Informationssicherheit im Gesundheitswesen Riskmanagement nach ISO von Ing. Franz Hoheiser-Pförtner, MSc / CISSP Ing. Franz Hoheiser-Pförtner,

Transkript

1 Informationssicherheit im Gesundheitswesen Riskmanagement nach ISO von Seite 1 / 21

2 Krise & Risiko zeichnen sich durch Ereignisketten aus Mensch Maschine Zustand Organisation Maßnahmen Ereignisketten führen zu hochdynamischen, komplexen Prozessen Seite 2 / 21

3 perfect ten 9 Seite 3 / 21

4 ManagerInnen in Führungspositionen müssen mit Krisen rechnen und darauf vorbereitet sein Seite 4 / 21

5 beim Management von Krisen ist es wichtig, dass die Führungskräfte sich nicht nur um technische Fragen kümmern, sondern auch genau auf Stimmungen bei MitarbeiterInnen KundInnen und Öffentlichkeit achten Seite 5 / 21

6 noch bevor eine Krise ausbricht, muss man die Personen des Teams für das Krisenmanagement auswählen und informieren Seite 6 / 21

7 in einer Krisensituation muss die Öffentlichkeit sofort und mit allen gesetzlich zur Verfügung stehenden Mitteln umfassend informiert werden Ausnahme: (kriminal)taktische Überlegungen Seite 7 / 21

8 für den Anlassfall sollte ein Krisenzentrum eingerichtet und dafür sorge getragen werden, dass das Krisenteam eine Strategie entwickeln, die nötigen Aktionen koordinieren und seine Botschaft an die Betroffenen vermitteln kann Seite 8 / 21

9 Kriseninterventionspläne sollten regelmäßig getestet und geübt werden Seite 9 / 21

10 Krisen warten nicht bis alles vorbildlich geregelt ist rasches handeln ist der wesentliche Faktor des Krisenmanagements Seite 10 / 21

11 zu jedem Krisenmanagement sollte zumindest ein Experte von außerhalb gehören Seite 11 / 21

12 wenn eine Krise ausbricht, darf man sich nicht von der Aufgabe ablenken lassen, das Kerngeschäft des Unternehmens wie gewöhnlich weiterzuführen Seite 12 / 21

13 besonders in Krisenzeiten müssen die Führungskräfte das Gefühl haben, dass die Position des Unternehmens richtig und moralisch vertretbar ist Seite 13 / 21

14 analytische Kompetenz ermöglicht auch in Extremsituationen die Entwicklung nutzbarer Handlungsalternativen Seite 14 / 21

15 soziale Kompetenz unlauteres Verhalten spaltet jedes konstruktive Miteinander Seite 15 / 21

16 physische Kompetenz nur wo Körper- und Geistestätigkeit in geordneter lebendiger Wechselwirkung stehen, ist wahres Leben Seite 16 / 21

17 Informationssicherheit ist technische und organisatorische Maßnahmen, Daten (aller Art) gegen Eingriffe und Schädigungen zu schützen, sodass ihre Verfügbarkeit Integrität Vertraulichkeit gewährleistet wird. Seite 17 / 21

18 Was könnten Sie tun? einige Weisheiten zum Thema: Zitat von Bruce Schneier: (ein Sicherheitspapst ) The only secure Computer is one that s turned off, locked in a safe, and buried 20 feet down in a secret location and I m not completely confident of that one either Fazit: ist sowieso nichts zu machen, also Augen zu und durch? Nein, halten wir uns lieber an Erich Kästner: An allem Unfug, der passiert, sind nicht etwa nur die Schuld, die ihn tun, sondern auch die, die ihn nicht verhindern! Fazit: wir sollten und wir können auch was tun, aber... Zitat von Joachim Ringelnatz: Sicher ist, dass nichts sicher ist. Selbst das ist nicht sicher. Fazit: Perfekte Sicherheit ist nicht erreichbar, das ist ja normal Seite 18 / 21

19 Was kann HEALIX für Sie tun (1/2) HEALIX ist der erste umfassende Schritt in Richtung Critical Information Infrastructure Protection CIIP im Gesundheits- & Sozialwesen HEALIX arbeit mit nationalen und internationalen Organisationen zum Schutz kritischer Informationsinfrastrukturen im Gesundheits- & Sozialwesen zusammen HEALIX unterstützt Sie bei der Umsetzung von IKTsicheren Nahtstelle im Gesundheits- & Sozialwesen HEALIX ist der E-HEALth IntereXchange der österreichischen Krankenanstalten Seite 19 / 21

20 Was kann HEALIX für Sie tun (2/2) HEALIX kann den Aufwand und die Kosten durch übergreifende IKT-Sicherheit für Sie minimieren Kooperationsmodell HEALIX ist ein Modell mit PartnerInnen, die schon heute analoge Aufgaben erledigen Dadurch ergeben sich für Sie: Einsparungen im Vergleich zum Alleingang Positive Auswirkungen durch Wissenstransfer Möglichkeiten zum raschen und effizienten Aufbau Seite 20 / 21

21 HEALIX - Aufbau HEALIX baut auf folgenden wesentlichen Ebenen Ihre Sicherheitsarchitektur auf: Ausfallsichere physikalische Ebene Ermöglicht eine Sicherheitssektorenbildung innerhalb des Netzwerkes Kombinierte technische und organisatorische Informationssicherheitsebene für eine frühzeitige Erkennung von kritischen Ereignissen die Kommunikationsebene, beruhend auf einem engen Netzwerk von VerantwortungsträgerInnen im IKT-Bereich zum Aufbau einer effizienten Meldekette HEALIX und CERT.AT arbeiten in dieser Meldekette zusammen Seite 21 / 21

22 CERT.AT Sensorik im HEALIX Seite 22 / 21

23 CERT.AT Sensorik im HEALIX Seite 23 / 21

24 Was hat der KAV für CIIP im Gesundheits- & Sozialwesen als Teilnehmer im HEALIX gemacht: managementorientiert COBIT ITIL DSG, GTelG, StGB,... SOX, KonTraG,... ISO / IT Grundschutz (BSI) Österr. IT-Sicherheitshandbuch CMMI Plan / planen Do / handeln Check / kontrollieren Act / verbessern COBIT = Control Objectives for Information and related Technology CMMI = Capability Maturity Model Integration ITIL = IT Infrastructure Library SOX = Sarbanes-Oxley Act Seite 24 / 21

25 Höchste Sicherheit für Gesundheitsdaten und Medizintechnik durch ISO Zertifizierung Ähnlich dem bekannten Standard für Qualitätssicherung ISO 9001 baut auch ISO für Informationssicherheit auf Risiko- und Prozessmanagement auf, mit dem Ziel, sämtliche Sicherheitsmaßnahmen in einem steuerbaren System abzubilden. Der ISO arbeitet nach: Plan-Do Do-Check-Act. Dadurch wird Informationssicherheit messbar und optimierbar. In der Praxis bedeutet es für unsere Patientinnen und Patienten, dass ihre Gesundheitsdaten vor Missbrauch geschützt und IKT-unterstützte Geräte hochverfügbar sind Seite 25 / 21

26 Danke für Ihre Aufmerksamkeit! Ing. Franz Hoheiser-Pf Pförtner, MSc / CISSP Seite 26 / 21