Вирусы-вымогатели закрывают клиники, число уязвимостей в АСУ ТП растет, ЕС ограничивает ИИ

Программы-вымогатели закрывают клиники в США — клинические последствия

Эта неделя принесла суровое напоминание о том, как быстро киберпреступность превращается в реальные сбои: атака программы-вымогателя на University of Mississippi Medical Center вынудила немедленно закрыть амбулаторные клиники по всему штату, что привело к отмене приемов, диагностических обследований и плановых процедур, а также к блокировке доступа к системе электронных медицинских карт Epic. Центр перешел на ручные процедуры работы при простое, чтобы поддерживать функционирование больничных служб и служб экстренной помощи, однако перерыв в плановом обслуживании и логистическая неразбериха с переносом визитов пациентов наглядно продемонстрировали человеческую цену атаки на клинические ИТ-системы. На практике программы-вымогатели делают больше, чем просто шифруют файлы — они парализуют системы планирования, диагностические рабочие процессы и цепочки поставок, а также отвлекают медицинский персонал от ухода за пациентами на административную сортировку и восстановление данных.

Как программы-вымогатели влияют на клиники США и уход за пациентами? Непосредственными последствиями являются отмена амбулаторных визитов и задержка диагностики; среднесрочные последствия могут включать потерю или повреждение клинических записей, отсрочку операций и снижение доверия пациентов. Руководители учреждений также сталкиваются с трудным выбором: платить ли выкуп за восстановление критически важных систем — вариант, который несет юридические и этические риски и не гарантирует восстановления всех данных. Чтобы снизить вероятность таких отключений, поставщикам медицинских услуг необходимо сочетание технических мер контроля и оперативной готовности: неизменяемые (immutable), проверенные резервные копии; сегментация сети, изолирующая электронные медицинские карты от вспомогательных систем; строгий контроль доступа и многофакторная аутентификация для врачей; инструменты обнаружения и реагирования на конечных точках (EDR); а также регулярные штабные учения по отработке восстановления в условиях реалистичных ограничений.

Небольшие клиники и муниципальные поставщики медицинских услуг особенно уязвимы, поскольку им часто не хватает выделенных команд по обеспечению безопасности, и они могут зависеть от сторонних вендоров в вопросах хостинга электронных медкарты и управления ИТ. Эта зависимость диктует два важных защитных действия: во-первых, организации должны требовать от вендоров четких SLA по безопасности и пунктов об уведомлении о взломе; во-вторых, системы здравоохранения должны сохранять способность выполнять критически важные клинические функции в автономном режиме — от форм согласия до сверки назначений лекарств — в течение коротких периодов времени без цифровых систем. Эти шаги не устраняют риск полностью, но делают вызванное вымогателями закрытие клиник гораздо менее вероятным фактором прерывания или создания опасности для ухода за пациентами.

Всплеск уязвимостей АСУ ТП

В то же время, когда сектор здравоохранения боролся с инцидентом, связанным с программой-вымогателем, исследователи опубликовали тревожные данные для операторов промышленных систем: 2025 год установил новый рекорд — 508 рекомендаций по АСУ ТП (ICS) от CISA, охватывающих около 2 155 отдельных уязвимостей, при среднем балле серьезности CVSS выше 8.0. Анализ Forescout показывает, что 82% рекомендаций были классифицированы как высокие или критические, причем многие вендоры публиковали данные об уязвимостях напрямую, без соответствующей рекомендации CISA, что создавало пробелы в видимости для защитников. Для промышленных сред — коммунальных служб, заводов, транспортных сетей — эти цифры особенно тревожны, поскольку многие системы управления долговечны, используют устаревшие протоколы и никогда не проектировались для подключения к Интернету.

Почему количество уязвимостей АСУ ТП растет и что с этим можно сделать? Здесь сходятся несколько структурных причин: стареющее оборудование с ограниченными возможностями обновления; растущая конвергенция ИТ и ОТ (операционных технологий), которая подвергает риску ранее изолированные контроллеры; непоследовательная практика раскрытия информации вендорами; и быстрое обнаружение недостатков на уровне устройств по мере усиления контроля безопасности. Инструментарий по смягчению последствий сочетает классическую ИТ-гигиену, адаптированную для ОТ: строгую сегментацию сети, белые списки для связи устройств, поэтапные планы установки патчей с учетом операционных ограничений и компенсирующие меры контроля, такие как шлюзы прикладного уровня и зеркалирование «только для чтения» для чувствительных процессов. Видимость также жизненно важна: инвентаризация активов и непрерывный мониторинг, адаптированный к протоколам ОТ, позволяют командам приоритизировать исправление по фактическому риску, а не только по репутации вендора.

С операционной точки зрения организациям следует составить карту путей атак, пересекающих границы ИТ и ОТ, и провести учения, имитирующие компрометацию ОТ: что произойдет с защитными блокировками, графиками производства и удаленным доступом третьих лиц? Правительства и отраслевые организации могут помочь, стандартизировав практику раскрытия информации, чтобы рекомендации вендоров оперативно и последовательно поступали в национальные базы данных уязвимостей. Без этих изменений растущий объем и серьезность дефектов АСУ ТП будут и впредь приводить к более масштабным и опасным сценариям сбоев, когда злоумышленники — случайные или связанные с государством — воспользуются ими.

