Ransomware ในโรงพยาบาล: เมื่อระเบียบราชการกลายเป็นอุปสรรคต่อการช่วยชีวิตคนไข้

ในปัจจุบัน สถานพยาบาลและผู้ให้บริการด้านสุขภาพกำลังเผชิญกับวิกฤตการโจมตีด้วย Ransomware (มัลแวร์เรียกค่าไถ่) ที่ทวีความรุนแรงขึ้น การโจมตีเหล่านี้ไม่เพียงแต่ทำให้ระบบคอมพิวเตอร์หยุดทำงาน แต่ยังส่งผลกระทบโดยตรงต่อชีวิตมนุษย์ เมื่อการนัดหมายถูกยกเลิก การผ่าตัดต้องเลื่อนออกไป และบุคลากรทางการแพทย์ต้องกลับไปใช้การจดบันทึกด้วยปากกาและกระดาษในสภาวะวิกฤต

อย่างไรก็ตาม ปัญหาไม่ได้หยุดอยู่แค่การถูกโจมตี แต่กระบวนการฟื้นฟูระบบกลับถูกทำให้ล่าช้าลงด้วยขั้นตอนทางธุรการที่ซับซ้อน ซึ่งผู้เชี่ยวชาญด้านไซเบอร์และกฎหมายมองว่าเป็น "อุปสรรคที่มองไม่เห็น" ในช่วงเวลาที่ทุกวินาทีมีค่าต่อชีวิตผู้ป่วย

กับดักทางธุรการ: จดหมายรับรองความปลอดภัย (Assurance Letters)

เมื่อโรงพยาบาลถูกโจมตี บริษัทซอฟต์แวร์หรือคู่ค้าทางธุรกิจที่เชื่อมต่อระบบอยู่มักจะตัดการเชื่อมต่อทันทีเพื่อป้องกันการแพร่กระจายของมัลแวร์ การจะกลับมาเชื่อมต่อได้อีกครั้ง โรงพยาบาลมักถูกร้องขอให้ส่ง Assurance Letter หรือ Attestation Letter ซึ่งคือจดหมายรับรองความปลอดภัยที่ยืนยันว่าระบบได้รับการแก้ไขและปลอดภัยแล้ว

จดหมายเหล่านี้ไม่ใช่ข้อกำหนดทางกฎหมาย แต่เป็นแนวทางที่บริษัทคู่ค้าใช้เพื่อลดความเสี่ยงของตนเอง โดยเนื้อหาในจดหมายอาจมีคำถามละเอียดถึง 40 ข้อ ครอบคลุมตั้งแต่ลำดับเหตุการณ์ วิธีการตอบโต้ ไปจนถึงหลักฐานการกำจัดมัลแวร์ ซึ่งสร้างภาระทางจิตใจและเวลาให้กับเจ้าหน้าที่ไอทีที่กำลังทำงานอย่างหนักเพื่อกู้ระบบ

A texturized illustration of a hospital worker at their desk looking at three different monitors.

ผลกระทบจากความล่าช้าในโลกความเป็นจริง

  • Ascension: เครือข่ายโรงพยาบาล 140 แห่งในสหรัฐฯ ต้องเจรจากับซัพพลายเออร์จำนวนมหาศาล ซึ่งแต่ละรายมีข้อกำหนดในการเชื่อมต่อระบบที่แตกต่างกัน ทำให้กระบวนการกู้คืนเป็นไปอย่างยากลำบาก
  • Scripps Health: ต้องจัดทำจดหมายรับรองให้คู่ค้ากว่า 30 รายหลังถูกโจมตีด้วยมัลแวร์ Conti โดยบางรายไม่ยอมรับจดหมายและขอเอกสารทางเทคนิคเพิ่มเติม
  • โรงพยาบาลในลอนดอน: การโจมตีผู้ให้บริการทางพยาธิวิทยา (Synnovis) ส่งผลให้ต้องยกเลิกการผ่าตัดกว่า 1,100 ราย และนัดหมายอีกกว่า 2,194 ราย รวมถึงต้องส่งต่ออวัยวะที่จำเป็นไปยังโรงพยาบาลอื่นกว่า 50 ราย

ความเสี่ยงที่ส่งผลถึงอัตราการเสียชีวิต

Hannah Neprash อาจารย์จาก University of Minnesota ระบุว่าการโจมตีทางไซเบอร์ส่งผลเสียต่อผู้ป่วยอย่างชัดเจน โดยผลการวิจัยชี้ว่าโรงพยาบาลที่ถูก Ransomware โจมตีมี อัตราการเสียชีวิต (Mortality Rates) ที่สูงขึ้น เนื่องจากความล่าช้าในการรักษาและผลลัพธ์ทางสุขภาพที่แย่ลงตามระยะเวลาที่ระบบหยุดทำงาน

