Wie man Cyberrisiken im Gesundheitswesen misst

Cyberrisiken sind in allen Gesundheitseinrichtungen weit verbreitet, und es ist in der heutigen Cyberlandschaft besonders wichtig zu verstehen, wie diese Risiken gemindert werden können. Cyberrisiken sind die Summe aller IT-Risiken, die potenziell zum Verlust oder zur Offenlegung kritischer Daten, zu finanziellen Schäden, Reputationsschäden und Betriebsunterbrechungen aufgrund einer Datenschutzverletzung oder eines Datenlecks führen können. Bei der Messung von Cyberrisiken geht es darum, die Wahrscheinlichkeit und die Auswirkungen jeder Cyberbedrohung zu bestimmen.

Das Gesundheitswesen ist aufgrund seiner schlecht geschützten Netzwerke, Systeme und Computer sowie der riesigen Mengen an geschützten Gesundheitsinformationen (PHI), Krankenakten und Patientendaten, die es verarbeitet, eine der am stärksten betroffenen Branchen der Welt. Hacker und Cyberkriminelle haben es häufig auf das Gesundheitswesen abgesehen, da viele Anbieter schlechte Cybersicherheitspraktiken haben.

Ohne angemessene Prozesse für das Cyber-Risikomanagement setzen sich Institute einem extremen Risiko schwerer Cyberangriffe aus. Bevor diese Unternehmen mit dem Prozess der Risikobehebung beginnen, ist es wichtig, dass sie verstehen, wie sie die Gesamtheit ihrer Cyberrisiken messen können und welche sie priorisieren müssen.

Die häufigsten Cybersicherheitsrisiken im Gesundheitswesen

Obwohl Cybersicherheitsbedrohungen in den meisten Branchen einheitlich sind, sind die häufigsten Risiken, die das Gesundheitswesen betreffen, folgende:

1. Phishing- und Social-Engineering-Angriffe
2. Malware- oder Ransomware-Angriffe
3. Distributed-Denial-of-Service-Angriffe (DDoS)
4. Datenschutzverletzungen durch Dritte
5. Offene oder anfällige Ports
6. Veraltete, ungepatchte Software und Anwendungen
7. Insider-Bedrohungen (bösartig und ahnungslos)
8. Angriffe von Drittanbietern oder auf die Lieferkette

Erfahren Sie, wie Sie Cyberrisiken für Ihr Unternehmen reduzieren >

Wie werden Cyberrisiken im Gesundheitswesen gemessen?

Die gängigsten Methoden für Organisationen im Gesundheitswesen, ihre Cyberrisiken zu messen, sind:

1. Durchführung umfassender Risikobewertungen und Schwachstellenbewertungen
2. Messen Sie die IT-Fähigkeiten anhand verschiedener Cybersicherheits-Frameworks und -Vorschriften
3. Verwenden Sie qualitative und quantitative Risikomodelle
4. Implementieren von Threat Intelligence

Im Idealfall sollten alle Gesundheitsdienstleister eine Kombination dieser vier Methoden verwenden, um die Gesamtheit ihrer Cyberrisiken zu messen. Sobald alle Cyberrisiken identifiziert und dokumentiert wurden, können die Institute mit den Minderungs- und Abhilfemaßnahmen beginnen, um ihre Angriffsflächen zu reduzieren.

Wenn Sie noch kein Cybersicherheitsprogramm für Ihre Gesundheitsorganisation eingerichtet haben, hilft Ihnen dieser ultimative Leitfaden.

Erfahren Sie, wie Sie das beste Produkt für das Management von Angriffsflächen im Gesundheitswesen auswählen >

1. Durchführung umfassender Risikobewertungen

Risikobewertungen sind unerlässlich, um potenzielle Cyberrisiken zu identifizieren und zu messen. Der Prozess zur Durchführung von Risiko- und Vulnerabilitätsbewertungen lässt sich in folgende Schritte unterteilen:

