Aktuelle IT-Sicherheitsprobleme bei der internen und externen Vernetzung von Krankenhäusern. Klaus Pommerening. Mainz, 12.

Transkript

1 Aktuelle IT-Sicherheitsprobleme bei der internen und externen Vernetzung von Krankenhäusern Klaus Pommerening DICOM 2010 DICOM 2010 Mainz, 12. Juni 2010

2 Aktuelle Herausforderungen Einbindung von Medizingeräten ins Kliniknetz Wireless LAN: integrieren oder abschotten? Internetzugang von innen Informationsbeschaffung/Surfen und Skype, Teamviewer, WebDAV, Dropbox, UMTS-Modems Zugriff auf Mailbox von außen insbesondere vom Handy/ Smart-Phone Zugriffe von außen: Mitarbeiter, Fernwartung Tunneltechniken Sicherung von mobilen Endgeräten und Datenträgern 2

3 Problemstellung Die technischen Möglichkeiten der Vernetzung wachsen schneller, als man Sicherheitskonzepte dafür schreiben kann, von der Umsetzung gar nicht zu reden; bis die Umsetzung funktioniert, i t ist sie schon wieder veraltet. t Tragfähige, stabile Lösungen für die Sicherheitsproblematik werden gebraucht. Hoher Schutzbedarf für Patientendaten und Medizingeräte. Mittlerer Schutzbedarf für sonstige Unternehmensdaten. 3

4 Methode: Erfahrungsaustausch und Beratung Konsultationen mit einigen Unikliniken IT-Abteilungen, Netzgruppen, Datenschutzbeauftragte. Bestandsaufnahme: Sammlung von Problemen, technischen Lösungsansätzen und Lösungen, organisatorischen Regelungen, Musterdokumenten. Institut für Medizinische Biometrie, Beratung durch BSI und Landesdatenschutzbeauftragten (LfD). Bewertung von Lösungsansätzen und Lösungen. Identifikation von Restrisiken und ungelösten Problemen. 4

5 Beobachtungen Je enger Kooperation zwischen IT und Vorstand, desto effektiver die Sicherheitsmaßnahmen (und desto klarer aber auch strikter die Regelungen). Bei IT-ignorantem Vorstand hat die IT-Abteilung zu wenig Möglichkeiten, notwendige Restriktionen durchzusetzen. Wirksame Durchsetzung eines Datenschutz- und IT- Sicherheitskonzepts nur möglich, wo Dienstanweisungen/ Dienstvereinbarungen existieren mit definierten Sanktionen und definiertem Konflikt-Procedere. Anwenderschulung kommt mangels Ressourcen überall zu kurz. 5

6 Grundsätzliche Erkenntnisse Abtrennung eines hochsicheren klinischen Datennetzes vom allgemeinen Kliniknetz unumgänglich. Insbesondere bei Unikliniken Trennung des Kliniknetzes zwischen Krankenversorgung und FuL. Unterstützt durch Virtualisierungstechniken: Netz-, Server-, Desktop-Virtualisierung, Remote Controlled Applications. Bisherige Remote-Desktop-Techniken oft nützlich, aber limitiert. Best-Practice -Ansatz ti t beruht auf BSI-Grundschutz; auch Grundlage bei Rechtsgutachten und Datenschutzprüfung. Für LfD relevante Grundsätze: Erforderlichkeit und Angemessenheit. Manche Probleme sind auf der technischen Ebene überhaupt nicht lösbar. 6

7 Erstellung eines Sicherheitskonzepts Grundlage: Risikoanalyse. Dabei ist eine Risikoabschätzung nach Eintrittswahrscheinlichkeiten und Schadenshöhe nicht sinnvoll durchführbar mangels belastbarer Kennzahlen. Statt dessen Best-Practice-Richtlinien verfolgen: Was sagt das BSI? ( Grundschutzkataloge) t Wie macht es die Konkurrenz? Eine allgemeine Policy (Sicherheitsrichtlinie) vom Vorstand abgesegnet wird zwingend benötigt. Darauf aufbauend Grob- und Feinkonzept Aber nicht so fein, dass die Entwicklung inzwischen davonläuft. Umsetzungsplan mit Priorisierung. Achtung: Sicherheit ist kein Produkt, sondern ein Prozess. 7

