Die Gesundheitsbranche leidet unter erheblichen Sicherheitsverletzungen
Was die Sicherheit betrifft, hat die Gesundheitsbranche einige ausgesprochen schwierige Jahre hinter sich. Laut der Online-Datenbank „ “ des US-Gesundheitsministeriums (U.S. Department of Health and Human Services) unter (wird in einem neuen Tab geöffnet) kommt es mittlerweile fast täglich zu Hackerangriffen auf Krankenhäuser und Krankenkassen. Im Jahr 2015 wurden Berichten zufolge über 100 Millionen Patientenakten offengelegt – das entspricht einem Drittel der US-Bevölkerung. Auch in diesem Jahr sieht es nicht besser aus: Fast 80 Prozent der Anbieter waren laut einer aktuellen Umfrage „ “ (wird in einem neuen Tab geöffnet) , die von der Healthcare Information and Management Systems Society (HIMSS), einem Branchenverband der Gesundheits-IT-Branche, durchgeführt wurde, von einem „erheblichen Sicherheitsvorfall“ betroffen.
Das Problem wird nicht einfach verschwinden. Krankenakten und medizinische Geräte werden immer stärker miteinander vernetzt sein – in großem Umfang und in rasantem Tempo. Und obwohl diese Entwicklung hin zu stärker vernetzten Systemen positiv zu bewerten ist, wird sie es gleichzeitig noch leichter machen, dass Gesundheitsdienstleister Opfer von Hackerangriffen werden, sollte die Branche der Cybersicherheit keine Priorität einräumen.
Die gute Nachricht ist: Sowohl die Anbieter als auch die Regierung beginnen zu erkennen, dass es sich um ein ernstes Problem handelt. Aus derselben HIMSS-Studie ging hervor, dass Gesundheitsdienstleister der Informationssicherheit eine höhere Priorität einräumen – genauer gesagt 87 % der Akutversorger und 81 % der Nicht-Akutversorger. Unterdessen hat das HHS eine Arbeitsgruppe für Cybersicherheit ins Leben gerufen: Cybersecurity Task Force (öffnet in einem neuen Tab). Anfang dieses Monats kündigte das Ministerium zudem an, dass es künftig auch Datenschutzverletzungen mit weniger als 500 betroffenen Datensätzen untersuchen werde: – und räumte damit ein, dass im Zusammenhang mit medizinischen Daten keine Datenschutzverletzung zu gering ist, um Maßnahmen zu rechtfertigen.
Dennoch sieht sich die Gesundheitsbranche nach wie vor mit einigen großen, hartnäckigen Problemen konfrontiert, die sie zu einem leichten Ziel für Hacker gemacht haben. Die meisten Anbieter nutzen nach wie vor Altsysteme, bei deren Entwicklung Sicherheitsaspekte nicht berücksichtigt wurden. Oft fehlen ihnen die finanziellen Mittel, um auf sicherere Systeme umzustellen oder Fachpersonal einzustellen. Und wie der Kampf um die Einführung elektronischer Patientenakten zeigt, hinkt das Gesundheitswesen in technologischer Hinsicht im Allgemeinen hinter anderen Branchen hinterher.
Gesundheitsdaten gehören zudem zu den lukrativsten Arten von Informationen, die ein Hacker stehlen könnte – sie bringen auf Schwarzmärkten deutlich mehr Geld ein als gestohlene Kreditkartendaten oder einzelne Sozialversicherungsnummern. Mit einer Gesundheitsakte haben Sie Zugriff auf die gesamte Identität einer Person – und in vielen Fällen auch auf die Identitäten ihrer Familienangehörigen. All dies verdeutlicht, warum wir – Gesundheitsdienstleister, Cybersicherheitsunternehmen und die Regierung – der Cybersicherheit im Gesundheitswesen höchste Priorität einräumen müssen.
Wie sieht also die Lösung aus?
Einfach ausgedrückt: Sorgen Sie dafür, dass die Grundlagen stimmen, und machen Sie die Gesundheitssysteme im Zuge von Modernisierungen widerstandsfähiger. Bevor ich zu Tanium kam, war ich sechs Jahre lang mit der Untersuchung von Cyberangriffen befasst. Viele der Unternehmen, mit denen ich damals zusammengearbeitet habe – und 61 % der Befragten der aktuellen HIMSS-Studie – waren besorgt über „fortgeschrittene Bedrohungen“. Doch die überwiegende Mehrheit der Sicherheitsvorfälle – selbst solche, bei denen es sich um komplexe Bedrohungen handelt – ließe sich durch grundlegende Sicherheitsmaßnahmen verhindern.
