Cybersecurity In fünf Schritten zu Zero Trust im Gesundheitswesen

Anbieter zum Thema

Claroty GmbH

Governikus GmbH & Co. KG

Bei allen Maßnahmen zur Verbesserung der Cybersecurity im Gesundheitswesen muss der Schutz der Arbeitsabläufe und Prozesse, die direkt mit der Patientenversorgung zusammenhängen, an erster Stelle stehen. Die medizinischen Geräte müssen immer ordnungsgemäß funktionieren, wenn sie für einen Patienten benötigt werden. Und auch das medizinische Personal muss in der Lage sein, die täglichen Arbeitsabläufe effektiv und effizient durchzuführen. Genau dies soll Zero Trust im Gesundheitswesen sicherstellen. Die Umsetzung einer nachhaltigen Zero-Trust-Strategie erfordert Zeit, die richtigen Richtlinien und Instrumente.

Es ist wichtig zu verstehen, dass es sich bei „Zero Trust“ nicht um ein Produkt oder eine Lösung handelt, sondern vielmehr um ein Cybersicherheitskonzept. Dieses basiert auf der Grundannahme, dass Netzwerke von Natur aus gefährdet sind. Daher wird Benutzern der Zugriff auf Anwendungen und Daten standardmäßig verweigert und nur nach einer Authentifizierung gewährt. Und selbst dann sind die Möglichkeiten, die sie im Netzwerk nutzen können, durch die ihnen zugewiesenen Berechtigungen eingeschränkt.

Zero Trust ist in der IT längst etabliert. Im Gesundheitswesen bedeutet Zero Trust jedoch nicht nur Schutz von Geräten und Daten, sondern auch Schutz der physischen Arbeitsabläufe und somit auch der Patienten. Zero Trust in klinischen Umgebungen ist ein komplexer Prozess, der nicht mit einem Anbieter allein umgesetzt werden kann. Es bedarf vielmehr unterschiedlicher Lösungen, die aufeinander abgestimmt zusammenarbeiten müssen.

Die größten Herausforderungen für Zero Trust im Gesundheitswesen

Wenn medizinische Einrichtungen eine Zero Trust-Strategie einführen, schützen sie nicht nur die Geräte in ihrem Netzwerk, sondern vor allem die Patienten. Daher stehen bei einer Strategie zur Aufrechterhaltung der Integrität aller Sicherheitskontrollen und Pflegeprotokolle die Patienten an erster Stelle.

Herausforderung Nummer 1: Fehlende Governance

Eines der Haupthindernisse für Zero Trust und für die Cybersicherheit im Gesundheitswesen im Allgemeinen sind blinde Flecken im Netzwerk. Diese entstehen durch die Verwendung herkömmlicher IT-Prozesse und -Verfahren und stellen ein enormes Risiko dar. Durch eine präzise Bestandsaufnahme und umfassende Transparenz erhalten Sicherheitsverantwortliche einen vollständigen Überblick über die mit dem Internet verbundenen Geräte im Netzwerk.

Herausforderung Nummer 2: Begrenzte Transparenz

Die Transparenz von Assets bildet gemeinsam mit einem tiefen Verständnis des Netzwerkverkehrs eine wichtige Grundlage für Zero Trust. Es ist nicht nur wichtig zu wissen, welche Geräte mit dem Netzwerk verbunden sind, sondern auch wie sie kommunizieren, wie oft sie dies tun und mit welchen anderen Geräten. Mit Hilfe einer Baseline des Netzwerkverkehrs können Sicherheitsverantwortliche abnormale Gerätekommunikation leichter erkennen oder die besten Prozesse und Verfahren für die Anforderungen der Umgebung implementieren.

Herausforderung Nummer 3: Abhängigkeit von OEMs

Um Geräte zu warten, benötigt man Zugang zu wichtigen Informationen, wie z. B. den Lebenszyklus des Geräts und Sicherheitskontrollen, die von den Herstellern bereitgestellt werden. Leider stellt die Zusammenarbeit mit ihnen und Drittanbietern oftmals eine Herausforderung dar. Eine gute Beziehung zum Gerätehersteller hilft bei der Suche nach wichtigen Produktinformationen, z. B. wie das Gerät richtig betrieben oder gepatcht werden kann, wenn eine Schwachstelle entdeckt wird.

Herausforderung Nummer 4: Geräteschwachstellen

Die Identifizierung und Behebung von Geräteschwachstellen ist immer eine Herausforderung, ganz unabhängig von der Umsetzung von Zero Trust-Maßnahmen. Für die Sicherheitsteams in den Krankenhäusern ist es zeitaufwändig und schwierig, die immer länger werdende Liste von Schwachstellen zu bewältigen und herauszufinden, welche davon zuerst angegangen werden müssen. Aus diesem Grund ist eine robuste Strategie für das Schwachstellenmanagement erforderlich. Es geht dabei nicht nur darum, Schwachstellen zu identifizieren, sondern auch darum, ihre Behebung auf der Grundlage der Auswirkungen auf die Patientenversorgung zu priorisieren.

