Compliance-Leitfaden: NIST CSF und die Gesundheitsbranche

Die heutige Bedrohungslandschaft wird durch die digitale Transformation und die Auslagerung kritischer Vorgänge an Drittanbieter vorangetrieben. Die hohe Nachfrage von Cyberkriminellen nach sensiblen Daten in Verbindung mit einem historischen Mangel an Investitionen in die Cybersicherheit in der gesamten Branche gibt Anlass zur Sorge. Organisationen im Gesundheitswesen haben erkannt, dass sie die Wahl haben, entweder ihre Cyberausgaben zu erhöhen oder unweigerlich Opfer einer kostspieligen Datenschutzverletzung zu werden.

Es reicht jedoch nicht aus, nur in Cybersicherheitslösungen zu investieren. Unternehmen müssen sich zur Implementierung einer robusten Informationssicherheitsrichtlinie verpflichten, die durch Frameworks unterstützt wird, die dabei helfen, Cybersicherheitsrisiken konsistent und effektiv zu identifizieren und zu verwalten.

Eines dieser Rahmenwerke ist das National Institute of Standards and Technology Cybersecurity Framework for Improving Critical Infrastructure (NIST CSF), das von vielen Organisationen im Gesundheitswesen übernommen wird, um die Herausforderungen bei der Aufrechterhaltung hoher Sicherheitsstandards in einer Branche zu bewältigen, die mit extremen Cyberrisiken konfrontiert ist.

In diesem Artikel wird erläutert, wie das NIST-CSF auf Organisationen im Gesundheitswesen angewendet werden kann und wie sie es nutzen können, um die Reife der Sicherheitslage zu erreichen.

Erfahren Sie, wie UpGuard Einrichtungen im Gesundheitswesen vor Datenschutzverletzungen schützt >

Was ist das NIST CSF?

Das Cybersecurity Framework (CSF) des National Institute of Standards and Technology (NIST) ist ein anpassungsfähiger Satz grundlegender Richtlinien, die darauf abzielen, organisatorische Risiken zu mindern und die allgemeine organisatorische Sicherheit zu stärken.

Das NIST Cybersecurity Framework besteht aus drei Hauptkomponenten:

1. Der Framework-Kern

Der Kern besteht aus drei Teilen:

Funktionen: Identifizieren, Erkennen, Schützen, Reagieren und Wiederherstellen. Diese fünf Funktionen gelten für das Cyber-Risikomanagement und im weiteren Sinne für das Risikomanagement.

Kategorien: Es gibt 23 Kategorien, die auf die fünf Funktionen aufgeteilt sind und die gesamte Bandbreite der Cybersicherheitsziele (Cyber-, physische, personelle und geschäftliche Ergebnisse) abdecken.

Unterkategorien: Es gibt 108 Unterkategorien, die auf die 23 Kategorien aufgeteilt sind. Diese ergebnisorientierten Aussagen enthalten Überlegungen zur Erstellung oder Verbesserung eines Cybersicherheitsprogramms.

Verfolgen Sie die NIST-CSF-Ausrichtung mit diesem kostenlosen Vorlagen>

2. Das Rahmenprofil

Das Framework-Profil ist die einzigartige Art und Weise, wie eine Organisation ihre Geschäftsanforderungen und -ziele, ihre Risikobereitschaft und ihre Ressourcen an den gewünschten Ergebnissen des Framework-Kerns ausrichtet. Profile werden in erster Linie verwendet, um Möglichkeiten zur Verbesserung der Sicherheitsstandards und zur Risikominderung in einer Organisation zu identifizieren und zu priorisieren.

3. Die Implementierungsebenen des Rahmenwerks

Die Framework-Implementierungsebenen bieten einen Kontext dafür, wie ein Unternehmen das Risikomanagement im Bereich der Cybersicherheit betrachtet, und werden häufig als Kommunikationsinstrument verwendet, um Risikobereitschaft, Missionspriorität und Budget zu erörtern.

Erfahren Sie mehr über die NIST CSF->

Weitere NIST-Publikationen

NIST hat über 200 Publikationen zur Cybersicherheit veröffentlicht, darunter NIST 800-53.

NIST 800-53 führte ursprünglich Sicherheitskontrollen und Datenschutzkontrollen ein, die nur für Bundes- und Regierungsbehörden galten.

Die jüngste Überarbeitung des Sicherheitsrahmenwerks (Revision 5) hat seinen Fokus auf Nichtregierungsorganisationen, einschließlich Gesundheitsorganisationen, ausgeweitet. Revision 5 integriert Datenschutzkontrollen in Sicherheitskontrollen und schafft so einen einheitlichen Satz von Kontrollen für Systeme und Organisationen.

