Sensibilisierung für Cybersicherheit und das Gesundheitswesen

Das Bewusstsein für Cybersicherheit ist für jedes Unternehmen ein entscheidendes Thema. Im Gesundheitswesen, wo die Daten besonders sensibel sind, ist es jedoch schlichtweg unverzichtbar.

Die großen Mengen vertraulicher Daten in Verbindung mit oft anfälligen Sicherheitssystemen und einem umfangreichen Netzwerk vernetzter medizinischer Geräte machen den Gesundheitssektor zu einem bevorzugten Ziel für Cyberkriminelle.

Das Gesundheitswesen ist eine der am stärksten gefährdeten Branchen und sieht sich mit einer Vielzahl von Problemen im Bereich der Cybersicherheit konfrontiert, darunter Sicherheitsvorfälle, Verstöße gegen organisatorische Vorschriften und Datendiebstahl, der sowohl von internen als auch von externen Quellen ausgeht.

Cybersicherheit im Gesundheitswesen in kritischem Zustand

Im vergangenen Jahr verursachten Datenschutzverletzungen und Ransomware-Angriffe den Gesundheitsdienstleistern geschätzte 4 Milliarden US-Dollar an Kosten. Tatsächlich waren 67 % der Organisationen im Gesundheitswesen in den letzten zwölf Monaten von einem Cybersicherheitsvorfall betroffen.

Der wohl berüchtigtste Vorfall ereignete sich im Jahr 2017, als ein verheerender weltweiter Cyberangriff die Computer in Krankenhäusern im gesamten Vereinigten Königreich lahmlegte. Die Auswirkungen des „WannaCry“-Cyberangriffs waren erheblich: Der Cybervorfall führte zu Betriebsstörungen bei einem Drittel der Krankenhausverbünde und bei rund 8 % der Hausarztpraxen. Die geschätzten Gesamtkosten für die Wiederherstellung der betroffenen Systeme beliefen sich nach Angaben des Ministeriums für Gesundheit und Soziales auf 92 Millionen Pfund.

In jüngster Zeit verzeichnen Gesundheitsdienstleister und medizinische Forschungseinrichtungen einen sprunghaften Anstieg von Phishing-Angriffen im Zusammenhang mit der anhaltenden Covid-19-Krise. Das Universitätsklinikum Brünn in der Tschechischen Republik, das zu den Covid-19-Testzentren des Landes zählt, wurde Opfer eines Ransomware-Angriffs, der zur Verschiebung aller Operationen führte.

Vor dem Hintergrund eines weltweiten starken Anstiegs von Phishing-Angriffen im Zusammenhang mit dem Coronavirus wurde auch das US-Gesundheitsministerium (HHS) Opfer eines Distributed-Denial-of-Service-Angriffs (DDoS), der darauf abzielte, die Maßnahmen der Behörde zur Bekämpfung der Covid-19-Pandemie zu stören.

Das britische National Cyber Security Centre (NCSC) und die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) haben eine Reihe von Angriffen auf medizinische Einrichtungen gemeldet, insbesondere auf solche, die an der Bewältigung der Pandemie beteiligt waren.

Bedenken hinsichtlich der Cybersicherheit im Gesundheitswesen

Es ist offensichtlich, dass Hacker weiterhin Cyberangriffe auf die Gesundheitsbranche verüben werden, solange sich damit Gewinne erzielen lassen – sei es durch den Verkauf gestohlener Patientendaten oder durch die Lahmlegung von Gesundheitssystemen, bis die Forderungen der Kriminellen erfüllt sind.

Der Gesundheitssektor hat in den letzten Jahren einen bedeutenden Wandel durchlaufen, der mit der Einführung neuer Technologien einherging, die die Datenintegration, die Einbindung der Patienten und die klinische Unterstützung erleichtern.

Mit diesem Übergang von traditionellen papierbasierten Methoden ergeben sich zahlreiche Möglichkeiten für Cyberkriminelle – von Malware, die die Vertraulichkeit von Patientendaten gefährdet, bis hin zu Distributed-Denial-of-Service-Angriffen (DDoS), die die Patientenversorgung beeinträchtigen.

Allerdings sind Unternehmen oft zu sehr damit beschäftigt, sich gegen externe Bedrohungen zu schützen, um sich mit den sehr realen und gefährlichen Risiken auseinanderzusetzen, die möglicherweise in den eigenen Reihen lauern.

