5 Prognosen zur Cybersicherheit im Gesundheitswesen für 2023

Security

Veröffentlicht 26.03.2023 06:20, Dagmar Finlayson

Auch im Jahr 2023 steht das Gesundheitswesen vor dramatischen Herausforderungen. Der seit langem prognostizierte Personalmangel, hat sich aufgrund der Pandemie noch mehr zugespitzt. Dies wirkt sich auf die Stabilität von Gesundheitsdienstleistungen auf der ganzen Welt aus. Hinzu kommt, dass die Zahl der Cyberangriffe weiter zunimmt und in diesem Zusammenhang fälschlicherweise Technologie oft als Pauschallösung für alle Probleme des Gesundheitswesens (einschließlich der Personalprobleme) angepriesen wird.

 1. Zunehmende Fernbetreuung bedeutet zunehmende Anzahl von Remote Assets

Die Fernbetreuung oder -überwachung von Patienten mit Hilfe von intelligenten Geräten wird immer wichtiger.  Virtuelle Arztbesuche und die Nutzung von Telemedizin haben im Zuge der Corona-Pandemie enorm an Bedeutung gewonnen. Bei der Fernbetreuung werden vernetzte Geräte im Haus des Patienten genutzt - oft ein Tablet oder Smartphone, das mit einem Pulsoximeter, einer Waage und einer Blutdruckmanschette verbunden ist. Die Fernversorgung hat sich als wertvoll erwiesen, da sie dazu beiträgt, dass Menschen nicht immer ins Krankenhaus müssen. So werden die Pflegeteams entlastet und die Patientenversorgung verbessert. Das Patientenaufkommen wird immer größer und deshalb werden auch immer mehr Assets eingesetzt. Dies hat zur Folge, dass die Anzahl der Schwachstellen in diesen erweiterten Netzwerken ebenfalls weiter zunehmen wird.

2. Die wachsende Angriffsfläche

Jüngste Untersuchungen von Ponemon haben ergeben, dass 12 % der Angriffe auf IoT-Geräte zurückzuführen sind. In einer kürzlich von Armis durchgeführten CHIME-Fokusgruppe wurde festgestellt, dass die höchsten wahrgenommenen Cybersicherheitsrisiken im Gesundheitswesen in der überwältigenden Mehrheit die traditionellen IT-Geräte darstellen. Dazu gehören Windows-Desktops und -Laptops, die sensible persönliche Gesundheitsinformationen speichern. Angesichts der Tatsache, dass diese Assets über erstklassige Sicherheitslösungen verfügen, ist es alarmierend, dass die neu entstehenden Angriffsflächen nicht die notwendige Aufmerksamkeit erhalten. Das Gesundheitswesen ist ein sorgfältig orchestriertes System von zunehmend vernetzten Diensten, von denen der Zugriff des Arztes auf Patientendaten nur ein Aspekt ist.

IoT-, OT- und IoMT-Assets spielen alle eine wichtige Rolle bei der Bereitstellung von Pflegeleistungen. Gebäudemanagementsysteme steuern HLK-, Aufzugs- und Kühlsysteme, die bei einer Unterbrechung die Patientenversorgung unterbrechen könnten. IoT-Assets steuern Parkschranken, Gebäudezugang und Sicherheitssysteme. Und es gibt eine rasch wachsende Zahl von IoMT-Assets für den klinischen Bereich, darunter Vernebler, Pumpen, Medikamentenspender usw., von denen wiederum jedes einzelne die Patientenversorgung dramatisch beeinträchtigen könnte. Angreifer sind sich dieser sensiblen Bereiche sehr wohl bewusst. Gartner hat vorausgesagt, dass Cyber-Angreifer bis 2025 operative Technologie (OT) als Waffe einsetzen und bis 2025 Menschen töten oder schädigen werden.

3. Der Aufstieg des CIO: Verantwortung für die digitale Sicherheit wird zentralisiert

Während sich die Technologien rund um IoT, OT, IoMT und IT weiterentwickelt haben, bleibt die Verantwortung für die Systeme in ihren traditionellen Strukturen. OT-Systeme liegen weiterhin in der Verantwortung des Facility Managements. Medizinische Assets fallen in die Abteilung für biomedizinische Technik, die möglicherweise an den CMO berichtet.

Obwohl diese Assets häufig einen vom IT-Team bereitgestellten gemeinsamen Dienst nutzen, obliegt die Überwachung der Patches und der Sicherheit der Geräte häufig den einzelnen Teams, wobei die IT-Abteilung nur einen sehr begrenzten Einblick in Geräte hat, auf denen keine Sicherheitsagenten installiert sind. Darüber hinaus hat das Hinzufügen eines Patches für ein empfindliches MRT-Asset oder die manuelle Aktualisierung der Firmware über einen USB-Stick für 10.000 Infusionspumpen nur geringe Priorität. Zudem ist es ein logistischer Albtraum. Verfügbarkeit und Betriebszeit haben im Krankenhausbetrieb stets Vorrang, so dass diese bekannten Angriffsvektoren ausgenutzt werden können.

