- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Sicherheit & Schutz der Privatsphäre


Sicherheitsrisiken im Gesundheitswesen - Tendenz steigend
Kann eine ganzheitliche Sicht wie sie das "Security Information and Event Management" (SIEM) verspricht, tatsächlich helfen?

- Anzeigen -





Von Ralph Kreter, securonix

Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben.

PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

Die Herausforderung: Zugriff auf PHI-Aufzeichnungen gewährleisten und sie gleichzeitig schützen
Im Zuge der Digitalisierung und der damit einhergehenden technischen und organisatorischen Veränderungen entwickelt sich auch das Gesundheitswesen ständig weiter. Das macht es nicht unbedingt einfacher für die Sicherheit einer komplexen und hoch vernetzten Infrastruktur zu sorgen, innerhalb derer eine Vielzahl von sensiblen Daten verarbeitet, geteilt und gespeichert werden.

Zu diesen tiefgreifenden Veränderungen zählen:
>> Die Einführung elektronischer Patientendatensysteme
>> Das Gesundheitswesen verlässt sich zunehmend auf immer intelligenter werdende und internetfähige medizinische Geräte
>> Die Branche steht unter hohem regulatorischen Druck mit wachsenden Herausforderungen, HIPAA und HITECH um nur zwei zu nennen

Parallel dazu haben sich die Angriffsszenarien ebenfalls verändert und weiterentwickelt. Je attraktiver das Ziel, desto ausgefeilter die Angriffe. Das gilt auch und gerade für Systeme im Gesundheitswesen. Patientendaten gehören zu den Informationen, die auf dem Schwarzmarkt regelmäßig Höchstpreise erzielen.

Zu den gängigsten Angriffsmethoden und Szenarien gehören:
>> Ransomware
>> Sicherheitsschwachstellen im Internet of Things (IoT)
>> Innentäter, einschließlich bestechlicher Mitarbeiter
>> Social Engineering entweder über soziale Medien oder (zum Teil hoch spezialisierte) Phishing-Angriffe

Das Gesundheitswesen ist bisher eher selten durch besonders aktuelle Sicherheitstechnologien und Prozesse aufgefallen. Ausnahmen bestätigen auch hier die Regel, allerdings meistens erst dann, wenn das Kind schon in den Brunnen gefallen ist und eine Datenschutzverletzung den nötigen Handlungsdruck erzeugt hat. Viele der bestehenden Sicherheitssysteme sind nicht mehr aktuell oder gar in der Lage mit den Innovationen der Medizintechnologie Schritt zu halten. Die existierenden Signatur- und Regel-basierten Security-Information-and-Event- Management (SIEM)-Lösungen bilden da hinsichtlich neuer Bedrohungsszenarien keine Ausnahme. Zudem produzieren sie Unmengen von Alarmen, übersehen Anzeichen auf einen potenziellen Angriff und überschwemmen die ohnehin überlastete IT mit Falsch-Positiv-Meldungen. Die sorgen im schlimmsten Fall dafür, dass relevante Benachrichtigungen übersehen werden, und die Effektivität der Sicherheitsmaßnahmen gefährlich nach unten geht.

SIEM-Lösungen im Dienste von Sicherheit und Schutz der Privatsphäre
Das Gesundheitswesen ist in einem hohen Maße von medizinischer Hard- und Software und digitalen Daten abhängig, während sich gleichzeitig die Bedrohungslandschaft ununterbrochen wandelt. Traditionelle SIEM-Lösungen erfüllen dieses Anforderungsprofil kaum mehr. Dem SIEM-System liegt das Prinzip zugrunde, dass relevante Daten über die Sicherheit einer Firma an verschiedenen Stellen anfallen und es wesentlich einfacher ist, Trends und Muster zu erkennen, die vom gewohnten Schema abweichen, wenn man alle diese Daten an einer zentralen Stelle betrachten kann. SIEM fasst Funktionen von Security Information Management (SIM) und Security Event Management (SEM) in einem Sicherheits-Management-System zusammen. Moderne SIEM-Systeme integrieren aber zusätzliche Schlüsselattribute, die helfen die beschriebenen Risiken zu senken, im Idealfall zentral gesteuert:

>> Sie nutzen Technologien auf Basis von künstlicher Intelligenz und maschinellem Lernen. Für Angreifer ist es mit üblichen Techniken relativ problemlos möglich traditionelle Regel- und Signatur-basierte SIEM-Lösungen zu umgehen. Gegen bislang unbekannte Bedrohungen sind sie ohnehin machtlos. Deshalb nutzen moderne SIEM-Lösungen automatisiertes maschinelles Lernen und Big-Data-Analysen. Ein System, das auf maschinellem Lernen basiert, kann sich zügig anpassen und auch solche Bedrohungen erkennen, auf die traditionelle Systeme nicht schnell genug reagieren können.

>> Nutzen die Analyse des Benutzerverhaltens um potenzielle Insider-Bedrohungen und unbefugtes Herumschnüffeln zu erkennen. Solche Systeme verwalten eine Liste der Benutzer und der ihnen zugewiesenen Berechtigungen. Das stellt sicher, dass die Nutzer nur auf solche Patientendaten zugreifen auf die sie auch Zugriff haben sollten. Das Benutzerverhalten sowohl auf der individuellen Ebene als auch auf Gruppen-Level zu verstehen, ist eines der Schlüsselelemente um Anomalien zu entdecken, die Anzeichen für eine Insider-Bedrohung sein könnten. Sie basieren auf dem Missbrauch von Zugriffsberechtigungen, die entweder fälschlich zugewiesen wurden und es dem Betreffenden erlauben außerhalb des autorisierten Bereichs zu agieren. Oder ein externer Angreifer benutzt einen illegitimen Kontozugriff und bedient sich der mit diesem Konto verbundenen Rechte.

