Webkonferenz IT-Sicherheit im Krankenhaus

Mit dem Patientendatenschutzgesetz wurden auch Änderungen in Bezug auf IT-Sicherheit in Krankenhäusern beschlossen.

Hervorzuheben ist die Änderung/Ergänzung für den § 75c SGB V:

„Ab dem 1. Januar 2022 sind Krankenhäuser verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und die Sicherheit der verarbeiteten Patienteninformationen maßgeblich sind…“

Somit sind nun alle Krankenhäuser zum Handeln verpflichtet.

Gemeinsam mit unseren starken Partnern Krankenhaus-IT Journal, Entscheiderfabrik, Bundesverband der Krankenhaus IT-Leiter und KRITIScher Stammtisch veranstalten wir diese wichtige Konferenz für Krankenhäuser. Auf dieser Webkonferenz stellen Partner ihre Lösungen und Dienstleistungen vor, um diesen Anforderungen gerecht zu werden.

Zeitplan

09:00 – 09:30 Uhr: Anwendervortrag

09:30 – 10:00 Uhr: Intrusion Detection & Response für Krankenhäuser

Der Fokus dieses Vortrags liegt auf einem vollständigen Endpoint Security Ansatz für Krankenhäuser.

Gemeinsam stellen die Hersteller eine EDR-Lösung dar, die einen großen Fokus auf die Prävention von Angriffen mittels KI setzt. Daher werden sie zur Umsetzung jüngster (gesetzlicher) Anforderungen genutzt.

Die Experten von Tanium knüpfen an ihren Vortrag im letzten KH-IT Journal an und zeigen, wie Tanium als das am stärksten wachsende Unternehmen für Endpunkt Management & Security EDR Projekte zusammen mit Deep Instinct umsetzt.

Schwerpunkte: 

• Rückblick – Juli 2022
• Einordnung von Tanium als XEM
• Anforderungen an Endpoint Security in Krankenhäusern (Prävention + Detektion + Response in Echtzeit)
• Deep Instinct: Die erste KI basierte Endpunkt Protection Lösung
• Tanium zur Detektion und Mitigation von Angriffen in Echtzeit

EDR ist fester Bestandteil der IT Sicherheitsstrategie im Gesundheitswesen – es wird aufgezeigt, wie mit der Kombination aus Tanium und Deep Instinct EDR ganzheitlich umgesetzt und um den Bereich Prävention ergänzt wird.

Referent:

Alexander Huber, Aron Kraft, Sebastian Herten

Zum Unternehmen: 

Tanium ist die Plattform, der die anspruchsvollsten und komplexesten Unternehmen vertrauen, um Transparenz und Kontrolle über alle Endpunkte in lokalen, Cloud- und hybriden Umgebungen zu erhalten. Tanium begegnet den wachsenden IT-Herausforderungen von heute mit höchst zuverlässigen Endpunktdaten und gibt IT-Betriebs-, Sicherheits- und Risikoteams das Vertrauen, ihre Netzwerke schnell und in großem Umfang zu verwalten, zu sichern und zu schützen. Fast die Hälfte der Fortune-100-Unternehmen, führende Einzelhändler und Finanzinstitute sowie mehrere Abteilungen der US-Streitkräfte vertrauen Tanium, um jeden Endpunkt überall zu sehen und zu kontrollieren. Das ist die „Power of Certainty“.

10:00 – 10:30 Uhr: Der Virus kommt per E-Mail – Security Awareness im Krankenhaus

Als Teil der „kritischen Infrastruktur“ (KRITIS) sind Krankenhäuser ein beliebtes Ziel von Ransomware-Angriffen und anderen Cyberattacken.

Fast immer gehen den eigentlichen Angriffen Phishing-Aktionen per E-Mail oder Telefon voraus. Damit werden die Mitarbeitenden zum entscheidenden Faktor für die Verteidigung: Sie müssen erkennen, wann ein Klick zu einer Infektion führt oder ein Telefonat Gefahr für das Krankenhaus bedeutet. Die beste technische Absicherung nutzt nichts, wenn der Mensch sie wieder außer Kraft setzt.

