Hintergrundinformationen zum National Health Service
Im vergangenen Jahr hat sich die britische Regierung das ehrgeizige Ziel gesetzt, den National Health Service (NHS) bis zum Jahr 2020 papierlos zu gestalten – ein Vorhaben, in dessen Rahmen Hunderttausende von Patientenakten digitalisiert werden sollen. Ab dem Jahr 2017 werden Krankenhäuser verpflichtet sein, Patienten die Online-Einsicht in ihre Krankenakten zu ermöglichen, und damit dem Beispiel der Hausärzte im Vereinigten Königreich folgen. Um der Entwicklung einen Schritt voraus zu sein, übertragen viele NHS-Krankenhäuser bereits jetzt Patientendaten in Online-Netzwerke. Eine beträchtliche Anzahl von Unternehmen ergreift jedoch keine ausreichenden Maßnahmen, um diese sensiblen personenbezogenen Daten vor Hackern zu schützen, wie eine Untersuchung von Sky News (wird in einem neuen Tab geöffnet) Ende letzten Jahres aufdeckte.
Sky News erhielt im Rahmen der Gesetze zur Informationsfreiheit Zugang zu Dokumenten und stellte fest, dass sieben NHS-Trusts (Krankenhausverbünde unter zentraler Aufsicht), die Dienstleistungen für über zwei Millionen Patienten erbringen, im Jahr 2015 keinerlei Ausgaben für Cybersicherheit getätigt hatten. Das sind 0 Dollar. Noch besorgniserregender ist vielleicht, dass die Zahl der Cyberangriffe von acht von 2014 auf 60 im folgenden Jahr gestiegen ist (unter den 97 Trasts, die Daten zur Verfügung gestellt haben).
Ein Sicherheitsvorfall kann Krankenhausnetzwerke lahmlegen und zur Absage von Terminen und Operationen führen, wie dies bereits bei drei britischen Krankenhäusern der Fall war (wird in einem neuen Tab geöffnet). Auch wenn dies zwar unbequem ist, ist die Gefahr eines Verlusts der privaten und personenbezogenen Daten der Patienten doch noch problematischer. Diese Angaben können nicht wie eine Kreditkartennummer geändert werden. Und da diese Informationen mehr Daten enthalten, die ein Cyberkrimineller nutzen kann – wie beispielsweise Sozialversicherungsnummer, Krankengeschichte, Versicherungsträger, Verschreibungen und so weiter –, erzielen Gesundheitsdaten höhere Preise, wie unter zu lesen ist, und zwar bis zu 60 -mal (öffnet in einem neuen Tab) so viel wie gestohlene Kreditkartendaten, was dafür sorgt, dass sie für Personen mit böswilligen Absichten ein begehrtes Ziel bleiben.
Aus offensichtlichen Gründen wird Ihnen ein Krankenhausverwalter bestätigen, dass der Schwerpunkt des NHS in erster Linie auf der Gesundheitsversorgung liegt und nicht auf der Datensicherheit. Infolgedessen werden die begrenzten verfügbaren Ressourcen für die Rettung von Menschenleben eingesetzt und nicht für die Absicherung von Online-Systemen. Dennoch ist Datensicherheit mittlerweile ein wesentlicher Bestandteil der Gesundheitsversorgung und der Rettung von Menschenleben, weshalb Führungskräfte drei Herausforderungen bewältigen müssen, um Patientendaten besser zu schützen.
Herausforderung Nr. 1 – Mittelzuweisung
Genauso wie Unternehmen ihre Betriebsbudgets umgeschichtet haben, um Maßnahmen zur Cyberabwehr zu finanzieren, müssen auch Krankenhäuser ihre Mittel neu verteilen, um dasselbe zu tun. Die Auswirkungen einer Sicherheitsverletzung auf ein Krankenhaus sind finanziell vergleichbar mit denen bei einem großen Unternehmen: Es kommt zu Betriebsstörungen, und das Vertrauen der Kunden (in diesem Fall der Patienten) wird erheblich beeinträchtigt. Damit Patienten darauf vertrauen können, dass ihre Daten geschützt sind, müssen sie wissen, dass Krankenhäuser ausreichend in die erforderlichen Instrumente und Technologien investieren, um Hacker fernzuhalten.
Herausforderung Nr. 2 – Mitarbeiterschulung
Als medizinische Fachkräfte gehören Krankenhausmitarbeiter zu den am besten ausgebildeten und qualifiziertesten Fachkräften aller Berufsgruppen. Was jedoch die Kompetenzen im Bereich der Cybersicherheit betrifft, herrscht ein gravierender Mangel. Um diesem Problem entgegenzuwirken, sollten Cyber-Kompetenzen Bestandteil des Schulungs- und Einarbeitungsprogramms für das Krankenhauspersonal sein. Das Ziel sollte nicht darin bestehen, alle Ärzte und Pflegekräfte zu Cyber-Jägern zu machen, sondern ein grundlegendes Bewusstsein zu schaffen und bewährte Verfahren im Bereich der Cybersicherheit zu vermitteln. Durch die Beachtung grundlegender Maßnahmen – wie die Einführung einer Authentifizierung mit sicheren Passwörtern und Vorsicht beim Anklicken von E-Mail-Links – können medizinische Fachkräfte einfache Fehler vermeiden, die Hackern Tür und Tor öffnen.
Herausforderung Nr. 3 – Vernetzte Krankenhäuser
Die größte Herausforderung liegt in der Natur des modernen Krankenhauses. Die heutigen Krankenhäuser sind keineswegs analog. Eine wachsende Zahl vernetzter Geräte und lebenserhaltender Systeme bedeutet, dass es in jedem einzelnen Krankenhaus unzählige Endgeräte gibt und dass im Laufe der Zeit voraussichtlich exponentiell mehr hinzukommen werden. Ohne angemessene Netzwerktransparenz und entsprechenden Schutz stellt jedes Gerät bzw. jeder Endpunkt eine potenzielle Schwachstelle für Angriffe dar.
Ein digitaler NHS sollte als die Zukunft des Gesundheitswesens betrachtet werden. Doch wie diese jüngsten Berichte deutlich gemacht haben, müssen wir zunächst eine Reihe von Maßnahmen ergreifen, wenn wir diese Zukunft sichern wollen.
Über den Autor
: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt ein umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das sich auf die Bereiche Incident Response und Forensik, Schwachstellenanalysen, die Entwicklung von Sicherheitsprogrammen, den Sicherheitsbetrieb sowie Netzwerk- und Sicherheitsarchitektur erstreckt. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
