Ein Viertel der NHS-Trusts haben keine Mitarbeiter, die sich mit Sicherheit auskennen
Laut einer Anfrage zur Informationsfreiheit, die von Redscan - einem Unternehmen für Penetrationstests - eingereicht wurde, verfügen etwa 25 % (24 von 108) der NHS-Trusts, die auf die Anfrage geantwortet haben, über kein qualifiziertes Sicherheitspersonal.
Einige Trusts haben jedoch erklärt, dass sie gerade dabei sind, Sicherheitspersonal zu schulen. Laut Redscan haben Trusts in den letzten 12 Monaten durchschnittlich 5.356 £ für Sicherheitsschulungen ausgegeben, während eine große Anzahl von Trusts nichts ausgegeben hat.
Es versteht sich, dass NHS-Trusts mit einem begrenzten Budget arbeiten; Allerdings bietet NHS Digital kostenlose Tools sowie Information-Governance-Schulungen an, deren Teilnahme 95 % der Mitarbeiter empfohlen wird. Obwohl eine Schulung nicht verpflichtend ist, gaben 25 % der Unternehmen an, dass weniger als 80 % ihrer Mitarbeiter die von NHS Digital empfohlene Schulung abgeschlossen hätten.
Es sollte auch beachtet werden, dass der Mangel an Sicherheitsfachkräften Teil eines umfassenderen Problems sein könnte. Wie Sie vielleicht bereits wissen, besteht ein gravierender Mangel an Fachkräften für Cybersicherheit - ein Problem, das alle Branchen betrifft.
Unabhängig von den Gründen denke ich, dass wir uns alle darin einig sind, dass die oben genannten Statistiken ein schlechtes Omen sind, insbesondere angesichts der großen Störungen, die ein Cyberangriff für den NHS mit sich bringen kann. Vergessen wir nicht, dass der NHS vor weniger als zwei Jahren von der WannaCry-Ransomware-Attacke heimgesucht wurde, die Dutzende Krankenhäuser im ganzen Land betraf und schätzungsweise 73 Millionen Pfund kostete. Und es ist wahrscheinlich, dass wir am Horizont noch weitere, wenn nicht sogar ausgefeiltere Angriffsvektoren sehen werden.
Laut neuen, vom ICO veröffentlichten Zahlen gab es im dritten Quartal 2017 einen Anstieg der Datenverstöße um 20 %, die hauptsächlich darauf zurückzuführen waren, dass Daten an die falschen Empfänger gesendet wurden oder dass Unterlagen verloren gingen oder gestohlen wurden. Als Trost: Der NHS hat beschlossen, Faxgeräte ab 2020 zu verbieten.
Was können NHS Trusts gegen den Mangel an Sicherheitsfachkräften tun?
Die Antwort auf diese Frage liegt in der Automatisierung. Natürlich reicht die Technologie allein nicht aus, um Datenschutzverletzungen einzudämmen; Durch den Einsatz der richtigen Tools können jedoch Ressourcen freigesetzt werden, wodurch es für sie einfacher wird, ihre Daten mit der geringsten Anzahl geschulter Mitarbeiter zu schützen.
Es ist wahrscheinlich, dass alle NHS-Trusts irgendeine Form automatisierter Sicherheitstools verwenden, sei es Antivirentools, Firewalls oder Intrusion Detection and Prevention Systems (IDPS). Es gibt jedoch eine Reihe zusätzlicher Sicherheitslösungen, die den Schutz sensibler Patientendaten optimieren können. Beispielsweise gibt es Tools, die geschützte Gesundheitsinformationen (PHI) automatisch erkennen, klassifizieren und verschlüsseln können.
Es gibt Lösungen, die doppelte Datensätze erkennen und verwalten können, und es gibt Data Loss Prevention (DLP)-Lösungen, die automatisch verhindern können, dass unverschlüsselte PHI ihr Netzwerk verlassen. Angesichts der Tatsache, dass Mitarbeiter das schwächste Glied in Sachen Cybersicherheit sind, müssen Trusts eine Lösung zur Analyse des Benutzer- und Unternehmensverhaltens implementieren, die verdächtiges Benutzerverhalten automatisch erkennen und darauf reagieren kann.
Diese Lösungen können Änderungen an privilegierten Konten und PHI überwachen, inaktive Benutzerkonten erkennen und verwalten und automatisch auf Ereignisse reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen. Dies kann besonders nützlich sein, um die Verbreitung von Ransomware zu verhindern oder auf ungewöhnliche Anmeldefehler zu reagieren. DCAP-Lösungen können auch den Prozess automatisieren, Benutzer daran zu erinnern, ihre Passwörter zurückzusetzen. Letztendlich ist die Aufklärung der Mitarbeiter über bewährte Sicherheitspraktiken der wichtigste Schritt, doch wenn dies nicht gelingt, kann die Automatisierung eine Schlüsselrolle spielen.