Anonymität als Katalysator für elektronische Gesundheitsakten

Transkript

1 Anonymität als Katalysator für elektronische Gesundheitsakten Dr. Daniel Slamanig IAIK, Technische Universität Graz 7. Internationales For..Net-Symposium Anonymität. Recht Technik Menschenbild 20. April 2012

2 Überblick Systemevolution und elektronische Gesundheitsakten Gesundheitsdaten Gefahren und Schutz der Privatsphäre Privatsphäre durch Anonymität Ausblick

3 Systemevolution Geschlossenes Ökosystem Internetbasiert Patientendatenmanagementsysteme Regionale Gesundheitsnetzwerke Elektronische Cloudbasierte Gesundheitsakten Dienste Zunehmende Vernetzung, Patientenintegration und internetbasierter Zugriff auf Daten Datenschutz und Schutz der Privatsphäre wird zunehmend kritischer Erfolgsfaktor

4 Elektronische Gesundheitsakte Elektronische und persistente Speicherung der relevanten Gesundheitsdaten pro Individuum EHR (electronic health record) Institutionsübergreifende Akte Moderation durch klinisches Personal PHR (personal health record) Moderation und Rechtevergabe durch Benutzer

5 Zunehmende Komplexität Sportaktivitäten (Mobile) Pflege Medizinische Haus-/Fachärzte Forschung Freizeitaktivitäten Apotheken Kliniken Gesundheitsakte Rehabilitation Telemonitoring Bedarfsplanung

6 Gesundheitsdaten Alle behandlungsrelevanten medizinischen Daten Sind ein Schlüsselfaktor für adäquate und qualitativ hochwertige medizinische Behandlung Gesundheitsdaten sind sensible (schutzwürdige) Daten Ärztliche Schweigepflicht im Eid des Hippokrates und detaillierter durch Ärztegesetz & Datenschutzgesetze Bei elektronischen Daten ist dies kritischer, da die Angriffsfläche größer und kopieren (stehlen) leichter möglich ist

7 Klassen von Daten Inhaltsdaten Sehr sensible medizinischen Informationen, z.b. Befunde Suchterkrankungen, psychische Erkrankungen, etc. Metadaten einer Gesundheitsakte Beziehungen zwischen PatientInnen und Informationen Beziehungen zwischen MedizinerInnen und PatientInnen Kommunikationsmetadaten Anzahl der Anmeldungen und Aktionen im System Menge an transferierten Daten (Dokumente)

8 Datenmissbrauch Offenlegung medizinischer Daten kann für das Individuum unangenehm (im sozialen Umfeld) bis existenzbedrohend (im beruflichen Umfeld) sein speziell bei psychischen Erkrankungen, Suchterkrankungen, Schwangerschaft, etc. NICHT nur Inhaltsdaten sind sensibel!

9 Datenschutz und Privatsphäre Wird häufig sehr stiefmütterlich behandelt Shift weg von geschlossenen Systemen bringt ganz andere und neue Herausforderungen Oft fehlendes Verständnis/Interesse für sicherheitsrelevante Fragen auf Seite der Entscheidungsträger

10 Angreifermodelle Externe Angreifer Passiv: Protokollierung und Analyse Aktiv: Hacking (Datendiebstahl) Interne Angreifer (z.b. Administratoren) Passive oder aktive Angriffe Bewusste oder unbewusste Aktionen

11 Status Quo Aktuelle Studie von Ernst & Young MitarbeiterInnen sind größte Datendiebe (absichtlich/unabsichtlich) 2/3 der Täter stammen aus den eigenen Reihen Angriffe von außen ( Hacker ) spielen eine untergeordnete Rolle Sicherheitskonzepte fokussieren sich aber gerade auf externe Angreifer

12 Evolution der Privatsphäre Geschlossene Ökosysteme (z.b. in Kliniken) Authorisierungskonzepte in den Informationssystemen (wer darf was) Externe Angreifer nicht relevant Interne Angreifer organisatorische Maßnahmen Gefährdungspotential ist als gering einzustufen

13 Evolution der Privatsphäre Elektronische Gesundheitsakten Externe Angreifer Pseudonymisierung von Metadaten und/oder Verschlüsselung von Inhaltsdaten Interne Angreifer organisatorische Maßnahmen Gefährungspotential ist als hoch einzustufen Internetbasierter Zugang Häufig wird Datenspeicherung bzw. gesamtes System outgesourct vertrauenswürdig? Schutz der Privatsphäre ist sehr viel komplexer!