Erfahren Sie, warum gerade Krankenhäuser immer häufiger zum Ziel von Angriffen werden. Lernen Sie, wie Sie Sicherheitsvorfälle durch langfristige und individuelle Sensibilisierung der Mitarbeiter deutlich reduzieren. Erkennen Sie, dass für das Erreichen der sich dynamisch weiterentwickelnden Trainingsziele weder großer Aufwand, noch eigene Ressourcen erforderlich sind – sofern ein kompetenter Schulungspartner zur Seite steht.

Der Vortrag zeigt auch, wie Mitarbeiter in „IT-fernen Rollen“ motiviert und mit Spaß wesentlich zur Sicherheitskultur beitragen können. Vor dem Hintergrund der aktuellen Bedrohungslage gibt der Referent viele direkt umsetzbare Praxistipps.

Schwerpunkte:

• Welche Security Awareness Dienstleistungen die Sicherheit nachweislich steigern
• Was eine effektive Security Awareness Kampagne ausmacht
• Warum Phishing-Simulationen als Lern-Tool so wirksam sind
• Wie sich das IT-Sicherheitsniveau anhand von KPIs messen lässt
• Wie ein Security-as-a Service-Ansatz funktioniert

Im Vortag geht es darum, wie sich Sicherheitsvorfälle im Krankenhaus durch nachhaltige Sensibilisierung der Mitarbeiter gegenüber Cyber-Risiken deutlich reduzieren lassen, und wie sich das auch ohne großen Aufwand und eigene Ressourcen erreichen lässt.

Referent: 

Nicolas Leiser ist Geschäftsführer bei der Cyber Samurai GmbH. Zur Minimierung von Cyber-Risiken muss der Mensch in den Fokus gerückt werden, um die Wirksamkeit der technischen Abwehrmechanismen nicht zu gefährden.

Zum Unternehmen:

Die Cyber Samurai GmbH ist unabhängiger Berater und Dienstleister für IT-Sicherheit und bietet Unternehmen verschiedene IT-Security-Dienstleistungen an. Ein Schwerpunkt ist die Planung und Umsetzung von nachhaltigen Security Awareness Kampagnen mit interaktiven Trainingsmodulen sowie simulierten Phishing Tests. Security Awareness wird als Managed Service mit transparenten KPIs angeboten.

10:30 – 11:00 Uhr: IT-Sicherheitsgesetz & KHZG richtig umsetzen

KHZG und IT-Sicherheitsgesetz stellen Krankenhäuser vor große Herausforderungen: Was bedeuten die Paragrafen und Zahlen konkret für das eigene Unternehmen? Was muss ein Netzwerkverantwortlicher im Krankenhaus beachten, um die eigene IT-Security zukunftssicher aufzustellen? Wie mit bekannten und neuen Gefahren umgehen? Viele Kliniken sind mit diesen Fragen hoffnungslos überfordert.

In diesem Vortrag werden technische und rechtliche Aspekte der Cybersicherheit so zusammengebracht, dass Krankenhäuser daraus einen einfachen, passgenauen Weg für ihr Vorgehen entwickeln können. Martin Weiß geht zunächst auf die modernen Methoden der Cyber-Kriminellen ein und zeigt, wie sich Krankenhäuser vor entsprechenden Angriffen schützen können. Ein wichtiges Anliegen ist ihm aber auch, die wichtigsten Aspekte des KHZG transparent zu machen und welche Technologien für die Umsetzung der darin beschriebenen Anforderungen empfehlenswert, beziehungsweise nötig sind.

Am Beispiel der ganzheitlichen Schutztechnologien und Dienstleistungen von Sophos führt er vor, wie auch Krankenhäuser ohne groß aufgebaute eigene IT-Abteilung problemlos in der Lage sein können, nachhaltig auch ausgefeilten Angriffen standzuhalten und dabei den größten Nutzen aus dem KHZG zu ziehen.

