IT-Security für das Gesundheitswesen

1. Backups

Die altbekannte 3-2-1-Backup-Regel ist gut, aber es geht besser. Drei Kopien an zwei Standorten mit einem Medienbruch reichen nicht mehr. Der neue Goldstandard heißt 3-2-1-1-0. Das bewährte Konzept wird um eine Offline-Kopie (1) ergänzt, welche zum Beispiel als Band oder Immutable Object-Storage in der Cloud realisiert wird. Eine weitere Anforderung an Backups ist die Wiederherstellbarkeit ohne Fehler (0). Diese wird durch regelmäßige Rücksicherungen erreicht. Unsere Erfahrungswerte zeigen jedoch, dass der Ernstfall nicht geprobt, zum Beispiel die fehlerfreie Wiederherstellung aus Versehen gelöschter Daten oder ganzer Hosts nicht getestet wird.

2. Netzwerksegmentierung

Dringen Angreifer in einen Netzwerkbereich ein, können sie sich in diesem Bereich relativ uneingeschränkt bewegen. Deshalb empfehlen wir, das Netz in möglichst kleine und logische Netzsegmente aufzuteilen. Die Zugriffe zwischen diesen Teilnetzen sollten von einer Nextgen-Firewall möglichst strikt reglementiert werden. Damit ist es möglich, den Datenverkehr auf Schadsoftware und Angriffe zu untersuchen, um so eine Ausbreitung in andere Teilbereiche zu unterbinden.

Auch sollte das Firewall-Regelwerk regelmäßig überprüft werden, da sich mit der Zeit Anforderungen ändern können und so die Gefahr besteht, dass neue Freigaben erstellt, nicht mehr benötigte Freigaben aber nicht wieder gelöscht werden. Eine veraltete Konfiguration der digitalen Schutzmauer bietet Eindringlingen somit ungewollten Zugriff auf Ihre kritischen Systeme.

3. Patch-Management

Patchen, d. h. das Beheben von Programmfehlern mit sogenannten „Flicken“ (patches), ist angesichts der Fülle eingesetzter Softwareprodukte in der eigenen Infrastruktur kein leichtes Unterfangen. Krankenhäuser stehen beispielsweise vor der Herausforderung, neben der IT-Hardware auch verschiedenste im Netzwerk integrierte Medizingeräte hinsichtlich der IT-Sicherheit auf dem neuesten Stand zu halten, um so Sicherheitslücken zu vermeiden. Oft fehlt bereits die Übersicht über die eingesetzte Hard- und Software. Das ist ein klassischer Fehler, denn nur wenn Sie den Überblick über Ihr Inventar behalten, ist es Ihnen möglich, dieses auch systematisch abzusichern und mit notwendigen Patches zu versorgen. Wichtig ist, dass Sie auch Updates für Drittanbieteranwendungen im Blick behalten.

Aufgepasst: Noch vor wenigen Jahren war es Best Practise, Patches vor ihrem Einsatz auf einem unkritischen System zu testen. Diese Regel hat sich nun hin zu einem raschen Einspielen gewandelt. Das aktuelle Motto lautet „Schnelligkeit bringt Sicherheit“. Das Risiko, dass ein Angriff erfolgreich ist, weil ein Patch zu spät implementiert wurde, übersteigt mittlerweile die Gefahr, dass es durch einen Patch selbst zu Problemen kommt. Ein Beispiel von vielen ist der Outlook Web-Access auf dem Microsoft Exchange Server: Hier nutzen Angreifer kritische Schwachstellen innerhalb von 24 Stunden – ein lukratives Geschäft.