Die heutige vernetzte und digitalisierte Welt – gepaart mit immer ausgefeilteren Cyberangriffen – legt neue Sicherheitslücken offen und erfordert von Gesundheitsorganisationen eine Neubewertung ihrer Cyber-Haltung.
Als leitende Cybersicherheitsingenieurin bei MITRE, einer staatlich finanzierten gemeinnützigen Forschungsorganisation, ist Margie Zuk eine Expertin, von der CISOs, CIOs und andere IT- und Sicherheitsverantwortliche lernen können, wenn es um Cybersicherheitsstrategien geht.
Zuk wird nächsten Monat beim HIMSS 2023 Healthcare Cybersecurity Forum in einer Podiumsdiskussion sprechen, die sich mit dem Überdenken neuer Ansätze zur Cybersicherheit für eine sich schnell entwickelnde Bedrohungslandschaft befasst. Weitere Mitglieder des Gremiums sind Terri Ripley, CIO bei OrthoVirginia, und Joseph Cuozzo, Vizepräsident für IT am Richmond University Medical Center.
Wir haben Zuk interviewt, um einen ersten Blick auf ihre Präsentation zu werfen und einige ihrer Gedanken zur Überarbeitung einer Cybersicherheitsstrategie im Gesundheitswesen inmitten eines sich stark verändernden Umfelds zu erfahren.
F. Warum müssen Ihrer Meinung nach die meisten Organisationen im Gesundheitswesen heute ihre Cybersicherheitsstrategie überarbeiten?
A. Mit einem exponentiell wachsenden System vernetzter Geräte, Cloud-Verbindungen und Abhängigkeiten von Drittanbietern sind das Gesundheitswesen und die öffentliche Gesundheit zu den am stärksten angegriffenen kritischen Infrastruktursektoren geworden.
Die Auswirkungen von Cyberangriffen auf Gesundheitsdienstleister und die Patientensicherheit sind nicht nur bei dem Gesundheitsdienstleister zu spüren, der von dem Cyberangriff betroffen ist, sondern auch bei anderen Gesundheitsdienstleistern in der Region.
Angesichts der Tatsache, dass es Wochen oder Monate dauern kann, bis Störungen in der klinischen Versorgung vollständig behoben sind, ist es wichtig, dass Gesundheitsdienstleister Cybersicherheit in ihre Notfallpläne integrieren, um sich auf Cyberangriffe und die daraus resultierenden klinischen Auswirkungen vorzubereiten.
Zur Unterstützung der FDA arbeitete MITRE mit einem breiten Spektrum von Interessenvertretern im gesamten Gesundheitssektor zusammen, darunter Gesundheitsdienstleistungsorganisationen, Hersteller medizinischer Geräte sowie staatliche, lokale und bundesstaatliche Regierungsorganisationen, um die Lücken und Herausforderungen zu verstehen, insbesondere die einzigartigen Herausforderungen bei der Sicherung der medizinischen Versorgung Geräte mit ihrer entscheidenden Rolle bei der Bereitstellung klinischer Versorgung.
Das Ergebnis Das Medical Device Cybersecurity Regional Incident Preparedness and Response Playbook wurde erstmals 2018 nach dem WannaCry-Angriff erstellt und 2022 aktualisiert, um die aktuellsten Best Practices und Ressourcen widerzuspiegeln. Das Spielbuch:
- Bietet grundlegende Cybersicherheitsinformationen für medizinische Geräte, die in den Notfallvorsorge- und Reaktionsrahmen einer Gesundheitsversorgungsorganisation integriert werden können.
- Beschreibt die Rollen und Verantwortlichkeiten der Einsatzkräfte innerhalb und außerhalb der Gesundheitsversorgungsorganisation, um Kommunikationswege und Betriebskonzepte zwischen Gesundheitsversorgungsorganisationen, Herstellern medizinischer Geräte, Landes- und Kommunalverwaltungen sowie der Bundesregierung zu klären.
- Beschreibt einen standardisierten Ansatz für Reaktionsbemühungen, der dazu beiträgt, eine einheitliche Reaktion innerhalb von Gesundheitsversorgungsorganisationen und gegebenenfalls über Regionen hinweg zu ermöglichen.
- Dient als Grundlage für verbesserte Koordinierungsaktivitäten zwischen Akteuren im Bereich der Cybersicherheit medizinischer Geräte, einschließlich der gegenseitigen Hilfe zwischen Gesundheitsdienstleistungsorganisationen.
- Informiert die Entscheidungsfindung und die Notwendigkeit einer Eskalationsreaktion. Identifiziert Ressourcen, die Organisationen im Gesundheitswesen im Rahmen ihrer Vorbereitungs- und Reaktionsaktivitäten nutzen können.
- Dient als anpassbares regionales Vorbereitungs- und Reaktionstool für die Cyber-Resilienz medizinischer Geräte, das umfassend implementiert werden könnte.
F: Bitte wählen Sie eine Ihrer Empfehlungen zur überarbeiteten Sicherheit medizinischer Geräte aus und sprechen Sie ein wenig darüber.
