Als ein Patient in Deutschland 2020 starb, nachdem Ransomware-Hacker das Krankenhaus, in dem Ärzte sie behandeln wollten, effektiv heruntergefahren hatten, lösten sich Alarmglocken in der gesamten globalen Gesundheitsgemeinschaft aus.
Der Angriff war der erste dokumentierte Fall, dass Cyberkriminelle den Tod einer Person direkt verursacht hatten. Aber die Tragödie war keineswegs ein Fluke. Cyberangriffe auf Gesundheitsdienstleister stiegen im Jahr 2020, teilweise angetrieben durch das erstaunliche Wachstum der Telemedizin im Zeitalter von COVID-19, was auch zu einem Wachstum der Anzahl der Hacker führte, die diesen Trend für ihren eigenen Gewinn nutzen wollten. Zum Beispiel haben sich globale Ransomware-Angriffe auf den Gesundheitssektor im Laufe von 2020 verdoppelt, so der Softwareanbieter Check Point.
Hacker haben Gesundheitsorganisationen seit langem als weiche Ziele angesehen, da sie sich auf Legacy-Systeme verlassen – und aufgrund des Informationsgolds, das sie in ihren Tresoren halten, als reiche. Aus diesem Grund hat der enorme Anstieg der Angriffe im letzten Jahr CIOs und CISOs im Gesundheitswesen dazu veranlasst, neu zu überdenken, wie sie IT-Hygiene und -Sicherheit angehen. Ein Ort, an dem diese Führungskräfte ihre Aufmerksamkeit konzentrieren, ist die Gefahr in alltäglichen Bereichen wie der Automatisierung des Gesundheitswesens.
[Auch lesen: Was ist Sicherheitsautomatisierung?]
Der Schub zur Automatisierung der IT im Gesundheitswesen
Gesundheitsorganisationen haben stark in Automatisierung und künstliche Intelligenz (KI) investiert, um die Effizienz zu steigern und die Kosten zu senken. Diese Tools können bei Operationen, Radiologie, Pflege, administrativem Arbeitsablauf, elektronischen Krankenakten, Betrugserkennung und Dosisfehlerreduzierung helfen, wobei die Ausgaben laut Accenture voraussichtlich 6,6 Milliarden US-Dollar im Jahr 2021 erreichen werden.
KI ist besonders nützlich, um Menschen dabei zu unterstützen, die Versorgung intelligenter und effizienter zu machen. Organisationen im Gesundheitswesen setzen beispielsweise KI und Automatisierung ein, um Anbietern und Mitarbeitern dabei zu helfen, Medikamente auszugeben, Beatmungsgeräte zu betreiben, Personalstände zu verwalten und mit vorherigen Genehmigungen und Schadenentscheidungen von Versicherungsunternehmen umzugehen, was die Patienten verzögern und sogar daran hindern kann, eine angemessene Versorgung zu erhalten.
„Durch die Automatisierung und Beseitigung der Schmerzen [von routinemäßigen vorherigen Autorisierungsaufgaben] für Ärzte, Mitarbeiter und Patienten kann KI viel schneller auf sich ändernde Regeln für Kostenträger reagieren“, sagt Jody Ranck, Senior Analyst und Autor eines Berichts von Chilmark Research. KI und Automatisierung können Versicherungsprozesse beschleunigen, wie z. B. die Beurteilung von Ansprüchen: „Es dauerte früher 20 Tage“, sagt Ranck. „Jetzt liegt es an Millisekunden.“
Automatisierung kann Milliarden von Dollar einsparen. Accenture schätzt, dass die drei wichtigsten Anwendungen, die einen kurzfristigen Nutzen bieten, robotergestützte Chirurgie (40 Milliarden USD an Einsparungen), virtuelle Pflegeassistenten (20 Milliarden USD) und administrative Workflow-Unterstützung (18 Milliarden USD) sind.
Kein Wunder, dass mehr als die Hälfte der CIOs von Gesundheitsdienstleistern , die Gartner befragte, angaben, dass sie in den nächsten drei Jahren in KI-gestützte Roboterprozessautomatisierung (RPA) investieren würden, gegenüber 5 % im Jahr 2020.
Die dunkle Seite der Automatisierung
Die Automatisierung des Gesundheitswesens birgt jedoch Sicherheitsherausforderungen. In einer Umfrage des Ponemon Institute gaben 90 % der Befragten an, dass ihre Gesundheitsorganisation im Vorjahr mindestens einen Sicherheitsverstoß erlitten hatte. Eine Analyse von SecurityScorecard und DarkOwl von Terabytes an Daten von mehr als 30 000 Gesundheitsorganisationen von 2019 bis 2020 ergab zunehmende Schwachstellen und Angriffe, die stark mit dem Ruf der IP-Adresse (einschließlich Malware aus Phishing-Versuchen), Endpunkten und Sicherheitspatches verbunden sind.
Die dramatischen Angriffe auf die Lieferkette von SolarWinds auf große Regierungsbehörden und Organisationen haben diese Schwachstellen zu einer deutlichen Linderung gebracht. Und sie haben den Wert gestohlener Gesundheitsdaten hervorgehoben. Jede gehackte Gesundheitsakte kann aufgrund der hochsensiblen Daten, die Patientenakten enthalten , bis zu 1 000 US-Dollar im Dark Web verdienen.
Endpunkte sind ein besonders schwaches Glied in der Sicherheitskette. Für das Sutter Health-Netzwerk von Krankenhäusern und Kliniken, das mehr als 3 Millionen Kalifornier bedient, war ein zentrales Problem ein Mangel an Visibilität in die Tausenden von Endpunkten in seinem Netzwerk. Um Endpunkte zu sichern, mussten IT-Teams manuell über Leihcomputer auf Geräte zugreifen, den Workflow unterbrechen und die Kosten erhöhen.
