IT-Sicherheit im Gesundheitswesen
Trotz KRITIS-Verordnung: IT-Sicherheit wird in Deutschland im Vergleich etwa zu USA und Kanada noch stiefmütterlich behandelt
Besonders brisant wird das Thema KRITIS im Gesundheitswesen: Kränkelnde Systeme schaden den Patienten
Von Randolf-Heiko Skerka, Bereichsleiter IS-Management bei der SRC GmbH
Die Gesundheitsbranche ist abhängig von einer sicheren IT. Technologien und Geräte ermöglichen eine Diagnostik und darauf aufsetzend die Therapie des Patienten, andere sichern und unterstützen lebenserhaltende Funktionen. Und nicht zuletzt genießen sensible Patientendaten einen besonderen gesetzlichen Schutz. Funktioniert die IT nicht, hat das im Gesundheitswesen schnell katastrophale Folgen. Deswegen ist ein durchdachtes Risikomanagement von großer Bedeutung.
Für Unternehmen, Organisationen und Einrichtungen, die eine wesentliche Bedeutung für das Gemeinwohl haben und grundlegende Dienstleistungen für Gesellschaft und Gemeinwesen erbringen, gilt die KRITIS-Verordnung zur Bestimmung Kritischer Infrastrukturen. Denn bei ihrem Ausfall können Versorgungsengpässe, Störungen der öffentlichen Sicherheit oder andere schwerwiegende Folgen entstehen. Dazu gehören unter anderem die Branchen Energie, Ernährung und Finanzen sowie natürlich Medizin und Gesundheitswesen. Die betroffenen Organisationen und Unternehmen müssen ein Mindestsicherheitsniveau an IT-Sicherheit einhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden.
Trotz KRITIS-Verordnung: IT-Sicherheit wird in Deutschland im Vergleich etwa zu USA und Kanada noch stiefmütterlich behandelt. Besonders brisant wird das Thema im Gesundheitswesen. Denn eine fehlerhafte, angreifbare oder schlicht nicht zur Verfügung stehende IT-basierte Technologie kann hier schnell zu Personenschäden führen.
IT-Sicherheit im Gesundheitswesen tangiert vor allem zwei konkrete Bereiche: Zum einen betrifft sie die reinen Verwaltungsdaten, also Informationen über den Patienten und seine Krankheitsverläufe. Patientendaten genießen, aufgrund der ärztlichen Schweigepflicht, gesetzlich noch höheren Schutz als die personenbezogenen Daten nach der DSGVO. Zum anderen gibt es die technologische Infrastruktur, die direkt am Patienten zum Einsatz kommt – seien es Herzschrittmacher, Beatmungsgeräte oder Geräte wie Ultraschall, EKG, Computertomographen und Röntgen. In der Diagnostik unterstützt sie den behandelnden Arzt, am Patienten hat sie lebenserhaltende Funktionen.
Die drei konkreten IT-Schutzziele im Gesundheitswesen
Um IT-Sicherheit erreichen zu können, müssen drei Bereiche beachtet werden: Die Verfügbarkeit der Komponente muss gewährleistet, der Schutz von Daten und die Vertraulichkeit sowie die Datenintegrität müssen gegeben sein.
1. Verfügbarkeit der Komponente: Im Worst Case fällt eine technische Komponente oder ein Gerät aus. Wenn während einer OP das Röntgengerät versagt und der Chirurg die eingeführte Sonde im Patientenkörper nicht mehr findet, ist das ein Problem. Wichtig ist es deswegen, Maßnahmen im Vorfeld zu definieren und einen Plan B in der Tasche zu haben: Wenn in der OP das Beatmungsgerät ausfällt, muss der Patient manuell beatmet werden (Beutel-Masken-Beatmung).
2. Schutz der Daten und Gewährleistung von Vertraulichkeit: Auf sensible Daten im Gesundheitswesen dürfen nur Berechtigte Zugriff haben. Um das zu erreichen, kann eine Maßnahme darin bestehen, das EDV-System in den Kern der Verwaltung zu ziehen, so dass Besucher die Bildschirme nicht einsehen können. Außerdem ist es wichtig, die Daten mit Kennwörtern schützen, um nur Autorisierten Zugang zu ermöglichen und die Daten verschlüsselt zu übertragen und idealerweise zu speichern.
