Spire Healthcare sichert die Weiterentwicklung seiner digitalen Dienste mit F5

Als einer der führenden privaten Gesundheitsdienstleister im Vereinigten Königreich mit 38 Krankenhäusern und mehr als 3.700 Fachärzten musste Spire Healthcare die Sicherheit seiner Anwendungen verbessern, da immer mehr seiner Dienste online angeboten wurden. Spire verwaltet hochsensible Patientendaten und arbeitet unter anderem mit dem National Health Service (NHS) und großen Versicherern zusammen. Daher musste das Unternehmen seinen Stakeholdern zudem nachweisen, dass seine Sicherheitslösungen branchenführend und vertrauenswürdig waren. 2016 entschied sich Spire für F5 und Silverline (die cloudbasierte Plattform von F5 für verwaltete Anwendungsdienste).

Geschäftliche Herausforderungen

Mit der Entwicklung weiterer kundenorientierter digitaler Dienste, wie dem MySpire-Portal zur Terminbuchung, Einsicht in persönliche Daten und Durchführung von Zahlungen, stellte Spire zugleich immer mehr sensible Patientendaten online bereit.

Mit dem steigenden Risikoprofil fehlten dem technischen Team wichtige Informationen über das Nutzerverhalten. Das bestehende System konnte weder anzeigen, mit welchen Geräten Kunden auf die Dienste von Spire zugriffen, noch erkennen, wann dies möglicherweise auf unsichere Weise geschah. Dieser Mangel an Transparenz hinderte das Team daran, wichtige Sicherheitsverbesserungen vorzunehmen.

„Wir konnten uns beispielsweise nicht dazu entschließen, den Zugriff über SSLv3 einzuschränken, weil wir nicht wussten, ob sich Benutzer mit Geräten verbinden, die TLSv1.0 nicht unterstützen“, erinnerte sich Rob Sissons, Technical Operations Manager.

Da dem IT-Team die nötigen Informationen fehlten, um wichtige technische Änderungen vorzunehmen, war es häufig auch nicht in der Lage, interne Anfragen zur Datensicherheit zu beantworten. Zudem musste es sich auf die Prüfungen vorbereiten, die große Versicherer und der NHS – die beide regelmäßig Patienten an Spire überweisen – durchführen, um sich davon zu überzeugen, dass ihre Daten sicher gespeichert werden.

Um die Sicherheit seiner digitalen Dienste zu verbessern, ohne den Zugang für Kunden einzuschränken, entschied sich Spire für die Suche nach einem Managed-Service-Provider für Anwendungssicherheit.

Lösung

Um seinen sich wandelnden Sicherheitsanforderungen gerecht zu werden, entschied sich Spire für die Implementierung von F5® Silverline® Web Application Firewall (WAF) und F5® Silverline® DDoS Protection als Managed Services mit Rund-um-die-Uhr-Support durch das Security Operations Center (SOC), das zentrale Team von F5 für Sicherheitsspezialisten mit direktem Kundenkontakt.

„Das SOC ist für uns der eigentliche Mehrwert“, so Sissons. „Es gibt uns die Sicherheit, dass bei der Umsetzung einer Änderung ein zweites, fachkundiges Augenpaar alles genau prüft. Häufig erhalten wir anschließend vom Team Empfehlungen dazu, wie wir unser Vorhaben optimieren können.“

Das SOC-Team ist inzwischen ein integraler Bestandteil der Entwicklung und Implementierung neuer Anwendungen bei Spire, einschließlich Anwendungen von Drittanbietern. Zur Festlegung von WAF-Richtlinien beginnt Spire mit einer leeren Vorlage und setzt anschließend durch wiederholte Tests identifizierte Fehlalarme auf die Positivliste.

