Finally! Ein zeitgemäßer Cyber Security Standard für die Praxis („SANS-CSC“)

Global Threats - (c) 2008-2015 Dahamoo GmbH

Global Threats – (c) 2008-2015 Dahamoo GmbH

IT-Sicherheit ist schon wegen des Internets ein grenzenloses, weltweites Thema, weswegen sich der Blick auf das Geschehen außerhalb Deutschlands in der Regel lohnt.

Dort hat die aus dem Britischen Standard BS7799 hervorgegangen Serie der ISO Standards 27xxx zwar in den letzten 10 Jahren eine gewisse Verbreitung gefunden – speziell wenn es um die Zertifizierung eines Information Security Management Systems (ISMS) ging; in der Praxis haben sich jedoch aus unserer Erfahrung die dort zahlreich, aber lose aufgelisteten Kontrollen als zu abstrakt erwiesen, um mit vernünftigem Aufwand eine wirkungsvolle Cyber Defense aufzubauen. Sicher, wenn alle Risiken mittels des ISMS ermittelt und adressiert werden könnten, käme man theoretisch nach einer gewissen Zeit zu einem angemessenen Maß an Sicherheit. Und wenn man alle Kontrollen der ISO 27002 implementieren würde, hätte man sicher einen guten Grundschutz.

Nur, welche Firma hat die Zeit und das Geld, diesen Aufwand einmalig und dauerhaft zu stemmen? Und wo fange ich eigentlich an, was ist wichtig, welche Lösungen/Produkte gibt es? Wie kann ich die Wirksamkeit der Kontrollen messen?

Diese Fragen werden in einem Cyber Security Framework besser adressiert, das sich nach unserer Beobachtung auf internationaler Ebene immer mehr durchsetzt, und zwar die „Critical Security Controls for Effective Cyber Defense“ vom SANS Institute. Die Kontrollen sind zeitgemäß und bauen systematisch aufeinander auf, so dass man die Priorisierung bei der Umsetzung quasi „geschenkt“ bekommt, d.h. man arbeitet sich einfach durch die Step-by-Step Beschreibungen.

Des weiteren sind alle Kontrollen mit Kosten/Nutzen Kategorien versehen. Das heißt, der Anwender kann sich zunächst auf die sogenannten QuickWins konzentrieren und die technologisch aufwendigen, sprich teuren, Kontrollen („advanced“) hinten anstellen.

Ebenso gibt es eine komplette Übersicht von Tools und Programmen, OpenSource wie kommerziell, die zur Umsetzung der Kontrollen herangezogen werden können. Schlussendlich sind Wirksamkeitmetriken und Wirksamkeitstest beschrieben, so dass sich die Umsetzung einheitlich messen lässt, d.h. alle nutzen den selben Maßstab und die selben Messverfahren, was eine gute Vergleichbarkeit ermöglicht!

Bei eine zweistelligen Anzahl von Anwendungen in der Kundenberatung in den letzten 12 Monaten wurden diese Eigenschaften ausnahmslos geschätzt. Alles in allem lassen die SANS-Critical Security Controls also kaum Wünsche für den IT-Security Professional offen.

Masterthesis: IT-Sicherheitsgesetz – Zertifizierung/Förderung der Cyber-Sicherheit im Gesundheitswesen

h-brs

Hochschule Bonn-Rhein-Sieg, Picture: tohma, some rights reserved.

Zur Steigerung der Cyber-Sicherheit sogenannter „kritischer Infrastrukturen“ (kurz: KRITIS) trat am 25. Juli 2015 das neue IT-Sicherheitsgesetz in Kraft, siehe Bundesamt für Sicherheit in der Informationstechnik und heise.de. Zu den KRITIS-Einrichtungen zählen insbesondere auch Krankenhäuser und Kliniken. Zur Sicherstellung und Bewahrung eines „angemessen hohen“ Sicherheitsniveaus wird von den KRITIS-Einrichtungen und deren Betreibern unter anderem gefordert, dass sie innerhalb der kommenden zwei Jahre das Sicherheitsniveau durch IT-Sicherheitsaudits und -Zertifizierungen nachweisen. Weiterhin müssen die Betreiber die Einhaltung eines hohen Sicherheitsniveaus alle zwei Jahre nachweisen.

Das Anstreben einer IT-Sicherheitszertifizierung ist meist mit hohen finanziellen und organisatorischen Aufwänden verbunden. Der tatsächliche Aufwand und der Nutzen einer Zertifizierung sind dabei stark von dem genutzten Standard abhängig.

