- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Sicherheit & Schutz der Privatsphäre


Sicherheitsrisiken im Gesundheitswesen - Tendenz steigend
Kann eine ganzheitliche Sicht wie sie das "Security Information and Event Management" (SIEM) verspricht, tatsächlich helfen?

- Anzeigen -





Von Ralph Kreter, securonix

Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben.

PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

Die Herausforderung: Zugriff auf PHI-Aufzeichnungen gewährleisten und sie gleichzeitig schützen
Im Zuge der Digitalisierung und der damit einhergehenden technischen und organisatorischen Veränderungen entwickelt sich auch das Gesundheitswesen ständig weiter. Das macht es nicht unbedingt einfacher für die Sicherheit einer komplexen und hoch vernetzten Infrastruktur zu sorgen, innerhalb derer eine Vielzahl von sensiblen Daten verarbeitet, geteilt und gespeichert werden.

Zu diesen tiefgreifenden Veränderungen zählen:
>> Die Einführung elektronischer Patientendatensysteme
>> Das Gesundheitswesen verlässt sich zunehmend auf immer intelligenter werdende und internetfähige medizinische Geräte
>> Die Branche steht unter hohem regulatorischen Druck mit wachsenden Herausforderungen, HIPAA und HITECH um nur zwei zu nennen

Parallel dazu haben sich die Angriffsszenarien ebenfalls verändert und weiterentwickelt. Je attraktiver das Ziel, desto ausgefeilter die Angriffe. Das gilt auch und gerade für Systeme im Gesundheitswesen. Patientendaten gehören zu den Informationen, die auf dem Schwarzmarkt regelmäßig Höchstpreise erzielen.

Zu den gängigsten Angriffsmethoden und Szenarien gehören:
>> Ransomware
>> Sicherheitsschwachstellen im Internet of Things (IoT)
>> Innentäter, einschließlich bestechlicher Mitarbeiter
>> Social Engineering entweder über soziale Medien oder (zum Teil hoch spezialisierte) Phishing-Angriffe

Das Gesundheitswesen ist bisher eher selten durch besonders aktuelle Sicherheitstechnologien und Prozesse aufgefallen. Ausnahmen bestätigen auch hier die Regel, allerdings meistens erst dann, wenn das Kind schon in den Brunnen gefallen ist und eine Datenschutzverletzung den nötigen Handlungsdruck erzeugt hat. Viele der bestehenden Sicherheitssysteme sind nicht mehr aktuell oder gar in der Lage mit den Innovationen der Medizintechnologie Schritt zu halten. Die existierenden Signatur- und Regel-basierten Security-Information-and-Event- Management (SIEM)-Lösungen bilden da hinsichtlich neuer Bedrohungsszenarien keine Ausnahme. Zudem produzieren sie Unmengen von Alarmen, übersehen Anzeichen auf einen potenziellen Angriff und überschwemmen die ohnehin überlastete IT mit Falsch-Positiv-Meldungen. Die sorgen im schlimmsten Fall dafür, dass relevante Benachrichtigungen übersehen werden, und die Effektivität der Sicherheitsmaßnahmen gefährlich nach unten geht.

SIEM-Lösungen im Dienste von Sicherheit und Schutz der Privatsphäre
Das Gesundheitswesen ist in einem hohen Maße von medizinischer Hard- und Software und digitalen Daten abhängig, während sich gleichzeitig die Bedrohungslandschaft ununterbrochen wandelt. Traditionelle SIEM-Lösungen erfüllen dieses Anforderungsprofil kaum mehr. Dem SIEM-System liegt das Prinzip zugrunde, dass relevante Daten über die Sicherheit einer Firma an verschiedenen Stellen anfallen und es wesentlich einfacher ist, Trends und Muster zu erkennen, die vom gewohnten Schema abweichen, wenn man alle diese Daten an einer zentralen Stelle betrachten kann. SIEM fasst Funktionen von Security Information Management (SIM) und Security Event Management (SEM) in einem Sicherheits-Management-System zusammen. Moderne SIEM-Systeme integrieren aber zusätzliche Schlüsselattribute, die helfen die beschriebenen Risiken zu senken, im Idealfall zentral gesteuert:

>> Sie nutzen Technologien auf Basis von künstlicher Intelligenz und maschinellem Lernen. Für Angreifer ist es mit üblichen Techniken relativ problemlos möglich traditionelle Regel- und Signatur-basierte SIEM-Lösungen zu umgehen. Gegen bislang unbekannte Bedrohungen sind sie ohnehin machtlos. Deshalb nutzen moderne SIEM-Lösungen automatisiertes maschinelles Lernen und Big-Data-Analysen. Ein System, das auf maschinellem Lernen basiert, kann sich zügig anpassen und auch solche Bedrohungen erkennen, auf die traditionelle Systeme nicht schnell genug reagieren können.

