Kan regeringen eller underrättelsetjänster har gjort mer för att skydda hälsa och service från it?
NHS har drabbats av en allvarlig it-attack på sina datorsystem.
Foto: Daniel Leal-Olivas/AFP/Getty Images
It-relaterad brottslighet
Vem som är att skylla för att exponera NHS för att it-attacker?
Kan regeringen eller underrättelsetjänster har gjort mer för att skydda hälsa och service från it?
@alexhern
Måndag 15 Maj 2017 14.43 BST
Senast ändrad måndagen den 15 Maj 2017 15.12 BST
Tre dagar efter WannaCry ransomware utbrott och en sträng av frågor har dykt upp. Kan underrättelsetjänster – NSA och GCHQ har gjort mer för att förhindra angrepp? Och, i STORBRITANNIEN, är NHS att skylla på för att tillåta sig att vara så sårbar?
Den kedja av händelser som börjar med NSA. Det upptäckte den svaghet som gjorde ransomware så produktiv som då var stulen av en hacka grupp känd endast som en Skugga Mäklare, som tros vara kopplade till den ryska regeringen.
Skuggan Mäklare visades för första gången förra året, och har publicerat fem separata läckage av hacking verktyg stulits från NSA sedan dess. “Responsible disclosure” – bruket av varning företag innan du avslöjar brister säkerhet – är inte något som gruppen tar del i, och dess data tippar verkar vara tidsmässigt för att genera NSA och AMERIKANSKA regeringen med lite omsorg för de indirekta skadorna.
Den femte och senaste dumpa innehöll sårbarhet, med smeknamnet EternalBlue av NSA, som accepteras WannaCry att sprida sig så långt och snabbt. På framsidan av det, felet var fixat av Microsoft utan kommentar en månad innan Shadow Mäklare läcka publiceras, vilket fick många att anta NSA hade tippat utvecklaren av om förekomsten av sårbarhet.
Vad är WannaCry ransomware och varför är det attackerande globala datorer?
Läs mer
“Det verkliga problemet, säger Ilia Kolochenko, verkställande direktör för security konsult-High-Tech-Bron, “är att år 2017, den största företag och regeringar fortfarande inte att lappa offentliggöras brister i flera månader.” Microsoft gick ut med sitt sätt att utfärda en offentlig och gratis fix för Windows XP, en version av sitt operativsystem som inte sålts i mer än åtta år. Den säkerhet som bolaget utfärdat en blixtsnabb attack på NSA, att jämföra läcka till “den AMERIKANSKA militären för att ha en del av sin Tomahawk-missiler stjäls”.
Det finns ytterligare frågor för NSA och GCHQ. Båda byråerna tekniskt har två ansvarsområden: att skydda sina nationella IT-infrastruktur, och för att bli effektiv hackare i sin egen rätt, att bryta sig in i nätverk av motståndare inhemska och utländska. Vi understryker att dela, Storbritanniens National Cyber Security Centre är ett dotterbolag till GCHQ.
Jim Killock, verkställande direktör för the Open Rights Group, påpekar att de mandat konflikt och detta inte för första gången säkerheten organ valde att hålla en sårbarhet hemlighet så att de kunde använda det själva, snarare än att hjälpa till att fixa det så att medborgarna har gjorts säker. “GCHQ har en massa frågor att svara på om deras mycket farlig strategi för hamstring kunskap om säkerhetsfrågor,” Killock sagt. “Den Nationella It-Säkerhet Centrum bör göras oberoende av GCHQ så dessa risker kan vara balanserad utan fördomar.”
Som för NHS, varför så många av de litar inte tillämpa Microsoft fixar, eller plåster? Även de litar på att ändå köra daterad Windows XP som operativsystem är till stor del att betala höga avgifter för “anpassat stöd”, vilket betyder att de bör ha haft tillgång till den sårbarhet fixa i tid. Men sådana uppdateringar är inte alltid enkla att administrera.
“Det är viktigt att inse att en patch roll-outs är komplexa,” sade Adam Meyers, vice vd på it-säkerhetsföretaget CrowdStrike. “Hög profil patch fiascos har gjort IT-avdelningar försiktig med automatiska korrigeringsfilen installationer. Organisationer är ofta kör tester för att dubbelkolla att applicera plåstret inte slå över sina IT-system.”
För en hälso-och sjukvård, sådana överväganden är kritiska. Dyrt, specialist utrustning kanske inte fungerar med nyare operativsystem, eller kräva helt ny programvara för att skrivas för att möjliggöra kompatibilitet. Du uppgraderar en dator till den senaste versionen av Windows är svårt nog, och de flesta Microsoft-kunder som inte har att göra med en 15-årig MRI-maskinen arbeta tillsammans med den.
Och så frågan kommer tillbaka till pengar. En bättre resurser NHS kan ha haft tillräckligt med IT-personal för att hålla näten funktion och samtidigt testa och applicera patchar, köpa ny hårdvara, och uppdatering av operativsystem, en punkt på Arbetsmarknaden har varit sugen på att göra i samband med valkampanjen.
Men många andra organisationer runt om i världen har drabbats av WannaCry: politiker är osannolikt att anklaga Telefonica, FedEx eller Deutsche Bahn av att vara resurs-vitamin, men också de föll offer.
Om avsikten är att hitta någon att skylla på, då finger bör i huvudsak vara riktad mot de skadliga program som själva valde att släppa loss WannaCry i ett försök att pressa pengar.
Malware har spridit sig utanför dess författare vildaste drömmar – och sina mardrömmar. Bitcoin, det medium genom vilket WannaCry kräver betalning kan ge en fasad av anonymitet, men den kombinerade insatser av världens säkerhetstjänster nu söker hacker författare.