"Хэрэв Интермед эмнэлэг аудит, эрсдэлийн үнэлгээгээ хийлгэсэн бол мэдээллээ алдахгүй байсан"

Интермед эмнэлгийн өвчтөнүүдийн мэдээллийг Москвад төвтэй "SpaceBears" бүлгэм хакердаж, 280 мянган хүний хувийн мэдээлэл, утасны дугаар, эмнэлгийн дата зэргийг хулгайлж хэсэгчлэн хар захад дэлгэх үйл явц саяхан болж өрнөсөн. 

Ингэхдээ дата мэдээлэл хулгайлсан бүлгэмийн зүгээс анх “Нэхэмжилсэн төлбөрийг төлөөгүй тохиолдолд 24 цагийн дараа өвчтөнүүдийн түүх болон шинжилгээний хариуг дэлгэнэ” гэж мэдэгдэж,үүнээс хойш өдөр бүр 10 мянган хүний мэдээллийг дэлгэж эхэлсэн. Улмаар энэ сарын 15-ны өдрийн байдлаар 50 мянган өвчтөний овог нэр, утасны болон регистрийн дугаар мөн зарим үйлчлүүлэгчийн дансны дугаар хар захад ил болсон байдаг. 

-Интермед эмнэлэг: Регистрийн дугаар, нууц үгээр нэвтрэн эмчилгээний хариуг харах боломжгүй болгох арга хэмжээ авсан-

Харин тухайн эмнэлгийн зүгээс “Интермед эмнэлэгт гэнэтийн буюу давагдашгүй хүчин зүйлийн шинжтэй нөхцөл байдал үүсэж, халдлагад өртсөний улмаас эмнэлгийн систем доголдож, үйлчлүүлэгчдийн овог нэр, регистрийн дугаар, утасны дугаар зэрэг хувийн мэдээлэл алдагдсанд та бүхнээс гүнээ хүлцэл өчье.

Цахим халдлага гарсан даруйд эмнэлгийн зүгээс халдлагад өртсөн нөхцөл байдал, хамрах хүрээг тодорхойлох, халдлагыг зогсоох, системийн хэвийн ажиллагааг сэргээх ажлуудыг нэн даруй эхлүүлж, хуулийн дагуу зохих арга хэмжээг авч ажиллаж байгаагаас гадна регистрийн дугаар, нууц үгээр нэвтрэн эмчилгээний хариуг харах боломжгүй болгох арга хэмжээ авсан болохыг мэдэгдэж байна…” хэмээсэн.

Гэсэн ч үүний дараагаар дахин нэр бүхий хоёр ч эмнэлэг үйлчлүүлэгчийнхээ болон эмнэлгийн дотоод датагаа алдсан гэх мэдээлэл олон нийтийн мэдээллийн хэрэгслээр цацагдаад амжсан. 

Угтаа хар захад ил болсон иргэний хувийн мэдээллээр дамжуулан эмчилгээний хариу, өвчний түүх зэргийг мэдэх боломжийг хязгаарласан гэх боловч энэ датагаар дамжуулан иргэдийн эдийн засаг, санхүүгийн байдал зэрэгт эрсдэл үүсэхийг үгүйсгэх аргагүй. Дан ганц эмнэлгийн байгууллага бус таны хувийн мэдээллийг асуумжаар авч буй байгууллагууд мэдээллээ хамгаалах чадваргүй байгаа бол энэ эрсдэл тохиолдохгүй гэх баталгаа алга. 

Энэ оны байдлаар манай улсын кибер аюулгүй байдлын түвшин 17 байраар урагшилж 193 орноос 103 дугаар байрт эрэмбэлэгдэж байгаа тухай Дэлхийн кибер аюулгүй байдлын 2024 оны тайланд тусгагдсан байна.

Мөн 2022 онд хийсэн судалгаагаар нийт иргэдийн 75 хувь нь кибер аюулгүй байдлаа хангах мэдлэггүй гэх дүгнэлт гарсан байдаг.

Бид энэ талаар болон кибер аюулгүй байдлын цаг үеийн асуудлын талаар мэргэжилтнүүдтэй ийн ярилцлаа.

-КХЗТНТ-ийн захирал С.Жавхлан: Интермед эмнэлэг рүү хийсэн халдлага бол ашгийн төлөөх халдлага, байгууллагууд хамгаалалтаа сайжруулах хэрэгтэй-

-Кибер гэмт хэргийн гаралт 2022 оноос эхлэн үсрэнгүй нэмэгдсэн үзүүлэлттэй харагдаж байна. Бид кибер аюулгүй байдлын зэргээрээ дэлхийд хэдэд эрэмбэлэгдэж байна?

