Risikomanagement in der Gesundheitsbranche IT-Systeme im Gesundheits­wesen dürfen nicht kränkeln

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

TXOne Networks

Gerade in Zeiten der Krise ist eine sichere IT in der Gesundheitsbranche unerlässlich. IT-gestützte Technologien und Geräte sichern und unterstützen zum einen lebenserhaltende Funktionen am Patienten und ermöglichen zum anderen eine präzise Diagnostik und damit die Therapie. Ausfälle der IT können im Gesund­heitswesen deswegen schnell schwere Folgen haben. Ein durchdachtes Risikomanagement ist aus diesem Grund angebracht.

Um Versorgungsengpässe, Störungen der öffentlichen Sicherheit oder andere schwerwiegende Folgen zu vermeiden, gibt es die KRITIS Verordnung zur Bestimmung Kritischer Infrastrukturen. Sie gilt für Unternehmen, Organisationen und Einrichtungen, die eine wesentliche Bedeutung für das Gemeinwohl haben und grundlegende Dienstleistungen für Gesellschaft und Gemeinwesen erbringen. Neben Branchen wie Energie, Ernährung und Finanzen gehören dazu natürlich auch Medizin und Gesundheitswesen. Die betroffenen Organisationen und Unternehmen müssen laut KRITIS ein Mindestsicherheitsniveau an IT-Sicherheit einhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden.

Doch trotz KRITIS-Verordnung wird die IT-Sicherheit wird in Deutschland im Vergleich etwa zu USA und Kanada noch stiefmütterlich behandelt. Besonders brisant wird das Thema im Gesundheitswesen. Denn eine fehlerhafte, angreifbare oder schlicht nicht zur Verfügung stehende IT-basierte Technologie kann hier schnell zu Personenschäden führen.

Security-Insider Podcast – Folge 11

Corona-Podcast mit Sicherheitsabstand

Zwei konkrete Bereiche tangiert die IT-Sicherheit im Gesundheitswesen direkt: Zum einen die reinen Verwaltungsdaten, also Informationen über den Patienten und seine Krankheitsverläufe. Patientendaten genießen, aufgrund der ärztlichen Schweigepflicht, gesetzlich noch höheren Schutz als die personenbezogenen Daten nach der DSGVO. Zum anderen gibt es die technologische Infrastruktur, die direkt am Patienten zum Einsatz kommt – seien es Herzschrittmacher, Beatmungsgeräte oder Geräte wie Ultraschall, EKG, Computertomographen und Röntgen. In der Diagnostik unterstützt sie den behandelnden Arzt, am Patienten hat sie lebenserhaltende Funktionen.

Verfügbarkeit, Datenschutz und Datenintegrität: Die drei Schutzziele der IT

IT-Sicherheit im Gesundheitswesen hängt von drei Bereichen ab: Die Verfügbarkeit der Komponente muss gewährleistet, der Schutz von Daten und die Vertraulichkeit sowie die Datenintegrität müssen gegeben sein.

• 1. Verfügbarkeit der Komponente: Wenn während einer OP das Röntgengerät versagt und der Chirurg die eingeführte Sonde im Patientenkörper nicht mehr findet, ist das ein Problem. Fallen eine technische Komponente oder ein Gerät aus, ist es wichtig, Maßnahmen im Vorfeld definiert und einen Plan B in der Tasche zu haben: Wenn in der OP das Beatmungsgerät ausfällt, muss der Patient manuell beatmet werden (Beutel-Masken-Beatmung).

• 2. Schutz der Daten und Gewährleistung von Vertraulichkeit: Nur Berechtigte dürfen auf sensible Daten im Gesundheitswesen Zugriff haben. Um das zu erreichen, kann eine Maßnahme darin bestehen, das EDV-System in den Kern der Verwaltung zu ziehen, so dass Besucher die Bildschirme nicht einsehen können. Außerdem ist es wichtig, die Daten mit Kennwörtern schützen, um nur Autorisierten Zugang zu ermöglichen und die Daten verschlüsselt zu übertragen und idealerweise zu speichern.

