Zero Trust ist jetzt ein Muss im Gesundheitswesen: HIMSS 2022 Takeaways

Nach einem Rekordjahr bei gemeldeten Datenschutzverletzungen im Gesundheitswesen in den USA kam die Rückkehr zur HIMMS, der weltweit größten Konferenz im Gesundheitswesen, in der vergangenen Woche zu einem entscheidenden Zeitpunkt für die Branche.   

Das Zentrum der Messe wurde von der üblichen Mischung aus High-Tech- und hochwertigen Ständen dominiert, die die neuesten Hilfsmittel für die Patientenversorgung zeigten, von Bildmanagement über PACS bis hin zu automatisierten Patienten-Workflow-Systemen. Der Übergang zu Industrie 4.0-Technologien im Gesundheitswesen wird zum Mainstream, da die Systeme immer stärker miteinander verbunden sind und der Zugriff auf diese Systeme an mehr Orten erforderlich ist. 

An einem Ende der höhlenartigen Halle befand sich das Cybersecurity Command Center, eine Anlaufstelle für Sicherheitspraktiker im Gesundheitswesen, mit innovativen Anbietern und Schulungsveranstaltungen, in denen die neuesten Sicherheitsthemen und -trends untersucht wurden.  

In Gesprächen mit Konferenzteilnehmern wurde eines deutlich: Das Tempo des Wandels bei der Bereitstellung neuer Systeme wurde nicht mit den erforderlichen Investitionen in die Cybersicherheit Schritt gehalten.  

Die häufigsten Herausforderungen, die wir am häufigsten gehört haben, waren: 

• Das Tempo der Implementierung neuer Technologien
• Schutz für medizinische Geräte
• Aufrechterhaltung der Systemverfügbarkeit
• Technologie-Wildwuchs
• Ransomware-Angriffe

Positiv zu vermerken ist, dass die vernünftige Entscheidung, die viele Teams treffen, darin besteht, eine Zero-Trust-Strategie zu entwickeln. In den Bildungstheatern war jede Sitzung zum Thema Zero Trust gut besucht. 

Das Tolle an einem Zero-Trust-Sicherheitsansatz ist, dass er unabhängig von jeder Infrastruktur sein kann – was eine große Herausforderung bei der Implementierung neuer Technologien darstellt. Der Prozess der Identifizierung der wichtigsten Assets und der anschließenden Aufteilung der Ressourcen, aus denen sich dieses System zusammensetzt, funktioniert unabhängig davon, ob es sich um eine Finanzanwendung oder einen Krankenwagen handelt. Ebenso ist Zero Trust ortsunabhängig, so dass es keine Rolle spielt, ob sich der Schutz im Patientenzimmer oder in der Cloud befindet.

Hier sind einige einfache Schritte, die jede Gesundheitsorganisation unternehmen kann, um problemlos mit der Einführung von Zero Trust zu beginnen: 

1. Identifizieren Sie die Systeme und Ressourcen, die Sie schützen müssen. Identifizieren Sie die Systeme, die kommunizieren müssen, und diejenigen, die dies nicht tun. Auch wenn der aktuelle Trend zur Hyperkonnektivität geht, ist es unwahrscheinlich, dass ein MRT-Scanner eine direkte Kommunikation mit dem HR-System benötigt. Die Abbildung der Verbindungen zwischen Anwendungen, Daten und medizinischen Ressourcen hilft dabei, zu visualisieren, aus welchen Komponenten jedes System besteht. Anhand der Kommunikation können Sie erkennen, aus welchen Scannern, Terminals, Datenbanken und Anwendungen das Bildmanagementsystem besteht. Von hier aus können Sie hervorheben, wo Einschränkungen eingeführt werden müssen, um den Datenfluss und standardmäßig die laterale Bewegung von Ransomware zu kontrollieren.
    
