Gesundheitsorganisationen müssen auf Datensicherheitsrisiken und Betriebsstörungen durch Cyberangriffe vorbereitet sein. Die Umsetzung von Best Practices verbessert die Cyber-Resilienz und gewährleistet eine effiziente Reaktion und Wiederherstellung, wenn solche Vorfälle auftreten.
„Resilienz im Gesundheitswesen ist von entscheidender Bedeutung“, sagt David Houlding, Director of Global Healthcare Security and Compliance Strategy bei Microsoft. „Ohne sie ist der zeitnahe und zuverlässige Zugriff auf Daten gefährdet, was schwerwiegende Auswirkungen auf die Patientenversorgung haben kann. Der Zugriff auf Daten am Ort der Behandlung ist unerlässlich, und jede Unterbrechung kann die Gesundheitsversorgung erheblich beeinträchtigen, die Qualität der Patientenversorgung mindern oder im schlimmsten Fall die Patientensicherheit gefährden.“
Um die Widerstandsfähigkeit zu stärken und einen unterbrechungsfreien Zugriff auf wichtige Daten zu gewährleisten, sollten Organisationen im Gesundheitswesen die folgenden bewährten Verfahren umsetzen.
1) Führen Sie eine gründliche Risikobewertung durch.
Eine umfassende Risikobewertung hilft Organisationen im Gesundheitswesen dabei, Sicherheitslücken zu identifizieren und zu beheben, bevor sie von Cyber-Bedrohungen ausgenutzt werden können.
Die HIPAA-Sicherheitsvorschrift verpflichtet betroffene Einrichtungen dazu, eine Risk Analysis durchzuführen und geeignete Maßnahmen zu ergreifen, um wichtige Bereiche abzudecken und elektronische geschützte Gesundheitsdaten zu schützen. Die Risk Analysis sollte ein fortlaufender Prozess sein, in dessen Rahmen betroffene Einrichtungen und Geschäftspartner Risiken und Sicherheitsmaßnahmen kontinuierlich bewerten. Wirksame Bewertungen identifizieren Risiken, priorisieren diese und helfen Organisationen dabei, ihre begrenzte Zeit und ihre Ressourcen auf die Risiken mit der höchsten Priorität zu konzentrieren. Für jedes identifizierte Risiko können sie dann die damit verbundenen Schwachstellen ermitteln, darunter ungesicherte Netzwerke, Systeme ohne aktuelle Patches und viele andere im gesamten IT-Spektrum.
„Die Messung der Sicherheitslage durch Risikobewertungen ist entscheidend, um Schwachstellen zu identifizieren und Risiken zu mindern“, bemerkt Houlding. „Vertrauenswürdige Compliance-Rahmenwerke helfen zudem dabei, begrenzte Ressourcen dort einzusetzen, wo sie die Sicherheit am besten verbessern und Risiken am besten mindern können.“
Im Rahmen einer Risikobewertung identifizieren Sicherheitsexperten Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit sensibler Gesundheitsdaten und ordnen diese anschließend nach ihren Auswirkungen und ihrer Eintrittswahrscheinlichkeit ein. Eine Risikobewertung kann Cyberangriffe zwar nicht vollständig verhindern, hilft jedoch dabei, begrenzte Ressourcen gezielt auf Risiken mit höchster Priorität zu konzentrieren, wo sie den größten Beitrag zur Verbesserung der Sicherheitslage leisten können. Dies erschwert Angreifern das Vorgehen und verschafft dem Sicherheitsteam einen besseren Überblick, wodurch die Überwachung, Erkennung, Reaktion und Recovery verbessert werden.
2) Umsetzung strenger Richtlinien und Verfahren zur Cybersicherheit
Nachdem Sicherheitslücken durch eine Risikobewertung identifiziert wurden, sollten Gesundheitsorganisationen strenge Cybersicherheitskontrollen einführen und Verfahren verschärfen, um das Auftreten und die Auswirkungen von Cyberangriffen zu reduzieren. Beispielsweise kann die Segmentierung kritischer Systeme vom Netzwerk dazu beitragen, zu verhindern, dass sich Angreifer innerhalb der Gesundheitsorganisation seitlich bewegen und auf wichtige Systeme zugreifen, wodurch das Risiko von Unterbrechungen der Patientenversorgung minimiert wird.
Als vorbeugende Maßnahme sollten Sicherheitsexperten bekannte Schwachstellen beheben und medizinische Geräte sichern, die anfällig für Missbrauch sind. Zu den häufigsten Schwachstellen und unsicheren Konfigurationen im Gesundheitswesen zählen laut Daten der Cybersecurity and Infrastructure Security Agency Schwachstellen in Webanwendungen und nicht unterstützte Software.
Die Sicherstellung, dass alle Systeme durch Multi-Faktor-Authentifizierung (MFA) geschützt sind, ist eine weitere Möglichkeit, das Auftreten und die Auswirkungen von Cyberangriffen zu reduzieren. Daten aus dem HHS-405(d)-Programm zeigten, dass zwar über 90 % der Krankenhäuser MFA einsetzen, deren uneinheitliche Anwendung jedoch Lücken schafft. Die Implementierung von MFA in allen Systemen stärkt die Netzwerksicherheit und behindert Angreifer.
Datensicherungen und starke Verschlüsselung sind ebenfalls entscheidend, um im Falle einer Sicherheitsverletzung Zeit und Geld zu sparen. Bewährte Vorgehensweisen, darunter Netzwerksegmentierung, MFA und Schwachstellenmanagement, können Unternehmen dabei helfen, Risiken zu minimieren und sich auf Angriffe vorzubereiten.