[Erfahren Sie, wie Ihre Organisation die HIPAA-Compliance mit Tanium verwalten kann]
KI selbst kann unsicher sein, da sie auf Algorithmen beruht, die mit riesigen Datensätzen trainiert wurden. Es ist bekannt, dass Hacker Algorithmen neu trainieren, um Systeme zu unterbrechen, Daten auf ihre Art umzuleiten oder sogar Daten zu „vergiften“, indem sie Algorithmen dazu bringen, zu glauben, dass schlechter Code sicher ist. KI-Bots sind oft nicht sicher, da ihre Programmierung Open-Source- und benutzerdefinierten Code kombiniert, der nicht von Sicherheitsspezialisten geschrieben wird.
Weitere Schwachstellen ergeben sich aus den Systemen, die Algorithmen verwenden: Automatisierungstools können auf jedem Gerät gefunden werden, das über ein verbundenes Netzwerk verteilt ist, das über die Berechtigung verfügt, auf das System zuzugreifen, und potenzielle Zugangspunkte für bösartige Akteure darstellen. Sobald sie drinnen sind, können die Bösewichte Unglück machen. In einem Beispiel erinnert sich Ranck von Chilmark Research an Hacker, die betrügerische radiologische Bilder verwendeten, um sich falsche Versicherungserstattungen zu zahlen.
Sicherheitsexperten sind besorgt, einschließlich Carlos Perez, der den Forschungszweig des Cybersicherheitsunternehmens TrustedSec leitet. „Der Trend, der mich beunruhigt, ist, dass das Gesundheitswesen ihre Sicherheit immer mehr kostenreduziert und auslagert“, sagt Perez. „Ich habe nicht gesehen, dass das Gesundheitswesen Maßnahmen ergreift, um die Informationssicherheit bei der Verwendung von KI zu adressieren.“
Die institutionellen Schwachstellen in der Rüstung des Gesundheitswesens
Hochregulierte Branchen wie das Gesundheitswesen stehen oft vor Spannungen zwischen Geschäftsbedürfnissen und der Einhaltung gesetzlicher Vorschriften. Krankenhäuser führen regelmäßig ältere Softwareversionen aus, die Fehler und Schwachstellen aufweisen können. Die Aktualisierung von Systemen kann dazu führen, dass Unternehmen Probleme mit der Compliance bewältigen.
„Krankenhäuser haben strengere Richtlinien im Zusammenhang mit dem Patchen und Aktualisieren von Computern und Servern aufgrund der Systeme, die sie unterstützen“, sagt Marc Moring, Director of Strategic Accounts bei Tanium. „Wenn sie ein Betriebssystem aktualisieren, könnten sie möglicherweise ein Beatmungsgerät, eine i.v. oder ein Medikamentenverabreichungssystem herunterfahren, was lebensbedrohlich sein könnte. Krankenhäuser wurden vor Aktualisierung und Patching geschützt, was sie extrem anfällig für Angriffe macht.“ Aus diesem Grund sind Patchmanagement und Konfigurationsmanagement kritische Elemente von Endpunkt-IT- und Sicherheitsstrategien.
Organisatorische Strukturen sind auch für das schwache Sicherheitsprofil der IT im Gesundheitswesen verantwortlich. Forscher bei Skybox Security stellten fest, dass eine kritische Schwäche durch isolierte Cybersicherheitsteams und Betriebsteams resultierte, die die Infrastruktur überwachen. „Die Demontage dieser Silos muss durch iterative Veränderungen erfolgen“, stellten die Autoren in ihrem 2020 -Bericht fest. „Die Teams, die mit Betriebsgeräten beauftragt sind, müssen grundlegende Kenntnisse entwickeln, die zum Schutz dieser bekanntermaßen schwer zu patchenden Netzwerkbereiche verwendet werden können.“
Die „IT Resilience Gap Study“ von Tanium hat mehrere Funktionen gefunden, die zur Minderung dieser Risiken beitragen. Resiliente Organisationen tun diese Dinge:
- Stellen Sie sicher, dass ihre IT-Sicherheits-, Betriebs- und Risikoteams zusammenarbeiten, um die IT-Umgebung zu vereinfachen und zu sichern.
- Beschaffen Sie zuverlässige Daten, um sichere Entscheidungen zu treffen und eine zukunftsorientierte und agile Haltung als Reaktion auf ständige Bedrohungen und Veränderungen aufrechtzuerhalten.
- Ergreifen Sie Schritte, um die Infrastruktur zu entladen und die fragmentierte Landschaft von Endpunktmanagementsystemen und -prozessen zu eliminieren.
- Vereinheitlichen Sie einen gemeinsamen Satz umsetzbarer Daten für eine echte Visibilität und Kontrolle über alle Geräte in einem Netzwerk.
Letztendlich bleiben Automatisierung und KI erhalten. Neuere Fortschritte erweitern das Potenzial für das, was Gesundheitstechnologie erreichen kann. Und sie schaffen gleichzeitig zusätzlichen Druck, um die Sicherheit zu verbessern.
„Vor drei Jahren gab es viel Arztskeptik in Bezug auf KI“, sagt Ranck. „Jetzt sehen Sie so viel KI, die in Systeme eingebettet ist.“ Er sagt, Unternehmen befinden sich in verschiedenen Phasen ihrer Reaktion auf aufkommende Bedrohungen, „aber zunehmend erkennen Führungskräfte die Notwendigkeit, sich vorzubereiten.“