Schwerpunkte:

• Wie Cyberkriminelle heute Krankenhäuser und andere KRITIS-Unternehmen attackieren
• Wie ein umfassender Schutz aussehen muss
• Wo die wichtigsten Aspekte von KHZG und IT-Sicherheitsgesetz liegen
• Wie sich die Anforderungen der Gesetze praktikabel umsetzen lassen
• Warum knappe eigene Ressourcen kein Grund für schlechtes IT-Sicherheitsmanagement sind

Die Teilnehmer erfahren, welche Bedrohungsakteure heute mit welchen Angriffsszenarien unterwegs sind, wie sich ein zuverlässiger Netzwerkschutz auch ohne Überbeanspruchung knapper Ressourcen realisieren lässt und – abseits von Paragrafen und Ziffern – wie sie die Fördergelder des Krankenhauszukunftsgesetzes (KHZG) optimal zur Umsetzung des IT-Sicherheitsgesetzes nutzen können.

Referent: 

Martin Weiß, Senior Sales Engineer Public bei Sophos Deutschland, ist seit 1999 in verschiedenen Positionen im Bereich Automatisierung, Cloud-Dienste, Rechenzentrumsbetrieb & Security beschäftigt.

Zum Unternehmen:

Sophos ist ein weltweit führender Next-Gen-Cybersecurity-Anbieter und schützt über 500.000 Organisationen und Millionen von Kunden in mehr als 150 Ländern vor komplexen Cyberbedrohungen. Mit Threat Intelligence, KI und Machine Learning aus den SophosLabs und SophosAI bietet Sophos ein breites Portfolio modernster Produkte und Services. Diese schützen Benutzer, Netzwerke und Endpoints zuverlässig vor Malware, Exploits, Phishing und anderen Cyberangriffen.

11:00 – 11:30 Uhr: Cyberangriffe auf Krankenhäuser:
Wie kann man der Gefahr effektiv entgegenwirken?

Das digitalisierte Krankenhaus rückt näher und muss effizient vor digitalen Bedrohungen geschützt werden. Heute ist das Augenmerk sehr häufig auf Backend-Systeme oder die Cloud gerichtet. Diese vermeintliche Schwachstelle wird umfassend geschützt. Tatsächlich ist der schwächste Punkt und das klassische Einfallstor für Angreifer das Endgerät.

Die Herausforderungen für das Gesundheitswesen und die Anforderungen an die IT-Sicherheit sind hoch. Nicht nur die möglichen Einfallstore für Schadprogramme in Krankenhäusern nehmen zu, auch die Anzahl der Schadprogramme wächst exponentiell und die Angriffe werden immer ausgefeilter.

Ausgefeilte Cyberattacken verursachen schwerwiegende IT-Ausfälle und können mit klassischem Malwareschutz wie Antivirenlösungen nicht frühzeitig oder gar nicht verhindert werden. Hier ist ein durchgängiger und vollumfänglicher Präventionsschutz gefragt. Die Fähigkeit Endgeräte grundsätzlich zu schützen und das an nahezu jeder Netzwerklokation kann durch Cloud-Basierte Endgeräte Schutz sichergestellt werden.

DriveLock Cloud-basierte Endpunktsicherheit schützt Ihre Daten und Systeme vor Cyberangriffen. Und das Gute daran ist, dass Sie für die Managed Security Services weder eigenes Personal noch eigene Hardware einsetzen müssen.

Schwerpunkte: 

• Cyber-Bedrohungslage im Gesundheitswesen
• Welchen Cyber-Bedrohungen ist der medizinische Sektor besonders ausgesetzt und welche gesetzlichen Anforderungen muss er erfüllen?
• Welche Schutzmaßnahmen werden empfohlen?

Die zunehmende Zahl an erfolgreichen Angriffen auf Gesundheitseinrichtungen macht deutlich, dass Handlungsbedarf besteht. Um sich effektiv zu schützen braucht es nicht nur technische Maßnahmen. Es ist entscheidend zu wissen, was
Krankenhäuser anfällig macht und wie man diesem Problem ganzheitlich entgegen treten kann.

Referent: 

Der Diplom-Informatiker verfügt Martin Mangold über mehr als 20 Jahre Erfahrung in der Beratung und Implementierung von Lösungen im Bereich Client- und Service-Management im In- und Ausland und verantwortet als Vice President Cloud Operations das weltweite Cloud-Geschäft der DriveLock SE.

