Zero Trust ist jetzt ein Muss im Gesundheitswesen: HIMSS 2022 Takeaways

Nach einem Rekordjahr bei gemeldeten Datenschutzverletzungen im US-Gesundheitswesen kam die Rückkehr zur HIMMS, der weltweit größten Gesundheitskonferenz, letzte Woche zu einem entscheidenden Zeitpunkt für die Branche.   

Im Zentrum der Messe stand die übliche Mischung aus Hightech- und hochwertigen Ständen, die die neuesten Hilfsmittel für die Patientenversorgung präsentierten, von Bildmanagement über PACS bis hin zu automatisierten Patienten-Workflow-Systemen. Der Übergang zu Industrie-4.0 -Technologien im Gesundheitswesen wird immer mehr zum Standard, da die Systeme stärker miteinander vernetzt sind und der Zugang zu diesen Systemen an immer mehr Orten erforderlich ist. 

An einem Ende der höhlenartigen Halle befand sich das Cybersecurity Command Center, eine Anlaufstelle für Sicherheitspraktiker im Gesundheitswesen, mit innovativen Anbietern und Schulungsveranstaltungen, in denen die neuesten Sicherheitsthemen und -trends untersucht wurden.  

In Gesprächen mit Konferenzteilnehmern wurde eines deutlich: Das Tempo des Wandels bei der Bereitstellung neuer Systeme wurde nicht mit den erforderlichen Investitionen in die Cybersicherheit Schritt gehalten.  

Die häufigsten Herausforderungen, die wir am häufigsten gehört haben, waren: 

• Das Tempo der Implementierung neuer Technologien
• Schutz für medizinische Geräte
• Aufrechterhaltung der Systemverfügbarkeit
• Technologie-Wildwuchs
• Ransomware-Angriffe

Positiv zu vermerken ist, dass viele Teams die vernünftige Entscheidung treffen, eine Zero-Trust-Strategie aufzubauen. In den Schulungssälen waren alle Veranstaltungen zum Thema Zero Trust gut besucht. 

Das Tolle an einem Zero-Trust-Sicherheitsansatz ist, dass er unabhängig von jeder Infrastruktur sein kann – was eine große Herausforderung bei der Implementierung neuer Technologien darstellt. Der Prozess der Identifizierung der wichtigsten Assets und der anschließenden Aufteilung der Ressourcen, aus denen sich dieses System zusammensetzt, funktioniert unabhängig davon, ob es sich um eine Finanzanwendung oder einen Krankenwagen handelt. Ebenso ist Zero Trust ortsunabhängig, so dass es keine Rolle spielt, ob sich der Schutz im Patientenzimmer oder in der Cloud befindet.

Hier sind einige einfache Schritte, die jede Gesundheitsorganisation unternehmen kann, um problemlos mit der Einführung von Zero Trust zu beginnen: 

1. Identifizieren Sie die Systeme und Assets, die Sie schützen müssen. Identifizieren Sie die Systeme, die miteinander kommunizieren müssen, und diejenigen, die nicht miteinander kommunizieren müssen. Auch wenn der aktuelle Trend in Richtung Hyperkonnektivität geht, ist es unwahrscheinlich, dass ein MRT-Scanner eine direkte Kommunikation mit dem Herzfrequenzsystem benötigt. Die Kartierung der Verbindungen zwischen Anwendungen, Daten und medizinischen Ressourcen hilft dabei, zu visualisieren, aus welchen Komponenten jedes System besteht. Die Visualisierung der Kommunikationsvorgänge hilft Ihnen dabei, die Scanner, Terminals, Datenbanken und Anwendungen zu identifizieren, aus denen das Bildverwaltungssystem besteht. Hier können Sie hervorheben, wo Einschränkungen eingeführt werden müssen, um den Datenfluss und damit standardmäßig die laterale Ausbreitung von Ransomware zu kontrollieren.
    