-Дэлхийтэй жишиж үзвэл дундаж буюу 193 орноос 103 дугаар байрт жагсаж байна. Хэдийгээр анхны судалгаагаар 17 байраар ахисан хэдий ч хангалттай үзүүлэлт бол биш. 

-Саяхан хувийн эмнэлгүүд кибер халдлагад өртөж, үйлчлүүлэгчдийнхээ хувийн мэдээллийг алдсан.

-Интермед эмнэлэг рүү хийсэн халдлага бол ашгийн төлөөх халдлага буюу тус эмнэлгээс мөнгө авах зорилготой халдлага байсан. Тус халдлагын тухайд өнгөрсөн хоёр сараас эхлүүлэн дэлхийд түгээмэл болсон. Жишээ нь Унгар улсад 100 гаруй эмнэлэгт яг ийм төрлийн халдлага гарсан. Мөн Япон, АНУ гээд олон орнуудад энэ төрлийн гэмт хэрэг үйлдэгдээд буй.

Саяхан АНУ-ийн Тагнуулын Ерөнхий Газраас халдлагыг үйлдэгч, хортой кодыг тараагаад байгаа байгууллага болон удирдлагыг барьсан тухайгаа мэдээлсэн. Манай улсын зүгээс ч мөн Холбооны мөрдөх товчоотой хамтран ажилласан. Одоогоор интермед эмнэлэг дээр ХЭҮК ажиллаж буй. Ингэхдээ кибер аюулгүй байдлын тухай хууль, хувь хүний мэдээлэл хамгаалах хуулийн хүрээнд ажиллаж, удахгүй дүгнэлтээ гаргана.

-Байгууллага дотоод мэдээллээ цаашилбал үйлчлүүлэгчийнхээ мэдээллийг алдахгүй байхад хэрхэн анхаарах ёстой вэ?

-Мэдээллийн аюулгүй байдлаа хангах нь өөрөө тухайн иргэн, хуулийн этгээдийн үүрэг. Тэр үүргээ биелүүлэх ёстой. Хэрхэн биелүүлэх талаар хуульчилсан байдаг шүү дээ. Гэтэл түүнийг хэрэгжүүлэхгүй байна.

Ядаж эрсдэл аудитын үнэлгээ гэх зүйлийг хийлгэх хэрэгтэй. Гэтэл үүнийг хийлгэхгүй байна. Хэрэв хийлгэсэн тохиолдолд ирээдүйд учирч болох хор хохирлоос сэргийлэх боломжтой. Нэг талаас харахад мэдээллээ алдаж байна гэдэг тухайн байгууллага өөрөө хохироод байгаа нэг хэлбэр. Энэ хохирлоосоо сэргийлэх боломж бүрдэнэ. Бид аудитаа хийлгэж чадахгүй байхад дэлхийн улсууд кибер даатгалыг хийлгээд эхэлчихсэн.

Кибер аюулгүй байдлаа хамгаална гэдэг хэн нэгэнд харуулж байгаа хэлбэр төдий зүйл биш, байгууллагаа болон хэрэглэгчээ хайрлаж байгаа нэг хэлбэр. Иймд байгууллагууд төсөв мөнгөө гаргаж, ажилтнуудаа бэлтгэх хэрэгцээ үүсэж байна.

-Манай Улс кибер аюулгүй байдал дээрээ хэрхэн анхаарч байна. Цаашид?

-Монгол Улсын хувьд кибер аюулгүй байдал эрх зүйн хувьд баталгаажсан. Мөн бүтцийн байгууллагууд бий болсон. Гэхдээ төсөв мөнгөө тавиагүй. Бодитоор хэрэгжиж эхлээгүй л гэсэн үг. Бодит болохын тулд хоёр л хүчин зүйл байгаа шүү дээ, төсөв болон ажиллах хүч.

Саяхан Засгийн газраас шийдвэр гарсан л даа. Кибер аюулгүй байдал дээр тусгайлсан төсөв, хүн хүчийг суулгах тал дээр. Хэрэв энэ бодитоор хэрэгжээд эхэлбэл байгууллагуудын зүгээс эрсдэл, аудитын үнэлгээгээ хийх, наанадаж лицензтэй программуудыг худалдаж авах чадамжтай болно.

-Танай байгууллагын зүгээс ямар газруудтай хамтран ажиллаж байна. Хэрэв шаардлагатай гэвэл танай байгууллагатай хэрхэн хамтрах вэ?

