Gesundheitsorganisationen müssen auf Datensicherheitsrisiken und Betriebsstörungen durch Cyberangriffe vorbereitet sein. Die Umsetzung von Best Practices verbessert die Cyber-Resilienz und gewährleistet eine effiziente Reaktion und Wiederherstellung, wenn solche Vorfälle auftreten.
„Resilienz im Gesundheitswesen ist von entscheidender Bedeutung“, sagt David Houlding, Director of Global Healthcare Security and Compliance Strategy bei Microsoft. „Ohne sie ist der zeitnahe und zuverlässige Zugriff auf Daten gefährdet, was schwerwiegende Auswirkungen auf die Patientenversorgung haben kann. Der Zugriff auf Daten am Ort der Behandlung ist unerlässlich, und jede Unterbrechung kann die Gesundheitsversorgung erheblich beeinträchtigen, die Qualität der Patientenversorgung mindern oder im schlimmsten Fall die Patientensicherheit gefährden.“
Um die Widerstandsfähigkeit zu stärken und einen unterbrechungsfreien Zugriff auf wichtige Daten zu gewährleisten, sollten Organisationen im Gesundheitswesen die folgenden Best Practices umsetzen.
1) Führen Sie eine gründliche Risikobewertung durch.
Eine umfassende Risikobewertung hilft Organisationen im Gesundheitswesen dabei, Sicherheitslücken zu identifizieren und zu beheben, bevor sie von Cyber-Bedrohungen ausgenutzt werden können.
Die HIPAA-Sicherheitsvorschrift verpflichtet betroffene Einrichtungen dazu, eine Risikobewertung durchzuführen und geeignete Maßnahmen zu ergreifen, um wichtige Bereiche abzudecken und elektronische geschützte Gesundheitsdaten zu schützen. Die Risk Analysis sollte ein fortlaufender Prozess sein, in dessen Rahmen betroffene Einrichtungen und Geschäftspartner Risiken und Sicherheitsmaßnahmen kontinuierlich bewerten. Wirksame Bewertungen identifizieren Risiken und priorisieren diese und helfen Organisationen dabei, ihre begrenzte Zeit und ihre Ressourcen auf die Risiken mit der höchsten Priorität zu konzentrieren. Für jedes identifizierte Risiko können sie dann die damit verbundenen Schwachstellen ermitteln, darunter ungesicherte Netzwerke, Systeme ohne aktuelle Patches und viele andere im gesamten IT-Spektrum.
„Die Messung der Sicherheitslage durch Risikobewertungen ist entscheidend, um Lücken zu identifizieren und Risiken zu mindern“, bemerkt Houlding. „Vertrauenswürdige Compliance-Frameworks helfen auch dabei, begrenzte Ressourcen dort einzusetzen, wo sie die Sicherheit am besten verbessern und Risiken am besten mindern können.“
Im Rahmen einer Risikobewertung identifizieren Sicherheitsexperten Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit sensibler Gesundheitsdaten und ordnen diese anschließend nach ihren Auswirkungen und ihrer Eintrittswahrscheinlichkeit. Eine Risikobewertung kann Cyberangriffe zwar nicht vollständig verhindern, hilft jedoch dabei, begrenzte Ressourcen gezielt auf Risiken mit höchster Priorität zu konzentrieren, wo sie den größten Beitrag zur Verbesserung der Sicherheitslage leisten können. Dies erschwert Angreifern das Vorgehen und verschafft dem Sicherheitsteam einen besseren Überblick, wodurch die Überwachung, Erkennung, Reaktion und Recovery verbessert werden.
2) Implementierung strenger Richtlinien und Verfahren zur Cybersicherheit
Nachdem Sicherheitslücken durch eine Risikobewertung identifiziert wurden, sollten Gesundheitsorganisationen strenge Cybersicherheitskontrollen implementieren und Verfahren verschärfen, um das Auftreten und die Auswirkungen von Cyberangriffen zu reduzieren. Beispielsweise kann die Segmentierung kritischer Systeme vom Netzwerk dazu beitragen, zu verhindern, dass Angreifer sich innerhalb der Gesundheitsorganisation seitlich bewegen und auf wichtige Systeme zugreifen, wodurch das Risiko von Unterbrechungen der Patientenversorgung minimiert wird.
Als vorbeugende Maßnahme sollten Sicherheitsexperten bekannte Schwachstellen beheben und medizinische Geräte sichern, die anfällig für Missbrauch sind. Zu den häufigsten Schwachstellen und unsicheren Konfigurationen im Gesundheitswesen zählen laut Daten der Cybersecurity and Infrastructure Security Agency Schwachstellen in Webanwendungen und nicht unterstützte Software.
Die Sicherstellung, dass alle Systeme durch Multi-Faktor-Authentifizierung (MFA) geschützt sind, ist eine weitere Möglichkeit, das Auftreten und die Auswirkungen von Cyberangriffen zu reduzieren. Daten aus dem HHS 405(d)-Programm zeigten, dass zwar über 90 % der Krankenhäuser MFA einsetzen, deren uneinheitliche Anwendung jedoch Lücken schafft. Die Implementierung von MFA in allen Systemen stärkt die Netzwerksicherheit und behindert Angreifer.
Datensicherungen und starke Verschlüsselung sind ebenfalls entscheidend, um bei einer Sicherheitsverletzung Zeit und Geld zu sparen. Bewährte Best Practices, darunter Netzwerksegmentierung, MFA und Schwachstellenmanagement, können Unternehmen dabei helfen, Risiken zu minimieren und sich auf Angriffe vorzubereiten.