Die interne Bedrohung

Da den Mitarbeitern im Gesundheitswesen eine Fülle streng vertraulicher und geschützter Gesundheitsdaten (PHI) zur Verfügung steht, haben sie Zugriff auf große Mengen an Patientendaten, die dem Personal sowohl vor Ort als auch aus der Ferne und auf verschiedenen Geräten zugänglich sein müssen.

Es ist allgemein bekannt, dass Cyberkriminelle den schwächsten Punkt der Sicherheitsvorkehrungen eines Unternehmens ins Visier nehmen – und allzu oft sind dies die Mitarbeiter. Im vergangenen Jahr gab das britische Information Commissioner’s Office (ICO) bekannt, dass menschliches Versagen die Ursache für 90 % der Cyber-Datenschutzverletzungen war.

Letztendlich sind Beschäftigte im Gesundheitswesen Hüter von Daten, und Cyberbedrohungen stellen mittlerweile ein großes Problem für die öffentliche Gesundheit dar.

Um dieses Risiko zu mindern, muss die Sensibilisierung für Sicherheitsfragen zu einem festen Bestandteil der Gesamtsicherheitsstrategie der Gesundheitsbranche werden, um potenzielle Cyberangriffe zu verhindern.

Prävention statt Verschreibung

Da Cyberangriffe immer raffinierter und gezielter werden als je zuvor, ist das Bewusstsein für Cybersicherheit im Gesundheitswesen die wirksamste Waffe gegen diese sich ständig weiterentwickelnden Bedrohungen und Techniken. Trotz bestehender mehrschichtiger Sicherheitsmaßnahmen stellt das Bewusstsein für Cybersicherheit für viele Organisationen nach wie vor eine zentrale Herausforderung dar. Häufig wird ein Ad-hoc-Ansatz verfolgt, doch es ist wichtig zu erkennen, dass Cybersicherheitsbewusstsein mehr ist als nur simulierte Phishing-Angriffe.

Um das Verhalten im Bereich der Cybersicherheit nachhaltig zu verändern, müssen sich Unternehmen zu einem Programm zur Sensibilisierung für Cybersicherheit verpflichten, das es den Mitarbeitern ermöglicht, die wichtige Rolle, die sie beim Schutz sensibler Unternehmensdaten spielen, zu erkennen und anzunehmen.

Da die Gesundheitsbranche zunehmend böswilligen Cyberangriffen ausgesetzt ist, liegt der Schlüssel zur Verbesserung des Bewusstseins für Cybersicherheit in diesem Sektor in der Durchführung einer wirksamen Sensibilisierungskampagne und der Schaffung einer Kultur der Cybersicherheit.

Durchführung einer wirksamen Kampagne zur Sensibilisierung für Cybersicherheit

• • Beginnen Sie mit der Führung durch den Vorstandsvorsitzenden

Cybersicherheit liegt in der Verantwortung aller, doch widerstandsfähige Unternehmen zeichnen sich durch eine starke Führung seitens des Vorstandsvorsitzenden aus. Wenn der Vorstandsvorsitzende das Thema Cybersicherheit ernst nimmt, überträgt sich dies auf das gesamte Unternehmen und trägt dazu bei, eine Kultur zu schaffen, die von einem gesteigerten Bewusstsein für Cybersicherheit geprägt ist.

• • Kennen Sie Ihre organisatorischen Toleranzen

Wenn Sie sich die Zeit nehmen, die Risiken sorgfältig zu ermitteln, können Sie die Botschaften, die Vermittlung sowie die gezielte Ausrichtung Ihres Programms zur Sensibilisierung für Cybersicherheit besser gestalten.

• • Verteidigen Sie Ihre Informationswerte

Sie müssen ermitteln, welche Ihrer Informationsressourcen am wertvollsten sind, wo sie sich befinden und wer Zugriff darauf hat. Jede Ressource sollte entsprechend ihrem Wert klassifiziert (beispielsweise als öffentlich, privat oder vertraulich) und geschützt werden. Dies ist von entscheidender Bedeutung, um Risiken zu identifizieren und die Bereiche zu priorisieren, die geschützt werden müssen.

• • Fokus auf Risikogruppen

Der Schlüssel zu einem wirksamen Programm zur Sensibilisierung für Sicherheitsfragen liegt darin, sicherzustellen, dass die richtigen Schulungen gezielt auf die richtigen Personen ausgerichtet sind. Alle Nutzer sind anfällig für Cyberbedrohungen; bestimmte Mitarbeiter weisen jedoch ein höheres Risikoprofil auf als andere. So sind beispielsweise Ihre Personal- und Finanzabteilungen aufgrund ihres privilegierten Zugriffs auf wertvolle Daten häufig das Ziel von Phishing-Angriffen.