2. Identifizieren Sie potenzielle Risiken, die in Ihrer Infrastruktur vorhanden sind. Alle Systeme weisen einige Schwachstellen auf, die auf noch nicht angewendete Patches oder unentdeckte Sicherheitslücken zurückzuführen sind. Zu wissen, mit welchen anderen Ressourcen Ihre Systeme verbunden sind, ist der Schlüssel zum Verständnis des Risikos, das diese Schwachstellen darstellen. Anhand einer Kombination aus Schwachstellenscans, Bedrohungsinformationen und Konnektivitätsdaten kann eine kontextbezogene Ansicht erstellt werden, die hervorhebt, wo Einschränkungen angewendet werden müssen.
    
3. Wenden Sie die optimalen Sicherheitsrichtlinien an. Sobald Sie die Komponenten eines Systems identifiziert und das Risiko bestimmt haben, ist es jetzt an der Zeit, die Systeme voneinander zu trennen, um die potenzielle Ausbreitung eines Angriffs zu verhindern. Eines der Hindernisse bei dem Versuch, eine Umgebung zu unterteilen oder zu segmentieren, ist die Notwendigkeit, das Netzwerk neu zu gestalten. Durch die Anwendung der Segmentierung auf Systemebene, wo sie von der zugrunde liegenden Infrastruktur entkoppelt ist, sind keine Änderungen im Netzwerk erforderlich. Durch die einfache Segmentierung von Anwendungen, medizinischen Geräten und anderen Systemen kann die Verfügbarkeit wichtiger Assets auch bei einem Angriff aufrechterhalten werden.

Während diese Schritte Zero Trust praktisch und erreichbar machen, wird die Sicherung der gesamten Gesundheitsinfrastruktur immer schwieriger, da viele neue Medizinprodukte nicht auf die gleiche Weise funktionieren wie ein IT-Gerät. Wenn ein Asset, wie z. B. ein Nachttischwagen, von einem Windows-basierten System unterstützt wird, ist es relativ einfach, Informationen darüber zu sammeln, wie es funktioniert und wie es kommunizieren kann. Wenn es sich bei dem Gerät jedoch um eine Pumpe handelt, funktioniert es auf eine etwas andere Weise. Es reagiert nicht auf die gleichen Befehle und nicht auf die gleiche Weise.

Diese Herausforderung macht es schwierig, die Interaktion zwischen traditionellen IT-Systemen und medizinischem IoT zu visualisieren. Um dieses Problem anzugehen, hat sich Illumio mit Cylera zusammengetan , um die beiden Umgebungen auf einfache Weise zusammenzubringen. Eines der vielen Dinge, die Cylera tut, ist das Sammeln von Informationen und Metadaten über medizinische IoT-Geräte. Diese Daten können in Illumio Core importiert werden und alle Assets werden auf einer Karte in einer einzigen Ansicht angezeigt.

Dies ermöglicht einen sehr einfachen Blick auf das gesamte medizinische System und zeigt das Zusammenspiel verschiedener medizinischer Systeme. Mit diesem Prozess können Sie bestimmen, welche Kommunikation erlaubt und welche gestoppt werden soll.

Von der Karte aus können Zero-Trust-Richtlinien einfach mit einem einzigen Mausklick angewendet werden, was den Prozess der Implementierung einer Zero-Trust-Strategie in der gesamten Gesundheitsinfrastruktur, unabhängig von der Art der Anlage oder dem Standort, erheblich vereinfacht.

Erfahren Sie mehr darüber, wie Illumio Ihr Gesundheitsunternehmen auf seinem Weg zu Zero Trust unterstützen kann:

• Lesen Sie Illumio: Das Rezept für Cybersicherheit im Gesundheitswesen
• Erfahren Sie mehr über die Integration von Illumio und Cylera
• Erfahren Sie, warum Forrester Illumio in den Forrester Wave-Berichten für Zero Trust und Mikrosegmentierungals führend eingestuft hat