Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

Plentymarkets Online-Händler-Kongress
03.03.18 - 03.03.18
In Kassel

Search Marketing Expo 2018
20.03.18 - 21.03.18
In München, ICM – Internationales Congress Center

GesundheitswesenCyber-Angreifer nehmen verstärkt unzureichend geschützte Endgeräte von Mitarbeitern ins Visier – das betrifft auch Unternehmen im Gesundheitswesen. Ohne eine adäquate Endpunktsicherheitslösung, die Benutzerrechteverwaltung und Applikationskontrolle bietet, sind die Unternehmen Angreifern schutzlos ausgeliefert, meint IT-Sicherheitsexperte CyberArk.

War das Thema IT in der Vergangenheit im Gesundheitswesen noch eher eine Begleiterscheinung und vielfach auf den Bereich der Verwaltung beschränkt, ist es inzwischen auch im klinischen und Laborbereich angekommen, in Segmenten also, in denen hohe Verfügbarkeit und Sicherheit unverzichtbar sind. Diagnosen und Therapieformen werden heute in Krankenhäusern digital gespeichert, Laborberichte über das Internet übertragen und Krankenhäuser und -kassen kommunizieren auf dem digitalen Weg. All das hat auch dazu geführt, dass die Gefahr eines Cyber-Angriffs und Diebstahls vertraulicher Informationen deutlich gestiegen ist.

Dass es um die IT-Sicherheit für vertrauliche Mitarbeiter- und Patientendaten nicht zum Besten bestellt ist, belegen mehrere Vorfälle der jüngsten Vergangenheit. Dabei hat sich gezeigt, dass Standard-Sicherheitsvorkehrungen mit Firewall, Antivirenschutz oder Webfilter-Techniken keinesfalls ausreichend sind.

"Betrachtet man heute das Thema Endpunktsicherheit, ist die Erkenntnis, dass der Status Quo keinen umfassenden Schutz mehr bietet, offensichtlich", erklärt Christian Götz, Director of Presales and Professional Services DACH bei CyberArk in Düsseldorf. "Benötigt werden neue Lösungen, mit denen vor allem die Herausforderungen Benutzerrechteverwaltung und Applikationskontrolle zu bewältigen sind."

Least-Privilege-Zugriffskontrolle ist absolutes Muss

Auch normale Anwender erhalten in vielen Unternehmen Administratorenrechte oder zumindest zusätzliche Benutzerrechte. Dafür gibt es mehrere Gründe, etwa die Entlastung der IT oder die Nutzung von Applikationen, die nur im Admin-Modus ablauffähig sind. Werden mehr Privilegien als nötig vergeben, entsteht aber eine große, unübersichtliche und häufig missbräuchlich genutzte Angriffsfläche. Einfach und schnell lässt sie sich mit einer Lösung reduzieren, die die Umsetzung flexibler Least-Privilege-Richtlinien für Business- und administrative Anwender unterstützt. Sie muss zum einen die Einschränkung der Privilegien auf das notwendige Mindestmaß und zum anderen die bedarfsabhängige, auch temporäre Vergabe von Rechten ermöglichen. Wichtig bei der Auswahl einer Lösung ist, dass sie einen hohen Automatisierungsgrad besitzt, mit einer automatisierten Erstellung und Aktualisierung von Richtlinien.

An Anwendungssteuerung führt kein Weg vorbei

Ebenso wichtig wie die Rechtevergabe und -kontrolle ist auch die Applikationsüberwachung, denn es ist durchaus denkbar, dass eine schädliche Anwendung mit Malware ohne erhöhte Berechtigung ausgeführt wird und ein Netzwerk kompromittiert. Eine Sicherheitslösung muss zunächst einmal automatisch schädliche Anwendungen blockieren. Viele Unternehmen setzen hier auf Whitelists und Blacklists. Das greift aber in aller Regel zu kurz, da dabei der immense Graubereich in der Applikationslandschaft unberücksichtigt bleibt. Eine Sicherheitslösung sollte deshalb auch ein Grey-Listing unterstützen, mit dem auch Applikationen, die nicht auf einer Whitelist oder Blacklist stehen, kontrolliert werden können – beispielsweise mit der Anwendung von Richtlinien wie einem beschränkten Zugriffsrecht oder der Unterbindung eines Zugangs zum Unternehmensnetz, bis die Applikation näher überprüft ist. Nicht zuletzt sollte die Lösung auch eine automatische Richtliniendefinition für Applikationen unterstützen, die auf vertrauenswürdigen Quellen basieren – solche Quellen sind zum Beispiel der Microsoft System Center Configuration Manager (SCCM) oder Software-Distributoren.

"Die IT im Gesundheitswesen sollte sich besser heute als morgen mit dem Problem Sicherheit auseinandersetzen, denn die Zeit wird knapp. Der Gesetzgeber verschärft kontinuierlich die Vorgaben und Sanktionen, wie das auch für den Sektor Gesundheit gültige IT-Sicherheitsgesetz zeigt", betont Götz. "Spätestens Anfang 2017, wenn auch für den Gesundheitssektor eine Rechtsverordnung zur Umsetzung des Sicherheitsgesetzes folgt, wird vielen klar werden, dass sie unter den Regelungsbereich des Gesetzes fallen und entsprechende Schutzmaßnahmen ergreifen müssen, auch wenn sie sich heute vielleicht noch in Sicherheit wiegen."

www.cyberark.de
 

GRID LIST
Bill Evans

NATO-Vorstoß in Sachen offensiver Cyber-Kriegsführung

Die NATO soll gerade dabei sein, Leitlinien zur Cyber-Kriegsführung für die Militärs zu…
Tb W190 H80 Crop Int B5b0ff15e508b5ed0e077aec201a86db

Wie eine IT-Security-Architektur die Digitalisierung vereinfacht

Die aktuelle OWASP Top 10 Liste, die vor kurzem veröffentlicht wurde, klärt über…
WLAN Cyber Crime

Vorsichtsmaßnahmen nach WPA2-Sicherheitslücke

Avast warnt vor den Konsequenzen der WPA2-Sicherheitslücke KRACK. Unternehmen und…
Tb W190 H80 Crop Int Fdef4a5c2ffd2a8f9afde14b4aefbad1

Wer soll sich so viele Passwörter merken?

Kein Mbit fließt, ohne dass erneut eine Sicherheitslücke in den Schlagzeilen ist. Von…
Cloud Security

Learnings aus dem Cyberangriff bei Uber

Beim Fahrdienst-Vermittler Uber erlangten Cyberangreifer im Oktober 2016 Zugriff auf eine…
Tb W190 H80 Crop Int C2ba5ef936b84b748ce5064d774e909c

Die zentrale Rolle von Login-Daten im Uber-Hack

Der Vermittlungsdienst zur Personenbeförderung Uber erlitt 2016 einen Hack, in dem bis zu…
Frische IT-News gefällig?
IT Newsletter Hier bestellen:

Newsletter IT-Management
Strategien verfeinert mit profunden Beiträgen und frischen Analysen

Newsletter IT-Security
Pikante Fachartikel gewürzt mit Shortnews in Whitepaper-Bouquet