• 3. Datenintegrität: Hier muss sichergestellt werden, dass die mit IT-Unterstützung gewonnenen Daten korrekt sind und ebenfalls richtig angezeigt werden. Im Labor beispielsweise werden die Teststraßen für die Analyse von Blutproben automatisch gesteuert. Auf den Ergebnissen der Blutwerte setzen Diagnosen und Therapien auf – sie müssen unbedingt korrekt sein. Um das sicherzustellen, besteht eine Möglichkeit darin, Proben testweise parallel in zwei Systemen gleichzeitig zu analysieren, um die Ergebnisse zu vergleichen. Eine Doppelbeprobung kann als Maßnahme auf diese Weise Datenintegrität gewährleisten. Ein weiteres Beispiel für ihre Bedeutung: Datenblätter und Informationen müssen dem richtigen Patienten zugeordnet werden, so dass nicht eine falsche Gliedmaße amputiert wird oder falsche Medikamente verabreicht werden. Oder im Fall von portablen Geräten, die zum Beispiel über Sensoren auf der Haut den Blutzucker eines Diabetikers messen und auf deren Werten sich der Patient sein Insulin spritzt: Hier müssen die korrekten Daten richtig dargestellt werden.

Die Ursache für Fehler und Probleme in den oben genannten Bereichen liegen oft in den Abläufen. Diese müssen konkretisiert werden, um die Wahrscheinlichkeit eines Schadens zu minimieren oder seine Auswirkungen zu reduzieren.

Sicherheit vor Funktionalität im Lukaskrankenhaus

Netzwerksicherheit in Krankenhäusern

Damit IT-Sicherheit funktioniert, muss sie sowohl in der Herstellung als auch im späteren Betrieb eines Produkts berücksichtigt werden. Ein sicheres Produkt muss also zunächst entwickelt und hergestellt und dann auf eine sichere Art und Weise betrieben werden. Dafür sind grundlegende Funktionen und Spezifikationen genauso wichtig wie kompetentes Personal, das mit den Geräten arbeitet.

Ein großes Problem in der Gesundheitsbranche ist oft das fehlende Know-How der IT. Diese wird in zahlreichen Unternehmen und Organisationen in erster Linie als Kostenfaktor gesehen und entsprechend knapp sind die Ressourcen, mit denen sie ausgestattet wird. Zudem ist der Bewertungsmaßstab in der Regel nur, ob die IT funktioniert. Dabei behält man nicht im Blick, ob die eingesetzten Technologien eventuell Tür und Tor für den Missbrauch öffnen: Denn das, was möglich ist, darf nicht immer möglich sein. Etwa, wenn sich der gelangweilte 12-Jährige mit dem gebrochenen Bein ins WLAN hacken und Einsicht in die Chefarzt-Dokumente nehmen kann. Um das zu verhindern, muss die IT sicher betrieben werden und die Herstellervorgaben kennen und beachten.

Mit bewusstem Sicherheitsniveau gewünschtes IT-Sicherheitslevel erreichen

Das Risiko in der Medizin-IT ist wegen der Gefahr für Leib und Leben höher als in anderen Branchen. Auch wenn es keine 100-prozentige Sicherheit geben kann, ist es wichtig, die IT gegen gängige Gefährdungen abzusichern. Denkbare Schadensszenarien sind zum Beispiel ein Stromausfall, ein Erdbeben, Feuer, Hochwasser oder ein Hackerangriff.

Zentral ist dabei der Aufbau eines Risikomanagementsystems. Dafür müssen diese Bedrohungen definiert, bewertet und ihre Eintrittswahrscheinlichkeit festgestellt werden. Im Anschluss werden die Auswirkungen untersucht und evaluiert, so dass in der Folge beschlossen werden kann, welche Risiken ggf. akzeptiert und welche Maßnahmen eingeleitet werden können, um sie zu minimieren. Auf diese Weise kann ein bewusstes Sicherheitsniveau definiert und mit den Maßnahmen das angestrebte Level an IT-Sicherheit erreicht werden.

Fazit

Gegen welche Bedrohungen will man sich konkret schützen? Diese Frage ist zentral bei dem Erlangen von IT-Sicherheit im Gesundheitswesen. Herrscht hier Klarheit, müssen in einer Risikoanalyse die Gefahren definiert, bewertet und mit entsprechenden Gegenmaßnahmen gekontert werden. So kann das angestrebte Sicherheitsniveau erreicht werden. Voraussetzung dafür ist allerdings auch, dass die IT mit dem Know-How ausgestattet ist und die technischen Erfordernisse kennt, um die Infrastruktur sicher zu betreiben.

Über den Autor: Randolf-Heiko Skerka ist Bereichsleiter IS-Management bei der SRC GmbH.

(ID:46477091)