Zu den Unternehmen: 

DriveLock ist einer der international führenden Spezialisten für cloud-basierte Endpoint- und Datensicherheit. Das Unternehmen hat sich zum Ziel gesetzt, Unternehmensdaten, -geräte und -systeme zuverlässig zu schützen. Hierfür setzt es auf neueste Technologien, erfahrene Security-Experten & Lösungen nach dem Zero-Trust-Modell. DriveLock ist made in Germany und die Lösungen Device Control und Application Control sind nach Common Criteria EAL3+ zertifiziert.

Seit der Gründung im Jahr 2002 ist MAXXYS Spezialist für IT-Software Systemintegration mit Sitz in Butzbach. Der Service des Anbieters umfasst die Beratung, Analyse der IT-Infrastruktur, kundenorientiertes Consulting und Customizing sowie die Implementierung von Software und die Inbetriebnahme der IT-Infrastruktur und Systeme. Als unabhängiger Systemintegrator hat sich MAXXYS auf Softwarelösungen und Managementsysteme führender Hersteller spezialisiert. Diese werden individuell an die Kundenumgebung angepasst und optimal in die Unternehmens-IT integriert.

11:30 – 12:00 Uhr: Wenn nichts mehr geht – Backup als Retter bei Cyberattacken

Krankenhäuser geraten immer wieder ins Visier von Cyber-Kriminellen. Die Digitalisierung und vernetzte Medizintechnik eröffnen mehr Effizienz, aber auch mehr Einfallstore. Schnell ist der Klinikbetrieb über Tage gestört. Unverzichtbar die Vorbereitung für den Ernstfall: Eine mehrstufige Backup-Strategie, Automatisierung und Tests helfen, Schäden zu minimieren, Attacken ohne Datenverluste zu überstehen und den Betrieb schnell wieder aufnehmen zu können – und wichtige KRITIS-Auflagen zu erfüllen.

Technische Störungen passieren, heute noch häufiger und gefährlicher sind Cyber-Attacken: Der Betrieb steht, die Patientenversorgung ist empfindlich gestört. Schnell sind Daten unwiederbringlich verloren, ein Krankenhaus wird erpressbar. Die Präsentation zeigt, wie moderne Datensicherung – Backup, Replikation und Wiederherstellung – sowie Disaster Recovery einheitlich organisiert und automatisiert werden können; wie Krankenhäuser ihre Notfallpläne entwickeln und implementieren, und gerade große Kliniken auch zentrale KRITIS-Anforderungen erfüllen können. Es wird dargestellt, wie diese Aufgaben mit moderner Software abgebildet und effizient organisiert werden können, um den administrativen Aufwand von IT-Teams zu reduzieren. Das Beispiel LMU-Klinikum zeigt, wie Datensicherung als kritischer Baustein für Klinik-Infrastrukturen im Notfall hilft, alle wichtigen Systeme schnell wiederherzustellen und Unterbrechungen im Krankenhausbetrieb zu vermeiden.

Schwerpunkte:

• Backup-Strategien: „The Last Line of Defense”
• Datensicherung effizient organisieren und automatisieren
• Disaster Recovery: Den IT-Ernstfall planen
• KRITIS: Notfallpläne orchestrieren
• Sofortmaßnahmen bei einem Cyber-Angriff

Der Vortrag zeigt auf, wie eine mehrstufige Backup-Strategie im Ernstfall hilft, Systeme wieder herzustellen und den Krankenhausbetrieb aufrecht zu erhalten.

Referent: 

Felix Wandhoff, Senior Systems Engineer Technical Sales, Veeam; berät Kunden und Partner bei Datensicherung und Disaster Recovery; über 14 Jahre IT-Erfahrung; besondere Expertise: Microsoft Azure

Zum Unternehmen:

Veeam ist der führende Anbieter von Lösungen für Backup, Wiederherstellung und Datenverwaltung, die eine moderne Datensicherung ermöglichen. Veeam stellt eine gemeinsame Plattform für Cloud-, virtuelle, physische, SaaS- und Kubernetes-Umgebungen zur Verfügung. Die Lösungen werden weltweit über Vertriebs- und Technologiepartner angeboten. Veeam schützt weltweit über 450.000 Kunden, hat seinen Hauptsitz in Columbus, Ohio, und Niederlassungen in mehr als 30 Ländern.