Fünf Möglichkeiten, wie die Branche ihre Cyberhygiene verbessern kann
Hier sind fünf Möglichkeiten, wie die Branche ihre Cyberhygiene verbessern kann:
- Lernen Sie Ihren Netzwerk- kennen. Wie viele Mitarbeiter im Bereich der Vorfallbewältigung bestätigen können, sind die meisten Unternehmen nicht in der Lage, anzugeben, wie viele Computer sie verwalten, geschweige denn, alle auf diesen Computern vorhandenen Sicherheitslücken zu identifizieren. Um einen umfassenden Überblick über ein Netzwerk zu erhalten – einschließlich Ihres Hardware- und Softwarebestands, der Schwachstellen und der Konfigurationen –, benötigen Sie zeitnahen Zugriff auf alle Geräte.
- Sorgen Sie für Echtzeit-Transparenz. Ein ständiger Echtzeit-Überblick über Ihr Netzwerk ermöglicht es Unternehmen zudem, Angriffe innerhalb weniger Minuten zu erkennen und zu stoppen. Wenn ich Sicherheitsverletzungen untersuchte, hatten sich Hacker in den meisten Fällen bereits Monate oder Jahre vor Beginn der Untersuchung Zugang verschafft. Die Schwere und die Kosten eines Sicherheitsvorfalls stehen oft in direktem Verhältnis dazu, wie lange sich ein Angreifer unentdeckt in Ihrem Netzwerk aufgehalten hat.
- Legen Sie ein Ziel fest – eines, das ein Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit herstellt. Bei der Konzeption sollten branchenübliche Vorgehensweisen wie die Multi-Faktor-Authentifizierung, Netzwerksegmentierung, Whitelisting von Anwendungen und die Begrenzung der Anzahl privilegierter Benutzer berücksichtigt werden. Echtzeitinformationen über Ihr Netzwerk können auch dazu genutzt werden, Prioritäten bei der Budgetvergabe zu setzen – im Gegensatz zu dem, wozu viele Unternehmen gezwungen sind: zu raten.
- Motivieren Sie Ihre Mitarbeiter zu sichererem Verhalten. Schulen Sie die Mitarbeiter darin, Systeme ordnungsgemäß zu nutzen und potenziell bösartige E-Mails zu erkennen. Klären Sie sie über verschiedene Bedrohungen auf und erklären Sie ihnen, wie sie sensible Daten schützen können. Dies wird nicht jeden Angriff verhindern – machen Sie sich nichts vor, das kann keine Sicherheitslösung –, aber es wird die Anzahl der Angriffe verringern und es den Mitarbeitern ermöglichen, die von ihnen festgestellten Angriffe zu melden.
- Praxis „“. Wenn eine Organisation reifer wird, sollte sie externe Dienstleister beauftragen, ihre Systeme kontinuierlich zu testen – ein Verfahren, das als „Red Teaming“ bezeichnet wird. Dies ermöglicht es Cybersicherheitsexperten, die Widerstandsfähigkeit Ihres Netzwerks kontinuierlich zu testen, und ermöglicht es Unternehmen, ihre Abwehrmaßnahmen ständig anzupassen und ihre Fachkompetenzen zu trainieren.
Die Gesundheitsbranche befindet sich an einem entscheidenden Punkt. In den nächsten fünf Jahren wird es ganz anders aussehen als heute. Die Patienten werden einen einfacheren und umfassenderen Zugang zur medizinischen Versorgung erhalten, da die Leistungserbringer immer mehr ihrer Systeme mit dem Internet der Dinge vernetzen. Wenn Upgrades durchgeführt werden, ist dies genau der richtige Zeitpunkt, um eine sicherere und widerstandsfähigere Architektur einzuführen.
Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das von der Reaktion auf Sicherheitsvorfälle und Forensik über Schwachstellenanalysen und die Entwicklung von Sicherheitsprogrammen bis hin zu Sicherheitsoperationen sowie Netzwerk- und Sicherheitsarchitektur reicht. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
