Zugriffskontrollen für medizinisches Fachpersonal und Krankenhauspersonal sind ein kritisches Gateway zur Absicherung sensibler Patientendaten. Memorial Hermann Health Systems (MHHS), ein gemeinnütziges, kommunales Gesundheitssystem mit Sitz in Houston, Texas, ist sich bewusst, dass die Patientenakten aufgrund ihrer geschützten Gesundheitsinformationen zu einem Hauptziel für Angreifer:innen werden. MHHS verwaltet mehr als 63.000 Benutzer:innen, darunter Verwaltungspersonal, medizinisches Fachpersonal, ehrenamtliche Helfer:innen, Student:innen und weitere in 11 Krankenhäusern, und benötigt daher Technologielösungen, die eine wirkungsvolle Patientenversorgung bieten, ohne ihre Daten zu gefährden.
Dieser Technologieansatz führte dazu, dass MHHS das Identity-Management als primären Bestandteil der eigenen Sicherheitsstrategie betrachtet. „Alle Bereiche des Identity-Managements können erheblichen Schaden verursachen, wenn sie nicht ordnungsgemäß verwaltet werden“, sagt Zach Phillippe, stellvertretender CISO. „Wenn Sie verstehen, was Personen tun können, was sie sehen können und wie sie mit unseren Systemen interagieren, ist das genauso wertvoll wie jede andere Form der Cybersicherheit.“
Implementierung von Sicherheitskontrollen der Enterprise-Klasse zum Schutz von Patientendaten
Mit dem Wachstum der Organisation ist auch ihr Tech-Stack gewachsen: Angesichts von mehr als 200 SaaS-Anwendungen (Software-as-a-Service), die im gesamten System bereitgestellt sind, benötigte das Team eine Möglichkeit, den Überblick über diese Cloud-basierten Apps zu behalten. Der bisherige Prozess von MHHS umfasste verstreute Tabellen und manuelle Zugriffsüberprüfungen, die arbeitsintensiv und zeitaufwendig waren. „Wir sind dafür verantwortlich, dass die Zugriffskontrollen auf dem neuesten Stand sind“, ergänzt Padma Sree Ventrapragada, Director of Cyber Risk and IAM. „Aber als die Überprüfungen manuell durchgeführt wurden, mussten wir nach dem Abschluss der Analysen sofort wieder von vorn anfangen.“
Während der App-Pool weiter wuchs, wurden Anfragen von Endbenutzer:innen zum Zurücksetzen von Passwörtern immer häufiger. Diese Rücksetzungsanfragen wurden zur Hauptaufgabe des IT-Support-Teams, sodass es sich nicht auf komplexere Probleme konzentrieren konnte. Das MHHS-Team wusste, dass es einen Identity-Partner benötigte, der Großunternehmen und On-Premise- und Cloud-basiertes Identity-Management unterstützt, ihnen bei der Unterstützung ihrer komplexen Organisation hilft und eine benutzerfreundliche Multi-Faktor-Authentifizierung (MFA) bereitstellt. „MFA gehört zu den fünf wichtigsten Sicherheitskontrolllösungen, und wir wussten, dass Okta uns dabei helfen würde, sie zu implementieren und diese Lücken zu schließen“, sagt Phillippe.