>> Eindeutig definierte Prozesse zur Störungsbeseitigung. Wird ein Cyberangriff entdeckt, kommt es darauf an Art und Umfang schnellstmöglich zu analysieren und Gegenmaßnahmen einzuleiten um den Schaden zu begrenzen. Werden Bedrohungen nicht innerhalb einer bestimmten Zeitspanne erkannt und beseitigt, sind die Folgen oft weitreichend. Wie sich wer im Falle eines Angriffs zu verhalten hat, wie die Kommunikationsabläufe definiert sind und welche Schulungen jetzt greifen sollten, all das sind Prozesse, die helfen den Schaden einzugrenzen.

>> Die Vertraulichkeit von Patientendaten gewährleisten. Nur wenn man EMR-Applikationen kontinuierlich überwacht, entdeckt man Anzeichen für verdächtige Aktivitäten. Das ist aber nur eine Seite. Wenn diese Aufzeichnungen Patientendaten enthalten, ist es wichtig sicherzustellen, dass diese auch vertraulich bleiben. Einer der Nachteile bei traditionellen SIEM-Lösungen liegt darin, dass man gezwungen ist sensible Patientendaten mit anderen IT-Daten zu vermischen, und so riskiert gegen Compliance-Anforderungen zu verstoßen. Fortschrittliche SIEM-Lösungen integrieren eine Reihe von Funktionen, die vertrauliche Daten schützen. Dazu dient das Anonymisieren von Daten (etwa über Datenmaskierung), die Rollen-basierte Kontrolle von Zugriffsberechtigungen, das Filtern oder Löschen von Daten und ein vollständig nachvollziehbarer Audit-Trail.

>> Vereinfachtes Compliance-Reporting. Unternehmen und Organisationen innerhalb des Gesundheitswesens sind stark reguliert. Entsprechend aufwendig sind die Berichtsanforderungen. Funktionen, sie es erlauben, Berichte sofort abzurufen, erleichtern die Compliance mit HIPAA, HITRUST, DSGVO/GDPR und anderen Richtlinien.

Aktuelle Lösungen kombinieren Bedrohungserkennung und Bedrohungsabwehr über eine zentrale Stelle und integrieren EMR-Anwendungen, Sicherheit und Netzwerkgeräte sowie Identity Stores. Auf diese Weise sammelt das System Daten zu Sicherheitsvorkommnissen und ergänzt sie um hilfreiche Kontextinformationen. Die Befunde werden auf der Basis von maschinellem Lernen analysiert, so dass der Algorithmus auf ein in diesem Umfeld als "normal" definiertes Verhalten trainiert wird und abweichendes Verhalten und Anomalien identifizieren kann. Weiterhin lassen sich zwischen bestimmten Anomalien Muster und Schemata erkennen, die in nachvollziehbare Bedrohungsketten münden. Diese wiederum erlauben es Vorkommnisse und Risiken zu priorisieren und entsprechend zu handeln.
(securonix: ra)

eingetragen: 06.08.19
Newsletterlauf: 03.09.19

HackerOne: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

  • Cyber-Sabotage durch Datenmanipulation

    Cyberkriminelle stehlen nicht nur Daten. Manchmal ist es stattdessen ihr Ziel, Daten bewusst zu manipulieren. Attacken, bei denen externe Angreifer oder böswillige Insider subtile Veränderungen an unternehmenskritischen Daten wie etwa Quellcodes, Finanzdokumenten oder Bauplänen vornehmen, können für Unternehmen genauso verheerend sein wie Diebstahl. Es bedarf oft nur eines Fehlers, beispielsweise durch einen Angriff auf industrielle Steuerungssysteme, um die Produktion von Gütern zu unterbrechen oder zu verzögern und eventuell eine gesamte Lieferkette zu gefährden. Hat das Unternehmen keine adäquate Möglichkeit zu überprüfen, ob wichtige Daten legitim sind, kann dies zudem das Vertrauen im Unternehmen von innen heraus zersetzen.

  • Datenmanipulation auf dem Vormarsch

    Technologie hat die Eigenschaft uns auf Trab zu halten. Und obwohl ständiger Wandel und Innovation aufregend sind, damit wirklich Schritt zu halten kann ein zweischneidiges Schwert sein. Das hat den Datenschutz zur heute vielleicht größten Herausforderung für Unternehmen gemacht. Bei der Sicherheitsplanung für das kommende Jahr gehen wir davon aus, dass einige Probleme vorrangig sein werden.

  • Kontrolle über die Daten gewinnen

    Für Cyberkriminelle sind sensible Unternehmensdaten Gold wert: Gestohlene Kundeninformationen und Account-Logins von Mitarbeitern ermöglichen Betrug und Identitätsdiebstahl; geistiges Eigentum und Geschäftsgeheimnisse lassen sich lukrativ an die Konkurrenz verkaufen. Kontrolle über ihre Daten zu gewinnen, ist in Zeiten massiv wachsender Datenmengen für Unternehmen jeder Größe eine Herausforderung. E-Mails, Kollaborationstools und mobile Geräte verbinden Mitarbeiter, Dienstleister und Geschäftspartner, gewähren zugleich aber Zugang zu Unternehmensnetzwerken, die oft vertrauliche Informationen enthalten. Zudem haben Nutzer häufig höhere Zugriffsrechte, als für ihre Aufgaben erforderlich wäre. Das verschärft das Risiko von Datendiebstahl weiter, sowohl durch externe Angreifer als auch durch Insider-Bedrohungen.