Tendenz steigend: Sicherheitsrisiken im Gesundheitswesen

„Security Information and Event Management“ (SIEM) empfohlen

[datensicherheit.de, 06.06.2019] Ralph Kreter, securonix, erörtert die Frage, ob eine ganzheitliche Sicht wie sie das „Security Information and Event Management“ (SIEM) verspricht, tatsächlich helfen kann, den zunehmenden Sicherheitsrisiken im Gesundheitswesen zu begegnen.

Personal Health Information – so sensibel wie begehrt

Kreter: „Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PII-Daten, ,Personal Health Information‘, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyber-Kriminellen zu kämpfen haben.“
Die Beispiele erfolgreicher Attacken seien „Legion“. Auch hierzulande habe es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehörten zu den Daten, die sich besonders gut verkaufen ließen, und die finanzielle Motivation spiele bei externen Angreifern eine entscheidende Rolle. Es verwundere also nicht, dass die Zahl der Angriffe steige und die verwendeten Vektoren zunehmend ausgefeilter würden.

PHI-Aufzeichnungen: Zugriff und Schutz zugleich gewährleisten

Ziel der Cyber-Kriminellen sei es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehöre die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen stellten die Verantwortlichen vor nicht zu unterschätzende Herausforderungen. Die Herausforderung sei es, so Kreter, Zugriff auf PHI-Aufzeichnungen zu gewährleisten und sie gleichzeitig zu schützen.
„Im Zuge der Digitalisierung und der damit einhergehenden technischen und organisatorischen Veränderungen entwickelt sich auch das Gesundheitswesen ständig weiter. Das macht es nicht unbedingt einfacher, für die Sicherheit einer komplexen und hoch vernetzten Infrastruktur zu sorgen, innerhalb derer eine Vielzahl von sensiblen Daten verarbeitet, geteilt und gespeichert werden.“

Tiefgreifende Veränderungen des Gesundheitswesens

Zu diesen tiefgreifenden Veränderungen zählen laut Kreter:

• Die Einführung elektronischer Patientendatensysteme.
• Das Gesundheitswesen verlasse sich zunehmend auf immer intelligenter werdende und internetfähige medizinische Geräte.
• Die Branche stehe unter hohem regulatorischen Druck mit wachsenden Herausforderungen – HIPAA und HITECH, um nur zwei zu nennen.

Angriffsszenarien ebenfalls verändert

Parallel dazu hätten sich die Angriffsszenarien ebenfalls verändert und weiterentwickelt. Je attraktiver das Ziel desto ausgefeilter die Angriffe. Das gelte auch und gerade für Systeme im Gesundheitswesen. Patientendaten gehörten zu den Informationen, die auf dem Schwarzmarkt regelmäßig Höchstpreise erzielten. Zu den gängigsten Angriffsmethoden und Szenarien gehören:

• Ransomware.
• Sicherheitsschwachstellen im Internet of Things (IoT).
• Innentäter, einschließlich bestechlicher Mitarbeiter.
• „Social Engineering“ entweder über Soziale Medien oder (zum Teil hoch spezialisierte) Phishing-Angriffe

Herkömmliche SIEM-Systeme aber ungeeignet

Das Gesundheitswesen sei bisher eher selten durch besonders aktuelle Sicherheitstechnologien und Prozesse aufgefallen. Ausnahmen bestätigten auch hier die Regel, allerdings meistens erst dann, „wenn das Kind schon in den Brunnen gefallen ist und eine Datenschutzverletzung den nötigen Handlungsdruck erzeugt hat“.
Viele der bestehenden Sicherheitssysteme seien nicht mehr aktuell oder gar in der Lage, mit den Innovationen der Medizintechnologie Schritt zu halten. Die existierenden Signatur- und Regelbasierten Security-Information-and-Event-Management-Lösungen (SIEM) bildeten da hinsichtlich neuer Bedrohungsszenarien keine Ausnahme. Zudem produzierten sie Unmengen von Alarmen, übersähen Anzeichen auf einen potenziellen Angriff und überschwemmten die ohnehin überlastete IT mit Falsch-Positiv-Meldungen. Die sorgten im schlimmsten Fall dafür, dass relevante Benachrichtigungen übersehen würden und die Effektivität der Sicherheitsmaßnahmen gefährlich nach unten gehe.

Moderne SIEM-Systeme integrieren zusätzliche Schlüsselattribute

Das Gesundheitswesen sei in einem hohen Maße von medizinischer Hard- und Software und digitalen Daten abhängig, während sich gleichzeitig die Bedrohungslandschaft ununterbrochen wandele. Traditionelle SIEM-Lösungen erfüllten dieses Anforderungsprofil kaum mehr. Dem SIEM-System liege das Prinzip zugrunde, dass relevante Daten über die Sicherheit einer Firma an verschiedenen Stellen anfielen und es wesentlich einfacher sei, Trends und Muster zu erkennen, „die vom gewohnten Schema abweichen, wenn man alle diese Daten an einer zentralen Stelle betrachten kann“.
SIEM fasse Funktionen von „Security Information Management“ (SIM) und „Security Event Management“ (SEM) in einem Sicherheits-Management-System zusammen. Moderne SIEM-Systeme integrierten aber zusätzliche Schlüsselattribute, „die helfen die beschriebenen Risiken zu senken, im Idealfall zentral gesteuert“, so Kreter.