3. Datenintegrität: Hier muss sichergestellt werden, dass die mit IT-Unterstützung gewonnenen Daten korrekt sind und ebenfalls richtig angezeigt werden. Im Labor beispielsweise werden die Teststraßen für die Analyse von Blutproben automatisch gesteuert. Auf den Ergebnissen der Blutwerte setzen Diagnosen und Therapien auf – sie müssen unbedingt korrekt sein. Um das sicherzustellen, besteht eine Möglichkeit darin, Proben testweise parallel in zwei Systemen gleichzeitig zu analysieren, um die Ergebnisse zu vergleichen. Eine Doppelbeprobung kann als Maßnahme auf diese Weise Datenintegrität gewährleisten. Ein weiteres Beispiel für ihre Bedeutung: Datenblätter und Informationen müssen dem richtigen Patienten zugeordnet werden, so dass nicht eine falsche Gliedmaße amputiert wird oder falsche Medikamente verabreicht werden. Oder im Fall von portablen Geräten, die zum Beispiel über Sensoren auf der Haut den Blutzucker eines Diabetikers messen und auf deren Werten sich der Patient sein Insulin spritzt: Hier müssen die korrekten Daten richtig dargestellt werden.
Probleme in diesen drei Bereichen und damit die Ursache für Fehler liegen oft in den Abläufen. Diese müssen konkretisiert werden, um die Wahrscheinlichkeit eines Schadens zu minimieren oder seine Auswirkungen zu reduzieren.
Generell gilt: Damit IT-Sicherheit funktioniert, muss sie sowohl in der Herstellung als auch im späteren Betrieb eines Produkts berücksichtigt werden. Ein sicheres Produkt muss also zunächst entwickelt und hergestellt und dann auf eine sichere Art und Weise betrieben werden. Dafür sind grundlegende Funktionen und Spezifikationen genauso wichtig wie kompetentes Personal, das mit den Geräten arbeitet.
Ein großes Problem ist oft das fehlende Know-How der IT. Diese wird in zahlreichen Unternehmen und Organisationen in erster Linie als Kostenfaktor gesehen und entsprechend knapp sind die Ressourcen, mit denen sie ausgestattet wird. Zudem ist der Bewertungsmaßstab in der Regel nur, ob die IT funktioniert. Dabei behält man nicht im Blick, ob die eingesetzten Technologien eventuell Tür und Tor für den Missbrauch öffnen: Denn das, was möglich ist, darf nicht immer möglich sein. Etwa, wenn sich der gelangweilte 12-Jährige mit dem gebrochenen Bein ins WLAN hacken und Einsicht in die Chefarzt-Dokumente nehmen kann. Um das zu verhindern, muss die IT sicher betrieben werden und die Herstellervorgaben kennen und beachten.
Risikomanagementsystem mit bewusstem Sicherheitsniveau
Wegen der Gefahr für Leib und Leben ist das Risiko in der Medizin-IT höher als in anderen Branchen. Doch 100-prozentige Sicherheit gibt es nicht. Deswegen ist es wichtig, die IT gegen gängige Gefährdungen abzusichern. Denkbare Schadensszenarien sind zum Beispiel ein Stromausfall, ein Erdbeben, Feuer, Hochwasser oder ein Hackerangriff.
Um ein Risikomanagementsystem aufzubauen, müssen diese Bedrohungen definiert, bewertet und ihre Eintrittswahrscheinlichkeit festgestellt werden. Im Anschluss werden die Auswirkungen untersucht und evaluiert, so dass in der Folge beschlossen werden kann, welche Risiken ggf. akzeptiert und welche Maßnahmen eingeleitet werden können, um sie zu minimieren. Auf diese Weise kann ein bewusstes Sicherheitsniveau definiert und mit den Maßnahmen das angestrebte Level an IT-Sicherheit erreicht werden.
Fazit
Zentral bei dem Erlangen von IT-Sicherheit im Gesundheitswesen ist die Frage, gegen welche Bedrohungen man sich schützen will. Herrscht hier Klarheit, müssen in einer Risikoanalyse die Gefahren definiert, bewertet und mit entsprechenden Gegenmaßnahmen gekontert werden. Außerdem muss die IT mit dem Know-How ausgestattet sein und die technischen Erfordernisse kennen, um die Infrastruktur sicher zu betreiben. (SRC: ra)
eingetragen: 17.12.19
Newsletterlauf: 13.02.20
SRC: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.