• • Sorgen Sie mit effektivem Storytelling für mehr Faszination

Das Erzählen von Geschichten ist eine der wirkungsvollsten Methoden, um Ihrer Sensibilisierungskampagne zum Thema Cybersicherheit Leben einzuhauchen. Seien wir ehrlich: Cybersicherheit kann ein trockenes Thema sein, doch es ist unerlässlich, dass Sie Wege finden, Ihre Mitarbeiter einzubinden, wenn Sie das Verhalten innerhalb Ihres Unternehmens positiv beeinflussen möchten. Die Botschaft ist einfach zu wichtig, um in der formellen Unternehmenskommunikation unterzugehen.

• • Bringen Sie Ihre Richtlinienverwaltung auf den neuesten Stand

Richtlinien sind von entscheidender Bedeutung, um Verhaltensgrenzen für Einzelpersonen, Prozesse, Beziehungen und Transaktionen innerhalb Ihres Unternehmens festzulegen. Sie bieten einen Rahmen für die Unternehmensführung, identifizieren Risiken und tragen dazu bei, die Einhaltung von Vorschriften zu definieren, was in der heutigen, zunehmend komplexen regulatorischen Landschaft von großer Bedeutung ist.

• • Bereiten Sie sich jetzt auf eine Datenpanne vor

Es geht nicht mehr um die Frage, „ob“ Ihr Unternehmen angegriffen wird, sondern „wann“. Sie müssen sich auf das Unvermeidliche vorbereiten und einen Plan aufstellen, der im Falle einer Sicherheitsverletzung angemessene und zeitnahe Maßnahmen gewährleistet.

• • Cyber-Sicherheits-Champions gewinnen

Die Ernennung von Cyber-Sicherheitsbeauftragten ist eine gute Möglichkeit, die Mitarbeiter zu befähigen und sie mit den notwendigen Fähigkeiten auszustatten, um einen Cyber-Angriff zu verhindern.

• • Berücksichtigen Sie Ihre Lieferkette

Jeder Lieferant und jeder Dritte, der mit Ihrem Unternehmen in Verbindung steht, stellt ein potenzielles Risiko dar. Daher ist es von entscheidender Bedeutung, dass Sie detaillierte Risikobewertungen für Dritte durchführen, um etwaige Probleme zu beheben, die eine Gefahr für Ihre Sicherheit darstellen könnten. Auf diese Weise können Sie ermitteln, welche Sicherheitsmaßnahmen erforderlich sind, um Ihre Daten zu schützen.

• • Gewährleistung einer angemessenen Aufsicht und regelmäßiger Überprüfungen

Die Bedrohungslage entwickelt sich ständig weiter, daher muss sich auch Ihr Programm zur Sensibilisierung für Cybersicherheit entsprechend weiterentwickeln. Es ist wichtig, regelmäßig die Bereitschaft Ihrer Mitarbeiter zu überprüfen, um Schwachstellen zu identifizieren und festzustellen, ob aktuelle Richtlinien und Schulungen aktualisiert werden müssen.

Schaffen Sie eine sicherheitsbewusstere Belegschaft

„Cybersicherheitsbewusstsein für Führungskräfte“ ist eine unverzichtbare Ressource, um Verhaltensänderungen herbeizuführen und eine Kultur des Cybersicherheitsbewusstseins zu schaffen.

In diesem Leitfaden erfahren Sie Folgendes:

• • Die derzeit häufigsten, auf Menschen ausgerichteten Cyberbedrohungen, darunter Identitätsbetrug, Insiderrisiken und Angriffe auf die Lieferkette

• • Wie das Human-Risk-Management Organisationen dabei unterstützt, ihre Abwehrmaßnahmen gegen solche Risiken zu stärken

• • Wie man Cyber Awareness mit Rahmenwerken wie ISO 27001 und NIST CSF 2.0 in Einklang bringt

• • Die Rolle von Führung, Unternehmenskultur und Berichterstattung beim Aufbau langfristiger Cyber-Resilienz

Klicken Sie hier, um Ihr kostenloses Exemplar von „Cyber Security Awareness for Leaders“ anzufordern.