Verbesserung der Resilienz und der täglichen Schutzmaßnahmen für Benutzer:innen
Okta ist nun eine zentrale Säule der Cloud-Resilienzstrategie von Memorial Hermann und stellt sicher, dass das medizinische Personal selbst bei einem Ausfall des lokalen Netzwerks (aufgrund eines Hurrikans oder Cyberangriffs) weiterhin auf EMR-Daten zugreifen und die Sicherheit der Patient:innen gewährleisten kann. „Dank der Art und Weise, wie Okta in unsere Systeme integriert ist, verfügen wir über Möglichkeiten zur kontinuierlichen Identifizierung und Autorisierung, die unsere Resilienz erhöhen“, sagt Phillippe. „Dieser Zugriff wirkt sich direkt auf die Patientenversorgung aus. Wenn Ärzt:innen auf Papierformulare zurückgreifen müssen, verzögert dies die Versorgung. Deshalb müssen wir sowohl in Katastrophenfällen als auch bei unserer täglichen Arbeit einsatzbereit sein.“
Durch die Kombination grundlegender Identity-Kontrollen sowie kontinuierlicher Überwachung und Erkennung über einen einzigen Identity-Partner kann MHHS vor, während und nach der Authentifizierung konsistente End-to-End-Sicherheit gewährleisten. Für die Mitarbeiter:innen von MHHS machen Single Sign-On, Adaptive MFA und FastPass den Zugriff mit einem Gerät einfach und sicher, selbst für Benutzer:innen im erweiterten Netzwerk des Systems. Da über 95 % der aktiven MHHS-Accounts durch MFA abgesichert werden, kann die Organisation darauf vertrauen, dass ihre wichtigsten Systeme vor Phishing-Angriffen geschützt sind.
Das Team hat außerdem das Zurücksetzen von Passwörtern vollständig im Self-Service implementiert, unabhängig vom Standort oder der Zugehörigkeit zu MHHS. Die Beseitigung dieses Engpasses trug zusammen mit weiteren Passwort-Anpassungen dazu bei, die IT-Tickets beim Service Desk um mehr als die Hälfte zu reduzieren, sodass sich die Ärzt:innen vollständig auf ihre Patient:innen konzentrieren konnten, anstatt sich um den Zugriff kümmern zu müssen.
Okta sichert nicht nur die Mitarbeiter:innen an den eigentlichen Kernstandorten ab, sondern auch Ärzt:innen und Mitarbeiter:innen in kleinen, ländlichen Gesundheitseinrichtungen, die für den Betrieb ihrer Praxen ebenfalls auf die EHR-Lösung (Elektronische Gesundheitsakte) von MHHS angewiesen sind. Mit FastPass können diese ansonsten unabhängigen Praxen von verschiedenen Geräten in ihren Praxisräumen aus sicher und konsistent auf Patienteninformationen und andere wertvolle Daten zugreifen und sicherstellen, dass Patient:innen eine kontinuierliche Versorgung erhalten.
Nachdem die Logins abgesichert waren, konnte sich das Team darauf konzentrieren, eine Möglichkeit zur kontinuierlichen Erkennung und Behebung von Benutzerrisiken zu entwickeln Dabei stellten die Verantwortlichen fest, dass Okta Identity Threat Protection (ITP) und Okta Identity Security Posture Management (ISPM) dabei helfen würden, von manuellen Überprüfungsprozessen zu kontinuierlicher Echtzeit-Überwachung überzugehen. „Neben MFA war Identity Security Posture Management die Lösung, die für uns der Gamechanger war“, sagt Phillippe. „Wenn Sie es nicht nutzen, suchen Sie nach Ärger.“
Wechsel von kontinuierlicher Überwachung zu „kontinuierlicher Behebung“
Während sich die Ärzt:innen von MHHS auf ihre Patient:innen konzentrieren können, richtet auch das MHHS-Security-Team seinen Fokus auf wirkungsvollere Projekte. Durch den Ersatz des manuellen Audit-Prozesses auf Basis von Tabellenkalkulationen durch eine Kombination aus ITP und ISPM hat das Team ein automatisiertes, kontinuierliches System zur Erkennung und Abwehr von Identity-Bedrohungen aufgebaut. Dieser neue Ansatz nutzt den Vorteil einer einheitlichen Identity-Security-Struktur, um dem Team kontinuierlich Einblicke in die Sicherheitslage des gesamten Unternehmens zu verschaffen.
