WannaCry & Co.

Sicherheitskonzepte für die Health-Care-Industrie

| Redakteur: Jürgen Schreier

Medizintechnische Geräte sind oft mit älterer Software ausgestattet, die sich nicht oder nur bedingt updaten lässt.
Medizintechnische Geräte sind oft mit älterer Software ausgestattet, die sich nicht oder nur bedingt updaten lässt. (Bild: Pixabay / CC0)

Das Gesundheitswesen ist Teil der digitalen Transformation und wird dadurch Angriffsziel, wie die jüngsten Ransomware-Attacken belegen. Der Beitrag gibt einen Überblick über zu Sicherheitsstrategien und Best Practices.

Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor außerordentlich wichtig. Mittlerweile ist es bereits 21 Jahre her, seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den USA verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten.

2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert.

Gesundheitseinrichtungen sind Teil der digitalen Transformation

Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz der Systeme und Patienten umsetzen.

Gesundheitseinrichtungen sind Teil der digitalen Transformation. Das damit verbundene Versprechen: bessere Betreuung der Patienten und besserer Service. Patientenakten liegen heute fast immer vollständig digitalisiert vor, Patientenkontrolle und Datenerfassung sind inzwischen ebenfalls voll automatisiert. Nur folgerichtig steigt mit mehr digitalen Daten und Prozessen auch das Risiko von Cyberattacken exponentiell an.

Betriebssysteme von medizintechnischen Geräten oft veraltetet

Gesundheitseinrichtungen und -organisationen sind allein schon wegen hoch sensibler Patientenakten und des potenziell entstehenden Schadens ein lohnendes Angriffsziel. Zudem gelten sie als leicht angreifbar, weil eine Vielzahl von Personen und Mitarbeitern sich mit allen möglichen Geräten und zugänglichen Netzwerken verbinden.

Darüber hinaus sind ältere, anfälligere medizintechnische Geräte immer noch in Gebrauch. Sie sind häufig schwer zu aktualisieren, teuer zu ersetzen oder sehr wertvoll für die tägliche Patientenversorgung- Ein aktuelles Beispiel, das für Schlagzeilen sorgte, war die WannaCry-Ransomware-Attacke, die auf eine bekannte Windows-Schwachstelle abzielte. WannaCry richtete sich auch gegen zahlreiche Gesundheitseinrichtungen und verursachte in einigen Ländern - zum Beispiel UK - erhebliche Schäden. Dieser Angriff hätte mit einem einfachen Patch verhindert werden können.

Digitale Sorglosigkeit auf dem Rückzug

Security first!

Digitale Sorglosigkeit auf dem Rückzug

22.06.17 - Ging man in deutschen Chefetagen mit dem Thema Cybersicherheit bisher eher lässig um, so scheint sich das Problembewusstsein langsam zu verändern. Dennoch gibt es noch reichlich Handlungsbedarf - vor allem im Mittelstand. Das meinen die von Sopra Steria Consulting befragten IT-Verantwortlichen. lesen

Anomalieerkennung hätte WannaCry frühzeitig stoppen können

Neues Denken und Handeln in der IT-Sicherheit

Anomalieerkennung hätte WannaCry frühzeitig stoppen können

29.05.17 - Wenn wir etwas aus der Cyberattacke gelernt haben, dann, dass weder den gängigen IT-Sicherheitslösungen noch den Herstellern von Netzwerkkomponenten und Betriebssoftware vertraut werden kann. Anomalieerkennung gilt als eine zentrale Sicherheitsstrategie für das industrielle Internet der Dinge und die Industrie 4.0. lesen

Während die Arbeit der HCIC Task Force und die Veröffentlichung des Berichts zur Cybersicherheit eine Vielzahl von Richtlinien formulieren, die am NIST Cybersecurity Framework ausgerichtet sind, müssen die technischen Sicherungsmaßnahmen von HIPAA Teil der Cybersicherheits-Strategie aller Gesundheitsorganisation sein. Dieser kürzlich von Health IT Security veröffentlichte Artikel Implementing HIPAA Technical Safeguards for Data Security, bietet auch für Anwendungen hierzulande einen guten Überblick über technische Sicherungsmaßnahmen - und dazu, was passiert, wenn sie fehlen.

Was sind technische Sicherungsmaßnahmen?

Nach Definition der HIPAA Security Rule sind technische Sicherungsmaßnahmen die Technologie und die Richtlinien sowie Verfahren für ihren Einsatz, die elektronisch geschützte Gesundheitsdaten (e-PHI) absichern und den Zugriff darauf kontrollieren.

Zu den technischen Sicherungsmaßnahmen nach der HIPAA Security Rule gehören:

  • Zugangs-/Zugriffskontrolle - Eine vom Gesetz erfasste Einrichtung (Covered Entity) muss technische Richtlinien und Verfahren implementieren, die nur autorisierten Personen den Zugang zu e-PHI erlaubt.
  • Sicherheitsprüfungen und Kontrollen - Eine Covered Entity muss Hardware-, Software- und/oder Verfahrensmechanismen implementieren, um den Zugang und andere Aktivitäten in Informationssystemen, die e-PHI enthalten oder verwenden, zu erfassen und zu untersuchen.
  • Integritätskontrollen - Eine Covered Entity muss Richtlinien und Verfahren implementieren, um zu gewährleisten, dass e-PHI nicht missbräuchlich verändert oder gelöscht werden. Es müssen elektronische Maßnahmen getroffen werden, um zu bestätigen, dass e-PHI nicht missbräuchlich verändert oder gelöscht wurden.
  • Übertragungssicherheit - Eine Covered Entity muss technische Sicherheitsmaßnahmen implementieren, die vor unberechtigtem Zugang zu/Zugriff auf e-PHI schützen, die über ein elektronisches Netzwerk übertragen werden.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44768774 / Security)