A. Cyber-Bedrohungen, die medizinische Geräte betreffen, könnten die Kontinuität des klinischen Betriebs für die Patientenversorgung und Patientensicherheit beeinträchtigen. Daher sind Vorbereitungsmaßnahmen im Zusammenhang mit Medizinprodukten für die klinische Kontinuität von entscheidender Bedeutung.
Das Playbook beschreibt medizingerätespezifische Vorbereitungsaktivitäten, einschließlich der Beschaffung medizinischer Geräte, der Bestandsaufnahme medizinischer Geräte, der Analyse von Gefahrenschwachstellen und der Integration der Cybersicherheit medizinischer Geräte in Pläne zur Reaktion auf Vorfälle und Befehlsstrukturen.
Es ist von entscheidender Bedeutung, alle Bereitschaftspläne, wie z. B. Notfalleinsatzpläne und Kommunikationspläne zur Reaktion auf Vorfälle, umzusetzen, um sicherzustellen, dass die Mitarbeiter wissen, wie sie diese ausführen müssen, und um Lücken in den Plänen zu erkennen.
Das Playbook behandelt Cybersicherheit als Gefahr und erörtert, wie Cybersicherheit in Vorbereitungs- und Reaktionsübungen für alle Gefahren einbezogen werden kann. Ein besonderes Merkmal von Cyber-Vorfällen besteht darin, dass die Ausfallzeiten wesentlich länger sind als bei den meisten anderen Gefahren, da sie weitreichende Auswirkungen auf die gesamte Gesundheitsversorgungsorganisation haben. Daher sollten Übungen so konzipiert werden, dass Verfahren für längere Ausfallzeiten getestet werden.
Es ist wichtig, einen Querschnitt der Stakeholder der Gesundheitsversorgungsorganisation einzubeziehen – von der Notfallmanagementorganisation über das Managementteam für Gesundheitstechnologie, das medizinische Geräte verwaltet, und die Abteilung für Informationstechnologie, einschließlich Sicherheit, bis hin zu Herstellern medizinischer Geräte und anderen Drittanbietern. bei Vorbereitungsübungen.
F: Bitte wählen Sie eine Ihrer Empfehlungen zur überarbeiteten Vorsorge für Vorfälle aus und besprechen Sie diese etwas ausführlicher.
A. „Entwickeln Sie gegenseitige Hilfsvereinbarungen mit regionalen Partnern für die Cybersicherheit medizinischer Geräte oder ergänzen Sie sie als Teil umfassenderer gegenseitiger Hilfsvereinbarungen zur Reaktion auf Vorfälle – einschließlich Leihgeräten, Umleitung von Patienten in eine Einrichtung mit betriebsbereiten Geräten und Unterstützung bei der Reaktion auf Vorfälle.“
Diese Empfehlung ist Teil eines umfassenderen Plans zur Einrichtung einer regionalen Koordinierung zur Vorbereitung auf einen Cyberangriff, der zu längeren Ausfallzeiten und der Umleitung von Patienten zu anderen Gesundheitsversorgungsorganisationen in der Region führt.
Gesundheitsdienstleister sollten POC-Namen und Kontaktinformationen mit regionalen Partnern festlegen, gemeinsame regionale Resilienzübungen durchführen und Cybersicherheitsratschläge, Warnungen und Best Practices mit regionalen Partnern austauschen.
Organisationen, die im Gesundheitswesen tätig sind, sollten außerdem Verfahren zur Meldung von Vorfällen bei regionalen Partnern entwickeln, einschließlich alternativer Kommunikationsmechanismen, um sich auf Ablenkungen vorzubereiten, die sich aus einem Cyberangriff ergeben.
Es versteht sich wahrscheinlich von selbst, aber der Detaillierungsgrad sollte minutiös sein und so grundlegende Situationen berücksichtigen wie: „Wenn E-Mail- oder Kontaktdatenbanken nicht zugänglich sind, haben wir dann die entsprechenden Kontaktinformationen offline oder sogar ausfallsicher auf Papier gespeichert?“
Eine aktuelle Studie der University of California in San Diego zeigt die nachgelagerten Auswirkungen auf die Patientensicherheit auf, die sich aus einem Cyberangriff auf einen regionalen Partner ergeben können. Wir haben eine wachsende Zahl regionaler Partnerschaften gesehen, die sich bilden, um regionale Resilienzübungen in Gesundheitsorganisationen durchzuführen und sich auf die regionalen Auswirkungen von Cyberangriffen vorzubereiten.
Organisationen, die im Gesundheitswesen tätig sind, trainieren regelmäßig für Massenunfälle und andere klinische Ereignisse – und der gleiche Fokus und die gleiche Strenge sollten bei der Vorbereitung auf einen Cyberangriff angewendet werden. Da die Patientensicherheit möglicherweise auf dem Spiel steht, kann sich unsere Gemeinschaft nicht genug darauf konzentrieren.
Andersons Sitzung: „„Revamping Your Cybersecurity Strategy for 2023 and Beyond“ ist für Freitag, den 8. September, um 12:45 Uhr beim HIMSS 2023 Healthcare Cybersecurity Forum in Boston geplant.
Verfolgen Sie Bills HIT-Berichterstattung auf LinkedIn: Bill Siwicki
Schicken Sie ihm eine E-Mail an: [email protected]
Healthcare IT News ist eine Publikation von HIMSS Media.