Im Juli 2022 kündigte das NIST einen Veröffentlichungsentwurf mit dem Titel Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule: A Cybersecurity Resource Guide (NIST Special Publication 800-66, Revision 2) an. Jeff Marron, Cybersicherheitsspezialist bei NIST, beschreibt die Veröffentlichung als "Ressourcenleitfaden", den Organisationen im Gesundheitswesen nutzen können, "um ihre Cybersicherheitslage zu verbessern und die [HIPAA] Security Rule einzuhalten. ”

Erfahren Sie mehr über NIST 800-53 >

Was ist HIPAA?

Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) ist ein US-Bundesgesetz, das die Schaffung nationaler Standards vorschreibt, um sensible Gesundheitsdaten von Patienten vor der Offenlegung ohne Zustimmung oder Wissen des Patienten zu schützen. Die HIPAA-Konformität mit der Sicherheitsregel erfordert, dass jede betroffene Einrichtung, die elektronisch geschützte Gesundheitsinformationen (ePHI) erstellt, empfängt, pflegt oder überträgt, diese Daten ausreichend schützen muss.

Zu den abgedeckten Einrichtungen gehören:

Krankenversicherungen
Leistungserbringer im Gesundheitswesen
Clearingstellen im Gesundheitswesen
Geschäftspartner

Erfahren Sie mehr über HIPAA >

Warum sollte der Gesundheitssektor NIST CSF einhalten?

Das Gesundheitswesen ist ein Hauptziel für Cyberangriffe und sieht sich mit einer starken Zunahme von Ransomware und Angriffen auf die Lieferkette konfrontiert. Zu den wertvollen Daten, die sie speichern, gehören elektronisch geschützte Gesundheitsinformationen (ePHI), die Namen, Adressen, Finanzdaten und andere persönliche Daten enthalten. Hacker verkaufen diese Informationen im Dark Web für den höchsten Preis und ermöglichen es anderen Cyberkriminellen, lukrative Verbrechen wie Identitätsdiebstahl und Versicherungsbetrug zu begehen.

Laut einer Studie von IBM Security sind die Kosten für Datenschutzverletzungen im Gesundheitswesen im Jahr 2022 auf 10,10 Millionen US-Dollar gestiegen. Unternehmen müssen ihre Strategien zum Schutz der Informationstechnologie verbessern, um harte rechtliche Schritte und behördliche Bußgelder zu vermeiden.

Während die NIST-Konformität nur für Bundesbehörden und ihre Auftragnehmer obligatorisch ist, wird dringend empfohlen, dass auch private Organisationen im Gesundheitswesen die Einhaltung der Vorschriften erreichen. Organisationen im Gesundheitswesen können durch das NIST CSF die folgenden Vorteile nutzen:

Kostensenkung: NIST CSF ist eine kostenlose Ressource, die Unternehmen als Grundlage für ihr Cybersicherheitsprogramm nutzen können. Ein etablierter Rahmen ermöglicht es Unternehmen, ihre Zeit und Ressourcen für übergeordnete Risikomanagementaktivitäten zu verwenden.

Anpassungsfähigkeit: Das NIST-Framework eignet sich für alle Organisationen, auch für das Gesundheitswesen. Seine Flexibilität ermöglicht es Organisationen im Gesundheitswesen, das Framework weiter anzupassen, wenn sich ihre Sicherheitslage weiterentwickelt und ihre Cybersicherheitsprogramme skalieren.

Verbesserte Compliance: Die Cybersicherheit im Gesundheitswesen ist stark reguliert, und das Erreichen und Verwalten von Compliance erfordert, dass Unternehmen stark in strenge Governance-, Risiko- und Compliance-Strategien (GRC) investieren. NIST bietet einen vereinfachten Ansatz zur Einhaltung gesetzlicher Vorschriften durch die Integration mit der Erfüllung verbindlicher Anforderungen wie HIPAA und ISO 27001.

Erfahren Sie, wie Sie das beste Produkt für das Management von Angriffsflächen im Gesundheitswesen auswählen >

Wie lässt sich der NIST CSF mit anderen Vorschriften im Gesundheitswesen abbilden?

NIST bietet Organisationen im Gesundheitswesen mehrere Ressourcen, um ihre Implementierung des Cybersecurity Framework zu optimieren und die Interoperabilität mit verbindlichen Branchenanforderungen zu ermöglichen. Eine der bekanntesten Publikationen ist der HIPAA Security Rule Crosswalk to NIST Cybersecurity Framework, der vom Department of Health and Human Services (HHS) verfasst wurde.

Der Crosswalk beschreibt, wie Organisationen im Gesundheitswesen ein Sicherheitsprogramm entwickeln können, das mit der HIPAA-Sicherheitsregel und NIST CSF übereinstimmt.

Das Dokument ermöglicht es Unternehmen, ihre Cybersicherheitsprogramme durch die folgenden Initiativen zu verbessern:

Hilft bei der Identifizierung wichtiger Cybersicherheitslücken und der Priorisierung von Behebungsmaßnahmen, indem fehlende Überschneidungsbereiche hervorgehoben werden.

