Ein Cybersicherheitsvorfall führte dazu, dass Rettungswagen beim einzigen Traumazentrum der Stufe I in New Mexico umgeleitet wurden.
Das Gesundheitssystem der University of New Mexico nahm am 26. Okt. nur noch eingeschränkt neue Patienten auf und setzte ambulante Operationen und Termine aus. Am späten Abend erklärten die Verantwortlichen, beide Krankenhäuser seien geöffnet und die Kliniken würden am 27. Okt. den planmäßigen Betrieb wieder aufnehmen, während die Sicherheitsteams ihre Reaktion fortsetzten.
Für Verantwortliche im Gesundheitswesen zeigt die Störung, wie schnell die Eindämmung eines Netzwerks zu einer Entscheidung über die Patientenversorgung werden kann.
Was UNM bestätigt hat
In ihrem offiziellen Update teilte UNM mit, dass die Aufnahme neuer Patienten am Montag von 12:30 bis 14:30 Uhr eingeschränkt worden sei. Anschließend habe man damit begonnen, den Betrieb und die Systeme schrittweise wiederherzustellen. Andere Gesundheitssysteme in Albuquerque und Santa Fe halfen dabei, Patienten aufzunehmen.
UNM informierte die staatlichen und föderalen Strafverfolgungsbehörden, schaltete externe Partner ein und aktivierte ein Emergency Operations Center. Der Unterricht an den Health Sciences blieb am Dienstag aus, und nicht zwingend benötigte Beschäftigte wurden gebeten, zu Hause zu bleiben.
In dem Update wurde weder ein Angreifer genannt noch eine Ransomware-Attacke oder der Diebstahl von Patientendaten bestätigt.
Die Wiederaufnahme der Versorgung bedeutet keine vollständige Wiederherstellung
Steven Swift, Managing Director von Suzu Labs, sagte, die zweistündige Einschränkung bei der Aufnahme neuer Patienten könne eine Vorsichtsmaßnahme während der Eindämmung gewesen sein. UNM hat diese Erklärung nicht bestätigt.
„Oft – insbesondere in der Anfangsphase, wenn das Ausmaß eines Vorfalls noch unklar ist – werden möglicherweise mehr Systeme als unbedingt nötig unter Quarantäne gestellt“, sagte Swift in bereitgestellten Stellungnahmen.
Die Eindämmung kann darin bestehen, Systeme zu trennen, um weiteren unbefugten Zugriff zu verhindern. Wie dieser Leitfaden zur Reaktion auf Vorfälle erklärt, sind Eindämmung und Wiederherstellung getrennte Schritte. Die Wiederherstellung eines Dienstes bedeutet nicht, dass die zugrunde liegende Bedrohung beseitigt wurde.
In Krankenhäusern erfordern solche Entscheidungen klinischen Sachverstand, da die Isolierung von Systemen auch die für die Versorgung benötigten Informationen und Arbeitsabläufe unterbrechen kann.
Auswirkungen vor einem Vorfall testen
Seemant Sehgal, Gründer und CEO von BreachLock, sagte, proaktive Tests sollten Krankenhäusern helfen zu verstehen, welche Systeme gemeinsam ausfallen könnten und wie sich solche Ausfälle auf die Versorgung und Entscheidungen über Umleitungen auswirken würden.
„Nur wenn diese Informationen im Voraus vorliegen, kann ein Krankenhaus seine Systeme und seine Patienten gleichzeitig schützen, statt unter den Bedingungen eines laufenden Angriffs bei beidem Kompromisse eingehen zu müssen“, sagte er.
Sorgfältig abgegrenzte Penetrationstests können Angriffspfade untersuchen. Anschließende Übungen zu klinischen Ausfallzeiten können testen, wie das Personal arbeitet, wenn Systeme nicht verfügbar sind. Die öffentlich bekannten Informationen belegen nicht, dass UNM eine der beiden Vorbereitungsformen fehlte.
Patientenversorgung zum Bestandteil des Reaktionsplans machen
Die Sicherheitsteams im Gesundheitswesen sollten kritische Dienste den von ihnen abhängigen Systemen zuordnen, sichere Ausweichverfahren dokumentieren und festlegen, wer Aufnahmen begrenzen oder die Umleitung von Rettungswagen anfordern darf. An den Übungen sollten klinische Führungskräfte, Rettungsdienste und benachbarte Krankenhäuser teilnehmen, damit alternative Kapazitäten vor einer Krise berücksichtigt werden.
Auch für die Wiederherstellung braucht es ebenso klare Kriterien. Die Teams sollten Zugriffsrechte, Datenintegrität und klinische Arbeitsabläufe überprüfen, bevor sie einen Dienst als einsatzbereit erklären. Diese Schritte bauen auf den Erkenntnissen zur Cybersicherheit im Gesundheitswesen aus früheren Störungen auf: Planen Sie für Ausfälle und verknüpfen Sie Sicherheitsentscheidungen mit den betrieblichen Erfordernissen.
Weitere Informationen könnten klären, welche Systeme bei UNM betroffen waren und ob Daten offengelegt wurden. Andere Krankenhäuser können jetzt damit beginnen, zu proben, wie sich die Eindämmung auf die Versorgung auswirkt – und die Zuständigkeiten sowie die erforderlichen Nachweise festzulegen, um solche Entscheidungen sicher treffen zu können.