„Wenn wir beantragen, etwas freizuschalten, prüft das SOC noch einmal genau, was wir vorschlagen“, erklärte Sissons. „Klinische Nischenanwendungen sind nicht immer so sicher, wie sie sein sollten. In einigen Fällen hat uns das Feedback von F5 dazu veranlasst, uns erneut an die Drittanbieter der Software zu wenden und sie auf Probleme mit ihren Anwendungen hinzuweisen.“

Seit Beginn der Zusammenarbeit von Spire mit F5 ist das Anwendungsökosystem des Unternehmens immer vielfältiger und komplexer geworden. Dazu gehört auch die Integration von APIs, über die Versicherer Patienten einfacher überweisen und deren Daten übermitteln können. Silverline bietet die nötige Sicherheit, damit Spire seine digitalen Services für Kunden, Berater und wichtige Partner kontinuierlich weiterentwickeln und verbessern kann.

Mit Unterstützung des SOC haben die Silverline-Services Spire zudem dabei geholfen, ein dem Schutzbedarf der gespeicherten sensiblen Daten angemessenes Maß an Anwendungssicherheit zu implementieren und bei gelegentlich auftretenden schwerwiegenden Vorfällen schnell zu reagieren.

Darüber hinaus unterstützt Silverline die Weiterentwicklung der übergreifenden Sicherheitsrichtlinien von Spire, indem es Einblicke und Daten zum Nutzerverhalten bereitstellt, die dem IT-Team helfen, diese Richtlinien weiter zu optimieren. Zudem vermittelt es ein detailliertes Bild davon, wie die Kunden von Spire auf Dienste zugreifen – Einblicke, die zuvor nicht verfügbar waren.

„Bei der TLS-Härtung beispielsweise stützte sich das Informationssicherheitsteam in hohem Maße auf die von Silverline bereitgestellten Daten zu den eingehenden Verbindungen und dazu, woher unsichere Verbindungen stammen“, so Sissons.

Maßgeschneiderter Support rund um die Uhr

Ein weiterer wesentlicher Vorteil von Silverline ist die Möglichkeit, aktive Bedrohungen für das Netzwerk von Spire abzuwehren. Bei einem kürzlich erfolgten schwerwiegenden DDoS-Angriff beteiligte sich das SOC aktiv an der Reaktion, stellte Informationen zur Quelle des Angriffs bereit und nahm an Gesprächen mit dem Internetdienstanbieter von Spire teil. „Bei einem groß angelegten Angriff wie diesem entwickelt sich die Lage sehr schnell, und man führt die Untersuchungen durch, während der Angriff noch läuft“, erinnerte sich Sissons. „Wir standen während des gesamten Vorfalls in direktem Austausch mit dem SOC. Das Team nahm gemeinsam mit uns an Telefonkonferenzen teil und leistete unschätzbare Unterstützung.“

Im Tagesgeschäft kann sich Spire darauf verlassen, dass die Experten des SOC jederzeit verfügbar sind. „Im Rahmen des Managed Service können wir selbst sehr kurzfristig hochqualifizierte Fachleute hinzuziehen“, ergänzte Sissons. „Es gab noch nie eine Anfrage von uns, die das SOC nicht erfüllen konnte.“

Sicherheit für Stakeholder

Silverline wirkt sich auch positiv auf das gesamte Ökosystem von Spire aus. Patientenüberweisungen durch Dritte sind ein wichtiger Bestandteil des Geschäftsmodells, und F5 als Managed-Service-Anbieter trägt dazu bei, diesen Partnern die Gewissheit zu geben, dass die Richtlinien und Schutzmaßnahmen zur Datensicherheit höchsten Anforderungen entsprechen. Silverline war sogar Teil der Maßnahmen im Rahmen von Audits durch Versicherungspartner sowie des Security Toolkits, das eine Voraussetzung für den Beitritt zum Health and Social Care Network (HSCN) des NHS ist. „Es ist für uns von Vorteil, bei einem externen Audit darauf verweisen zu können, dass ein spezialisiertes Sicherheitsteam diese Dienste schützt“, fügte Sissons hinzu.