Continue reading

Krankenhäuser als Ziel?!

Picture: Rtstudents, Some rights reserved

In der Diskussion mit Kunden wird immer wieder der Punkt aufgeworfen, dass Krankenhäuser an sich ja gar kein Ziel von Angreifer seien. Dabei genügt häufig schon ein genauer Blick in die lokale Presse um festzustellen, dass Kliniken durchaus ein Ziel sind, siehe zum Beispiel diesen Diebstahl bei uns im Bonner Raum.

Perfiderweise sind Krankenhäuser gerade ein besonders interessantes Ziel, da sie durch die gebotene Offenheit im Umgang mit hilfsbedürftigen Menschen in der Regel nicht besonders gut geschützt sind.

Auch schrecken Diebe offenbar nicht vor brutaler Gewalt zurück, wie der jüngste Raubüberfall auf die Notaufnahme der Bonner Uniklinik zeigt, der im nächtlichen Einsatz des Polizeihubschraubers endete.

Fügt man dieser Skrupellosigkeit und kriminellen Energie noch etwas technischen Sachverstand hinzu, muss man sich nicht wundern, wenn Massen lukrativer Patientendaten gestohlen werden, siehe zum Beispiel Artikel „Hacker brechen in US-Klinik ein: 4,5 Millionen Datensätze betroffen“.

Continue reading

„Smart Health“ und IT-Security

gesundheitskontext

Im Nachgang zu den spannenden Diskussionen auf der Bitkom Veranstaltung „Smart Health“ am 18.02.2015 in Köln (Aschermittwoch!) möchte ich kurz die wesentlichen Punkte für die Leser, die leider nicht teilnehmen konnten, kurz zusammenfassen.

Continue reading

Noch ein „Beauftragter“? – IT-Sicherheit als Managementaufgabe

Nicht zuletzt seit der Diskussion über das geplante IT-Sicherheitsgesetz stellen sich viele klinische Einrichtungen die Frage, ob sie einen sogenannten „IT-Sicherheitsbeauftragten“ benötigen. Immerhin sind Kliniken als kritische Infrastruktureinrichtungen im Gespräch, die über eine entsprechend robuste IT-Infrastruktur verfügen sollten.

In meinen langjährigen Erfahrungen als interner, Interims- bzw. externer IT-Sicherheitsbeauftragter im In- und Ausland habe ich immer wieder die Erfahrung gemacht, dass es sich bei dieser Aufgabe vor allem um einen Managementjob handelt.

Nicht zuletzt deshalb hat sich im angelsächsischen Raum längst die Führungsposition des „Chief Information Security Officer“ (CISO) etabliert. Continue reading

Big Data macht‘s möglich: Klinikweite Logfile-Auswertungen mit „ELK“

Digital HospitalWas in der Medizin unvorstellbar erscheint – eine Behandlung ohne Untersuchung – ist in der Krankenhaus-IT scheinbar gelebte Praxis. Denn viel zu häufig werden Logdateien zwar erfasst, aber nicht systematisch zur „Untersuchung“ ausgewertet. Im Ergebnis steht ein ziemlicher Blindflug – Sicherheitsverletzungen, Datendiebstähle, Einbrüche und andere Vorälle bleiben unentdeckt; deren  „Behandlung“ eher dem Zufall überlassen.

Dies ist umso dramatischer, da restriktive IT-Sicherheits-Maßnahmen in der Regel nur sehr begrenzt möglich. Denn wer möchte schon die Gesundheit eines Patienten durch zu eingeschränkt konfigurierte IT-Systeme aufs Spiel setzen. Continue reading

Die TOP 5 IT-Sicherheitsrisiken im Krankenhaus

Natürlich kann (und muss) man über die Bewertung von Risiken diskutieren, schließlich handelt es bei Risiken um Ereignisse in der Zukunft, die eintreten können, aber nicht müssen.

Folglich kann es unterschiedliche Meinungen und Einschätzungen geben, die sich alle mehr oder weniger gut begründen lassen. Auch greifen statistische Methoden zu kurz, da es sich oft – wie zum Beispiel im Fall Schuhmacher – um singuläre Ereignisse handelt.

Dennoch halten wir es für sinnvoll, die nach unserer Einschätzung wichtigsten IT-Sicherheitsrisiken zu benennen und zur Diskussion zu stellen.

(c) 2014 Dahamoo GmbH

(c) 2014 Dahamoo GmbH – Die TOP 5 Risiken einer Klinik

Continue reading

Bachelorarbeit implementiert Open Source Protokollierung für Klinik

Warum ist die Protokollierung bei der Klink-IT so entscheidend?