>> Nutzen die Analyse des Benutzerverhaltens um potenzielle Insider-Bedrohungen und unbefugtes Herumschnüffeln zu erkennen. Solche Systeme verwalten eine Liste der Benutzer und der ihnen zugewiesenen Berechtigungen. Das stellt sicher, dass die Nutzer nur auf solche Patientendaten zugreifen auf die sie auch Zugriff haben sollten. Das Benutzerverhalten sowohl auf der individuellen Ebene als auch auf Gruppen-Level zu verstehen, ist eines der Schlüsselelemente um Anomalien zu entdecken, die Anzeichen für eine Insider-Bedrohung sein könnten. Sie basieren auf dem Missbrauch von Zugriffsberechtigungen, die entweder fälschlich zugewiesen wurden und es dem Betreffenden erlauben außerhalb des autorisierten Bereichs zu agieren. Oder ein externer Angreifer benutzt einen illegitimen Kontozugriff und bedient sich der mit diesem Konto verbundenen Rechte.

>> Eindeutig definierte Prozesse zur Störungsbeseitigung. Wird ein Cyberangriff entdeckt, kommt es darauf an Art und Umfang schnellstmöglich zu analysieren und Gegenmaßnahmen einzuleiten um den Schaden zu begrenzen. Werden Bedrohungen nicht innerhalb einer bestimmten Zeitspanne erkannt und beseitigt, sind die Folgen oft weitreichend. Wie sich wer im Falle eines Angriffs zu verhalten hat, wie die Kommunikationsabläufe definiert sind und welche Schulungen jetzt greifen sollten, all das sind Prozesse, die helfen den Schaden einzugrenzen.

>> Die Vertraulichkeit von Patientendaten gewährleisten. Nur wenn man EMR-Applikationen kontinuierlich überwacht, entdeckt man Anzeichen für verdächtige Aktivitäten. Das ist aber nur eine Seite. Wenn diese Aufzeichnungen Patientendaten enthalten, ist es wichtig sicherzustellen, dass diese auch vertraulich bleiben. Einer der Nachteile bei traditionellen SIEM-Lösungen liegt darin, dass man gezwungen ist sensible Patientendaten mit anderen IT-Daten zu vermischen, und so riskiert gegen Compliance-Anforderungen zu verstoßen. Fortschrittliche SIEM-Lösungen integrieren eine Reihe von Funktionen, die vertrauliche Daten schützen. Dazu dient das Anonymisieren von Daten (etwa über Datenmaskierung), die Rollen-basierte Kontrolle von Zugriffsberechtigungen, das Filtern oder Löschen von Daten und ein vollständig nachvollziehbarer Audit-Trail.

>> Vereinfachtes Compliance-Reporting. Unternehmen und Organisationen innerhalb des Gesundheitswesens sind stark reguliert. Entsprechend aufwendig sind die Berichtsanforderungen. Funktionen, sie es erlauben, Berichte sofort abzurufen, erleichtern die Compliance mit HIPAA, HITRUST, DSGVO/GDPR und anderen Richtlinien.

Aktuelle Lösungen kombinieren Bedrohungserkennung und Bedrohungsabwehr über eine zentrale Stelle und integrieren EMR-Anwendungen, Sicherheit und Netzwerkgeräte sowie Identity Stores. Auf diese Weise sammelt das System Daten zu Sicherheitsvorkommnissen und ergänzt sie um hilfreiche Kontextinformationen. Die Befunde werden auf der Basis von maschinellem Lernen analysiert, so dass der Algorithmus auf ein in diesem Umfeld als "normal" definiertes Verhalten trainiert wird und abweichendes Verhalten und Anomalien identifizieren kann. Weiterhin lassen sich zwischen bestimmten Anomalien Muster und Schemata erkennen, die in nachvollziehbare Bedrohungsketten münden. Diese wiederum erlauben es Vorkommnisse und Risiken zu priorisieren und entsprechend zu handeln.
(securonix: ra)

eingetragen: 06.08.19
Newsletterlauf: 03.09.19

HackerOne: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.