8 Technische Lösungsansätze (exemplarisch) Klinisches Datennetz (als VLAN) innerhalb des allgemeinen Kliniknetzes abgekapselt, nur über virtuelle (oder remote) Desktops zugänglich. Keine spezielle Behandlung von Vorklinik und theoretischen Instituten notwendig, ebenso für Reise-Notebooks. Arbeitsplatzrechner im klinischen Datennetz möglich, aber unter Vollkontrolle durch IT-Abteilung. Remote Desktops noch mit technischen Restriktionen, z. B. für Befundungsqualität von Röntgenbildern. Weitere Abgrenzung spezieller Teilnetze durch VLAN- Technik: Patienten, Studenten, WLAN-Access-Points, Medizin-Geräte, klinische Studien, Netzaufteilung entspricht den Schutzklassen B und A nach EN80001 bzw. EN Schutzklasse C für Medizingeräte ohne Netzzugang (Fernwartung?). 8

9 Allgemeines Kliniknetz Klinisches Datennetz Virt. Desktop Internet et Virt. Desktop Terminalserver Dreischichtige Netzstruktur (hochsicher, sicher, unsicher) 9

10 Technische Lösungsansätze (Forts.) Internet-Zugang aus allgemeinem Kliniknetz kann relativ frei gewährt werden wenn klinisches Datennetz adäquat gekapselt. Mailzugang von außen über OMA/OWA mit ISA-Server (oder äquivalente Lösung) Kontrolle über Endgeräte durch IT-Abteilung, z. B. Remote Wipe. Auch Smart-Phones bedienbar. Cave: Patientendaten in Mail. Fernwartung bevorzugt über VPN-Tunnel. Nicht von allen Firmen akzeptiert. Medizin-Geräte trotz Isolierung in Subnetzen des klinischen Datennetzes weiterhin problematisch. 10

11 Subnetze des klinischen Datennetzes Institut für Medizinische Biometrie, RIS LIS zentrale Komponenten weitere Subnetze des allgemeinen Kliniknetzes Kompartmentierung des Kliniknetzes 11

12 Konkrete Lösungen (exemplarisch) (Forts.) Fernzugang für Mitarbeiter (z. B. Hintergrunddienst) über virtuellen/ remote Desktop. Geeignet: Portal (z. B. mit Juniper SA), Zugriffsschutz durch Tokens (statt nur Passwort). Für radiologische Befundung ggf. performante dedizierte Lösung. Mobile Datenträger im allgemeinen Kiniknetz frei nutzbar, auch USB-Sticks, die unterwegs waren. im klinischen Datennetz nicht zugelassen. Ausnahmen (z. B. Patienten-CD) nur über kontrollierte Lesestationen. Privatgeräte und -datenträger zur dienstlichen Nutzung nur nach Anmeldung/ bei Kontrolle durch zentrale IT. 12

13 Restrisiken (exemplarisch) Virtualisierung (insbesondere von Desktops und Subnetzen) vereinfacht vieles, bringt aber auch neue Komplexität (Wartbarkeit, Sicherheit). h it) Ständige Sicherheitslücken (auch in Sicherheitsprodukten ). Unakzeptables Nutzerverhalten: Illegale Brücken und Tunnel technisch kaum zu verhindern. Datenexporte über mobile Datenträger. Nutzung von mobilen Rechnern in fremden Netzen. Patientendaten in . Hierfür organisatorische Regelungen nötig: allgemeine Policy, Verfahrensvorschriften (SOPs) und Dienstanweisungen 13

14 Fazit Sicherheitskonzept sollte Best-Practice -Ansatz folgen. Basis: BSI-Grundschutz. Angemessenheit im Sine des Datenschutzes. Policies und Verpflichtungserklärungen mit Rückendeckung des Vorstands benötigt (im Rahmen des IT- Sicherheitskonzepts). h it t Sicherheitskonzept stärkt IT-Abteilung gegenüber Anwendern, Vorstand, Firmen. Bisher noch nicht technisch lösbare Probleme müssen im Auge behalten werden. Personelle und technische Ressourcen für die IT-Abteilung müssen definiert und angemessen bereit gestellt werden. 14