Patientenversorgung Risikomanagement für medizinische Geräte

Anbieter zum Thema

Governikus GmbH & Co. KG

Im Zuge der Modernisierung der Krankenhäuser gewinnt die Cybersicherheit zunehmend an Bedeutung. Die richtigen Taktiken helfen Sicherheitsverantwortlichen, die Risiken zu minimieren und so die Patientensicherheit zu gewährleisten.

Die zunehmende Vernetzung im Gesundheitswesen hat die Patientenversorgung deutlich verändert: Einst unabhängige Arbeitsabläufe in Krankenhäusern hängen nun in hohem Maße von verbundenen Geräten ab. Dies verbessert die Prozesse und die Patientenversorgung nachhaltig, gleichzeitig werden die Einrichtungen durch diese Konnektivität jedoch mit neuen Sicherheitsrisiken konfrontiert. Daher benötigen sie Strategien und Lösungen für das Risikomanagement, um Transparenz über die Risiken ihrer vernetzten medizinischen Geräte zu erlangen und die Arbeitsabläufe für die Priorisierung und Behebung zu optimieren.

Moderne Krankenhäuser verfügen über ein riesiges Internet der medizinischen Dinge (IoMT), das ein Netzwerk aus medizinischen Geräten, Hardware-Infrastruktur und Softwareanwendungen umfasst. All dies wurde geschaffen, um die Patientenversorgung schnell und effizient zu gewährleisten, allerdings ohne dabei einen Fokus auf die Cybersecurity zu legen. Deshalb sind diese Geräte und Systeme auch besonders anfällig für Cyberbedrohungen. Erschwerend kommt hinzu: Störungen und Ausfälle von IoMT-Geräten haben meist gravierendere Folgen als bei anderen cyber-physischen Systemen, da von ihnen die Gesundheit und das Leben der Patienten abhängt.

Herausforderungen für das Risikomanagement

In den letzten zehn Jahren ist das Risikomanagement im Gesundheitswesen durch die rasante Entwicklung medizinischer Geräte, die Zunahme von Cybersicherheitsvorfällen und gesetzlichen Vorgaben immer komplexer geworden. Um die Risiken in ihrer Umgebung zu reduzieren, benötigen Gesundheitseinrichtungen deshalb umfassende Strategien für das Risikomanagement von Medizinprodukten.

Auf dem Weg zu einem effektiven Risikomanagement, müssen Krankenhäuser jedoch einige Herausforderungen bewältigen:

• Mangelnde Transparenz: Oftmals sind die Risiken für medizinische Geräte für IT-Sicherheitsteams nicht ersichtlich. Das liegt vor allem daran, dass häufig neue Geräte an das Netzwerk angeschlossen werden – oft auch ohne entsprechende Genehmigung. Bei dieser riesigen Anzahl von vernetzten Geräten ist es für Sicherheitsverantwortliche schwierig bis unmöglich, all diese Geräte zu identifizieren und im Auge zu behalten.

• Unzureichende Cyber-Hygiene: Ohne die Einhaltung von Security-Grundlagen, die im klinischen Alltag oft hintangestellt werden, ist eine wirksame Risikoreduzierung fast unmöglich.

• Einsatz von IT-Security-Tools: IT-Sicherheitslösungen sind grundsätzlich nicht mit den von cyber-physischen Systemen verwendeten Protokollen und Prozessen kompatibel. In vielen Fällen sind die IT-Lösungen nicht in der Lage, Assets und Geräte zu identifizieren, geschweige denn, sie zu schützen.

• Gesetzliche Vorgaben: Cybersicherheitsstandards und -vorschriften sind für den Schutz von medizinischen Geräten unverzichtbar. Die Einhaltung dieser Anforderungen kann jedoch komplex sein, zumal die Vorgaben häufig aktualisiert werden. Erschwerend kommt hinzu, dass die Nichteinhaltung der Vorschriften sowohl rechtliche Konsequenzen als auch ein erhöhtes Cyberrisiko nach sich ziehen kann.