1. Asset-Klassifizierung - Durch die Identifizierung aller Assets, die innerhalb des IT-Ökosystems Risiken bergen, können Unternehmen damit beginnen, diesen Assets Wert, Kritikalität und betriebliche Bedeutung zuzuweisen. Die Vermögenswerte mit dem größten Wert und der größten Bedeutung bergen die höchsten Risikoauswirkungen und sollten zuerst angegangen werden.
2. Bedrohungsanalyse - Eine Bedrohungsanalyse identifiziert und dokumentiert alle möglichen Bedrohungen, die Schwachstellen ausnutzen und vertrauliche Daten wie Gesundheitsakten oder Patienteninformationen gefährden könnten. In diesem Schritt wird auch jedes Risiko nach Schweregrad bewertet und zur sofortigen Behebung gekennzeichnet.
3. Risikoanalyse - Dieser Schritt kann qualitative und quantitative Risikomodelle umfassen, um die Auswirkungen und die Wahrscheinlichkeit von Cyberbedrohungen zu analysieren, die versuchen, aus dem Cyberrisiko eines Unternehmens Kapital zu schlagen. Das Gesamtrisiko einer Gesundheitseinrichtung kann im Allgemeinen anhand der folgenden Formel berechnet werden: Bedrohungswahrscheinlichkeit*Vermögenswert*Potenzieller Verlust=Risikoexposition
4. Risikopriorisierung: Bevor die Behebungsprozesse beginnen, wird im letzten Schritt einer Bewertung bestimmt, welche Risiken basierend auf Schweregrad, Auswirkung und Wahrscheinlichkeit zuerst behoben werden sollten. Elemente, die als "hohes Risiko" gekennzeichnet sind, mit hoher Wahrscheinlichkeit auftreten und hohe Kosten für das Unternehmen verursachen, sollten ganz oben auf der Prioritätenliste stehen.

2. Messung der IT-Fähigkeiten anhand von Cybersicherheits-Frameworks

Der wichtigste Sicherheitsrahmen und die wichtigste Verordnung, die alle Organisationen im Gesundheitswesen befolgen sollten, ist HIPAA, das einen obligatorischen Satz von Kontrollen, Regeln und Anforderungen vorsieht, die alle Einrichtungen des Gesundheitswesens und Drittanbieter befolgen müssen. Obwohl HIPAA derzeit nur auf Bundesebene in den USA durchgesetzt wird, wurde sein Rahmen weltweit von vielen verschiedenen Gesundheitsdienstleistern übernommen.

Die Befolgung definierter Kontrollen und Anforderungen ermöglicht es diesen Einrichtungen im Gesundheitswesen, einer Roadmap und einer Checkliste mit erforderlichen Maßnahmen zu folgen, um Cyberrisiken zu mindern und ihre Sicherheitslage zu verbessern. Insbesondere bei größeren Organisationen, wie z. B. landesweiten Krankenhäusern und Krankenkassen, die über weitreichende Netzwerke, Tausende von Drittanbietern und übersehene Sicherheitsprogramme verfügen, kann die Einhaltung dieser Frameworks viel Zeit, Aufwand und Ressourcen sparen.

Organisationen im Gesundheitswesen können sich auch für die Implementierung anderer globaler Cybersicherheits-Frameworks wie NIST (National Institute of Standards and Technology) CSF oder ISO 27001 entscheiden, um ihre Informationssicherheits- und Compliance-Managementpraktiken weiter zu verbessern. Einrichtungen, die sich nicht an die verbindlichen Anforderungen halten, können mit erheblichen Strafen rechnen und riskieren, das Vertrauen der Patienten zu verlieren.

3. Verwendung qualitativer und quantitativer Risikomodelle

Die Verwendung qualitativer und quantitativer Risikomodelle kann Unternehmen dabei helfen, die Wahrscheinlichkeit des Auftretens wichtiger Risiken zu bestimmen und gleichzeitig die finanziellen und Reputationsauswirkungen dieser Risiken zu untersuchen. Beide Risikomodelle sollten verwendet werden, um Risiken zu messen und an Stakeholder und die Geschäftsleitung zu kommunizieren.

Qualitative Risikoanalyse

Qualitative Risikobewertungen sind in der Regel szenariobasiert und verwenden hypothetische Situationen, um das wahrgenommene Risiko zu bestimmen. Qualitative Ansätze sind subjektiver und erfordern ein Verständnis der Auswirkungen auf die Reputation und der öffentlich zugänglichen Risiken.

