikke mulighed for at gøre noget før søndag morgen, hvor han skynder sig ind til klinikken og kan konstatere, at netværket er nede. Alle ikoner på serveren er ændret til standardformat.

- Midt på skærmen ligger en read-me-tekst, som går på, at serveren er blevet krypteret, og at det kræver et beløb for at blive låst op igen.

En klassisk kryptovirus
Det er en helt klassisk kryptovirus. Med al sandsynlighed er nogen kommet til at klikke på en vedhæftet fil, som derefter har krypteret serveren og to lokale computere. I løbet af søndagen får Lars Knudsen afkoblet alle computere, og meget tidligt mandag morgen går han sammen med it-firmaet i gang med at genoprette de skader, hackerne har forvoldt.

- Anbefalingen fra it-firmaet er klar: Lad være med at kontakte hackerne og lad endelig være med at begynde at betale dem. Der sker bare det, at de kun fjerner krypteringen for dele af systemet og så forlanger en yderligere sum for at frigive resten, fortæller Lars Knudsen og fortsætter:

- Men det er jo noget rod, fordi vi aner ikke, hvilke patienter der kommer, hvilken behandling de skal have, eller hvad der står i deres journal. Bortset fra en enkelt, der kommer med en knækket tand, må vi sende patienter hjem indtil kl. 11, hvor vi får etableret en midlertidig server, hvor vi kan genskabe stort set alle vores data.

Alle data bliver herefter slettet fra klinikkens oprindelige server. Der bliver oprettet et nyt styringssystem, og de inficerede maskiner får nye Windows-licenser. Samtidig bliver der lagt et kraftigt antivirusprogram på alle maskiner. Mandag eftermiddag kommer klinikken op at køre normalt igen. 

Sundhedsdata spændende for kriminelle
Historien fra Vordingborg er et eksempel på det trusselsbillede, små og mellemstore virksomheder står overfor, forklarer Jens Myrup Pedersen, professor i cybersikkerhed ved Aarhus Universitet.

Truslen om hackerangreb kommer ifølge ham dels fra cyberkriminelle, som gør det for pengenes skyld, dels fra andre aktører – fx aktivistiske grupper, som er mere eller mindre politisk motiverede, og som synes, at det er spændende at udstille vores samfund som sårbart.

- Når det gælder tandklinikker, formoder jeg, at det primært er kriminelle. Jeg kan ikke sige noget konkret om tandlægeklinikker, men generelt er små og mellemstore virksomheder i Danmark ikke beskyttet godt nok. Det særlige for sundhedsområdet er, at man ligger inde med store mængder af personfølsomme sundhedsdata, som er særligt spændende for de kriminelle at komme i nærheden af og bruge som afpresningsmiddel, siger Jens Myrup Pedersen og fortsætter:

- Og så er en tandlægeklinik jo også sårbar, fordi den er fuldstændig afhængig af it-systemet for at kunne holde åbent – akkurat som i eksemplet fra Vordingborg.   

Hjælp til at opdage sårbarheder
Hos de praktiserende læger står man med nøjagtigt de samme udfordringer som i tandlægepraksis. Her har truslen om angreb fra cyberspace og nedbrud fået Sundhedsdatastyrelsen til at udvikle en såkaldt cyberalarm, fordi det ifølge styrelsen netop er de mindre enheder i sundhedsvæsenet, som står uden så mange hjælpemidler.

Søren Bank Greenfield er afdelingschef for cyber- og informationssikkerhed i Sundhedsdatastyrelsen. Det er ham, der sammen med sin kollega, Ole Fisker, har udviklet cyberalarmen. Han forklarer, at alarmen skal hjælpe de mindre lægeklinikker med at opdage potentielle angreb og sårbarheder i lægernes it-systemer, så de kan blive håndteret så hurtigt som muligt.

En rød smiley 
Idéen til alarmen fik de to kolleger, da de sad i en lufthavn. På det tidspunkt var de i gang med at finde ud af, hvordan man kan hjælpe og kommunikere til små enheder i sundhedsvæsnet. 

- Vi kom til at kigge op i lufthavnens loft, og der var en brandalarm. Så tænkte vi: Hvad nu hvis vi kunne lave en alarm, der på en enkel måde kunne advare klinikkerne, hvis der er mistænkelig aktivitet i it-systemerne, fortæller Søren Bank Greenfield. 

Cyberalarmen består af to dele. Dels en teknisk enhed – selve cyberalarmen – der registrerer hændelser. Den kobles direkte på klinikkens netværk. Dels en tablet, som med røde, gule og grønne smileys viser status, som personalet løbende kan holde øje med. 