Herausforderung Nummer 5: Fernzugriff und komplexes Identity Management

Ein zentraler Aspekt von Zero Trust ist die Authentifizierung der Benutzerdaten, um sicherzustellen, dass jeder nur die Zugriffsrechte erhält, die auch tatsächlich benötigt werden. Ohne eine Lösung für den sicheren Fernzugriff ist es schwierig, die Identität zu überprüfen und zu authentifizieren sowie den Zugang zu kontrollieren. Da Drittanbieter kritische Aufgaben übernehmen, ist die Transparenz darüber, was Remote-Benutzer im Netzwerk tun, eine zentrale Komponente der Cybersicherheit im Gesundheitswesen. Doch selbst bei sicherem Zugriff kann die Implementierung der richtigen Benutzerkontrollen eine Herausforderung sein. Laut dem 2024 Global State of CPS Security-Report verfügen 44 Prozent der Krankenhäuser über sechs oder mehr Lösungen für den sicheren Fernzugriff, haben aber keinen klaren Einblick in die Verbindungen. Dadurch sind sie nicht in der Lage, die richtigen Kontrollen durchzuführen. Auf dem Weg zu Zero Trust ist es deshalb unerlässlich, über den richtigen Technologie-Stack inklusive sicherem Fernzugriff zu verfügen, der eine korrekte Identifizierung und Kontrolle der Benutzer ermöglicht.

Fünf Schritte in Richtung Zero Trust

Es gibt kein Patentrezept für die erfolgreiche Umsetzung von Zero Trust im Gesundheitswesen. Vielmehr müssen mehrere Schlüsselelemente aufeinander abgestimmt werden und so ideal in der jeweiligen Umgebung zusammenwirken.

• 1. Identifizieren Sie Ihre Assets: Der erste Schritt besteht darin, ein umfassendes Verständnis der klinischen Umgebung und der angeschlossenen Geräte zu erlangen. Die Verwendung eines Erkennungstools zur Ermittlung von Modalität (Typ, Marke, Modell), Version (Betriebssystemtyp, Versionen) und Standort (SSID, Zugangspunkt, AP-Standort) schafft nicht nur Transparenz in die Umgebung, sondern zeigt auch die Zugangsanforderungen von Drittanbietern, die die Techniker des Anbieters kennen müssen, um ihre Arbeit zu erledigen.

• 2. Definieren Sie Ihr Netzwerk: Die Erfassung der Nutzung der einzelnen Geräte liefert wichtige Informationen darüber, wie die Geräte miteinander kommunizieren, einschließlich der Frage, welche Geräte wie, wann und warum kommunizieren. Einige Lösungsanbieter nutzen ihre Beziehungen zu Herstellern und Forschungsteams, um kontinuierlich ihr Wissen über diese Geräte auszubauen, von Kommunikationsmustern bis hin zu üblichen Nutzungsszenarien. In Verbindung mit der Erstellung von Risikoprofilen zur Bewertung von Konnektivität, Gefährdung und Ausnutzbarkeit bieten sie die richtigen Werkzeuge, um den Schutzbedarf Ihres Netzwerks richtig zu definieren.

• 3. Entwerfen Sie eine Strategie: Jede Gesundheitseinrichtung hat eine individuelle Risikotoleranz. Entsprechend sollte jede Zero Trust-Strategie an die jeweiligen Bedürfnisse und Anforderungen angepasst werden. Intelligente Lösungen empfehlen auf der Grundlage der jeweiligen Umgebung und der definierten Anforderungen automatisch Segmentierungsrichtlinien, die festlegen, welcher Datenverkehr zugelassen und welcher verhindert werden soll.

• 4. Überwachen Sie die Umgebung: Sobald die individuellen Richtlinien implementiert sind, ist es an der Zeit, die Umgebung zu überwachen und die Auswirkungen der durchgesetzten Richtlinien zu überprüfen. Dies geschieht am besten mit einem Insight-Tool, mit dem sich feststellen lässt, ob die probeweise eingeführten Richtlinien hilfreich sind. Bei der Überwachung haben Sie die Möglichkeit, interne Sicherheitsprozesse kontinuierlich zu verbessern und Fehler, unsachgemäße Gestaltung oder Pannen zu erkennen. Auf diese Weise lässt sich sicherstellen, dass die Strategie richtig funktioniert.

• 5. Automatisieren Sie Ihre Prozesse: Nimmt man sich die Zeit, sukzessive Änderungen an den Richtlinien und Prozessen vorzunehmen, erreicht man schließlich die optimale Architektur für seine Zielsetzungen. Die Automatisierung dieser Verfahren ist der letzte Schritt, um die bestmögliche Zero Trust-Strategie für die Umgebung zu erreichen.

KI und Ärzte

„Vertrauen ist ein sehr hohes Gut in der Medizin“

Sicherheit im Gesundheitswesen

Eine holistische Security-Strategie in fünf Schritten

(ID:50314993)