12:00 – 13:00 Uhr: Pause

13:00 – 13:30 Uhr: Anwendervortrag: Proof of Concept eines SIEM-Systems mit externem SOC

Umsetzung einer gesetzlichen Anforderung des Bundesamtes für Sicherheit in der Informationstechnik (BSIG) für KRITIS-Betreiber. Im 2. IT-Sicherheitsgesetzes im neuen § 8a Absatz 1a BSIG wird ausdrücklich der Einsatz von Systemen zur Angriffserkennung gefordert. Dazu sind Prozesse und Technologien wie SIEM und SOC notwendig, um Angriffe zu erkennen und reagieren zu können. Der Einsatz ist mit dem IT-Sicherheitsgesetz 2.0 ab dem 1. Mai 2023 verpflichtend.

Eine Präsentation über die Herausforderung, mit einem Dienstleister, ein System zur Angriffserkennung im Unternehmen zu integrieren. Beginnend mit der technischen Umsetzung in der eigenen Infrastruktur, bis zur den organisatorischen Regelungen in der Kommunikation mit dem Dienstleister z.B. bei Vorfällen. Es werden, anhand von Beispielen, die Schwierigkeiten und die Komplexität der Umsetzung dargestellt und auf wichtige Themen im Projektverlauf hingewiesen. Die Zuhörer sollen, anhand der dargestellten Beispiele sensibilisiert werden, eine Installation eines SIEM nicht zu unterschätzen und eine Kommunikation mit einem externen Partner (SOC), vor der Beauftragung, detailliert betrachten.

Schwerpunkte: 

• Anforderungen
• Ausgangslage und Ziel
• Umsetzungsplan
• Fallstricke
• Lessons Learned

Dieser Bericht schildert die eigenen Erfahrungen, Probleme und Fallstricke die bei einer Installation eines SIEM-Systems mit der Anbindung an ein externes Security-Operations-Center auftreten können.

Referent: 

Peter Staudenmayer ist seit 1990 in der IT aktiv. Er war 20 Jahre im Gesundheitswesen im Bereich Systembetreuung, Projektierung, IT-Leitung tätig. Seit 2018 ist er Leitung der Abteilung Informationssicherheit bei der Barmherzige Brüder gemeinnützige Träger GmbH.

13:30 – 14:00 Uhr: Präventive Sicherheit im Krankenhaus: Alle Schwachstellen im Griff

Erfolgreiche Angriffe auf IT- und OT-Infrastrukturen in Krankenhäusern sind meist nicht durch schlechte Lösungen oder zu wenig Investment begründet. Vielmehr führen das unkoordinierte Zusammenspiel verschiedener Lösungen, mangelhafte Konfigurationen und unzureichende Regelwerke dazu, dass Cyberkriminelle mit ihrem Angriff durchkommen. Eigene Schwachstellen zu kennen und gemäß ihrer Kritikalität zu beseitigen ist der wichtigste Schritt für präventive Cybersicherheit.

Der Vortrag zeigt am Beispiel der Skybox Security Management-Plattform, wie dank Schnittstellen zu allen relevanten Sicherheits- und Netzwerkkomponenten, Krankenhäuser ihre komplexe IT- und OT-Umgebung immer übersichtlich auf dem Schirm haben, ohne aktiv in den Netzwerkverkehr einzugreifen. Im Kern des Vortrags geht es darum, wie Analysten im NOC oder SOC auf Basis der in allen Details visualiserten Schwachstellen innerhalb von Sekunden Gefahren bewerten und mit Hilfe exakter Workflow-Ausgabe auch beheben können.

Des Weiteren zeigt der Referent, wie über Zusatz-Module für die Compliance KPIs identifiziert und der IST-Zustand des Cyber-Risikos gemäß der im Gesundheitswesen geltenden Vorschriften und Normen dargestellt werden kann. Auch erklärt er anschaulich, wie sich Dank Tracking und Protokollierung aller Änderungen sowohl das Cyber-Risiko in einem definierten Prozess kontinuierlich und messbar senken lässt, als auch turnusgemäße Audits massiv beschleunigt werden.