Herausforderungen und Lösungen für den Schutz kritischer Infrastrukturen

Patient Security: Wie sich Krankenhäuser cyberresilient aufstellen

Strategien zur Risikominimierung

Obwohl es unmöglich ist, die Risiken vollständig zu beseitigen, können die Implementierung von Risikomanagementstrategien und die Anwendung von Risikokontrollen Sicherheitsverantwortlichen dabei helfen, die Risiken deutlich zu verringern. Zu Beginn sollten sie sich dabei auf drei Bereiche konzentrieren:

• 1. Geräte-Erkennung: Man kann nur das kontrollieren, was man sehen kann. Aufgrund einer mangelnden Transparenz in den Gerätebestand können viele Sicherheitsverantwortliche in Krankenhäusern die Risiken nicht hinreichend bewerten und reduzieren. Deshalb ist es wichtig, alle medizinischen Geräte im Netzwerk eindeutig zu identifizieren. Dies erfordert eine vollständige Gerätezuordnung und die Erfassung sämtlicher Daten wie Hersteller, Modell, Betriebssystem, Hardware, App-Versionen und Standort. Jedes Detail ist wichtig. Sicherheitsverantwortliche sollten idealerweise ihre Erkenntnisse kontinuierlich erweitern, etwa in Bezug auf Wartungsintervalle, Nutzungsmuster und die Erfahrungen der Mitarbeitenden, die während des gesamten Lebenszyklus mit dem Gerät interagieren.

• 2. Identifizierung von Risiken: Sobald vollständige Transparenz über Geräte und Blindspots im Netzwerk hergestellt ist, können die Sicherheitsverantwortlichen damit beginnen, Risiken zu identifizieren. Risiken für medizinische Geräte müssen in ihrem jeweiligen Kontext betrachtet werden, einschließlich der Wahrscheinlichkeit, dass eine bestimmte Schwachstelle ausgenutzt wird, sowie die potenzielle Schwere der Auswirkungen. Indem sie ermitteln, welche Risiken am kritischsten sind, können die Sicherheitsverantwortlichen Prioritäten bei ihren Maßnahmen setzen. Ein auf das Gesundheitswesen zugeschnittenes Risikoframework kann dabei unterstützen, differenzierte Entscheidungen zu treffen, indem es Risiken auf der Grundlage detaillierter Transparenz und des Kontextes identifiziert und einstuft. Auf diese Weise werden die Risiken angemessen bewertet, priorisiert und adressiert, um die Sicherheit der Patienten zu gewährleisten.

• 3. Priorisierung der Risiken: Sobald die Risiken identifiziert sind, ist es wichtig, die wichtigsten Schwachstellen in der Umgebung zu priorisieren, und zwar auf der Grundlage der Schwachstellen, die derzeit ausgenutzt werden oder bei denen eine Ausnutzung am wahrscheinlichsten ist. Der KEV (Known Exploited Vulnerabilities)-Katalog und das EPSS (Exploit Prediction Scoring System) sind die effizienteste Methode, um Schwachstellen auf der Grundlage ihrer Ausnutzungswahrscheinlichkeit zu priorisieren. Der KEV-Katalog ist eine Zusammenstellung dokumentierter Sicherheitsschwachstellen, die bereits erfolgreich ausgenutzt worden sind. EPSS hingegen nutzt ein datenwissenschaftliches Modell, um abzuschätzen, welche Schwachstellen innerhalb der nächsten 30 Tage wahrscheinlich ausgenutzt werden. Durch die automatische Kombination dieser beiden Risikoindikatoren können Unternehmen des Gesundheitswesens die Schwachstellen, die von Angreifern am ehesten ausgenutzt werden können, effizient priorisieren.

Jede Krankenhaus-Infrastruktur ist einzigartig und erfordert robuste Strategien für ein erfolgreiches Risikomanagement der medizinischen Geräte. Indem sie mit den oben genannten Taktiken beginnen, können die Sicherheitsverantwortlichen sicherstellen, dass sie auf dem richtigen Weg sind, um das gemeinsame Ziel zu erreichen: die Reduzierung von Risiken und so den Schutz der Patienten.

Internationale Studie

Angst vor dem Einsatz neuer Technologien?

Erfolg für Lauterbach

Bundesrat gibt grünes Licht für Krankenhausreform

(ID:50249118)