-Манай байгууллага хувийн болон улсын онц чухал дэд бүтэцтэй байгууллагуудын хамгаалах үүрэгтэй. Энэ нь Засгийн газрын тогтоолтой байдаг. Энэ бүлэгт багтаагүй хувийн хэвшлийн байгууллагууд ч манай байгууллагад хандах бүрэн боломжтой.
Бид ямар үйлчилгээ үзүүлэх вэ гэвэл, Зөвлөх үйлчилгээ, сургалт, ямар нэгэн эрсдэлд орсон бол тухайн эрсдэлийг арилгах, нөхөн сэргээх тал дээр тусламж үзүүлэх боломжтой гэсэн үг.

-КАБЗ-ийн ажлын албаны дарга Ч.Золбаяр: Хэрэв Интермед эмнэлэг эрсдэл, аудитын үнэлгээгээ хийлгээд тухай бүрд үе шаттай арга хэмжээгээ авсан бол тийм эрсдэлд орохгүй байх байсан-

-Кибер аюулгүй байдлын тал дээр тулгамдаж буй асуудал, хэрхэн хамгаалах тал дээр хариулт өгөхгүйюу?

-Төр хувийн хэвшлийн байгууллагад дээр нийтлэг тохиолдож буй нэг зүйл бол эрсдэл, аудитын үнэлгээний асуудал. Энэ талын ойлголт дутмаг байгаа нь харагдаж байна. 

Энэ үнэлгээ, шинжилгээг хийлгэж байж тухайн байгууллага, тус систем хэр зэрэг эрсдэлтэй байгааг, үүнийг сайжруулахын тулд ямар арга хэмжээ авч ажиллах вэ гэдгийг тодорхойлох юм. Ингэж байж эрсдэлээс хамгаална гэсэн үг.

-Саяхан Интермед эмнэлэг рүү цахим халдлага болж, олон иргэний мэдээлэл задарсан шүү дээ. Дахин өөр байгууллага дээр ийм төрлийн эрсдэл үүсэх эсэх нь эргэлзээтэй байна шүү дээ.

-Эрүүл мэндийн байгууллагын хувьд саяхан нэг тохиолдол гарлаа. Хэрэв тухайн эмнэлэг эрсдэл, аудитын үнэлгээгээ хийлгээд тухай бүрд үе шаттай арга хэмжээгээ аваад явж байсан бол энэ эрсдэлээс хамгаалагдах боломж бол байсан. Гэхдээ алдсан гэх байгууллага, нэгжүүдийг буруутгахаас илүүтэйгээр энэ байгууллага юун дээр алдав, цаашид бусад байгууллага ямар арга хэмжээ авч ажиллавал зохистой вэ гэдэг дээр анхаарах нь кибер аюулгүй байдлыг хангах хамгийн чухал асуудал болоод байна.

Хуулиараа бол онц чухал дэд бүтэцтэй байгууллага болон мэдээлэл боловсруулагч байгууллагууд аудитын үнэлгээг хоёр жилд нэг удаа, эрсдэлийн үнэлгээг жилд нэг удаа хийлгэх тухай заасан байдаг. Энэ тал дээр төрийн өмчийн байгууллагууд жигд хамрагдалтай байдаг ч хамгийн гол тулгамдаад буй эрсдэл нь хувийн байгууллагууд хамрагдалт сул. Иймд энэ тал дээр анхаарч сайжруулах шаардлагатай байна.

-Хэрхэн сайжруулах вэ?

-Кибер аюулгүй байдлаа хангана гэдэг нь ганц нэг байгууллага систем тоног төхөөрөмж авч суурилуулснаараа эсвэл кибер аюулгүй байдлын мундаг мэргэжилтэн авч ажиллуулснаар шийдэгдэх асуудал биш. Цэвэр тогтолцооны л асуудал. Ер нь кибер аюулгүй байдлын 95 хувь нь дүрэм журам, тогтолцоо, системийн асуудал харин үлдсэн 5 хувь нь технологийн асуудал байдаг гэж үздэг.

Эрсдэлээс бол бүрэн хамгаалагдана гэж байхгүй. Харин эрсдэл тохиолдсон үед хамгийн бага хохиролтойгоор яаж даван туулах вэ гэдэг тал дээр гол анхаарлаа хандуулна. Кибер аюулгүй байдал гэдэг нь нэрээсээ хурц, технологи юм шиг харагдаад байгаа. Гэхдээ энэ нь харьцангуй энгийн зүйл юм. Хувь хүний цахим төхөөрөмжтэй харилцаж байгаа сахилга батаас шалтгаалах асуудал. Өөрөөр хэлбэл, нууц үгээ сайн зохион байгуулах, хоёр шатлалтай нэвтрэлтийн арга хэрэгслүүдийг хэрэглэх, мөн танихгүй этгээдүүдээс ирж буй и-мэйл зэрэг рүү дарж орж үйлдэл хийхгүй байх зэрэг. Бид ханиад хүрэх үедээ маскаа зүүгээрэй л гэдэг шиг.

