conhIT 2016 oder „Security is a process, not a product“

© 2016 Messe Berlin

© 2016 Messe Berlin

Die conhIT wirft Ihre Schatten voraus. Als wir uns im Herbst mit einem guten Kunden für einen Vortrag zum Thema IT-Sicherheit bewarben, waren wir überrascht, von den Veranstaltern ausgewählt worden zu sein. Schließlich gab und gibt es eine Reihe anderer spannender Themen in der Gesundheits-IT, die seinerzeit weiter oben auf der Agenda standen.

Als Anfang des Jahres die (in Fachkreisen seit langem bekannten) IT-Sicherheits-Probleme in Krankenhäusern einer breiteren Öffentlichkeit bewusst wurden, versuchte natürlich auch die Messe das Thema aufzugreifen. Angesichts des großen Nachholbedarfs der Branche ist dies ausdrücklich zu begrüßen!

Natürlich fühlen sich – wie immer in solchen Fällen – auch eine Menge „Glücksritter“ aufgerufen, um ein Stück vom Kuchen abzuhaben und bieten Geschäftsführern tolle IT-Sicherheits-Produkte an. Continue reading

Ransomware-Angriffswelle schlägt weiter aus

ransomwareDie jüngste Angriffswelle von Verschlüsselungstrojanern nimmt nicht ab. Wie wir bereits im Februar berichteten sind von der Schadsoftware, die sich in Computersysteme einnistet und diese dann komplett verschlüsselt, nicht nur Privatleute sondern insbesondere Krankenhäuser, Behörden und Unternehmen betroffen.

Der neueste bekannte Fall zwang das Aachener Marienhospital in die Knie.

Continue reading

Locky, Teslacrypt und Co. Sind wir noch sicher?

blackmarketZurzeit überfällt die sogenannte „Ransomware“ die ganze Welt. Krankenhäuser, Institute und Privatleute werden am laufenden Band mit Malware überhäuft. Das Luxemburgische CERT meldet in ihrem Honeypot 500 Muster der Malware innerhalb von 30 Minuten. Deutschland liegt dabei mit über 5000 Neuinfektionen pro Stunde vor den USA und den Niederlanden.  Malware per Emailanhang ist nichts neues. Doch was ist anders als damals? Continue reading

Neuss: Lukaskrankenhaus durch Computer-Virus lahmgelegt!

gesundheitskontextIm Westen (leider) nichts Neues“ – ist man geneigt zu sagen, wenn das Thema nicht so ernst wäre. In der Tat dürfte dem geneigten Beobachter in den letzten Jahren nicht entgangen sein, dass die Verwundbarkeit von Medizintechnik und IT in unseren medizinischen Einrichtungen in den letzten Jahren stark zugenommen hat. Die Gründe sind aus unserer Sicht vielfältig, beginnend mit mangelndem Verständnis der Risiken auf Leitungsebene und der daraus folgenden Unterfinanzierung der IT/IT-Security. Weiterhin werden den Anwendern häufig Freiheitsgrade in der Nutzung der IT zugestanden, die andernorts seit langem nicht mehr erlaubt sind, z.B. private Hardware, private Software. Schlussendlich sind viele Medizingeräte im Grunde für einen Standalone-Betrieb konzipiert und sollten nicht ohne zusätzlichen Schutz vernetzt werden.

Was also tun? Continue reading

HIV Patienten durch falschen Umgang mit E-Mail „geoutet“

 Picture: D. Spura, Some rights reservedIn Unternehmen ist das Problem bekannt: Ein falscher Klick auf „Allen antworten“ statt „Antworten“ im E-Mail-Client und schon werden hunderte Arbeitskollegen mit einer belanglosen Antwort belästigt. Ebenfalls ist vielen der Unterschied zwischen „To“,“CC“ und „BCC“ nicht bekannt.

Leider wurde genau dies den Patienten von einem Londoner Krankenhaus zum Verhängnis. Dort wurden 780 Patienten, die hauptsächlich aufgrund Ihrer HIV-Infektion behandelt werden, per E-Mail über neue Telefonnummern zur Beratung informiert. Dabei standen im „An“-Feld alle Patienten mit vollem Namen, sodass alle Empfänger sehen konnten welche Personen ebenfalls diese E-Mail erhalten haben.

Continue reading

Finally! Ein zeitgemäßer Cyber Security Standard für die Praxis („SANS-CSC“)

Global Threats - (c) 2008-2015 Dahamoo GmbH

Global Threats – (c) 2008-2015 Dahamoo GmbH

IT-Sicherheit ist schon wegen des Internets ein grenzenloses, weltweites Thema, weswegen sich der Blick auf das Geschehen außerhalb Deutschlands in der Regel lohnt.

Dort hat die aus dem Britischen Standard BS7799 hervorgegangen Serie der ISO Standards 27xxx zwar in den letzten 10 Jahren eine gewisse Verbreitung gefunden – speziell wenn es um die Zertifizierung eines Information Security Management Systems (ISMS) ging; in der Praxis haben sich jedoch aus unserer Erfahrung die dort zahlreich, aber lose aufgelisteten Kontrollen als zu abstrakt erwiesen, um mit vernünftigem Aufwand eine wirkungsvolle Cyber Defense aufzubauen. Sicher, wenn alle Risiken mittels des ISMS ermittelt und adressiert werden könnten, käme man theoretisch nach einer gewissen Zeit zu einem angemessenen Maß an Sicherheit. Und wenn man alle Kontrollen der ISO 27002 implementieren würde, hätte man sicher einen guten Grundschutz.

Nur, welche Firma hat die Zeit und das Geld, diesen Aufwand einmalig und dauerhaft zu stemmen? Und wo fange ich eigentlich an, was ist wichtig, welche Lösungen/Produkte gibt es? Wie kann ich die Wirksamkeit der Kontrollen messen?