Während ITP Bedrohungserkennung und -reaktion in Echtzeit bietet, die die Okta-Telemetrie anreichert und aktive Bedrohungen behebt, überwacht ISPM wichtige Lücken in der Identity-Sicherheitshygiene und hilft bei deren Behebung. „Mit ITP und ISPM wechseln wir in unserem gesamten Unternehmen von punktuellen Überprüfungen zu einer kontinuierlichen Erkennung und Reaktion in Echtzeit“, sagt Ventrapragada. „Die Lösungen stellen uns alle benötigten Informationen direkt zur Verfügung, sodass wir die anstehenden Probleme sofort angehen können.“
Diese Kombination ist entscheidend, um jegliche Betriebsstörung zu verhindern. „Wenn wir die Versorgung aus unseren Traumazentren umleiten müssen, weil unsere Infrastruktur von einem Cyberangriff getroffen wurde, hat das erhebliche Auswirkungen auf Menschenleben“, sagt Phillippe. „Der Wert eines Tools wie ITP ist für uns unermesslich, denn wenn unsere Systeme sicher sind, sind auch unsere Patient:innen sicher.“
Da sich das Team auf die Behebung statt auf die Erkennung konzentriert, ist MHHS in der Lage, potenzielle Sicherheitslücken in dem Moment zu schließen, in dem sie auftreten, anstatt sich auf die nächste Audit-Runde verlassen zu müssen. Ventrapragada fährt fort: „ISPM priorisiert selbstständig, sodass wir komplexe Probleme lösen können, die eigentlich mehrere Probleme mit niedrigerer Priorität umfassen. Ohne dies hätten wir sie vielleicht einzeln angegangen.“ Die geänderte Prioritätensetzung hilft dem Team, Probleme schneller denn je zu erkennen und zu beheben; Aufgaben zur Identitätshygiene, deren Untersuchung über mehrere Tools hinweg früher eine ganze Arbeitswoche oder länger dauerte, nehmen jetzt jede Woche nur noch wenige Stunden in Anspruch.
Erweiterung der Automatisierung zur Unterstützung sicherer KI-Agenten im Gesundheitswesen
Während ganze Branchen dazu übergehen, KI-Agenten in ihre Workflows zu integrieren, sieht MHHS die Chance zur Bewertung und Absicherung der eigenen Infrastruktur, um diese Agenten in die Patientenpflege einzubinden. „Für uns ist es wichtig, KI-Agenten als neue Identity-Klasse zu behandeln“, erklärt Ventrapragada. „Als unser Identity-Partner hilft Okta uns bereits dabei, unsere menschlichen und nicht-menschlichen Identitäten zu erfassen und abzusichern, und wir freuen uns darauf, diese Partnerschaft fortzusetzen, um KI abzusichern.“
Neben der Überwachung und Absicherung von Service-Accounts und KI-Agenten prüft das Team neue Möglichkeiten, ISPM mit Okta Workflows zu kombinieren, um Lebenszyklus-Management-Prozesse automatisieren. „ISPM erkennt Lücken im Identity-Management, und Workflows kann diese automatisch beheben. Gemeinsam werden die beiden Lösungen uns dabei helfen, von kontinuierlicher Überwachung zu kontinuierlicher Behebung von Identity-Problemen überzugehen“, sagt Phillippe. „Und das Okta-Team hat uns gezeigt, dass wir ihnen als Partner wichtig sind. Das bietet nicht jeder, und wir möchten gemeinsam sehen, was noch möglich ist.“
Über das Kundenunternehmen
Memorial Hermann Health System (MHHS) ist ein führendes integriertes Gesundheitssystem, das Südost-Texas versorgt. Die Verwaltung des Zugriffs für über 63.000 Benutzer:innen erfordert die Absicherung diverser klinischer und administrativer Rollen, darunter Mitarbeiter:innen, medizinisches Personal und Nicht-Mitarbeiter:innen wie Assistenzärzt:innen und ehrenamtliche Helfer:innen.