4. Zunahme von verwalteten und gehosteten Diensten

Technologie wird oft als die Lösung für einige der größten Herausforderungen im Gesundheitswesen angesehen. Sie soll die steigenden Kosten für die Gesundheitsversorgung reduzieren, indem sie Big Data nutzt, um die wertorientierte Versorgung voranzutreiben, die Diagnose und die Qualität der Behandlungen zu verbessern - um nur einige Beispiele zu nennen. Eine wichtige Frage hierbei ist, wie dies finanziert und personell ausgestattet werden soll. Das Gesundheitswesen sieht sich auch im IT-Bereich mit einem dramatischen Personalmangel konfrontiert. Viele Organisationen haben Schwierigkeiten, die besten IT-Talente anzuwerben. Leider hat die vielerorts etablierte Telearbeit das Problem noch verschärft. Hightech-Unternehmen, die über umfangreiche Finanzmittel verfügen, können nun Kandidaten von überall her anwerben - und höhere Gehälter bieten. Es ist schwierig, Talente zu gewinnen, auszubilden und zu halten. 

Da immer mehr Informationen in die Cloud verlagert werden, wird es für Organisationen im Gesundheitswesen immer weniger riskant, mehr Dienste bei Cloud-Anbietern zu platzieren und verwaltete Dienste für die Bereitstellung, Verwaltung, Überwachung und Sicherung dieser Dienste zu nutzen. Sie sorgen für Konsistenz, Verantwortlichkeit und Vorhersehbarkeit, wodurch wertvolle Ressourcen für die oben erwähnten Innovationen frei werden.

5. Fokus auf Zero-Trust-Sicherheit

Im Gesundheitswesen mangelt es nicht an Sicherheits- und Datenschutzanforderungen, und doch ist es immer noch eine der Branchen, die die meisten Ransomware-Angriffe erleben. Die Prinzipien von Zero Trust schaffen, wenn sie ganzheitlich auf eine Umgebung angewendet werden, den Rahmen, die Konzepte und die Architektur, um Daten-, Identitäts-, Workload-, Netzwerk- und Gerätesicherheit anzugehen. In seiner einfachsten Form bietet es ein Modell, das in der Organisation angewendet werden kann, um ein Bewusstsein für eine konsolidierte Asset-Sicherheitsstrategie zu schaffen. Elemente wie medizinische Geräte und Gebäudemanagementsysteme müssen aufeinander abgestimmt und in eine einzige Sicherheitsstrategie integriert werden, um das Risiko zu verringern, dass ein einziges fehlerhaftes Gerät zu einer Unterbrechung der Versorgung in der gesamten Organisation führt. Es ist nicht ohne Herausforderungen und Komplikationen, aber für CISOs, die versuchen, alle Anlagen unter eine einzige Richtlinie zu bringen, die letztendlich alle Regeln und Vorschriften für Gesundheitsorganisationen weltweit erfüllt, ist dies ein solider Ausgangspunkt.

Minimierung der Cybersicherheitsrisiken durch Zusammenarbeit mit einem Technologie-Partner

Ein wiederkehrendes Thema bei diesen Vorhersagen ist die Zunahme von Devices, die die Kapazität vieler bestehender Cybersicherheitstools im Gesundheitswesen übersteigen. Viele Organisationen stehen vor der Herausforderung, wie sie mit diesen Geräten umgehen sollen, die von herkömmlichen Sicherheitstools nicht erkannt werden. Selbst Zero Trust-Initiativen scheitern, wenn nicht alle Geräte bekannt sind oder identifiziert werden können. Laut Armis entdecken Unternehmen regelmäßig über 40 % mehr Assets in ihren Netzwerken als ursprünglich angenommen. Ohne einen umfassenden und detaillierten Einblick in die gesamte Angriffsfläche ist es unmöglich, sie effektiv zu sichern.

Autor: 

Mohammad Waqas, Principal Solutions Architect – Healthcare bei Armis

Symbolbild: Stephen Andrews (Unsplash)


Lesen Sie mehr zum Thema "IT-Sicherheit & Kritis"

Ausschreibungen und Fahndungstreffer 2023 deutlich gestiegen
IT-Sicherheit & Kritis
"Gegenstand der Informationstechnologie"
Cyberagentur vergibt Vorstudie nach Berlin
IT-Sicherheit & Kritis
Studie

Lesen Sie hier die neuesten Beiträge

InformMe wird Teil der medavis Gruppe
Aus dem Markt
Übernahme
Diese Webseite verwendet Cookies.   Mehr Info.      oder