3) Reaktions- und Wiederherstellungspläne entwickeln
Der erste Schritt besteht darin, sich bewusst zu machen, dass ein Cyberangriff oder eine Datenpanne wahrscheinlich ist. Auf dieser Grundlage können Sicherheitsexperten Reaktions- und Wiederherstellungsmaßnahmen planen, um auf einen Vorfall vorbereitet zu sein. Die HIPAA schreibt vor, dass betroffene Unternehmen einen Plan zur Reaktion auf Vorfälle sowie einen Plan für Datensicherung, Cyber-Wiederherstellung und Notfallbetrieb entwickeln müssen, um die Compliance aufrechtzuerhalten.
Wenn ein Cybervorfall eintritt, müssen Gesundheitsorganisationen darauf vorbereitet sein, mit Interessengruppen, Rechtsberatern, Strafverfolgungsbehörden und Patienten zusammenzuarbeiten. Die Durchführung von Tabletop-Übungen mit wichtigen Interessengruppen vor einem Cybervorfall kann Organisationen dabei helfen, im Falle eines tatsächlichen Cybervorfalls effizienter und effektiver zu reagieren.
Pläne für die Reaktion auf Vorfälle sollten Kommunikationsstrategien, alternative Möglichkeiten für den Zugriff auf Patientenakten während eines Ausfalls des EHR-Systems sowie Verfahren zur Sicherstellung der Verfügbarkeit kritischer Gesundheitsdaten umfassen. Nach der Eindämmung einer Bedrohung liegt der Schwerpunkt auf der Umsetzung eines Wiederherstellungsplans, mit dem Daten und Systeme so schnell wie möglich wiederhergestellt werden können.
„Cloud-Lösungen bieten im Vergleich zu einzelnen Krankenhäusern ein höheres Maß an Sicherheit, sodass Gesundheitsorganisationen effektivere Reaktions- und Wiederherstellungspläne umsetzen können, während sie gleichzeitig ihre Infrastruktur sicher verlagern und sich auf Innovation und Effizienz konzentrieren können“, bemerkt Jaimie Fox, Senior Technology Strategist bei Microsoft.
Zwar sind Cyberangriffe möglicherweise unvermeidbar, doch können Gesundheitsorganisationen Risikobewertungen durchführen, bewährte Sicherheitsverfahren anwenden und Maßnahmen zur Reaktion auf Vorfälle sowie zur Wiederherstellung der Betriebsfähigkeit ergreifen.
4) Zusammenarbeit mit einem strategischen Technologie- und Dienstleistungspartner
Die Zusammenarbeit mit einem Anbieter von Datensicherungslösungen, der sich auf Cyber-Resilienz und Recovery im Gesundheitswesen spezialisiert hat, bietet mehrere entscheidende Vorteile. Organisationen im Gesundheitswesen mit einer gemischten Infrastruktur (vor Ort, hybrid, Cloud, Multi-Cloud) benötigen einen Partner, der Cyber-Resilienz und Datensicherung über alle Umgebungen hinweg vereinheitlicht, um einheitliche Sicherheit und Verfügbarkeit zu gewährleisten. Die Konsolidierung von Backup-Systemen in einer einzigen Lösung senkt die Kosten, beseitigt redundante Infrastruktur und minimiert technische Schulden, was zu einer verbesserten Effizienz führt. Ein spezialisierter Partner für Datenwiederherstellung stärkt zudem die Cyberresilienz, indem er die Recovery in sauberen Umgebungen gewährleistet und so das Risiko einer erneuten Infektion nach einem Angriff verringert.
Schließlich kann ein Anbieter von Datenschutz- und Informationsmanagementlösungen, der fortschrittliche Funktionen in den Bereichen Datenspeicherung, Portabilität und Zugänglichkeit bietet, eine nahtlose Datenübertragung und -wiederverwendung ermöglichen, die Cloud unterstützen und die Geschäftskontinuität verbessern. KI-gesteuerte Automatisierung vereinfacht darüber hinaus die Prozesse für Datenschutz, Governance und Wiederherstellung, reduziert den Verwaltungsaufwand für IT-Teams und ermöglicht eine schnellere und sicherere Wiederherstellung nach Ransomware-Angriffen und anderen Bedrohungen.
„Cleanroom Recovery“ von Commvault bietet eine bahnbrechende Lösung für Organisationen im Gesundheitswesen, die mit Ransomware konfrontiert sind. Die Lösung gewährleistet die Recovery-Prozesse in einer „sauberen“ Umgebung und verringert das Risiko einer erneuten Infektion. Die von der Enterprise Strategy Group validierte Lösung nutzt ihre einzigartige „Any-to-Any“-Portabilität für eine effiziente und sichere Datenwiederherstellung. Diese Fähigkeit ist entscheidend für die Stärkung der Cyber-Resilienz und ermöglicht Organisationen im Gesundheitswesen nach einem Angriff eine schnelle und sichere Wiederherstellung.
„Commvault ist ein wichtiger Partner für Organisationen im Gesundheitswesen, die Cloud-Resilienz auf Azure anstreben“, sagt Karen Cox, Global Healthcare Partner Strategy Leader bei Microsoft. „Dank der tiefen Integration in die Microsoft-Sicherheitslösungen schützen die fortschrittlichen Lösungen von Commvault Gesundheitsdaten und -anwendungen in hybriden Cloud-Umgebungen.“