Eine gängige Methode zur Durchführung qualitativer Analysen ist die Abbildung spezifischer Risiken auf einem Diagramm auf der Grundlage ihrer Eintrittswahrscheinlichkeit (sehr niedrig bis sehr hoch) im Vergleich zu den Auswirkungen (sehr niedrig bis sehr hoch). Risiken, die als "hohe Auswirkungen, hohe Wahrscheinlichkeit" eingestuft werden, stellen ein schwerwiegendes Risiko für das Unternehmen dar, das so schnell wie möglich behoben werden muss.

Der Hauptnachteil der ausschließlichen Verwendung eines qualitativen Risikomodells besteht darin, dass viele Risiken mehrdeutig beurteilt werden und es an Konsistenz mangelt. Viele Risiken sind auch übertrieben, um das Worst-Case-Szenario zu berücksichtigen, ohne dass quantifizierbare Daten zur Unterstützung der Klassifizierungen vorliegen. Wenn mehrere Risiken als "hohe Auswirkungen, hohe Wahrscheinlichkeit" eingestuft werden, wird es für Unternehmen schwierig, Prioritäten für die Risikominderung und -behebung zu setzen.

Quantitative Risikoanalyse

Bei der quantitativen Risikobewertung wird das Cyberrisiko aus statistischer Sicht gemessen, um die genauen Kosten und die Wahrscheinlichkeit des Auftretens zu quantifizieren. Anstatt sich auf subjektive Urteile oder relative Feststellungen zu verlassen, liegt allen quantitativen Risiken eine exakte Kosten-Nutzen-Analyse zugrunde.

Dabei werden alle relevanten Risikokennzahlen berücksichtigt, darunter:

• Buchwert
• Die Anzahl der identifizierten Risiken im Vergleich zu den überwachten und den behobenen Risiken
• Die jährliche Häufigkeit des Auftretens (ARO)
• Einmalschadenerwartung (SLE) & jährliche Schadenerwartung (ALE)
• Kosten von Risikomanagementprogrammen

Sobald die Risiken quantifiziert sind, können Organisationen im Gesundheitswesen damit beginnen, ihre Risikotoleranz (Risikobereitschaft) zu bestimmen und sich auf eine Reihe von Schadenrisikoergebnissen für ein bestimmtes Risiko oder bestimmte Risiken vorzubereiten. Eine quantitative Risikoanalyse kann auch den Wert von IT-Investitionen ermitteln und feststellen, ob diese Investitionen die potenziellen Kosten von Cyberrisiken gesenkt haben.

Erfahren Sie, wie Sie ein Produkt zur Behebung von Cyberrisiken im Gesundheitswesen auswählen >

4. Implementierung von Threat Intelligence

Threat Intelligence ist der Prozess der Identifizierung aller aktuellen und zukünftigen Cyber-Bedrohungen, die das größte Potenzial haben, ein Unternehmen zu beeinträchtigen. Es handelt sich um einen proaktiven Ansatz zum Schutz vor Angriffen, anstatt darauf zu warten, dass sie passieren. Threat-Intelligence-Analysten oder -Spezialisten verfügen in der Regel über ein umfassendes Verständnis der Cyber-Bedrohungslandschaft und geben Anleitungen, wie sie eingedämmt werden können. Analysten für Threat Intelligence

Obwohl Threat Intelligence das Risiko nicht direkt oder quantifizierbar misst, wird es während des gesamten Risikomanagementprozesses verwendet, um Rohdaten während des Entscheidungsprozesses in umsetzbare Elemente umzuwandeln. Es ist ein äußerst wichtiger Bestandteil jedes Risikomanagementprogramms und kann Cyberrisiken und die Wahrscheinlichkeit von Datenverlusten erheblich reduzieren.

Wenn beispielsweise Informationen über eine bestimmte Cyberbedrohung als potenzielles Risiko identifiziert werden, werden Informationen gesammelt und gespeichert, damit das Unternehmen sie auswerten kann. Die Threat-Intelligence-Analyse verleiht den Informationen einen Mehrwert oder eine "Intelligenz", indem qualitative und quantitative Daten verwendet werden, um ihre Ergebnisse zu untermauern.

Threat Intelligence wird im sogenannten "Intelligence Cycle" durchgeführt, einem zirkulären Prozess, der aus sechs Schritten besteht:

1. Planung und Regie
2. Datensammlung
3. Datenanalyse
4. Verbreitung
5. Neubewertung und Feedback
6. Wiederholen