Im Gesundheitswesen bleiben bekannte Schwachstellen viel zu oft ungepatcht, da sich das Patching weiterhin widersetzt. Viele Krankenhäuser und Anbieter identifizieren veraltete Infrastruktur- und Kompatibilitätsprobleme als Schwachstellen und sind daher der Meinung, dass Software-Patches zu komplex und störend sind.
Unser Sektor muss sich jedoch darüber im Klaren sein, dass die Risiken, die mit dem Nicht-Patching von Endpunkten einhergehen, diese überschaubaren Unannehmlichkeiten bei weitem überwiegen. Da KI die Entdeckung von Schwachstellen beschleunigt, erhöht diese Abneigung tatsächlich das Risiko von Angriffen auf Patientenmonitore, Infusionspumpen und Bildgebungssysteme.
Im Oktober enthüllte Sophos, dass ausgenutzte Schwachstellen – bekannte Endpunkt-Hintertüren, für die es eine Lösung gibt, die aber noch angewendet werden muss – die häufigste technische Ursache für Ransomware im Gesundheitswesen sind. Dies stellt ein großes Problem dar, da erfolgreiche Angriffe die Patientenversorgung beeinträchtigen können und die durchschnittlichen Wiederherstellungskosten mehr als 1 Million US-Dollar betragen.
Die Wahrheit ist, dass wir den Patching-Kampf und damit den Ransomware-Krieg verlieren. Lassen Sie uns untersuchen, wie das Gesundheitswesen seine Perspektive ändern, Patches verbessern und Ransomware-Pfade besser blockieren kann.
Die Herausforderung des Patchens
Patching ist in der Tat leichter gesagt als getan, und es gibt legitime Herausforderungen, die verhindern, dass Gesundheitsökosysteme so schnell wie möglich aktualisiert werden.
Da wäre zunächst einmal das Problem alter Maschinen und Kompatibilität. Viele Gesundheitsorganisationen betreiben kritische Systeme auf älterer Hardware, die nicht für häufige Updates ausgelegt ist. Wenn diese Systeme eng in elektronische Gesundheitsakten und andere klinische Arbeitsabläufe integriert sind, befürchten Administratoren, dass ein Patch etwas Wesentliches beschädigen könnte.
Und wenn das passiert, sind Ausfallzeiten gefährlich. Ein fehlgeschlagenes Update, das ein Patientenüberwachungssystem lahmlegt oder Ärzten den Zugang zu Aufzeichnungen verweigert, ist viel mehr als nur ein IT-Problem. Dies ist ein Sektor mit einer Sorgfaltspflicht und einem Bedarf an Betriebszeit – verständlicherweise wird alles, was möglicherweise die Patientenversorgung gefährdet, möglicherweise nicht priorisiert.
Patches spielen sich auch nicht immer gut. Tests vor dem Start und die Möglichkeit, im Notfall ein Rollback durchzuführen, sind wesentliche Fähigkeiten, die Teams oft fehlen. Natürlich sind das alles berechtigte Bedenken, aber sie schaffen einen gefährlichen Status quo, der Patches verzögert und bekannte Schwachstellen länger offen lässt – und Angreifer wissen das.
Die Gefahr, nicht zu patchen
Ransomware verursacht finanziellen Schaden, ruft den Ruf hervor und schädigt die Servicebereitstellung, wie sich letztes Jahr zeigte, als Angreifer grundlegende Sicherheitsmängel von Endpunkten ausnutzten, um einen erfolgreichen Angriff auf Change Healthcare zu starten. Das Ergebnis? Datendiebstahl, die Absage dringender Operationen und ein geschätzter Schaden von 800 Millionen US-Dollar.
Leider ist die Schwachstellenlandschaft schlimmer, als vielen bewusst ist. Eine aktuelle Analyse von mehr als 2 Millionen im Internet gefährdeten Vermögenswerten ergab, dass 16 % der Vermögenswerte im Gesundheits- und Versicherungswesen ausnutzbare Schwachstellen aufweisen, darunter veraltete Software, offengelegte sensible Daten und Fehlkonfigurationen.
