Werden Gesundheitsdienstleister bei der Verhinderung von Datenschutzverletzungen immer schlechter?
Ich würde Ihnen gerne sagen, dass wir Fortschritte machen, wenn es darum geht, die Zahl der Datenschutzverletzungen zu minimieren, von denen Gesundheitsdienstleister auf der ganzen Welt betroffen sind, aber leider scheint dies nicht der Fall zu sein. Tatsächlich deuten die Erkenntnisse aus dem Jahr 2019 darauf hin, dass es uns durchaus noch schlechter gehen könnte …
Im Jahr 2018 verzeichneten wir 503 Datenschutzverletzungen im Gesundheitswesen, bei denen etwa 15 Millionen Patientenakten kompromittiert wurden.
Laut dem Protenus Breach Barometer hat sich die Zahl der Datenschutzverletzungen im Gesundheitswesen zwischen 2017 und 2019 verdreifacht.
Die 5 größten Datenschutzverletzungen im Gesundheitswesen im Jahr 2019
1. Die American Medical Collection Agency (AMCA) - Die AMCA, ein Inkassobüro für den US-amerikanischen Gesundheitssektor, erlitt laut dem ursprünglichen Bericht von databreaches.net einen Datenverstoß, der mehr als 20 Millionen amerikanische Bürger betraf. Hacker konnten in das AMCA-Netzwerk eindringen und persönliche Daten stehlen, darunter Sozialversicherungsnummern, Zahlungskarten- und Bankkontoinformationen.
2. Dominion National - Dominion National, ein in Virginia ansässiger Versicherer und Verwalter von Zahn- und Sehleistungen, wurde Opfer einer Datenpanne, von der 2,9 Millionen Mitglieder betroffen waren. Die Organisation wurde im August 2010 angegriffen, der Verstoß wurde jedoch erst im April 2019 bekannt gegeben. Laut einem Artikel von Healthitsecurity.com wurde der Verstoß angeblich durch „unzureichend behobene Sicherheitslücken in Servern“ verursacht.
3. Inmediata Health Group - Die Gruppe erlitt einen Datenverstoß, nachdem ein Serverkonfigurationsfehler zur Offenlegung personenbezogener Daten von mehr als 1,5 Millionen Patienten führte. Mitarbeiter der Inmediata Health Group wurden auf den Verstoß aufmerksam, als sie feststellten, dass einige ihrer internen Webseiten in den Google-Suchergebnissen angezeigt wurden.
4. UW Medicine - Die University of Washington School of Medicine erlitt einen Verstoß, der 1 Million Patienten betraf. Der Verstoß wurde angeblich durch einen Datenbankkonfigurationsfehler verursacht, der von UW Medicine im Dezember 2018 festgestellt wurde.
5. Oregon Department of Human Services - Im Januar 2019 wurde das Oregon Department of Human Services von einer gezielten Phishing-Kampagne heimgesucht, die dazu führte, dass neun Mitarbeiter ihre Anmeldedaten an Cyberkriminelle weitergaben. Den Angreifern gelang es, sich Zugang zu personenbezogenen Daten von rund 645.000 Patienten zu verschaffen.
Zu den weiteren bemerkenswerten Angriffen gehört die Wolverine Solutions Group, die im September Opfer eines Ransomware-Angriffs wurde, von dem etwa 600.000 Patienten betroffen waren. Im Februar wurde Columbia Surgical Specialists Opfer eines mutmaßlichen Ransomware-Angriffs, von dem 400.000 Patienten betroffen waren, und UConn Health erlitt einen Datenverstoß, der etwa 330.000 Patienten betraf. Die Realität ist, dass diese Fälle nur die Spitze des Eisbergs sind. Es ist klar, dass wir noch viel Arbeit vor uns haben, wenn wir die Zahl der Angriffe auf Gesundheitsdienstleister reduzieren wollen.
Warum können Gesundheitsdienstleister Datenschutzverletzungen nicht verhindern?
Es gibt viele Gründe, warum Gesundheitsdienstleister Schwierigkeiten haben, sensible Daten vor den falschen Händen zu schützen.
Im Gegensatz zu Zahlungskarteninformationen, deren Verwendungshäufigkeit begrenzt ist, können PHI (Protected Health Information) aus verschiedenen Gründen mehrfach verwendet werden. Dies ist einer der Gründe, warum PHI so wertvoll ist.
Es ist jedoch nicht unbedingt die Art der Daten, die Angriffe auf die Gesundheitsbranche auslösen, sondern der Mangel an Sicherheitsschulungen, IT-Sicherheitsspezialisten und Technologien, die diesen Anbietern zur Verfügung stehen. Darüber hinaus müssen viele verschiedene Ärzte an vielen verschiedenen Standorten auf Gesundheitsakten zugreifen, was es besonders schwierig macht, den Überblick über diese Aufzeichnungen zu behalten.