Ограничения ИИ в Европейском парламенте и промышленная осторожность

На этой неделе Европейский парламент отключил встроенные функции ИИ на выданных устройствах и ужесточил контроль после того, как ИТ-персонал сообщил, что некоторые функции ИИ отправляли пользовательские данные внешним облачным провайдерам для обработки. Этот шаг является частью более широкой европейской политики осторожности: законодатели и регулирующие органы балансируют между ростом производительности за счет генеративного ИИ и риском того, что конфиденциальные законопроекты, данные избирателей или проприетарные исследования могут быть похищены или использованы для обучения сторонних моделей. Отдельно HackerOne обновила формулировки своей политики после того, как охотники за ошибками спросили, могут ли представленные отчеты об уязвимостях использоваться для обучения моделей генеративного ИИ — изменение, которое подчеркивает, как вопросы управления находят отклик как в государственных учреждениях, так и на частных платформах безопасности.

Что влечет за собой запрет ИИ в Европейском парламенте и какие технологии ограничены? Непосредственные меры сосредоточены на отключении функций облачных ассистентов и блокировке непроверенных интеграций сторонних моделей на рабочих устройствах; они не представляют собой полный запрет на исследования или внедрение ИИ, но отдают приоритет суверенитету данных и аудируемой обработке. Для бизнеса и разработчиков практическим следствием является то, что сервисы, полагающиеся на внешних, непрозрачных поставщиков моделей, столкнутся с более пристальным вниманием в контексте государственного сектора Европы. Это может подтолкнуть некоторые организации к использованию частных, аудируемых моделей, локального инференса или более строгих соглашений об обработке данных с провайдерами.

Как запрет ИИ в Европе может повлиять на инновации и внедрение ИИ? Эффект будет двояким. В краткосрочной перспективе дополнительные трения в сфере комплаенса и закупок могут замедлить развертывание облачных инструментов ИИ в правительстве и жестко регулируемых отраслях. Однако в среднесрочной перспективе это давление создает рыночный стимул для стартапов и признанных вендоров создавать стеки ИИ, обеспечивающие конфиденциальность и проверяемость: локальный инференс, дифференциальную приватность, подтверждение использования моделей и контракты, запрещающие обучение на данных клиентов. Таким образом, политическая позиция может ускорить развитие конкретного направления инноваций: безопасного, аудируемого ИИ, ориентированного на регулируемых заказчиков, а не на массовые непрозрачные облачные сервисы.

Движения в индустрии: полупроводники, идентичность и поверхность атаки

Заголовки также включали ряд коммерческих шагов и инцидентов, которые вписываются в ту же историю безопасности. Advantest, крупный поставщик автоматического тестового оборудования для полупроводниковой промышленности, сообщил о недавнем вторжении программы-вымогателя и расследовании после обнаружения взлома 15 февраля. Поставщики полупроводников и испытательные центры являются привлекательными целями, поскольку они находятся в критических точках глобальных цепочек поставок: сбои в их работе могут отразиться на производителях чипов и последующих производителях электроники. Тем временем такие вендоры, как GitGuardian, и покупатели, такие как Palo Alto Networks, переключаются на управление нечеловеческими идентификаторами и агентами ИИ — признак того, что защитники ожидают расширения поверхности атаки по мере того, как организации развертывают автономных агентов, контейнеры и сервисы на базе моделей.

Эти коммерческие меры разумны: инструменты безопасности, которые проводят инвентаризацию программного обеспечения, обнаруживают утечки секретов и контролируют поведение агентов, отвечают на конкретные изменения в тактике злоумышленников и операционных рисках. Но они не заменяют основы: управление патчами, сегментированные сети, проверенные вендоры и отработанное реагирование на инциденты остаются наиболее эффективными рычагами для снижения вероятности и последствий разрушительных атак.

Контрольный список мер защиты для медицинских и промышленных операторов

Организации, сталкивающиеся как с клиническими, так и с промышленными рисками, должны рассматривать планирование восстановления как первичную функцию безопасности, а не как формальное упражнение. К числу важных практических шагов относятся: поддержание автономных, неизменяемых резервных копий, протестированных на скорость восстановления; внедрение доступа по принципу «нулевого доверия» или наименьших привилегий в ИТ и ОТ; изоляция критически важных сетей управления от корпоративного Интернета; усиление механизмов удаленного доступа и протоколирование каждого подключения третьей стороны; а также проведение междисциплинарных симуляций инцидентов с участием врачей, инженеров ОТ и юристов. Страхование и правоохранительные органы являются полезными частями экосистемы, но не должны заменять техническое и организационное усиление защиты.

Для политиков первоочередными задачами являются создание более четких каналов раскрытия информации о рекомендациях вендоров, финансирование средств видимости ОТ в критически важных секторах и установление последовательных правил обработки данных государственного сектора сервисами ИИ. Для бизнеса и больниц основной посыл является оперативным и срочным: инвестиции в безопасность снижают вероятность того, что один инцидент превратится в недельный сбой в уходе за пациентами или каскад по цепочкам поставок.

Ряд историй на этой неделе — программы-вымогатели, закрывающие клиники, рекордное количество уязвимостей АСУ ТП и шаги ЕС по ограничению бесконтрольных функций ИИ — указывают на один и тот же вывод: связность и автоматизация приносят большую пользу, но без скоординированного управления и проверенной устойчивости они усиливают риски. Выбор, который организации делают сейчас в отношении сегментации, контрактов с вендорами, дисциплины резервного копирования и аудируемого ИИ, определит, останутся ли эти инциденты случайными потрясениями или станут новой нормой.

Источники

• University of Mississippi Medical Center (заявление UMMC и отчетность об инциденте)
• Исследование Forescout по уязвимостям АСУ ТП и рекомендации CISA
• Совместный технический отчет TDX от Intel и Google Cloud Security
• Объявления ИТ-департамента Европейского парламента о функциях ИИ