Automatisiertes maschinelles Lernen und Big-Data-Analysen

Moderne SIEM-Systeme nutzten Technologien auf Basis von Künstlicher Intelligenz (KI) und maschinellem Lernen. Für Angreifer sei es mit üblichen Techniken sonst relativ problemlos möglich, traditionelle Regel- und Signatur-basierte SIEM-Lösungen zu umgehen. Gegen bislang unbekannte Bedrohungen seien sie ohnehin machtlos. Deshalb nutzten moderne SIEM-Lösungen automatisiertes maschinelles Lernen und Big-Data-Analysen. „Ein System, das auf maschinellem Lernen basiert, kann sich zügig anpassen und auch solche Bedrohungen erkennen, auf die traditionelle Systeme nicht schnell genug reagieren können.“
Ferner nutzen sie die Analyse des Benutzerverhaltens, um potenzielle Insider-Bedrohungen und unbefugtes „Herumschnüffeln“ zu erkennen. Solche Systeme verwalteten eine Liste der Benutzer und der ihnen zugewiesenen Berechtigungen. Kreter: „Das stellt sicher, dass die Nutzer nur auf solche Patientendaten zugreifen, auf die sie auch Zugriff haben sollten.“ Das Benutzerverhalten sowohl auf der individuellen Ebene als auch auf Gruppen-Level zu verstehen, sei eines der Schlüsselelemente, um Anomalien zu entdecken, welche Anzeichen für eine Insider-Bedrohung sein könnten: „Sie basieren auf dem Missbrauch von Zugriffsberechtigungen, die entweder fälschlich zugewiesen wurden und es dem Betreffenden erlauben, außerhalb des autorisierten Bereichs zu agieren. Oder ein externer Angreifer benutzt einen illegitimen Kontozugriff und bedient sich der mit diesem Konto verbundenen Rechte.“

Eindeutig definierte Prozesse zur Störungsbeseitigung

Wird ein Cyber-Angriff entdeckt, komme es darauf an, Art und Umfang schnellstmöglich zu analysieren und Gegenmaßnahmen einzuleiten, um den Schaden zu begrenzen. Werden Bedrohungen nicht innerhalb einer bestimmten Zeitspanne erkannt und beseitigt, seien die Folgen oft weitreichend.
„Wie sich wer im Falle eines Angriffs zu verhalten hat, wie die Kommunikationsabläufe definiert sind und welche Schulungen jetzt greifen sollten, all das sind Prozesse, die helfen den Schaden einzugrenzen“, berichtet Kreter.

Vertraulichkeit der Patientendaten gewährleisten

„Nur wenn man EMR-Applikationen kontinuierlich überwacht, entdeckt man Anzeichen für verdächtige Aktivitäten. Das ist aber nur eine Seite“, so Kreter. Wenn diese Aufzeichnungen Patientendaten enthalten, sei es wichtig sicherzustellen, dass diese auch vertraulich bleiben. Einer der Nachteile bei traditionellen SIEM-Lösungen liege darin, dass man gezwungen sei, sensible Patientendaten mit anderen IT-Daten zu vermischen, und so riskiere, gegen Compliance-Anforderungen zu verstoßen.
Fortschrittliche SIEM-Lösungen integrierten eine Reihe von Funktionen, die vertrauliche Daten schützten. Dazu diene das Anonymisieren von Daten (etwa über Datenmaskierung), die Rollen-basierte Kontrolle von Zugriffsberechtigungen, das Filtern oder Löschen von Daten und ein vollständig nachvollziehbarer Audit-Trail.

Kombination: Bedrohungserkennung und -abwehr

Vereinfachtes Compliance-Reporting willkommen: Unternehmen und Organisationen innerhalb des Gesundheitswesens seien stark reguliert. Entsprechend aufwändig seien die Berichtsanforderungen. Funktionen, die es erlauben Berichte sofort abzurufen, erleichterten die Compliance mit HIPAA, HITRUST, DSGVO/GDPR und anderen Richtlinien.
„Aktuelle Lösungen kombinieren Bedrohungserkennung und Bedrohungsabwehr über eine zentrale Stelle und integrieren EMR-Anwendungen, Sicherheit und Netzwerkgeräte sowie ,Identity Stores‘. Auf diese Weise sammelt das System Daten zu Sicherheitsvorkommnissen und ergänzt sie um hilfreiche Kontextinformationen“, so Kreter. Die Befunde würden auf der Basis von maschinellem Lernen analysiert, so dass der Algorithmus auf ein in diesem Umfeld als „normal“ definiertes Verhalten trainiert werde und abweichendes Verhalten und Anomalien identifizieren könne. Weiterhin ließen sich zwischen bestimmten Anomalien Muster und Schemata erkennen, die in nachvollziehbare Bedrohungsketten mündeten. Diese wiederum erlaubten es, Vorkommnisse und Risiken zu priorisieren und entsprechend zu handeln.

Weitere Informationen zum Thema:

SECURONIX
WHITEPAPER / Next-Gen SIEM for Healthcare

datensicherheit.de, 20.05.2019
Cybersicherheitsrisiken im Gesundheitswesen

datensicherheit.de, 24.08.2018
Das Problem der IoT-Sicherheit im Gesundheitswesen

datensicherheit.de, 23.04.2018
Orangeworm: Cyber-Kriminelle nehmen Gesundheitswesen ins Visier

datensicherheit.de, 24.02.2018
Thales Healthcare Data Threat Report 2018: Mehr Datenschutzverletzungem im Gesundheitswesen

datensicherheit.de, 18.11.2017
Gesundheits-Apps: Mehr Transparenz und Sicherheit erforderlich