Diese Fragen werden in einem Cyber Security Framework besser adressiert, das sich nach unserer Beobachtung auf internationaler Ebene immer mehr durchsetzt, und zwar die „Critical Security Controls for Effective Cyber Defense“ vom SANS Institute. Die Kontrollen sind zeitgemäß und bauen systematisch aufeinander auf, so dass man die Priorisierung bei der Umsetzung quasi „geschenkt“ bekommt, d.h. man arbeitet sich einfach durch die Step-by-Step Beschreibungen.

Des weiteren sind alle Kontrollen mit Kosten/Nutzen Kategorien versehen. Das heißt, der Anwender kann sich zunächst auf die sogenannten QuickWins konzentrieren und die technologisch aufwendigen, sprich teuren, Kontrollen („advanced“) hinten anstellen.

Ebenso gibt es eine komplette Übersicht von Tools und Programmen, OpenSource wie kommerziell, die zur Umsetzung der Kontrollen herangezogen werden können. Schlussendlich sind Wirksamkeitmetriken und Wirksamkeitstest beschrieben, so dass sich die Umsetzung einheitlich messen lässt, d.h. alle nutzen den selben Maßstab und die selben Messverfahren, was eine gute Vergleichbarkeit ermöglicht!

Bei eine zweistelligen Anzahl von Anwendungen in der Kundenberatung in den letzten 12 Monaten wurden diese Eigenschaften ausnahmslos geschätzt. Alles in allem lassen die SANS-Critical Security Controls also kaum Wünsche für den IT-Security Professional offen.

Masterthesis: IT-Sicherheitsgesetz – Zertifizierung/Förderung der Cyber-Sicherheit im Gesundheitswesen

h-brs

Hochschule Bonn-Rhein-Sieg, Picture: tohma, some rights reserved.

Zur Steigerung der Cyber-Sicherheit sogenannter „kritischer Infrastrukturen“ (kurz: KRITIS) trat am 25. Juli 2015 das neue IT-Sicherheitsgesetz in Kraft, siehe Bundesamt für Sicherheit in der Informationstechnik und heise.de. Zu den KRITIS-Einrichtungen zählen insbesondere auch Krankenhäuser und Kliniken. Zur Sicherstellung und Bewahrung eines „angemessen hohen“ Sicherheitsniveaus wird von den KRITIS-Einrichtungen und deren Betreibern unter anderem gefordert, dass sie innerhalb der kommenden zwei Jahre das Sicherheitsniveau durch IT-Sicherheitsaudits und -Zertifizierungen nachweisen. Weiterhin müssen die Betreiber die Einhaltung eines hohen Sicherheitsniveaus alle zwei Jahre nachweisen.

Das Anstreben einer IT-Sicherheitszertifizierung ist meist mit hohen finanziellen und organisatorischen Aufwänden verbunden. Der tatsächliche Aufwand und der Nutzen einer Zertifizierung sind dabei stark von dem genutzten Standard abhängig.

Continue reading

Krankenhäuser als Ziel?!

Picture: Rtstudents, Some rights reserved

In der Diskussion mit Kunden wird immer wieder der Punkt aufgeworfen, dass Krankenhäuser an sich ja gar kein Ziel von Angreifer seien. Dabei genügt häufig schon ein genauer Blick in die lokale Presse um festzustellen, dass Kliniken durchaus ein Ziel sind, siehe zum Beispiel diesen Diebstahl bei uns im Bonner Raum.

Perfiderweise sind Krankenhäuser gerade ein besonders interessantes Ziel, da sie durch die gebotene Offenheit im Umgang mit hilfsbedürftigen Menschen in der Regel nicht besonders gut geschützt sind.

Auch schrecken Diebe offenbar nicht vor brutaler Gewalt zurück, wie der jüngste Raubüberfall auf die Notaufnahme der Bonner Uniklinik zeigt, der im nächtlichen Einsatz des Polizeihubschraubers endete.

Fügt man dieser Skrupellosigkeit und kriminellen Energie noch etwas technischen Sachverstand hinzu, muss man sich nicht wundern, wenn Massen lukrativer Patientendaten gestohlen werden, siehe zum Beispiel Artikel „Hacker brechen in US-Klinik ein: 4,5 Millionen Datensätze betroffen“.

Continue reading

„Smart Health“ und IT-Security

gesundheitskontext

Im Nachgang zu den spannenden Diskussionen auf der Bitkom Veranstaltung „Smart Health“ am 18.02.2015 in Köln (Aschermittwoch!) möchte ich kurz die wesentlichen Punkte für die Leser, die leider nicht teilnehmen konnten, kurz zusammenfassen.

Continue reading

Noch ein „Beauftragter“? – IT-Sicherheit als Managementaufgabe

Nicht zuletzt seit der Diskussion über das geplante IT-Sicherheitsgesetz stellen sich viele klinische Einrichtungen die Frage, ob sie einen sogenannten „IT-Sicherheitsbeauftragten“ benötigen. Immerhin sind Kliniken als kritische Infrastruktureinrichtungen im Gespräch, die über eine entsprechend robuste IT-Infrastruktur verfügen sollten.

In meinen langjährigen Erfahrungen als interner, Interims- bzw. externer IT-Sicherheitsbeauftragter im In- und Ausland habe ich immer wieder die Erfahrung gemacht, dass es sich bei dieser Aufgabe vor allem um einen Managementjob handelt.

Nicht zuletzt deshalb hat sich im angelsächsischen Raum längst die Führungsposition des „Chief Information Security Officer“ (CISO) etabliert. Continue reading