Datenschutz und Informationssicherheit in der Telematikinfrastruktur

Transkript

1 Datenschutz und Informationssicherheit in der Telematikinfrastruktur Holm Diening, Abteilungsleiter Datenschutz und Informationssicherheit gematik Gesellschaft für Telematikanwendungen der Gesundheitskarte mbh Friedrichstraße Berlin

2 Deutsches Gesundheitswesen Das deutsche Gesundheitswesen 82,2 Millionen Einwohner 86% (~70 Millionen) gesetzlich Versicherte 113 gesetzliche Krankenkassen Stationär tätige Ärzte Ambulant tätige Ärzte Zahnärzte Arztpraxen Zahnarztpraxen Psychologische Psychotherapeutenpraxen Krankenhäuser Apotheken Vorsorge- oder Rehaeinrichtungen Psych. Psychotherapeuten Elektronische Gesundheitskarte Sonstige Gesundheitsberufe 1,5 Millionen Apotheker

3 Projekte Online-Rollout Basis-Telematikinfrastruktur Stufe 1 Stufe 1 Stufe 1 Versichertenstammdatenmanagement (VSDM) Qualifizierte elektronische Signatur (QES) Kommunikation Leistungserbringer (KOM-LE) Stufe 2.2 Notfalldatenmanagement (NFDM) Gesundheitsdatendienste/elektronische Fallakte (GDD/EFA) emedikationsplan (emp)/ Arzneimitteltherapiesicherheit (AMTS) Anwendungen des Versicherten (AdV) epatientenakte (epa)/ epatientenfach (epf) Organspendeerklärung (OSE) 3

4 Sicherheitsmechanismen Mehrschichtige Sicherheitsmechanismen Zugriffe erfolgen über abgesicherte und durch die gematik und das BSI zertifizierte und zugelassene Produkte (Konnektor, Kartenterminals, Karten) Kommunikation erfolgt über abgesicherte Kanäle Client- und Serverauthentifizierung Zugriffe dürfen nur durch Personen erfolgen, die für die Art des Zugriffs zugelassen sind. Die Identifikation erfolgt über den HBA. Zugriffe dürfen nur nach Autorisierung durch den Versicherten erfolgen. Die Autorisierung erfolgt entweder durch die egk des Versicherten oder durch zuvor explizit vergebene Berechtigung. Die individuelle Verschlüsselung der Daten wird erst in der Umgebung der Leistungserbringer entfernt. Medizinische Daten Individuelle Verschlüsselung Datenbasierte Zugriffskontrolle Rollenbasierte Zugriffskontrolle Transportverschlüsselung Zertifizierte Produkte 4

5 Auftrag Einbindung von Geräten der Versicherten Bis zum 31. Dezember 2016 hat die Gesellschaft für Telematik zu prüfen, inwieweit mobile und stationäre Endgeräte der Versicherten zur Wahrnehmung ihrer Rechte, insbesondere der Zugriffsrechte gemäß 291a Absatz 4 Satz 2, und für die Kommunikation im Gesundheitswesen einbezogen werden können. Prüfbericht wurde im April veröffentlicht 5

6 Geräteklassen Geräteklassen 1. mobile Endgeräte mit mobilen Betriebssystemplattformen Smartphones Tablets eher untergeordnet: Smart-Watches 2. stationäre Endgeräte mit Desktop-Betriebssystemen PCs Notebooks eher untergeordnet: Smart-TVs Rahmenbedingungen: Diversität der Geräte der Versicherten Unterschiedliche Sicherheitseigenschaften Keine Geräte der TI, Verantwortung liegt beim Versicherten 6

7 Anwendungsfälle und Zugriffsrechte Anwendungsfall PIN ändern, PIN entsperren, PIN-Schutz für Anwendungen ein- oder ausschalten Gültigkeit der egk prüfen Zugriffsprotokoll lesen Daten einer Anwendung verbergen bzw. sichtbar machen Versichertenstammdaten der egk anzeigen Abgleich der Versichertenstammdaten Organspendeerklärung und Persönliche Erklärung anzeigen Organspendeerklärung und Persönliche Erklärung erstellen, aktualisieren, löschen Notfalldaten, elektronischen Medikationsplan oder elektronische Patientenakte anzeigen Daten im elektronischen Patientenfach anzeigen, bereitstellen, löschen Zugriff durch Versicherte?, mit Zweikartenprinzip, mit Zweikartenprinzip, mit Zweikartenprinzip mit Zweikartenprinzip, nur in der Leistungserbringerumgebung Authentisierung notwendig 7

8 Technische Lösung zum Zweikartenprinzip für Anwendungen des Versicherten Geräte der Versicherten mit AdV-App und Browser Internet AdV-Server SZZP Zentrales Netz der Telematik- Infrastruktur SZZP Fachdienst VSDM Kartenleser mit egk Kartenleser mit egk Institutskarte Hardware- (virtuell) Sicherheitsmodul SZZP: Sicherer Zentraler Zugangspunkt 8

9 WIR VERNETZEN DAS GESUNDHEITSWESEN. SICHER. Holm Diening, Abteilungsleiter Datenschutz und Informationssicherheit gematik Gesellschaft für Telematikanwendungen der Gesundheitskarte mbh Friedrichstraße Berlin Disclaimer: Diese Unterlage dient der Information des Empfängers. Das enthaltene Bildmaterial ist urheberrechtlich geschützt. Eine Nutzung dieser Unterlage inklusive des Bildmaterials zu anderen Zwecken ist daher nicht gestattet.