Managed Security

Schwachstellen-Management – Die Angriffsfläche für Cyber-Attacken minimieren

09. März 2023

Schwachstellen-Management für Krankenhäuser – „Must-have“

Der Penetrationstest ein perfekter Einstieg, die Betreuung kontinuierlich und engmaschig, das Resultat: Transparenz und Risikominderung

IT-Leitungen haben die große Herausforderung, die Cyber-Sicherheit in ihren Krankenhäusern gewährleisten zu müssen, während die Komplexität in der Krankenhausinfrastruktur mit jedem Digitalisierungsprojekt steigt. Jede Neueinführung, Softwareupdate, Anpassung der Konfiguration oder Anbindung an interne sowie externe Systeme kann die bestehende Landschaft mit neuen Schwachstellen versehen und die Anfälligkeit gegen Cyber-Gefahren erhöhen.

Es ist somit verständlich, dass in den B3S (branchenspezifischen Sicherheitsstandards) mit ANF-MN-107 die „regelmäßige Überprüfungen auf Schwachstellen„ vorgeschrieben ist. Wie unterscheidet sich jedoch ein Schwachstellen-Management vom klassischen Penetrationtest?

Der Einstieg in das Schwachstellenmanagement ist ein professioneller Penetrationstest, bei dem das Krankenhaus-Infrastruktur auf Schwachstellen und Verbesserungspotenziale hin überprüft wird. Anhand der Ergebnisse wird ein individuellen Fahrplan mit priorisierten Maßnahmen erarbeitet und dringliche Tätigkeiten in Zusammenarbeit sofort umgesetzt.

Darauf basierend setzt das Schwachstellen-Management auf: Nach dem ersten Pentest, beginnt der eigentliche Managed Service mit einer kontinuierlichen und engmaschigen Betreuung. Es wird eine Appliance in Ihr Netzwerk eingebracht, die regelmäßig nach bekannten und neu hinzugekommenen Sicherheitslücken sucht, aktuell gegen 110.000 bekannte Schwachstellen, automatisiert. Alle Ergebnisse und Maßnahmenpläne werden fundierten Reports zusammengefasst, wovon KRITIS-Häuser mit Blick auf ihre Pflichtberichte profitieren. Im regelmäßigen Cyber-Security-Board wird über den Status, Trends und KPIs berichtet. Zusammen mit einer moderierten Entscheidungsfindung in der Maßnahmenumsetzung.

Planung und Einrichtung

Zu Beginn wird der Status Quo mit einem Penetrationstest und koordinierten Cyber-Attacken im Krankenhaus ermittelt. Aus dieser ersten Analyse ergeben sich Sofortmaßnahmen, die mit dem Krankenhaus gemeinsam priorisieren werden. In einem Kick-off wird dann die Governance für das Schwachstellen-Management besprochen. Das Berichts- und Informationswesen wird eingerichtet und gestartet. Die Schwachstellen-Scanner werden passend zur Infrastruktur konfiguriert und beachten dabei die Besonderheiten, insbesondere zur Business Continuity der medizinisch relevanten Dienste.

Periodische Pentests, Scans und Berichte

Während der erste Pentest lediglich die Basis bildet und mit ersten Sofortmaßnahmen für mehr Sicherheit sorgt, wird ein Scanner für die dauerhafte Suche nach potenziellen Sicherheitslücken im Netzwerk konfiguriert. Security Experten werten die Ergebnisse kontinuierlich aus und setzen bei Bedarf auch interne Nachprüfungen in Absprache mit dem IT-Team an. Die Systemberichte werden mit fachlich relevanten Informationen angereichert.

Betrieb und dauerhafte Betreuung

Regelmäßige Auswertungen und Berichte werden quartalsweise umgesetzt und vorgestellt, um Menge und Schweregrad der ermittelten Schwachstellen darzustellen. Der Effekt von Maßnahmen wird ebenso protokolliert und im Berichtswesen festgehalten. Der Scanner wird stets mit neuen Suchmustern und Schwachstellen aktualisiert, die Konfiguration bei neuen Gegebenheiten und Infrastrukturänderungen angepasst.