Infektionsschutz: drei Schritte für mehr Cyberschutz im Gesundheitswesen
Von Florian Malecki, Vice President, International Marketing, Arcserve
Organisationen im Gesundheitswesen haben durch die Einführung moderner Medizintechnik enorme Fortschritte gemacht, um ihre Effizienz zu steigern und die Qualität der Patientenversorgung zu verbessern. Die neuen Technologien reichen von der automatisierten Patientenverwaltung über Robotik in der Versorgung und Materialwirtschaft bis hin zu vernetzten IoT-Geräten, die den Gesundheitszustand von Patienten überwachen und vor Gefahrensituationen warnen.
Diese digitalen Helfer und Technologien sind enorm nützlich, aber stellen die Krankenhäuser und Gesundheitsorganisationen gleichzeitig vor eine Herausforderung: Sie erzeugen riesige Datenmengen, die gespeichert und geschützt werden müssen.
Das betrifft etwa die Daten, die durch Video-Sprechstunden und Ferndiagnosen anfallen – zwei Kategorien, die seit Beginn der COVID-19 Pandemie, stark angestiegen sind. Zum Beispiel werden viele Arzttermine heute virtuell über Telemedizin-Apps vereinbart und auch im Bereich der Video-Sprechstunde ist ein Fortschritt zu verzeichnen. All diese Daten und Fernberatungen müssen protokolliert und über den in der Medizin üblichen Zeitraum gespeichert werden. Zusätzlich werden zunehmend mehr Daten im Zusammenhang mit der digitalen Krankenakte und mit digitalen Gesundheitspässen erzeugt – beispielsweise durch COVID-19- Tests oder Impfzertifikate.
Entsprechend kann der Bedarf an Datenvolumen einer Gesundheitsorganisation schnell explodieren. Dabei geht es nicht nur um die wachsenden Datenmengen, sondern auch um die Ressourcen, die für die Speicherung, den Schutz und die intelligente Verwaltung all dieser Informationen erforderlich sind.
Angesichts dieses unaufhörlichen Datenwachstums und der Notwendigkeit einer ununterbrochenen Datenverfügbarkeit ist eine angemessene Speicherung und Datensicherung wichtig. Das gilt umso mehr, als die Gesundheitsbranche durch COVID erkannt hat, dass sie auch für sogenannte „Black Swan“-Szenarien gerüstet sein muss, also Ereignisse, die unvorhersehbar sind und zugleich schwerwiegende Auswirkungen haben können.
Es gibt drei Möglichkeiten, wie Organisationen des Gesundheitswesens das Risiko eines Datenverlusts vermeiden und ihre wertvollen digitalen Ressourcen schützen können.
1. Einen Plan erstellen und Mitarbeiter in Sachen Sicherheit schulen
Das schwächste Glied in der Sicherheit ist oft der Anwender. Im Gesundheitswesen kommen viele Anwender der Technologien nicht aus dem technischen Bereich. Sie kennen sich zwar in ihrem Fachgebiet aus, aber nicht so sehr mit den sich weiterentwickelnden Technologien und der zunehmenden Zahl von Endpunkten, an denen sie Daten eingeben bzw. Datensätze abrufen und verwalten. Diese Situation ist ein leichtes Spiel für eine Daten-Exfiltration und andere Malware-Angriffe.
In der Tat sind Organisationen im Gesundheitswesen zunehmend durch Cyberangriffe bedroht, insbesondere durch Ransomware-Angriffe, bei denen Dateien im Zusammenhang mit wichtigen Patientendaten und Informationssystemen eines Krankenhauses verschlüsselt werden und im Anschluss für deren Freigabe ein hohes Lösegeld gefordert wird. Mehr als ein Drittel der Gesundheitseinrichtungen war 2020 von einem Ransomware-Angriff betroffen. Von diesen gaben 65 Prozent an, dass die Cyberkriminellen ihre Daten während des Angriffs verschlüsselt haben, so das Cybersicherheitsunternehmen Sophos. Darüber hinaus prognostiziert Cybersecurity Ventures, dass das Gesundheitswesen im Jahr 2021 zwei- bis dreimal mehr Cyberangriffe erleiden wird als der Durchschnitt anderer Branchen.
Gesundheitseinrichtungen sind besonders anfällig für diese Art von Erpressung, weil sie auf aktuelle Informationen aus Patientenakten angewiesen sind. COVID-19 hat diese Anfälligkeit noch verstärkt. Sind die Daten dann erst einmal in der Hand der Cyber-Verbrecher, zahlen verständlicherweise viele Betroffene das Lösegeld, um nicht das Leben ihrer Patienten zu riskieren.
