IT-Sicherheit: Kränkelnde Systeme schaden den Patienten

IT-Sicherheit wird im Bereich der kritischen Infrastrukturen teilweise noch sehr stiefmütterlich behandelt. Besonders brisant ist das Thema im Gesundheitswesen. Denn eine fehlerhafte, angreifbare oder schlicht nicht zur Verfügung stehende IT-basierte Technologie kann hier schnell zu Personenschäden führen.

IT-Sicherheit im Gesundheitswesen tangiert vor allem zwei konkrete Bereiche: Zum einen betrifft sie die reinen Verwaltungsdaten, also Informationen über den Patienten und seine Krankheitsverläufe. Patientendaten geniessen, aufgrund der ärztlichen Schweigepflicht, gesetzlich noch höheren Schutz als die personenbezogenen Daten nach der DSGVO. Zum anderen gibt es die technologische Infrastruktur, die direkt am Patienten zum Einsatz kommt – seien es Herzschrittmacher, Beatmungsgeräte oder Geräte wie Ultraschall, EKG, Computertomographen und Röntgen. In der Diagnostik unterstützt sie den behandelnden Arzt, am Patienten hat sie lebenserhaltende Funktionen.

Drei konkreten IT-Schutzziele im Gesundheitswesen

Um IT-Sicherheit erreichen zu können, müssen drei Bereiche beachtet werden: Die Verfügbarkeit der Komponente muss gewährleistet, der Schutz von Daten und die Vertraulichkeit sowie die Datenintegrität müssen gegeben sein.

1. Verfügbarkeit der Komponente: Im Worstcase fällt eine technische Komponente oder ein Gerät aus. Wenn während einer OP das Röntgengerät versagt und der Chirurg die eingeführte Sonde im Patientenkörper nicht mehr findet, ist das ein Problem. Wichtig ist es deswegen, Massnahmen im Vorfeld zu definieren und einen Plan B in der Tasche zu haben: Wenn in der OP das Beatmungsgerät ausfällt, muss der Patient manuell beatmet werden (Beutel-Masken-Beatmung).
2. Schutz der Daten und Gewährleistung von Vertraulichkeit: Auf sensible Daten im Gesundheitswesen dürfen nur Berechtigte Zugriff haben. Um das zu erreichen, kann eine Massnahme darin bestehen, das EDV-System in den Kern der Verwaltung zu ziehen, so dass Besucher die Bildschirme nicht einsehen können. Ausserdem ist es wichtig, die Daten mit Kennwörtern zu schützen, um nur Autorisierten Zugang zu ermöglichen und die Daten verschlüsselt zu übertragen und idealerweise zu speichern.
3. Datenintegrität: Hier muss sichergestellt werden, dass die mit IT-Unterstützung gewonnenen Daten korrekt sind und ebenfalls richtig angezeigt werden. Im Labor beispielsweise werden die Teststrassen für die Analyse von Blutproben automatisch gesteuert. Auf den Ergebnissen der Blutwerte setzen Diagnosen und Therapien auf – sie müssen unbedingt korrekt sein. Um das sicherzustellen, besteht eine Möglichkeit darin, Proben testweise parallel in zwei Systemen gleichzeitig zu analysieren, um die Ergebnisse zu vergleichen. Eine Doppelbeprobung kann als Massnahme auf diese Weise Datenintegrität gewährleisten. Ein weiteres Beispiel für ihre Bedeutung: Datenblätter und Informationen müssen dem richtigen Patienten zugeordnet werden, so dass nicht eine falsche Gliedmasse amputiert wird oder falsche Medikamente verabreicht werden. Oder im Fall von portablen Geräten, die zum Beispiel über Sensoren auf der Haut den Blutzucker eines Diabetikers messen und auf deren Werten sich der Patient sein Insulin spritzt: Hier müssen die korrekten Daten richtig dargestellt werden.

Probleme in diesen drei Bereichen und damit die Ursache für Fehler liegen oft in den Abläufen. Diese müssen konkretisiert werden, um die Wahrscheinlichkeit eines Schadens zu minimieren oder seine Auswirkungen zu reduzieren.

Generell gilt: Damit IT-Sicherheit funktioniert, muss sie sowohl in der Herstellung als auch im späteren Betrieb eines Produkts berücksichtigt werden. Ein sicheres Produkt muss also zunächst entwickelt und hergestellt und dann auf eine sichere Art und Weise betrieben werden. Dafür sind grundlegende Funktionen und Spezifikationen genauso wichtig wie kompetentes Personal, das mit den Geräten arbeitet.

Ein grosses Problem ist oft das fehlende Know-how der IT. Diese wird in zahlreichen Unternehmen und Organisationen in erster Linie als Kostenfaktor gesehen und entsprechend knapp sind die Ressourcen, mit denen sie ausgestattet wird. Zudem ist der Bewertungsmassstab in der Regel nur, ob die IT funktioniert. Dabei behält man nicht im Blick, ob die eingesetzten Technologien eventuell Tür und Tor für den Missbrauch öffnen: Denn das, was möglich ist, darf nicht immer möglich sein. Etwa, wenn sich der gelangweilte 12-Jährige mit dem gebrochenen Bein ins Wlan hacken und Einsicht in die Chefarzt-Dokumente nehmen kann. Um das zu verhindern, muss die IT sicher betrieben werden und die Herstellervorgaben kennen und beachten.

Risikomanagementsystem mit bewusstem Sicherheitsniveau

Wegen der Gefahr für Leib und Leben ist das Risiko in der Medizin-IT höher als in anderen Branchen. Doch 100-prozentige Sicherheit gibt es nicht. Deswegen ist es wichtig, die IT gegen gängige Gefährdungen abzusichern. Denkbare Schadensszenarien sind zum Beispiel ein Stromausfall, ein Erdbeben, Feuer, Hochwasser oder ein Hackerangriff.

Um ein Risikomanagementsystem aufzubauen, müssen diese Bedrohungen definiert, bewertet und ihre Eintrittswahrscheinlichkeit festgestellt werden. Im Anschluss werden die Auswirkungen untersucht und evaluiert, so dass in der Folge beschlossen werden kann, welche Risiken gegebenenfalls akzeptiert und welche Massnahmen eingeleitet werden können, um sie zu minimieren. Auf diese Weise kann ein bewusstes Sicherheitsniveau definiert und mit den Massnahmen das angestrebte Level an IT-Sicherheit erreicht werden.

Fazit

Zentral bei dem Erlangen von IT-Sicherheit im Gesundheitswesen ist die Frage, gegen welche Bedrohungen man sich schützen will. Herrscht hier Klarheit, müssen in einer Risikoanalyse die Gefahren definiert, bewertet und mit entsprechenden Gegenmassnahmen gekontert werden. Ausserdem muss die IT mit dem Know-how ausgestattet sein und die technischen Erfordernisse kennen, um die Infrastruktur sicher zu betreiben.

Autor: Randolf-Heiko Skerka, Bereichsleiter IS-Management, SRC GmbH

Konferenz «Information Security in Healthcare» in Rotkreuz LU

Am Donnerstag, 12. August 2020 findet die Information Security in Healthcare Conference zum sechsten Mal statt. Die diesjährige Ausgabe widmet sich dem Thema «Prävention gegen die Erkrankung von Gesundheitsdaten». Der Anlass bietet Gelegenheit, mit anderen Fachpersonen in einen Wissensaustausch zum Thema Datensicherheit im Gesundheitswesen zu treten.

Zum ersten Mal findet die Konferenz im neuen Campus der Hochschule Luzern in Rotkreuz statt.

Infos: www.infosec-health.ch