2. Identifizieren Sie potenzielle Risiken innerhalb Ihrer Infrastruktur. Alle Systeme weisen gewisse Schwachstellen auf, die entweder auf noch nicht eingespielte Patches oder auf unentdeckte Sicherheitslücken zurückzuführen sein können. Zu wissen, mit welchen anderen Ressourcen Ihre Systeme verbunden sind, ist der Schlüssel zum Verständnis des Risikos, das diese Schwachstellen darstellen. Durch die Kombination von Schwachstellenscans, Bedrohungsinformationen und Verbindungsdaten lässt sich eine kontextbezogene Ansicht erstellen, die aufzeigt, wo Einschränkungen erforderlich sind.
    
3. Wenden Sie die optimalen Sicherheitsrichtlinien an. Sobald Sie die Komponenten eines Systems identifiziert und das Risiko bestimmt haben, ist es an der Zeit, die Systeme voneinander zu trennen, um die potenzielle Ausbreitung eines Angriffs zu verhindern. Eine der größten Hürden beim Versuch, eine Umgebung zu unterteilen oder zu segmentieren, ist die Notwendigkeit, das Netzwerk neu zu gestalten. Durch die Anwendung der Segmentierung auf Systemebene, wo sie von der zugrunde liegenden Infrastruktur entkoppelt ist, entfällt die Notwendigkeit von Änderungen im Netzwerk. Durch die einfache Segmentierung von Anwendungen, medizinischen Geräten und anderen Systemen kann die Verfügbarkeit wichtiger Ressourcen auch während eines Angriffs aufrechterhalten werden.

Während diese Schritte Zero Trust praktisch und erreichbar machen, wird die Sicherung der gesamten Gesundheitsinfrastruktur immer schwieriger, da viele neue Medizinprodukte nicht auf die gleiche Weise funktionieren wie ein IT-Gerät. Wenn ein Asset, wie z. B. ein Nachttischwagen, von einem Windows-basierten System unterstützt wird, ist es relativ einfach, Informationen darüber zu sammeln, wie es funktioniert und wie es kommunizieren kann. Wenn es sich bei dem Gerät jedoch um eine Pumpe handelt, funktioniert es auf eine etwas andere Weise. Es reagiert nicht auf die gleichen Befehle und nicht auf die gleiche Weise.

Diese Herausforderung erschwert die Visualisierung der Wechselwirkung zwischen traditionellen IT-Systemen und dem medizinischen IoT. Um dieses Problem zu lösen, hat Illumio eine Partnerschaft mit Cylera geschlossen , um die beiden Umgebungen auf einfache Weise zusammenzuführen. Eine der vielen Aufgaben von Cylera ist das Sammeln von Informationen und Metadaten über medizinische IoT-Geräte. Diese Daten können in Illumio Core importiert werden und alle Objekte werden in einer einzigen Ansicht auf einer Karte angezeigt.

Dies ermöglicht einen sehr einfachen Blick auf das gesamte medizinische System und zeigt das Zusammenspiel verschiedener medizinischer Systeme. Mit diesem Prozess können Sie bestimmen, welche Kommunikation erlaubt und welche gestoppt werden soll.

Von der Karte aus können Zero-Trust-Richtlinien einfach mit einem einzigen Mausklick angewendet werden, was den Prozess der Implementierung einer Zero-Trust-Strategie in der gesamten Gesundheitsinfrastruktur, unabhängig von der Art der Anlage oder dem Standort, erheblich vereinfacht.

Erfahren Sie mehr darüber, wie Illumio Ihr Gesundheitsunternehmen auf seinem Weg zu Zero Trust unterstützen kann:

• Lesen Sie Illumio: Das Rezept für Cybersicherheit im Gesundheitswesen
• Erfahren Sie mehr über die Integration von Illumio und Cylera.
• Erfahren Sie, warum Forrester Illumio in den Forrester Wave-Berichten für Zero Trust und Mikrosegmentierungals führendes Unternehmen ausgezeichnet hat.