Was ist also zu tun? Ein erster Schritt ist die Einführung eines Programms zur Sensibilisierung für das Thema Datensicherheit. Mit einem solchen Programm können Mitarbeiter lernen, Phishing-E-Mails, die oft der erste Schritt zu einem Ransomware-Angriff sind, zu erkennen. Es gibt zahlreiche Lösungen, das Sicherheitsbewusstsein der Mitarbeiter zu schulen, etwa durch Simulation von Phishing-Angriffen.
Zusätzlich zum Training ist ein Notfallplan für die Wiederherstellung der Daten besonders wichtig. Gesundheitsorganisationen benötigen einen solchen Plan für den Fall, dass ihre Daten durch einen Cyberangriff oder etwa eine Naturkatastrophe gefährdet sind. Darin sollte festgelegt sein, welche Daten geschützt werden müssen, wie häufig Backups durchgeführt werden und wie schnell die Daten wiederhergestellt werden müssen. Der Plan sollte auch die notwendigen Schritte beschreiben, in welcher Reihenfolge kritische Systeme wiederhergestellt werden.
2. Nutzung moderner Tools für Backup und Wiederherstellung
Ein weiterer wichtiger Schritt ist die Einführung der 3-2-1-1-Datenschutzstrategie. Diese Strategie sieht vor, dass drei Sicherungskopien der Daten auf zwei verschiedenen Medien (z.B. Festplatte und Band) erstellt werden und eine dieser Kopien für die Wiederherstellung im Katastrophenfall an einem anderen Ort aufbewahrt wird. Die letzte ‚1‘ steht für Absicherung einer Datenkopie durch unveränderliche Objektspeicherung.
Die unveränderliche Objektspeicherung ist ein Datensicherheitstool der nächsten Generation. Es schützt Informationen kontinuierlich, indem es alle 90 Sekunden einen Snapshot erstellt, sodass Unternehmen ihre Daten auch im Katastrophenfall schnell wiederherstellen können. Diese Snapshots ermöglichen eine punktgenaue Datenwiederherstellung. Unternehmen können die Snapshots verwenden, um bei einem Ausfall durch eine Naturkatastrophe oder einem Ransomware-Angriff einen früheren Dateistatus wiederherzustellen. Snapshots können nicht verändert, überschrieben oder gelöscht werden, sodass die Datenintegrität vor Verlusten durch menschliches Versagen, Hardwareausfälle oder Ransomware-Angriffe geschützt ist.
Mit unveränderlichen Snapshots können Organisationen im Gesundheitswesen die reibungslose und unterbrechungsfreie Bereitstellung von Diensten und Abläufen sicherstellen – selbst in einem Notfall oder bei einem Ransomware-Angriff.
3. Vertrauen auf spezialisierte Partner
IT-Dienstleister haben ihre Kompetenz und Relevanz während der COVID-19-Krise immer wieder unter Beweis gestellt. Sie spielten eine wesentliche Rolle bei der Unterstützung von Organisationen im Gesundheitswesen, bei der digitalen Transformation ihrer Abläufe, und stellten gleichzeitig sicher, dass Daten zugänglich und geschützt bleiben.
Bleibt festzustellen, dass auch in der Zeit nach COVID-19 ein zwingender Bedarf an Datensicherungs- und Disaster-Recovery-Lösungen besteht. Denn die Daten werden sich zunehmend vervielfachen, und die digitale Landschaft wird das Spielfeld der Cyberangreifer bleiben.
IT-Dienstleister halten sich über die neuesten und besten Cyber-Tools auf dem Laufenden. Dadurch können sie Organisationen im Gesundheitswesen bei der Sicherung ihrer Daten effektiv unterstützen. Und im Falle einer Katastrophe können diese Dienstleister helfen, die Systeme wieder online zu bringen, ohne die Produktivität zu beeinträchtigen oder das Leben von Patienten zu gefährden.
Die Dienstleister können bei der Durchführung von Penetrationstests in der IT-Umgebung unterstützen und dabei helfen, die bestehenden Datensicherungsverfahren und -prozesse regelmäßig zu testen. So wird gewährleistet, dass alle Systeme so funktionieren, wie sie sollen, und dass im Falle eines Cyberangriffs oder eines anderen Notfalls die Daten schnell und einfach wiederhergestellt werden.
Fazit: Organisationen des Gesundheitswesens stehen auf dem Prüfstand wie nie zuvor. Unabhängig davon, welche Tools und Prozesse bisher implementiert sind, entwickeln sich die Bedrohungen für die Datensicherheit ständig weiter. Mit anderen Worten: Organisationen im Gesundheitswesen müssen stets wachsam bleiben. Glücklicherweise können Gesundheitseinrichtungen durch eine optimierte Verwaltung, sowie einen besseren Schutz ihrer Daten ein hohes Maß an Versorgung sicherstellen und digitale Katastrophen vermeiden.