สรุปผลกระทบและปัจจัยที่เกี่ยวข้องกับการโจมตี Ransomware ในสถานพยาบาล
หัวข้อ รายละเอียดผลกระทบ / ข้อเท็จจริง
ผลกระทบต่อผู้ป่วย ยกเลิกการผ่าตัด, เลื่อนนัดหมาย, เพิ่มอัตราการเสียชีวิต
อุปสรรคการกู้คืน การจัดทำ Assurance Letters ที่ซับซ้อนและไม่มีกฎหมายบังคับ
ความกังวลของคู่ค้า การเคลื่อนที่ในแนวราบ (Lateral Movement) ของมัลแวร์จากเหยื่อสู่ระบบของตน
แนวทางแก้ไขที่เสนอ การใช้หน่วยงานกลาง (เช่น CISA) ให้สัญญาณ "All Clear" เพื่อเชื่อมต่อระบบทันที

มุมมองทางกฎหมายและความมั่นคงทางไซเบอร์

Chris Cwalina จาก Norton Rose Fulbright อธิบายว่าความต้องการจดหมายรับรองเหล่านี้เพิ่มขึ้นเนื่องจากคดีความทางกฎหมายและการฟ้องร้องแบบกลุ่ม (Class Action) ทำให้บริษัทต่างๆ พยายามสร้างเกราะป้องกันทางเอกสาร ซึ่งบ่อยครั้งเอกสารเหล่านี้ถูกปรับแก้โดยทนายความจนเนื้อหาสาระสำคัญลดลง แต่ยังคงถูกใช้เป็นเงื่อนไขในการเชื่อมต่อระบบ

ในขณะที่ Charles Carmakal จาก Mandiant มองว่าแม้เหตุผลในการป้องกันการแพร่กระจายของมัลแวร์จะเป็นเรื่องเข้าใจได้ แต่การใช้มาตรการที่เข้มงวดเกินไปโดยไม่พิจารณาระดับความเชื่อมต่อที่แท้จริงอาจส่งผลเสียมากกว่าผลดี เนื่องจากกรณีที่ Ransomware แพร่กระจายแบบ Wormable (แพร่กระจายได้เองอัตโนมัติ) จากเหยื่อรายหนึ่งไปสู่อีกรายหนึ่งนั้นเกิดขึ้นได้ยาก

ข้อเท็จจริงสำคัญ

  • Ransomware ไม่ได้ทำลายแค่ข้อมูล แต่ทำลายโอกาสในการรอดชีวิตของผู้ป่วย
  • Assurance Letters เป็นขั้นตอนทางธุรการที่ไม่มีกฎหมายบังคับ แต่สร้างความล่าช้าในการกู้คืนระบบ
  • การโจมตีมักเกิดจากอาชญากรไซเบอร์ในรัสเซีย และมักพุ่งเป้าไปที่บริษัทซอฟต์แวร์ที่เป็น Third-party เพื่อสร้างผลกระทบเป็นวงกว้าง
  • ผู้เชี่ยวชาญเสนอให้มี หน่วยงานกลาง ในการรับรองความปลอดภัยเพื่อลดขั้นตอนที่ซ้ำซ้อน

คำถามที่พบบ่อย

Assurance Letter คืออะไร และจำเป็นต้องมีตามกฎหมายหรือไม่?

คือจดหมายรับรองความปลอดภัยที่โรงพยาบาลส่งให้คู่ค้าเพื่อยืนยันว่าระบบสะอาดและปลอดภัยจากการโจมตีแล้ว ซึ่ง ไม่มีกฎหมายบังคับ ให้ต้องจัดทำ แต่เป็นข้อกำหนดภายในของบริษัทคู่ค้าเพื่อลดความเสี่ยงของตนเอง

การโจมตีทางไซเบอร์ส่งผลต่อผู้ป่วยอย่างไร?

ส่งผลให้การรักษาล่าช้า เช่น การยกเลิกผ่าตัด การตรวจเลือดลดลง และในกรณีร้ายแรง งานวิจัยพบว่าส่งผลให้อัตราการเสียชีวิตของผู้ป่วยในโรงพยาบาลที่ถูกโจมตีสูงขึ้น

ทำไมบริษัทซอฟต์แวร์ถึงไม่ยอมเชื่อมต่อระบบทันที?

เพราะกังวลเรื่อง Lateral Movement หรือการที่มัลแวร์จะเคลื่อนที่จากระบบของโรงพยาบาลที่ถูกโจมตี เข้าสู่ระบบของบริษัทคู่ค้าผ่านช่องทางการเชื่อมต่อที่มีอยู่

แนวทางที่จะช่วยให้โรงพยาบาลกู้ระบบได้เร็วขึ้นคืออะไร?

การสร้างช่องทางการสื่อสารกับผู้ให้บริการซอฟต์แวร์ตั้งแต่เนิ่นๆ และการมีหน่วยงานกลาง เช่น CISA (หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ) ทำหน้าที่ตรวจสอบและให้สัญญาณยืนยันความปลอดภัยเพียงครั้งเดียวเพื่อให้ทุกฝ่ายเชื่อมต่อระบบได้ทันที