-System Center-ийн гүйцэтгэх захирал Б.Баасандорж: Нэг кабельд залгагдаад интернэтэд холбогдсон л бол бүх төрлийн эрсдэл энд бий. Үр дүнтэйгээр хамгаалах л хэрэгтэй-

-Байгууллагууд мэдээллээ алдах, халдлагад өртөх байдал үүсэх боллоо. Байгууллагууд яагаад энэ төрлийн халдлагад өртөөд байна, хэрхэн сэргийлэх шаардлагатай вэ?

-Бид бизнесийн өрсөлдөөнөөр байгууллагын том, дунд, жижиг хүрээг эсвэл салбар дотроо хэрхэн тэргүүлж байгааг мэддэг. Харин кибер орчинд хэрхэн хамгаалсан, яаж урьдчилан сэргийлдэг, ажиллаж буй хүн хэр зэрэг чадамжтай вэ, хэдэн удаагийн халдлагад нэрвэгдэж хэрхэн даван туулсан, ирээдүйн аюулгүй байх тал дээр хэрхэн тогтворжсон бэ гэдгээр байгууллагыг хэмждэг.

-Яаж?

Хэрхэн үр дүнтэй хамгаалах вэ гэдэг асуулт байгууллага бүрд хамаатай. Тэд олон давхар хамгаалалтыг үе шаттайгаар хэн, хэзээ, яаж хэрэгжүүлэх вэ л гэдэг дээр хариулт эрдэг. Иймд бид үр өгөөжтэйгөөр энэ асуудлыг даван туулахад нь тусалдаг гэсэн үг. Ингэхдээ мэргэжлийн ёс зүйтэй байдал, харилцагчийн дата дээр анхаарах, мөн харилцагчаа эмзэг байдалд оруулахгүйгээр эмзэг асуудлыг нь шийдэх тал дээр анхаарч ажилладаг.

Монгол Улсад сүүлийн таван жилийн хугацаанд 14.085 залилах гэмт хэрэг бүртгэгдсэнээс 97 хувь нь цахим орчинд үйлдэгдсэн байна. Цахим орчинд үйлдэгдсэн нийт гэмт хэргийн тоо өнгөрсөн таван жилд 14.9 дахин, учирсан хохирлын хэмжээ 270.8 дахин өссөн. Зөвхөн сүүлийн нэг жилд цахим гэмт хэргийн хохирлын хэмжээ 7.5 дахин өсөж, 139.2 тэрбум төгрөгт хүрсэн байгаа юм.

Кибер орчинд үйлдэгдсэн гэмт хэргийн статистик /2019-2023 он/

Нийтийн мэдээллийн ил тод байдлын тухай хуулийн 6 дугаар зүйл.Нийтийн мэдээлэл хариуцагч

6.1.Дараах байгууллага нийтийн мэдээлэл хариуцагч /цаашид "мэдээлэл хариуцагч" гэх/ байна:

• 6.1.1.төрийн байгууллага;
• 6.1.2.төрийн болон орон нутгийн өмчит, төрийн болон орон нутгийн өмчийн оролцоотой хувийн эрх зүйн хуулийн этгээд;
• 6.1.3.хууль, эсхүл гэрээний үндсэн дээр төрийн байгууллагын тодорхой чиг үүргийг гүйцэтгэж байгаа этгээд;
• 6.1.4.олон нийтийн радио, телевиз;
• 6.1.5.улс төрийн нам.

6.2.Мэдээлэл хариуцагч хуульд заасан чиг үүргийнхээ хүрээнд нийтийн мэдээллийг цуглуулах, боловсруулах, ашиглах, удирдлага, зохион байгуулалт, мэдээллийн аюулгүй байдлыг хангах, шаардлагатай бусад арга хэмжээ авах үүрэгтэй хэмээн заасан байдаг. Иймд хуульд заасан үүргийнхээ хүрээнд дотоод болон үйлчлүүлэгчийнхээ мэдээллийн аюулгүй байдалд анхаарах нь зүйтэй болжээ.

Энэ мэдээнд өгөх таны үнэлгээ

Хуваалцаарай Жиргээрэй