Damit liegt das Gesundheitswesen zwar hinter Sektoren wie Bildung (31 %) und Regierung (26 %), stellt aber immer noch Zehntausende anfälliger Endpunkte in der gesamten Branche dar. Es ist erwähnenswert, dass diese Schwachstellen mit denselben Black-Box-Penetrationstesttechniken identifiziert wurden, die auch echte Angreifer verwenden, was bedeutet, dass sie von böswilligen Akteuren genauso leicht gefunden werden können.
Trotz dieser Risiken entscheiden sich viele im Gesundheitswesen immer noch dafür, das Patchen einer bekannten kritischen Schwachstelle zu vermeiden, anstatt geplante Ausfallzeiten einzuplanen. Diese Rückwärtslogik wird immer gefährlicher, da böswillige Akteure Schwachstellen schneller als je zuvor entdecken und ausnutzen. Was einst eine beherrschbare Sicherheitslücke war, kann jetzt innerhalb weniger Stunden nach der Offenlegung in großem Umfang zu einer Waffe werden. Diese Hintertüren offen zu lassen, ist einfach kein Weg vorwärts.
Die Antwort zur Bekämpfung von Ransomware
Die gute Nachricht ist, dass das Gesundheitswesen dies mit nur wenigen einfachen technischen Änderungen im Keim ersticken kann.
Automatisieren Sie zunächst das Patchen außerhalb der Hauptverkehrszeiten. Dies trägt erheblich dazu bei, Störungen zu minimieren und die Fehlerbehebungszeit zu maximieren, wenn etwas schief geht. Moderne UEM-Plattformen (Unified Endpoint Management) lösen dieses Problem, indem sie automatische Updates für die Nacht, am Wochenende oder in anderen Zeiträumen mit geringer Aktivität planen.
UEM hilft auch bei der Beantwortung der Frage, wie viele Geräte sich im Ökosystem befinden und wo sie sich befinden. Die Lösung dieses grundlegenden Bestandsproblems und die Überwachung der Richtliniendurchsetzung, des Konfigurationsmanagements und der Fernlöschung auf Knopfdruck sind für die Stärkung der Abwehr von entscheidender Bedeutung. Hier sind auch erweiterte Erkennungs- und Reaktionsplattformen (XDR) hilfreich, um Endpunkte in Echtzeit zu überwachen, verdächtiges Verhalten zu erkennen und eine schnelle Reaktion auf Vorfälle zu ermöglichen.
Seien Sie schließlich realistisch in Bezug auf Geräte. Nicht alle Altgeräte können über Nacht ersetzt werden, aber entwickeln Sie klare Zeitpläne für die Ausmusterung derjenigen, die nicht mehr sicher gewartet werden können. Und wenn ältere medizinische Geräte nicht sofort aktualisiert werden können, wird die Netzwerksegmentierung von entscheidender Bedeutung. Durch die Isolierung dieser Geräte wird der potenzielle Schaden durch eine Kompromittierung begrenzt.
Diese Lücken können und haben tatsächlich Auswirkungen auf die reale Welt. Administratoren verspüren häufig einen erhöhten Druck seitens der Führungsspitze, Angst oder Stress im Hinblick auf künftige Angriffe und Schuldgefühle, weil ein Angriff nicht gestoppt wird. Allerdings reicht es nicht aus, diese Emotionen anzuerkennen – Unternehmen müssen die Tools und Ressourcen bereitstellen, die wiederholte Ransomware-Vorfälle verhindern.
Die überschaubaren Risiken des Patchens sind bei weitem besser als abgesagte Operationen, kompromittierte Patientendaten und vermeidbare Wiederherstellungskosten. Es ist an der Zeit, dass das Gesundheitswesen das Patchen mit der Dringlichkeit und Aufsicht behandelt, die es verdient.
Foto: Traffic_Analyzer, Getty Images
Apu Pavithran ist der Gründer und CEO von Hexnode, der preisgekrönten Unified Endpoint Management (UEM)-Plattform, die von Mitsogo Inc. entwickelt wurde. Hexnode hilft Unternehmen, Mobil-, Desktop- und Arbeitsplatzgeräte von einem einzigen Ort aus zu verwalten.
Dieser Beitrag erscheint über das MedCity Influencers-Programm. Über MedCity Influencer kann jeder seine Sicht auf Wirtschaft und Innovation im Gesundheitswesen auf MedCity News veröffentlichen. Klicken Sie hier, um herauszufinden, wie.
