Wie sich Ransomware und HIPAA-Compliance überschneiden
Im Jahr 2018 wurden zwei Männer angeklagt, die dieals „SamSam“ bekannte Ransomware eingesetzt hatten, um Krankenhäuser und öffentliche Einrichtungen zu erpressen, was zu einem Schaden in Höhe von 30 Millionen Dollar führte.
Während des berüchtigten Ransomware-Angriffs gerieten Organisationen des Gesundheitswesens ins Visier von Cyberkriminellen, die mehrere Sicherheitsschwachstellen ausnutzten, um SamSam zu installieren und auszuführen. Sechs Einrichtungen des Gesundheitswesens waren während der jahrelangen Angriffe Opfer:
- Hollywood Presbyterian Medical Center (Los Angeles, Kalifornien)
- Kansas Heart Hospital (Wichita, Kansas)
- Laboratory Corporation of America Holdings, (Burlington, North Carolina)
- MedStar Health (Maryland)
- Orthopädisches Krankenhaus Nebraska (Omaha, Nebraska)
- Allscripts Healthcare Solutions Inc. (Chicago, Illinois)
Das Gesundheitswesen ist die Branche mit den höchsten Kosten aufgrund von Datenschutzverletzungen. Laut dem „Bericht über die Kosten von Datenschutzverletzungen 2019“ beliefen sich die Gesamtkosten einer Datenschutzverletzung im Jahr 2019 auf durchschnittlich 6,45 Millionen US-Dollar.
Organisationen im Gesundheitswesen sind aus mehreren Gründen ein attraktives Ziel für Ransomware-Angriffe:
- Viele Unternehmen verwenden Geräte, die auf alten, nicht unterstützten Betriebssystemen laufen, was bedeutet, dass sie nicht in der Lage sind, Sicherheitsupdates und Patches zu implementieren.
- Im Zuge der Konsolidierung von Gesundheitskonzernen können unterschiedliche Betriebssysteme Schwachstellen in der Cybersicherheit aufdecken.
- Gesundheitsdaten von Patienten sind wertvolle Daten, die im Dark Web verkauft werden können.
Was ist Ransomware?
Ransomware ist eine Schadsoftware, die Ihre Dateien sperrt und eine Zahlung bzw. ein „Lösegeld“ verlangt, damit Sie wieder darauf zugreifen können.
Die Cyberattacke zielt auf die wichtigen Dateien eines Unternehmens ab und verschlüsselt diese, oft zusammen mit dem gesamten Betriebssystem, so dass das Unternehmen nicht mehr darauf zugreifen kann. Als Teil des Ransomware-Angriffs können die Dateien zur dauerhaften Löschung markiert oder im Internet veröffentlicht werden.
Ransomware zielt nicht nur darauf ab, Zahlungen für die Freigabe wichtiger Dateien zu erpressen, sondern auch darauf, ein Unternehmen zu schwächen. Die Kosten für Ausfallzeiten, die mit einem Ransomware-Angriff verbunden sind, summieren sich.
Ransomware und HIPAA-Konformität
Organisationen des Gesundheitswesens müssen sich an den Health Insurance Portability and Accountability Act (HIPAA) halten, um Anleitungen zur Prävention, Verwaltung und Reaktion auf einen Ransomware-Angriff zu erhalten.
Organisationen, die dem HIPAA unterliegen, müssen klare Richtlinien des Department of Health and Human Services befolgen, wenn sie auf Ransomware-"Sicherheitsvorfälle" reagieren, diese melden und sich davon erholen.
Zu den von HHS skizzierten Schritten gehören:
- Beurteilen Sie den Umfang des Vorfalls, den Ursprung und ob er noch andauert.
- Beurteilung, ob ein Verstoß gegen geschützte Gesundheitsinformationen (PHI) vorliegt, was einen Verstoß gegen die HIPAA-Datenschutzrichtlinie darstellen würde
Unternehmen können die Kopfschmerzen und Kosten eines Ransomware-Angriffs vermeiden, indem sie Maßnahmen im Rahmen der HIPAA-Sicherheitsrichtlinie umsetzen:
- Schulung aller Benutzer und Mitarbeiter zum Schutz vor bösartiger Software und zur Berichterstattung
- Führen Sie eine gründliche Risikoanalyse durch, um Bedrohungen und potenzielle Schwachstellen für Ihr Netzwerk oder PHI zu identifizieren.
- Implementierung von Sicherheitsmaßnahmen zur Bewältigung und Abschwächung potenzieller Risiken
- Installieren Sie Verfahren zum Schutz vor und zum Schutz vor und zur Erkennung von bösartiger Software
- Beschränkung des Zugriffs auf wichtige Dateien des Unternehmens, einschließlich PHI
Wenn elektronische PHI aufgrund eines Ransomware-Angriffs verschlüsselt wurden, gilt dies gemäß der HIPAA-Datenschutzrichtlinie als Verletzung oder "Offenlegung" geschützter Informationen. Dadurch werden die Verfahren zur Meldung von Datenschutzverletzungen ausgelöst:
- Betroffene Personen sofort informieren
- Informieren Sie den Sekretär des HSS
- Wenn mehr als 500 Personen betroffen sind, müssen Gesundheitseinrichtungen die Medien informieren
Wiederherstellung nach Ransomware
Die HIPAA-Sicherheitsrichtlinie enthält auch Richtlinien für die Reaktion auf einen Ransomware-Angriff und die Wiederherstellung nach einem solchen Angriff:
- Führen Sie regelmäßige Backups durch und stellen Sie sicher, dass Daten schnell wiederhergestellt werden können, um einen Malware-Angriff zu überstehen.
- Es sollten Testwiederherstellungen durchgeführt werden, um die Genauigkeit und Integrität der gesicherten Daten zu überprüfen.
- Erwägen Sie die Beibehaltung von Datenwiederherstellungsfunktionen, die offline und nicht über das Hauptnetzwerk verfügbar sind.
Die Erstellung und Umsetzung eines Geschäftskontinuitätsplans ist ein entscheidender Schritt, um die HIPAA-Vorschriften einzuhalten und Ausfallzeiten sowie die Auswirkungen eines Ransomware-Angriffs zu minimieren. Als Teil eines Geschäftskontinuitätsplans müssen Unternehmen zudem einen Notfallwiederherstellungsplan umsetzen, in dem dargelegt wird, wie das Unternehmen auf geschäftskritische Daten zugreifen und diese wiederherstellen kann.
Wenn ein Unternehmen von einem Ransomware-Angriff betroffen ist, sieht die HIPAA die folgenden Schritte als Teil der Reaktion und Wiederherstellung vor:
- Bestimmen Sie den Typ der verwendeten Malware. So können Sie die typischen Aktionen dieser Malware ermitteln.
- Begrenzen Sie die Auswirkungen der Verbreitung von Ransomware.
- Entschärfen Sie die Schwachstellen, die den Ransomware-Angriff ermöglichten.
- Wiederherstellung verlorener Daten und Wiederaufnahme des Geschäftsbetriebs.
- Führen Sie eine Analyse nach einem Vorfall durch, um die Sicherheit zu erhöhen.
Unternehmen, die unter den HIPAA fallen, tun gut daran, die strengen Anforderungen des HIPAA zu befolgen, um Malware-Angriffe zu verhindern, zu schützen und sich von ihnen zu erholen, vor allem aber von Ransomware.
