- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Vorschriften im Gesundheitswesen


HIPAA und Best Practices für mehr Cybersicherheit im Gesundheitswesen
Digitale Zertifikate als Teil der Sicherheits- und Datenschutzstrategie

- Anzeigen -





Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert.

Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen.

Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

Lesen Sie zum Thema "Sicherheit und Compliance im Gesundheitswesen" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Das Ökosystem des Gesundheitswesens ist äußerst komplex und konzentriert sich vor allem auf Dienstleistungen, Pflege und Produkte, die sich an Patienten und Verbraucher richten. Stellen Sie sich einfach nur selbst alle Interaktionen bei nur einem Arzttermin vor. Ganz zu schweigen von all den Daten und Aufzeichnungen, die dabei generiert werden. Gesundheitseinrichtungen und -organisationen sind Teil der digitalen Transformation. Das damit verbundene Versprechen: bessere Betreuung der Patienten und besserer Service . Patientenakten liegen heute fast immer vollständig digitalisiert vor, Patientenkontrolle und Datenerfassung sind inzwischen ebenfalls voll automatisiert. Nur folgerichtig steigt mit mehr digitalen Daten und Prozessen auch das Risiko von Cyberattacken exponentiell an.

Gesundheitseinrichtungen und -organisationen sind allein schon wegen hoch sensibler Patientenakten und des potenziell entstehenden Schadens ein lohnendes Angriffsziel. Zudem gelten sie als leicht angreifbar, weil eine Vielzahl von Personen und Mitarbeitern sich mit allen möglichen Geräten und zugänglichen Netzwerken verbinden.

Darüber hinaus sind ältere, gegebenenfalls anfälligere Geräte immer noch in Gebrauch. Etwa weil sie schwer zu aktualisieren, teuer zu ersetzen oder sehr wertvoll für die tägliche Patientenversorgung sind. Ein aktuelles schlagzeilenträchtiges Beispiel war die WannaCry Ransomware Attacke, die auf eine bekannte Microsoft Windows-Schwachstelle abzielte. WannaCry richtete sich unter anderem gegen zahlreiche Gesundheitseinrichtungen und richtete in einigen Ländern erhebliche Schäden an. Dieser Angriff hätte mit einem einfachen Patch verhindert werden können.

Während die Arbeit der HCIC Task Force und die Veröffentlichung des Berichts zur Cybersicherheit eine Vielzahl von Richtlinien formulieren, die am NIST Cybersecurity Framework ausgerichtet sind, müssen die technischen Sicherungsmaßnahmen von HIPAA Teil der Cybersicherheits-Strategie aller Gesundheitsorganisation sein. Dieser kürzlich von Health IT Security veröffentlichte Artikel Implementing HIPAA Technical Safeguards for Data Security, bietet auch für Anwendungen hierzulande einen guten Überblick über technische Sicherungsmaßnahmen. Und dazu was passiert, wenn sie fehlen.

Was versteht man unter technischen Sicherungsmaßnahmen?

Nach Definition der HIPAA Security Rule, sind technische Sicherungsmaßnahmen die Technologie und die Richtlinien sowie Verfahren für ihren Einsatz, die elektronisch geschützte Gesundheitsdaten (e-PHI) absichern und den Zugriff darauf kontrollieren.

Zu den technischen Sicherungsmaßnahmen nach der HIPAA Security Rule gehören:

Zugangs-/Zugriffskontrolle - Eine vom Gesetz erfasste Einrichtung (Covered Entity) muss technische Richtlinien und Verfahren implementieren, die nur autorisierten Personen den Zugang zu e-PHI erlaubt.

Sicherheitsprüfungen und Kontrollen - Eine Covered Entity muss Hardware-, Software- und/oder Verfahrensmechanismen implementieren, um den Zugang und andere Aktivitäten in Informationssystemen, die e-PHI enthalten oder verwenden, zu erfassen und zu untersuchen.

Integritätskontrollen - Eine Covered Entity muss Richtlinien und Verfahren implementieren, um zu gewährleisten, dass e-PHI nicht missbräuchlich verändert oder gelöscht werden. Es müssen elektronische Maßnahmen getroffen werden, um zu bestätigen, dass e-PHI nicht missbräuchlich verändert oder gelöscht wurden.

Übertragungssicherheit - Eine Covered Entity muss technische Sicherheitsmaßnahmen implementieren, die vor unberechtigtem Zugang zu/Zugriff auf e-PHI schützen, die über ein elektronisches Netzwerk übertragen werden.
Warum technische Sicherungsmaßnahmen gemäß HIPAA implementieren

Sicherheitsmaßnahmen nach HIPAA nicht zu implementieren ist für eine Organisation/ ein Unternehmen im Gesundheitswesen keine Option. Technische Sicherungsmaßnahmen tragen dazu bei sicherheitsrelevante Vorkommnisse zu verhindern. Zudem müssen Unternehmen im Gesundheitswesen HIPAA-konform sein. Beispielsweise wenn ein Auditor sie prüft.