Kibana 3 - KL 2014-09-01 12-51-39Da es im Umfeld einer Klinik immer wieder zu Notfall-Situationen kommt, und die Behandlung des Patienten absoluten Vorrang genießt, sind restriktive IT-Sicherheits-Maßnahmen nur sehr begrenzt möglich. Denn wer möchte schon die Gesundheit eines Patienten durch zu eingeschränkt konfigurierte IT-Systeme aufs Spiel setzen.

Umso wichtiger ist folglich die Protokollierung von Vorgängen (Events), da sie zumindest nachträglich Missbrauch aufdecken decken können.

Leider ist es in den vergangen Jahren aber so gewesen, dass Logfiles mit dem Hinweis auf begrenzten Speicherplatz oft gar nicht erzeugt wurden bzw. wegen des schieren Umfangs niemals analysiert wurden. Im besten Fall wurden die Logs an zentraler Stelle erfasst und archiviert, allerdings nicht analysiert, schon gar nicht in Echtzeit visualisiert.

Folglich bedarf es neuer Lösungen, die klinikweit Protokolldaten erfassen, Datenschutz konform aufbereiten, zusammenführen, analysieren, korrelieren und die Ergebnisse in Echtzeit visualisieren können. Selbstverständlich sollen die Kosten für eine solche Lösung überschaubar bleiben.

Vor diesem Hintergrund wurde die Bachelorarbeit von Herrn Leek mit dem Thema „Implementierung eines Open Source Analyse- und Visualisierungssystems für domänenspezifische Protokolldateien“ erstellt.

Es konnte erfreulicherweise am Beispiel der beteiligten Klinik gezeigt werden, dass ein Aufbau einer Open Source Lösung praktikabel ist und in kurzer Zeit zu relevanten Ergebnisse führt.

So war u.a. die Erkenntnis neu, dass ein erheblicher Anteil der Angriffe von Patienten selbst(!), und zwar über das eigene Patienten WLAN durchgeführt wurde. Ebenso wurde durch die Visualisierung der Fernzugänge schnell klar, dass die Firewall-Konfiguration nachgebessert werden musste.

Darüber hinaus erlaubt die Lösung eine Echtzeit-Sicht in Form eines Dashboards, so dass die Zeit zwischen Angriff und Angriffserkennung minimiert werden kann.

Fazit: Die technischen Möglichkeiten für eine Datenschutz konforme, sichere Protokollierung sind inzwischen gegeben. Und dies mit frei verfügbaren Open Source Tools.

Fall Schuhmacher: „IP-Adresse des Krankenaktenverkäufers ermittelt“

IP Adresse

IP Adresse

Nachdem wir diesen Fall mit einem Blogeintrag kommentiert haben, wurde  in den Medien heftig spekuliert wurde, wie und wann die Daten abhanden gekommen sind. Heute gab es dazu die Meldung, dass man „die IP-Adresse des Krankaktenverkäufers“ ermittelt habe. Dieses Vorgehen folgt der klassischen Methode des Rückverfolgens, die versucht aus der Kontaktaufnahme Informationen über den Täter zu ermitteln. Selbstverständlich stehen noch viel weitergehenden Methoden zur Verfügung, um eine elektronische Spur nachzuverfolgen, beispielsweise die Analyse der Datei, welche den Auszug aus der Patientenakte beinhaltete. Handelt es sich um eine exportierte Datei einen Krankenhausinformationssystems oder um einen Scan – gibt es Spuren, die verwendete Geräte und  bestimmte Softwareversionen hinterlassen haben?

Continue reading

Schuhmacher Opfer eines „Datenklaus“ – Die Sicht der IT-Sicherheit

Medienberichten zufolge wurde die Krankenakte von Formel-1 Rennfahrer Michael Schuhmacher „gestohlen“ und zum Kauf für umgerechnet 50.000 Euro angeboten. Die Dokumente bzw. Daten sollen aus dem Klinikum Grenoble, Frankreich stammen. Medien aus Frankreich und der französischen Schweiz, Michael Schuhmachers Wahlheimat, haben die Meldung aufgenommen und um Details ergänzt. Selbstverständlich ist dieses Verhalten der Täter moralisch (und juristisch) aufs Schärfste zu verurteilen und unser Mitgefühl gilt den betroffenen Angehörigen.

Was aber bedeutet dieser Fall aus einer fachlichen, aus einer IT-Sicherheits-Sicht?

Continue reading