3) Reaktions- und Wiederherstellungspläne entwickeln
Der erste Schritt besteht darin, sich bewusst zu machen, dass ein Cyberangriff oder eine Datenpanne wahrscheinlich ist. Auf dieser Grundlage können Sicherheitsexperten Maßnahmen zur Reaktion und Wiederherstellung planen, um auf einen Vorfall vorbereitet zu sein. Die HIPAA schreibt vor, dass betroffene Unternehmen einen Plan zur Reaktion auf Vorfälle sowie einen Plan für Datensicherung, Cyber-Wiederherstellung und Notfallbetrieb entwickeln müssen, um die Compliance aufrechtzuerhalten.
Wenn ein Cybervorfall eintritt, müssen Gesundheitsorganisationen darauf vorbereitet sein, mit Stakeholdern, Rechtsberatern, Strafverfolgungsbehörden und Patienten zusammenzuarbeiten. Die Durchführung von Tabletop-Übungen mit wichtigen Stakeholdern vor einem Cybervorfall kann Organisationen dabei helfen, im Falle eines tatsächlichen Cybervorfalls effizienter und effektiver zu reagieren.
Pläne für die Reaktion auf Vorfälle sollten Kommunikationsstrategien, alternative Möglichkeiten für den Zugriff auf Patientenakten während eines Ausfalls des EHR-Systems und Verfahren zur Sicherstellung der Verfügbarkeit kritischer Gesundheitsdaten umfassen. Nach der Eindämmung einer Bedrohung liegt der Schwerpunkt auf der Umsetzung eines Wiederherstellungsplans, mit dem Daten und Systeme so schnell wie möglich wiederhergestellt werden können.
Cloud bieten im Vergleich zu einzelnen Krankenhäusern ein höheres Maß an Sicherheit, sodass Gesundheitsorganisationen effektivere Reaktions- und Wiederherstellungspläne umsetzen können, während sie gleichzeitig ihre Infrastruktur sicher verlagern und sich auf Innovation und Effizienz konzentrieren können“, bemerkt Jaimie Fox, Senior Technology Strategist bei Microsoft.
Zwar sind Cyberangriffe möglicherweise unvermeidbar, doch können Gesundheitsorganisationen Risikobewertungen durchführen, bewährte Sicherheitsverfahren anwenden und Maßnahmen zur Reaktion auf Vorfälle und zur Wiederherstellung der Betriebsfähigkeit ergreifen.
4) Zusammenarbeit mit einem strategischen Technologie- und Dienstleistungspartner
Die Zusammenarbeit mit einem Datensicherungsanbieter, der sich auf Cyber-Resilienz und Recovery im Gesundheitswesen spezialisiert hat, bietet mehrere entscheidende Vorteile. Organisationen im Gesundheitswesen mit gemischter Infrastruktur (vor Ort, hybrid, Cloud, Multi-Cloud) benötigen einen Partner, der Cyber-Resilienz und Datensicherung über alle Umgebungen hinweg vereinheitlicht, um einheitliche Sicherheit und Verfügbarkeit zu gewährleisten. Die Konsolidierung von Backup-Systemen in einer einzigen Lösung senkt die Kosten, beseitigt redundante Infrastruktur und minimiert technische Schulden, was zu einer verbesserten Effizienz führt. Ein spezialisierter Partner für Datenwiederherstellung stärkt zudem die Cyberresilienz, indem er die Recovery in sauberen Umgebungen gewährleistet und so das Risiko einer erneuten Infektion nach einem Angriff verringert.
Schließlich kann ein Anbieter von Datenschutz- und Informationsmanagementlösungen, der fortschrittliche Funktionen in den Bereichen Datenspeicherung, Portabilität und Zugänglichkeit bietet, eine nahtlose Datenübertragung und -wiederverwendung ermöglichen, cloud unterstützen und die Geschäftskontinuität verbessern. KI-gesteuerte Automatisierung vereinfacht darüber hinaus die Prozesse für Datenschutz, Governance und Wiederherstellung, reduziert den Verwaltungsaufwand für IT-Teams und ermöglicht eine schnellere und sicherere Wiederherstellung nach Ransomware-Angriffen und anderen Bedrohungen.
„Cleanroom Recovery“ von Commvault bietet eine bahnbrechende Lösung für Organisationen im Gesundheitswesen, die mit Ransomware konfrontiert sind. Die Lösung gewährleistet die Recovery-Prozesse in einer sauberen Umgebung und verringert das Risiko einer erneuten Infektion. Die von der Enterprise Strategy Group validierte Lösung nutzt ihre einzigartige „Any-to-Any“-Portabilität für eine effiziente und sichere Datenwiederherstellung. Diese Fähigkeit ist entscheidend für die Stärkung der Cyber-Resilienz und ermöglicht Organisationen im Gesundheitswesen nach einem Angriff eine schnelle und sichere Wiederherstellung.
„Commvault ist ein wichtiger Partner für Gesundheitsorganisationen, die cloud Resilienz auf Azure anstreben“, sagt Karen Cox, Global Healthcare Partner Strategy Leader bei Microsoft. „Dank der tiefen Integration in die Microsoft-Sicherheit schützen die fortschrittlichen Lösungen von Commvault Gesundheitsdaten und -anwendungen in cloud Hybridumgebungen.“