Ist das die Garantie, dass kein sicherheitsrelevantes Ereignis eintritt? Nein. Aber die Einhaltung der HIPAA-Richtlinien und das Implementieren von Best Practices der IT-Sicherheit, weisen nach, dass das betreffende Unternehmen HIPAA-konform ist, wenn ein Sicherheitsvorfall eintritt. Das schützt unter Umständen vor hohen Geldstrafen im Falle einer Datenschutzverletzung.

Digitale Zertifikate
Die HIPAA Security Rule definiert keine spezifischen Anforderungen an einen bestimmten Technologietyp. Jede Gesundheitsorganisation kann ihre eigenen Sicherheitsmaßnahmen implementieren, um den Standard und die Spezifikation zu erfüllen. Zertifizierungsstellen wie GlobalSign messen digitalen Zertifikaten eine wichtige Rolle zu, wenn Gesundheitseinrichtungen und -organisationen technische Sicherungsmaßnahmen nach HIPAA angehen. Die Schlüsselbegriffe: eindeutige Benutzeridentifikation, Verschlüsselung und Entschlüsselung, Authentifizierungs- und Integritätskontrollen.

Best Practices in der IT-Sicherheit beginnen mit Identität. Wenn jedes "Ding" eine Identität hat, kann alles sicherer sein. Menschen, Geräte, Dienste, Anwendungen und all die Dinge, die sich mit dem Internet verbinden, müssen eine Identität haben, um Kommunikationen und Transaktionen zu verschlüsseln, sich für einen Dienst zu authentifizieren, einen ordnungsgemäßen Zugang zu autorisieren und ihre Integrität nachzuweisen. Digitale Zertifikate bieten diese Identität und das damit verbundene Vertrauen. Sie ermöglichen viele Sicherheitsanwendungen, die Teil der technischen Sicherungsmaßnahmen nach HIPAA sind:

Web- und Serversicherheit - Weisen Sie nach, dass Ihre öffentlichen und privaten Websites und Server legitim sind und schützen und verschlüsseln Sie Datenübertragungen und -transaktionen mit SSL/TLS-Zertifikaten.

Benutzer- und Geräteauthentifizierung und Zugangskontrolle - Implementieren Sie starke Authentifizierung, ohne die Endbenutzer mit Hardware-Token oder Anwendungen zu belasten, und gewährleisten Sie, dass nur zugelassene Benutzer, Computer und Geräte (einschließlich Mobilgeräte) Zugang zu autorisierten Netzwerken und Diensten haben.

Dokumentensignierung - Digitale Signaturen mit vertrauenswürdigen digitalen Zertifikaten ersetzen handschriftliche Unterschriften und schaffen ein manipulationssicheres Siegel zum Schutz Ihrer Patientenakten und anderer Dokumente, die sicher und geheim gehalten werden müssen.

Sichere E-Mail - Digitales Signieren und Verschlüsseln aller internen E-Mails mindert die Risiken von Phishing und Datenverlust durch eine klare Verifizierung der Nachrichtenherkunft. Damit können Empfänger legitime Nachrichten von Phishing-Mails unterscheiden, und es wird gewährleistet, dass nur bestimmungsgemäße Empfänger Zugang zu E-Mail-Inhalten haben.

Es besteht kein Zweifel daran, dass Sicherheit im Gesundheitswesen so komplex wie notwendig ist, um sensible Daten zu schützen. Verordnungen wie HIPAA und Leitlinien der HCIC Task Force bieten einen hervorragenden Rahmen und Empfehlungen für die Einführung von Best Practices. Digitale Zertifikate sollten ein Teil Ihres mehrschichtigen Sicherheitsansatzes sein und wir sind hier, um Ihnen zu helfen.
(GlobalSign: ra)

eingetragen: 10.07.17
Home & Newsletterlauf: 31.07.17


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.

  • Detailliertes Profil der Angreifer entscheidend

    "Kill Chain" - dieser Begriff stammt eigentlich aus dem Militärjargon und bezeichnet ein Modell, das alle Phasen eines Angriffs beschreibt. Im Umkehrschluss zeigt es Wege auf, mit denen sich diese Angriffe vermeiden oder zumindest abschwächen lassen - eine Taktik, die auch hinsichtlich digitaler Bedrohungen und Hackangriffe interessant ist. Die Kill Chain digitaler Bedrohungen lässt sich in sieben verschiedene Phasen unterteilen.

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.