14 Mögliches Paradigma Schützt man sich mit TECHNISCHEN Maßnahmen gegen Insiderangriffe Man sollte davon ausgehen, dass ein Insider (Administrator) ALLES kann... dann können auch externe Angreifer keine Informationen gewinnen!

15 Mögliches Paradigma Schutz der Privatsphäre durch Anonymität Daten geben keinen Rückschluss auf das Individum Verknüpfungen zwischen Individuen und Daten nicht ermittelbar Unbeobachtbarkeit eines Benutzers während der Interaktion mit dem System Nur bei EXPLIZITER Autorisierung können Verknüpfungen und Daten ermittelt werden

16 Schutz der Inhaltsdaten Verschlüsselung der Daten bringt Anonymität hinsichtlich des Inhalts Schlüsselmanagement Im System: Niedriges Sicherheitsniveau Beim Benutzer: Verfügbarkeit der Daten? Eingeschränkte Funktionalität Effizientes Suchen und Auswerten? Searchable Encryption ermöglicht zumindest effizientes Suchen auf verschlüsselten Daten

17 Pseudonymisierung = reversible Anonymisierung z.b. Verschlüsselung identifizierender Informationen Bei strukturierten Daten, z.b. XML Dokumenten, relativ einfach mögich Bei unstrukturierten Daten nicht vollautomatisiert möglich Pseudonymisierung von Verknüfungen zwischen Daten und Benutzern

18 Pseudonymisierung User repository Document repository D 1 D 2 U 3 Steve (c2) U 5 Bob? D 3 D 5 D 6 D 4... (c1)... (c3)... D 7 D 9 D 11 D 10 P 3 P 5 D 8 D 12 c1) (E U3 (U 3 ),P 3,E U3 (P 3 ),E U3 (U 5 ),E U3 (D 11, k D11 )) c2) (E U5 (U 3 ),U 5,E U5 (U 3 ),E U5 (U 5 ),E U5 (D 11, k D11 )) c3) (E U5 (U 3 ),P 5,E U5 (U 3 ),E U5 (U 5 ),E U5 (D 11, k D11 ))

19 Anonymität - Holistisch Existieren keine Verknüpfungen von Individuen und Daten im System, reicht dies jedoch noch nicht aus Erfolgt eine Anmeldung am System, kann der Benutzer mit jeder Aktion und somit den Daten verknüpft werden Je nachdem wie sophisticated ein Angreifer ist

20 Anonymität - Holistisch Kommunikationsanonymität Anonymität bei Authentifikation und Transaktionen Datenanonymität

21 Anonymität Kommunikation Source und Destination von im Internet versendeten Paketen liegen offen Wie oft greift jemand auf seine Akte zu?

22 Anonymität Authentifikation und Transaktionen Anonyme Authentifikation Nachweis man ist berechtigter Benutzer ohne Identität presizugeben Anonymität ist stärker, wenn auch alle Transaktionen mit dem System anonym sind Keine Session mit dem System und somit keine Verknüpfung von Aktionen möglich

23 Anonymität Erbringen eines Gruppennachweises Nicht entscheidbar wer aus dieser Gruppe eine Aktion durchführt

24 Anonymität Beide zuvorgenannten Konzepte sind Grundvoraussetzungen für Anonymität auf Datenebene Dann kann Pseudonymisierung sinnvoll eingesetzt werden Jedoch ist die anonyme Zugriffskontrolle eine Herausforderung System gewährt/verbietet Zurgriff auf Resourcen ohne zu wissen wer genau zugreift Hier gilt es praktikable Lösungen zu finden

25 Auswirkungen Benutzer müssen sich nicht länger auf pures Vertrauen verlassen Hoher Grad an Privatsphäre Anonymität und Funktionalität/Komfort sind jedoch konfligierende Ziele Kann man anonyme Systeme entwerfen, die auch ausreichend Funktionalität/ Komfort zur Verfügung stellen?

26 Wünschenswertes Einheitliche formale Definitionen von Sicherheitseigenschaften Erleichtert Vergleichbarkeit Beweisbare Sicherheit In der Kryptographie-Community ein Standard PETS-Community nimmt dies immer mehr an Ermöglicht klare Aussagen Privacy by Design & Privacy by Default

27 Ausblick Viele rein theoretische Konzepte sind erst im Kontext des Cloud Computings von praktischem Interesse Auch neue interessante Konzepte Rechnen auf verschlüsselten Daten (FHE) Derzeit betrachteten Modelle sind noch zu einfach Die Herausforderung ist jedoch voll funktionale anonyme Systeme praktikabel zu realisieren Dazu wird intensiv geforscht!

28 Danke für Ihre Aufmerksamkeit