Hvis cyberalarmen støder på en alvorlig hændelse, undersøger Sundhedsdatastyrelsens enhed Sund-CERT – det nationale center for cybersikkerhed i sundhedssektoren, der døgnet rundt, året rundt holder øje med aktivitet og trusler relateret til it-systemerne på sundhedsområdet – om der er en egentlig trussel. Hvis det er tilfældet, udløser tabletten en rød smiley og en høj alarmlyd. Den skal klinikken så reagere på, og it-leverandøren skal kontaktes øjeblikkeligt.

Cyberalarmen har indtil nu med succes været testet på 10 lægeklinikker i Region Sjælland og Region Syddanmark. 

- Den tekniske løsning fungerer rigtig godt. Enheden har eget modem, så det ikke belaster klinikkens netværk. Vi arbejder stadig med at sikre, at tabletten ikke giver unødvendige advarsler, forklarer Søren Bank Greenfield, der af sikkerhedshensyn ikke kan komme nærmere ind på, hvilke trusler der har været, eller hvor mange der har været i forsøgsperioden. 

Løsningen er i foråret kommet ud til yderligere ca. 70 klinikker. Projektet er kommet i stand i et samarbejde mellem Praktiserende Lægers Organisation (PLO), Danske Regioner og Sundhedsdatastyrelsen. Pilot og testudbredelse er finansieret af overenskomstmidler. På sigt er det målet at gøre cyberalarmen landsdækkende.

Cyberalarm kan nytte i tandklinikker
Formanden for klinikejerne i Tandlægeforeningen, Signe Johanne Rasmussen, kan sagtens genkende de udfordringer med cyberangreb og hacking, som ses hos de praktiserende læger.

- Det er noget, alle klinikejere er meget opmærksomme på. Høj it-sikkerhed er helt fundamentalt for os, da vi ligesom lægerne ligger inde med personfølsomme sundhedsdata om vores patienter, som ikke må komme i de forkerte hænder, siger hun.

Derfor vurderer klinikejerformanden også, at cyberalarmen er et værktøj, som tandklinikkerne kunne have gavn af.

- Jeg synes, at det ligger lige til højrebenet at få sat gang i en forsøgsordning med cyberalarmer i tandklinikker. Det er oplagt at tage med til de forhandlinger om en ny aftale for tandlægeområdet, som forhåbentlig snart kommer i gang, siger hun.  

Truslen bliver stadig større 
For truslen fra it-kriminelle mod tandklinikker og alle andre virksomheder bliver ifølge Jens Myrup Pedersen kun større og større.

- Jo mere digitale vi bliver, jo større bliver angrebsfladen, og jo større bliver konsekvensen af angreb også. Det vil virkelig batte noget, hvis vi får et bedre internationalt politisamarbejde, så det bliver mindre risikofrit at lave den her type kriminalitet, siger han og fortsætter:

- Problemet er bare, at jeg ikke kan se, hvor det skal komme fra, fordi vi har en verden, der ser ud, som den gør. Og den politiske aktivisme og hybride krigsførelse er også kommet for at blive.

Af den grund opfordrer Jens Myrup Pedersen klinikkerne til selv at gøre ekstra meget for at være beskyttet mod angreb. Han mener, at cybersikkerhed handler meget om kultur og om at tænke på sikkerhed i sine daglige handlinger.

- Du kommer utrolig langt med at have styr på nogle grundlæggende ting: Hvem har adgang til systemerne? Er de opdaterede? Har du en backupløsning? Og hvis du bruger to-faktorgodkendelse, er det begrænset, hvor galt det kan gå. Endelig skal du have en plan for, hvad du gør, hvis der kommer et angreb, anbefaler Jens Myrup Pedersen. 

Pas ekstra på
Tilbage i Vordingborg glæder Lars Knudsen sig over, at hackerangrebet i maj trods alt ikke var omfattende. Ingen følsomme sundhedsoplysninger blev kompromitteret, og han betalte ikke hackerne. Han har indskærpet over for personalet, at de skal passe på og være ekstra opmærksomme. Men i en travl hverdag med forskellige mennesker i receptionen – og nogle med nye funktioner – er det umuligt at garantere, at ingen kommer til at åbne et link til en faktura, der viser sig at være et angreb.

- Min erfaring er, at det allervigtigste er, at man har styr på sin backup. Det er bøvlet, at man er nede i et stykke tid, men det kan man leve med, siger Lars Knudsen.