Als neue cyber-Risiken entstehen, Strategien entwickeln – aber die Grundprinzipien gelten noch immer

02/08/2019

In den Nachrichten, dass wird Sie überraschen, genau niemand, der Liste der cyber-Bedrohungen lauern putting Daten zur Gesundheitsversorgung in Gefahr weiterhin zu verlängern und zu, manchmal, bekommen mehr reißerische.

Gesundheitswesen, Sie vielleicht schon gehört haben, hat einen guten Ruf bei Hacker, cyberattackers und verschiedenen anderen schlechten Schauspielern als eine Industrie, die sowohl „Ziel-reiche und leichte Beute.“ Als solche, es findet sich im Fadenkreuz von unzähligen Hackern und schlechten Schauspielern in der Hoffnung auf Ernte-mission-kritischen Daten oder sonst verheerende Auswirkungen auf die healthcare-IT-Systeme.

Schauen Sie sich nur die jüngsten HIMSS Healthcare-und Cross-Sector Cybersecurity-Report für eine Momentaufnahme von dem, wo wir sind. Der Bericht bietet eine menagerie von kreativ-benannte neue Arten von malware, von denen Sie sich hüten:

Agent Smith (er infiziert Android-Geräte und heimlich ersetzt Ihre Anwendungen mit bösartigen mobilen apps);
WannaHydra (eine aktualisierte version von WannaLocker, die Ernte-text-Daten, Anrufprotokolle, Telefon-Nummern);
Die Astaroth Trojaner-spam-Kampagne (Informations-Diebstahl, malware, die wischen vertrauliche Daten wie Anmeldeinformationen, Tastatureingaben und mehr);
Sodin ransomware (es nutzt eine Schwachstelle in der Oracle WebLogic-Plattform; im Gegensatz zu anderen ransomware, die es nicht erfordern keine Einbeziehung der Nutzer).

Und, natürlich, neue Rassen und Mutationen entdeckt werden, sind in freier Wildbahn fast jeden Tag.

Um ein bisschen mehr Perspektive auf den aktuellen Stand der cybersecurity, wir checkten mit HIMSS Direktor von Privacy-und Security-Lee Kim.

Sie schickte uns eine E-Mail mit einer langen Liste von links, die auf die Berichterstattung von verschiedenen ransomware-Attacken, nation, Staat, Bedrohungen und andere cyber-Risiken auftreten rund um den Globus – und dann schickte Sie mehrere E-Mails, die in schneller Abfolge, die waren einfach so voll von cyber-Unfug-machen:

Louisiana erklärte einen Ausnahmezustand in der vergangenen Woche nach einer Reihe von ransomware-Attacken auf die Schule Landkreis-Informations-Systeme.
Ein ransomware-Angriff auf die IT-Hersteller Net Gesundheit.
Eine gemeinsame übung zwischen den USA und Indonesien, Militär -, Jagd-für Cyber-Bedrohungen in der Asien-Pazifik-region.
Eine Geschichte über spyware installiert auf Touristen “ Telefone, die von der chinesischen Regierung.
Eine Warnung an „auf der Suche nach Dridex,“ eine Berechtigung-stealing malware.
Ein Vorschlag, um „patch für BlueKeep,“ dass eine Schwachstelle existiert in mehreren älteren Microsoft-Betriebssystemen und ermöglicht die Hacker, um remote-Ausführung von code auf ungeschützten Systemen.

Dann, inmitten all dieser Nachrichten von leading-edge-cyber-Risiko, aber Kim hat uns auch daran erinnert, nicht zu vergessen die oldies-but-goodies:

„Phishing ist immer noch König – und ist nicht überall jederzeit bald“, sagte Sie.

„Während die cyber-Bedrohungen weiter zu entwickeln, grundlegende Prinzipien immer noch gelten,“ Kim erklärte. „Benutzer von allen Ebenen müssen regelmäßig geschult, wie zu erkennen, phishing-versuche (ob per SMS, Internet, E-Mail, etc.). Phishing bleibt noch immer der primäre Modus des Kompromisses.“

Darüber hinaus bemerkte Sie, als ob Sie „Schwachstellen sind oft erst nach der Freigabe von Technologie. Keine Technologie ist bullet-proof. Es gibt keinen Ersatz für die Verteidigung in der Tiefe, die Durchführung von regelmäßigen Risiko Einschätzungen, dass ein robustes patch-management-Programm, und verwalten Sie den Lebenszyklus von software/hardware/Geräte (d.h., verantwortungsvoll Migration von legacy-Systemen). Cybersecurity-Programme sind nicht-selbst-fahren – noch nicht.“

Schutz PHI ist top-of-mind, nachhaltige Sicherheits-Programme, ein Ziel für viele

Aber wenigstens Krankenhäuser und Gesundheitssysteme sind schließlich der Priorisierung Ihrer cybersecurity-Programme – und, manchmal, so dass die strategische Sicherheit, die Investitionen auf einem Niveau, das in Einklang mit der Risiken – auf der Ebene, die Sie verdienen.

Viele Anbieter sind underinvesting in Sicherheit. Sind viele nicht der überprüfung, die der Hersteller gut genug. Viele sind viel zu übermütig in Ihre infosec-Haltung. Aber zumindest Gesundheitssystem Führer sind sich der Bedrohungen in einer Weise, die Sie vielleicht nicht sogar nur ein oder zwei Jahren.

Letzten HIMSS research Befragten IT-Führungskräfte über Ihre top cybersecurity betrifft. Unter den befunden, die in der Antwort auf die Frage: „Was sind Ihre Organisation die top IT-security oder Cyber Security betrifft?

Der Schutz der persönlichen Gesundheit Informationen/Patientendaten – 72%
Die Sicherung der Geräte verbunden sind – 56%
Identifikation/Vermeidung betrügerischer Aktivitäten – 54%
Adressierung ransomware – /malware-Angriffe – 52%
Nachhaltige Datenschutz-compliance – 41%

Auf die Frage, was die Gesundheitssysteme cybersecurity-investment-Prioritäten für die nächsten 12 Monate?

E-Mail-security – 55%
Data-loss-prevention – 46%
Sicherheit mobiler Geräte – 38%
Threat intelligence/Erkennung/management – 38%
Identity-und access-management (z.B. single-sign-on, multi-factor authentication) – 38%

Alles schön und gut. Und, vielleicht, etwas appraching genug. Aber wenn die cyber-Bedrohungen sind, die allgegenwärtig und die Risiken der kompromittierten Daten sind so toll, mehr muss getan werden.

Konzentrieren wir uns auf die Herausforderungen, die und andere–, aber auch die großen Fortschritte in der Gesundheitsversorgung-Sicherheit – in unserem Schwerpunkt auf die Sicherung der Gesundheit in diesem Monat.

Twitter: @MikeMiliardHITN
E-Mail der Autorin: [email protected]

Healthcare-IT-News ist eine Publikation der HIMSS Medien.