Schwerpunkte: 

• Warum „Prävention statt Reaktion“ ein gutes Motto für ein Krankenhaus ist
• Wie eine non-invasive Security-Plattform mit allen IT- und OT-Komponenten im Netz kommuniziert
• Wie Schwachstellen in einem übersichtlichen Dashboard greifbar werden
• Wie sich in Sekunden Wichtiges von Banalem trennen lässt
• Wie Cyber-Risiken mess- und kontinuierlich senkbar werden

Die Teilnehmer erfahren, wie sie in einer meist sehr heterogenen und komplexen IT-/OT-Welt eines Krankenhauses Schwachstellen aller Komponenten sehr einfach sehen, bewerten und priorisieren können – und dazu noch einen genauen Workflow für die Beseitigung bekommen.

Referent: 

Als Channel Sales Director DACH ist Thomas Sonne bei Skybox Security zuständig für das Partnergeschäft in der Region. Er hat über fünf Jahre Erfahrung in der Cybersecurity in ähnlichen Positionen.

Zum Unternehmen:

Skybox Security gewann den SC Award 2022 für die „beste Schwachstellen-Management Lösung“ am Markt. Seit über 20 Jahren kümmert sich Skybox darum die IT- und OT-Angriffsfläche von Unternehmen zu analysieren, zu visualisieren und in einem definierten Prozess zu minimieren, dabei die Fortschritte zu dokumentieren und Trends aufzuzeigen. Folgende Technologien kommen dabei zum Einsatz: Security Policy & Change Management, Angriffspfad-Analyse, Netzwerkmodellierung, Schwachstellen-Management.

14:00 – 14:30 Uhr: Anwendervortrag: Informationssicherheit im Wachstum – Anforderungen des SGB V, der Mustermandant der Hospitalgemeinschaft Hosp.Do.IT

Die Präsentation beschäftigt sich mit der Umsetzung der Informationssicherheit nach dem Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus (B3S) in nicht KRITIS Krankenhäusern auf Basis der gesetzlichen Umsetzung gefordert im § 75c SGB V. Der Bereitstellung der gesammelten Informationen in der Hospitalgemeinschaft Hosp.Do.IT in einem eigens dafür entwickelten Mustermandanten, oder Informations Sicherheits Management Systems (ISMS) genannt.

Die Präsentation wird sich mit den Hürden der Anforderungen des B3S im Umfeld eines nicht KRITS Haus beschäftigen. Hier werden anhand eines Beispielhauses die Problematiken erörtert und Lösungsansätze dargelegt. Weitergehend wird erläutert wie die Lösungsansätze und die Problematiken auch in anderen Häusern existieren und sich in der Hospitalgemeinschaft Hosp.Do.IT eine Arbeitsgruppe zum Thema Informationssicherheit gebildet hat und verschiedene nicht zentralisierte Mittel zur Bewerkstelligung der Anforderungen aus dem B3S erarbeitet haben. Das weitere Vorgehen in der Arbeitsgruppe resultierte dann in der Bereitstellung eines Mustermandanten der verschiedenen Aspekte der Informationssicherheit zentralisiert und zur Verfügung gestellt wird.

Schwerpunkte:

• Verständnis für die Forderungen aufbauen
• Positionierung im Haus
• Problemerkennung und Erkenntnisteilung in der Arbeitsgruppe
• Ausarbeitung einer Strategie für kleinere Häuser
• Aufbau eines ISMS, RM und DSMS als Compliance – Mustermandanten

Der Vortrag beschreibt den Umsetzungsweg der Informationssicherheit in der Hospitalgemeinschaft Hosp.Do.IT mit Bereitstellung eines Mustermandanten für die Umsetzung der Informationssicherheit in den einzelnen Häusern.

Referenten: 

Prof. Dr. Andre Döring, Gründer und Geschäftsführer der Robin Data GmbH, Diplom-Informatiker. Experte für Datenschutz und Informationssicherheit. Bestellter Datenschutzbeauftragter und Informationssicherheitsbeauftragter in Unternehmen und öffentlichen Stellen, auch Krankenhäusern.

Dr. Pierre-Michael Meier, CHCIO, Generalbevollmächtigter Hospitalgemeinschaft Hosp.Do.IT, Geschäftsführer wirtschaftlicher Geschäftsbetrieb ENTSCHEIDERFABRIK und EVP & CFO AHIME – Association of Health Information Management Executives e.V.