Innovation und Compliance im Gesundheitswesen
Die Nutzung von Big Data zur Unterstützung von Gesundheitsdienstleistern bei Entscheidungen zur Patientenversorgung, 3D gedruckte Hauttransplantate für Verbrennungsopfer und die Ermöglichung des sofortigen Zugriffs von Patienten auf ihre Krankenakten sind nur einige Beispiele für beeindruckende technologische Fortschritte, die das Gesundheitswesen grundlegend verändern. Allerdings stellen all diese Technologien ein potenzielles Risiko für die Privatsphäre der Patienten und für geschützte Gesundheitsdaten (Protected Health Information, PHI) dar. Mit diesem Risiko gehen gesetzliche Vorschriften einher, die alle in den USA ansässigen Organisationen im Gesundheitswesen einhalten müssen, darunter der Health Insurance Portability and Accountability Act (HIPAA).
Die konkrete Umsetzung geeigneter HIPAA-Sicherheitsmaßnahmen, mit denen Organisationen im Gesundheitswesen die Einhaltung der Vorschriften gewährleisten sollen, wird als „Security Rule“ bezeichnet. Angesichts der ständig wachsenden Liste von HIPAA-Compliance-Vorschriften stehen Unternehmen hinsichtlich ihrer Herangehensweise an das Endpunktmanagement vor ständigen Herausforderungen.
Angesichts der zunehmenden Mobilität der Belegschaft, insbesondere bei Nutzern in Einrichtungen des Gesundheitswesens, stellt es eine Herausforderung dar, alle Endgeräte im Netzwerk genau zu erfassen. Geräte bewegen sich ständig innerhalb des Netzwerks, verlassen das Netzwerk, befinden sich zu Hause, in Cafés oder sind über ein VPN verbunden. Dieses äußerst volatile Umfeld lässt sich nur schwer überblicken, und die derzeit im Unternehmen eingesetzten Tools erfassen Daten nicht schnell genug und bieten zudem keine ausreichende Sicherheit hinsichtlich der Richtigkeit der Daten.
Tatsächlich hat KlasResearch in einer Studie unter mehr als 600 Einrichtungen des Gesundheitswesens festgestellt, dass das größte Problem im Bereich der Sicherheit medizinischer Geräte in der mangelnden Transparenz hinsichtlich der Bestände und des Bestandsverzeichnisses liegt, was auf unzureichende Tools und die große Anzahl an Geräten zurückzuführen ist, die secured1 sein müssen. Ohne eine genaue und aktuelle Bestandsliste ist es nahezu unmöglich, eine ordnungsgemäße Risikoanalyse einer Umgebung durchzuführen, die Geräte durch Patches zu sichern, um Schwachstellen zu beheben, und sie gemäß den Standards angemessen zu konfigurieren.
Bewertung von Schwachstellen und Risiken in Ihrer Umgebung
Die HIPAA-Sicherheitsvorschrift verpflichtet Einrichtungen des Gesundheitswesens dazu, Schwachstellen und Risiken in ihren Systemumgebungen zu bewerten und Richtlinien sowie Verfahren zu deren Behebung einzuführen. Zu viele Unternehmen wissen nicht, welche Patches fehlen, wie anfällig sie sind und welche Konfigurationen auf welchen Endgeräten angewendet werden. Dies stellt ein enormes Risiko dar, da Endgeräte dadurch der Gefahr ausgesetzt sind, dass geschützte Gesundheitsdaten (PHI) infolge eines Sicherheitsvorfalls oder einer Sicherheitsverletzung offengelegt werden.
Die Realität bei den heutigen Endpunktmanagementsystemen sieht so aus, dass viele von ihnen Daten einfach zu langsam erfassen, nicht schnell genug Maßnahmen ergreifen können oder nicht mehr wie vorgesehen funktionieren. Da Zero-Day-Sicherheitslücken im Durchschnitt 22 Tage nach found2 veröffentlicht und ausgenutzt werden, sind Unternehmen häufig gezwungen, von den herkömmlichen monatlichen Patch-Zyklen oder der Schwachstellenanalyse abzuweichen und zügig zu handeln. Dieses Dilemma wird durch veraltete Tools verschärft, die sich in großen Umgebungen nicht ausreichend skalieren lassen und bei der eigentlichen Durchführung der erforderlichen Patches oder Schwachstellenscans zu viel Zeit in Anspruch nehmen.
Ein Beispiel hierfür war das Jahr 2017 , als weltweit zahlreiche Krankenhäuser aufgrund nicht gepatchter systems3 vom „EternalBlue“-Exploit und der Ransomware „WannaCry“ betroffen waren. Dies führte zu Betriebsunterbrechungen in den Krankenhäusern, beeinträchtigte die Patientensicherheit, und viele Krankenhäuser mussten Patienten abweisen. Die Auswirkungen von Ransomware hätten vermieden werden können, wenn die Unternehmen den Echtzeit-Status ihrer Endgeräte gekannt hätten – wodurch sie in der Lage gewesen wären, auf der Grundlage der Erkenntnisse unverzüglich, zügig und in großem Umfang Maßnahmen zu ergreifen.
Hier sind drei empfohlene Maßnahmen, die Sie noch heute ergreifen können, um die Einhaltung der HIPAA-Vorschriften mithilfe von Tanium sicherzustellen:
- Verschaffen Sie sich einen Überblick über 100 % Ihrer Geräte. Mit Tanium Discover können Sie mehrmals täglich kontinuierliche, unternehmensweite Scans durchführen, um alle Geräte zu erfassen und die Endgeräte unter Kontrolle zu bringen. Sobald die Kontrolle hergestellt ist, macht Tanium Asset alle Daten Ihrer Geräte in Bezug auf Software, Hardware und Benutzerdaten zugänglich. Dies schafft sofort Vertrauen, da man die Einzelheiten zu den Geräten kennt, die mit geschützten Gesundheitsdaten in Berührung kommen.
- Erhalten Sie sofort einen Überblick über den Patch- und Schwachstellenstatus auf all Ihren Geräten. Mit Tanium Comply können Sie den aktuellen Status aller Schwachstellen einsehen. Tanium Patch sendet daraufhin innerhalb weniger Minuten Betriebssystem-Patches an diese Systeme, um die Sicherheitslücken zu beheben. Tanium Deploy übermittelt Patches von Drittanbietern für „ “ ebenso zügig an alle anfälligen Softwareprogramme wie Adobe, Java, Chrome und Firefox.
- Behalten Sie den Konfigurationsstatus aller Endpunkte im Blick, um die durch die Sicherheitsregeln gewährten Schutzmaßnahmen überall nachverfolgen zu können. Tanium Comply bietet Ihnen einen sofortigen Überblick über alle Konfigurationszustände und verfolgt die Entwicklung Ihrer Endpunkt-Sicherheitskonfiguration im Zeitverlauf.
Um Einrichtungen des Gesundheitswesens dabei zu unterstützen, sich besser in den Sicherheitsvorschriften zurechtzufinden, werfen Sie doch einen Blick auf unsere Lösungsübersicht „ “ () für das Gesundheitswesen unter. Sie können es jederzeit kostenlos herunterladen.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
1 „Inwieweit orientieren sich Gesundheitsdienstleister an den Cybersicherheitspraktiken der Gesundheitsbranche (HICP)“ https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587.
2 „„Zero Days, Thousands of Nights: Finding #5”“ https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 “Cyberangriff auf den NHS – Parliament.uk.“ https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