Bietet eine gemeinsame Sprache für Organisationen, um die Aktivitäten und Ergebnisse ihrer Cybersicherheitsprogramme zu kommunizieren.
Ermöglicht die Zuordnung zu anderen Compliance-Anforderungen, z. B. ISO 27001, COBIT, HITRUST und NIST SP 800-53.

Sehen Sie sich die vollständige Liste der NIST-Ressourcen für das Gesundheitswesen > an

Wie können Organisationen im Gesundheitswesen NIST CSF erfolgreich implementieren?

NIST CSF bietet Organisationen im Gesundheitswesen einen ganzheitlichen Ansatz zur Verbesserung ihrer Cybersicherheitslage. Es kann helfen, Sicherheitslücken zu identifizieren und einen Basisstandard für Cybersicherheitsprogramme zu schaffen. Sie kann sich jedoch nicht allein gegen die ständig wachsende Liste von Cyberbedrohungen und Schwachstellen verteidigen. Unternehmen müssen NIST CSF stattdessen als Leitfaden für die Identifizierung der richtigen Technologien für ihre Verteidigungsbemühungen betrachten.

In Kombination mit einer vollständigen Defense-in-Depth-Strategie kann das Framework Unternehmen dabei helfen, die erforderliche Abdeckung zu erreichen, um böswillige Cyberaktivitäten gegen Gesundheitssysteme zu bekämpfen. Eine umfassende Plattform für das Management der Angriffsfläche kann IT-Teams im Gesundheitswesen dabei unterstützen, die folgenden Best Practices für die Cybersicherheit abzudecken:

Erfahren Sie, wie Sie ein Produkt zur Behebung von Cyberrisiken im Gesundheitswesen auswählen >

Schutz vor Datenschutzverletzungen

Datenschutzverletzungen sind im Gesundheitswesen weit verbreitet. Gesundheitsdaten sind ein wertvolles Gut im Dark Web, das Cyberkriminelle dazu ermutigt, ihre böswilligen Aktivitäten auf diesen Sektor zu konzentrieren. Organisationen im Gesundheitswesen müssen Angreifern immer einen Schritt voraus sein, indem sie ihre exponierten Assets schützen. Die kontinuierliche Überwachung der Angriffsfläche ist der effektivste und effizienteste Weg, um Cyberrisiken zu identifizieren und zu beheben, bevor sie zu Sicherheitsverletzungen eskalieren.

Eine automatisierte Plattform zur Überwachung der Angriffsfläche, wie UpGuard BreachSight, bietet Echtzeit-Einblicke in die Sicherheitslage eines Unternehmens und kann Cyberbedrohungen und Schwachstellen sofort entdecken.

Nutzen Sie die Lehren aus den größten Datenschutzverletzungen im Gesundheitswesen.
Erfahren Sie, wie UpGuard Organisationen im Gesundheitswesen beim Schutz von Patientendaten unterstützt.

Erkennung von Datenlecks

Datenlecks sind ein einfacher Angriffsvektor für Cyberkriminelle, die einen direkten Weg in die Systeme von Organisationen im Gesundheitswesen suchen. Diese versehentlichen Expositionen können verheerende Auswirkungen haben, wenn sie in die falschen Hände geraten. Schnelle Erkennung und Behebung sind entscheidend, um Datenlecks zu stoppen, bevor sie zu Sicherheitsverletzungen führen.

Erfahren Sie, wie Sie ein Cybersicherheitsprogramm für das Gesundheitswesen implementieren >

Bewertung der Compliance durch Dritte

Organisationen im Gesundheitswesen müssen ihre Drittanbieter einer Due-Diligence-Prüfung unterziehen. Alle Daten, die von einem Anbieter verletzt werden, bleiben in der Verantwortung des Unternehmens, zusammen mit den reputationsbezogenen, rechtlichen und finanziellen Konsequenzen. Wenn ein Dritter die Anforderungen des Unternehmens nicht einhält, besteht auch das Risiko der Nichteinhaltung.

Eine vollständig automatisierte Lösung für das Risikomanagement von Anbietern, wie UpGuard Vendor Risk, kann Unternehmen dabei helfen, einen besseren Überblick über die Compliance von Drittanbietern, einschließlich der NIST-Compliance, zu erhalten.

Vendor Risk automatisiert die Risikobewertungsprozesse vollständig durch vorgefertigte NIST-Fragebögen und automatisierte Korrektur-Workflows für identifizierte Risiken.

Erfahren Sie, wie Sie die Anforderungen an das Risikomanagement von Drittanbietern des NIST CSF-> erfüllen können

Sehen Sie sich dieses Video an, um zu erfahren, wie UpGuard den Prozess der Risikobewertung von Anbietern rationalisiert.