Dem Bericht zufolge wurden die meisten Sicherheitsvorfälle durch Phishing-Angriffe oder Angriffe auf Drittanbieter verursacht. Ransomware-Angriffe stellen weiterhin eine ernsthafte Bedrohung dar, ein Problem, das durch die Tatsache verschärft wird, dass 56 % der Gesundheitsdienstleister immer noch auf veraltete Windows 7-Betriebssysteme angewiesen sind, die Hacker auszunutzen versuchen.
Wir müssen uns auch der Möglichkeit der Spionage stellen; Schließlich ist die Gesundheitsversorgung ein entscheidender Teil der Infrastruktur eines Landes. Zusammenfassend lässt sich sagen, dass Gesundheitsdienstleister so vielen Cyberangriffen zum Opfer fallen, weil die Angriffsfläche einfach zu groß für die ihnen zur Verfügung stehenden Ressourcen ist.
Wie können Gesundheitsdienstleister das Risiko einer Datenschutzverletzung minimieren?
Der beste Weg, Phishing-/Ransomware-Angriffe zu verhindern, besteht natürlich darin, sicherzustellen, dass die Mitarbeiter ausreichend geschult sind, um verdächtige E-Mails zu erkennen. Allerdings müssen Dienstanbieter auch sicherstellen, dass sie einen Überblick darüber haben, wer von welchem Standort aus und wann Zugriff auf welche Informationen hat.
Angesichts der Tatsache, dass ein durchschnittliches Krankenhaus Gesundheitsakten mit 16 verschiedenen Anbietern teilt, ist dies leichter gesagt als getan. Einige Experten haben empfohlen, die gesamte Datenspeicherung und -verwaltung an einen spezialisierten Dritten auszulagern, der für die Gewährung, den Widerruf und die Überwachung des gesamten Zugriffs auf Patientenakten verantwortlich ist. Allerdings muss weiterhin ein Dritter mit dem Krankenhaus und/oder dem Patienten zusammenarbeiten, um sicherzustellen, dass der betreffenden Partei Zugang gewährt wird.
In jedem Fall müssen Dienstanbieter akzeptieren, dass es zu Sicherheitsvorfällen kommen wird, und ihre Aufmerksamkeit darauf richten, sicherzustellen, dass sie über die Transparenz verfügen, die sie benötigen, um Vorfälle rechtzeitig zu erkennen, was bedeutet, dass sie die besten verfügbaren Tools und Technologien nutzen müssen.
Anbieter benötigen ein Datenklassifizierungstool, das Verzeichnisse automatisch nach PHI durchsuchen und die Daten entsprechend klassifizieren kann. Sie müssen sicherstellen, dass diejenigen, die Zugang zu PHI haben, die geringsten Privilegien erhalten, die sie zur Wahrnehmung ihrer Rolle benötigen. Sie benötigen eine fortschrittliche Echtzeit-Auditing-Lösung, die Ereignisprotokolle von einer Vielzahl von Plattformen aggregieren und korrelieren und über ein intuitives Dashboard eine Zusammenfassung der Ereignisse präsentieren kann, die von den zuständigen Mitarbeitern genau überwacht wird.
Viele Echtzeit-Auditing-Lösungen sind in der Lage, Ereignisse zu erkennen und darauf zu reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen. Dies könnte nützlich sein, um den durch einen Ransomware-Angriff verursachten Schaden zu minimieren. Wenn beispielsweise eine bestimmte Anzahl von Dateien innerhalb eines bestimmten Zeitraums verschlüsselt wird, könnte ein benutzerdefiniertes Skript ausgeführt werden, das ein Benutzerkonto deaktivieren oder alle Berechtigungskonten vorübergehend sperren kann.
Das Skript könnte einen bestimmten Prozess stoppen, die Firewall-Einstellungen anpassen oder einfach den betroffenen Server herunterfahren. In einer idealen Welt würden alle Tochtergesellschaften und Partner dasselbe System zur Prüfung des Zugriffs auf PHI verwenden. Dies würde es ihnen ermöglichen, Ereignisprotokolle untereinander auszutauschen und so Dienstanbietern einen vollständigen Überblick darüber zu geben, wer, was, wo und wann wichtige Ereignisse stattfinden.
Wenn Sie sehen möchten, wie die Lepide Data Security Platform Gesundheitsdienstleistern dabei helfen kann, ihre PHI zu schützen und HIPAA-Compliance-Audits zu bestehen, vereinbaren Sie noch heute eine Demo mit einem unserer Techniker.