Das Gesundheitswesen muss ihre Daten und Informationen gezielt
Werbung
Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen Franz Hoheiser-Pförtner Chief Information Security Officer Certified Information Systems Security Professional (CISSP) März 2105 Datenschutz & Informationssicherheit betrifft einen Kernaspekt des modernen Lebens VERTRAUEN: in die strategische Infrastruktur, die wir benötigen in die Personen, die damit tagtäglich arbeiten in die E-Health Anwendungen, mit denen wir arbeiten Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 2 Wir befinden uns im 5. KondratjewZyklus in der Informationsrevolution Quelle: „Kondratieff Wave“ von Rursus - Eigenes Werk. Lizenziert unter CC BY-SA 3.0 über Wikimedia Commons - http://commons.wikimedia.org/wiki/ Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 3 ... ein paar grundsätzliche Überlegungen darüber hinaus! Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 5 technologische Unterstützung Veränderte Strukturen im Gesundheits- & Sozialwesen und die damit verbundenen integrierten Versorgungsmodelle, benötigen Informations- & Kommunikationstechnologie für die Umsetzung Der Fokus liegt dabei auf: patientenzentrierte & benutzerorientierte & prozessorientierte Versorgung Schlüsselfunktionen hierfür sind: vernetzen & kommunizieren & kooperieren über Organisationsgrenzen hinweg Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 6 integrierte Versorgung 1/2 Verzahnung der Gesundheitsdiensteanbieter Krankenhaus, Hausarzt, Labor, Radiologie, Mobile Krankenpflege, ... optimiertes Management entlang der Behandlungskette ELGA ist nur ein Schritt in diese Richtung Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 7 integrierte Versorgung 2/2 richtige Diagnose- & Therapieinformation zur richtigen Zeit am richtigen Ort Integration ist sektorübergreifend und schließt auch die behandelte Person mit ein „mobile Health“ oder „E-Health Apps“ und braucht Morgen! - Gestern, Heute & Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 8 integrierte Versorgung 1/2 richtige Diagnose- & Therapieinformation zur richtigen Zeit am richtigen Ort Integration ist sektorübergreifend und schließt auch die behandelte Person mit ein „mobile Health“ oder „E-Health Apps“ und braucht Morgen! - Gestern, Heute & Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 9 die Verwundbarkeiten 12.03.2008 Ein Herz für Hacker: Schrittmacher mit Funkschnittstelle Computerspezialisten der University of Washington und Massachusetts...waren mit einem Software Defined Radio in der Lage, mit dem Herzschrittmacher zu kommunizieren und beispielsweise Stromstöße über den Defibrillator abzugeben… Problem theoretischer Natur, weil der Abstand zwischen Sender und Empfänger noch sehr gering sein muss. http://www.heise.de/security/meldung/Ein-Herz-fuer-Hacker-Schrittmacher-mit-Funkschnittstelle-189714.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 10 die Verwundbarkeiten 12.03.2008 Ein Herz für Hacker: Schrittmacher mit Funkschnittstelle Computerspezialisten der University of Washington und Massachusetts...waren mit einem Software Defined Radio in der Lage, mit dem Herzschrittmacher zu kommunizieren und beispielsweise Stromstöße über den Defibrillator abzugeben… Problem theoretischer Natur, weil der Abstand zwischen Sender und Empfänger noch sehr gering sein muss. http://www.heise.de/security/meldung/Ein-Herz-fuer-Hacker-Schrittmacher-mit-Funkschnittstelle-189714.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 11 die Verwundbarkeiten 10.01.2009 Nach Virenattacke: Normalbetrieb großteils wieder hergestellt Verwendung von USB-Sticks in Kärntner Krankenanstalten vorerst untersagt... Rund eine Woche nachdem 3.000 Computer in der Kärntner Krankenanstalten Betriebsgesellschaft (Kabeg) aufgrund eines Virusbefalls vom Netz genommen werden mussten, ist der Normalbetrieb nun wieder angelaufen… http://ktnv1.orf.at/stories/334246 Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 12 die Verwundbarkeiten 10.01.2009 Nach Virenattacke: Normalbetrieb großteils wieder hergestellt Verwendung von USB-Sticks in Kärntner Krankenanstalten vorerst untersagt... Rund eine Woche nachdem 3.000 Computer in der Kärntner Krankenanstalten Betriebsgesellschaft (Kabeg) aufgrund eines Virusbefalls vom Netz genommen werden mussten, ist der Normalbetrieb nun wieder angelaufen… http://ktnv1.orf.at/stories/334246 Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 13 die Verwundbarkeiten 09.08.2011 Sogar Insulin-Pumpen werden gehackt Ein an Diabetes erkrankter IT-Experte hat Schwachstellen bei Insulin-Pumpen aufgedeckt. Nicht einmal der menschliche Blutkreislauf ist vor Hackern sicher... ”Nichts ist sicher vor Hackern: Wie der ITSicherheitsexperte Jay Radcliffe, der selbst Diabetiker ist, auf einer Konferenz in Las Vegas erklärte, hat er einige Schwachstellen gefunden, die es einem Angreifer ermöglichen würden, Insulin-Pumpen und die auf den Bildschirmen sichtbaren Blutzuckerwerte zu manipulieren..." http://www.welt.de/gesundheit/article13535259/Sogar-Insulin-Pumpen-werden-gehackt.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 14 die Verwundbarkeiten 09.08.2011 Sogar Insulin-Pumpen werden gehackt Ein an Diabetes erkrankter IT-Experte hat Schwachstellen bei Insulin-Pumpen aufgedeckt. Nicht einmal der menschliche Blutkreislauf ist vor Hackern sicher... ”Nichts ist sicher vor Hackern: Wie der ITSicherheitsexperte Jay Radcliffe, der selbst Diabetiker ist, auf einer Konferenz in Las Vegas erklärte, hat er einige Schwachstellen gefunden, die es einem Angreifer ermöglichen würden, Insulin-Pumpen und die auf den Bildschirmen sichtbaren Blutzuckerwerte zu manipulieren..." http://www.welt.de/gesundheit/article13535259/Sogar-Insulin-Pumpen-werden-gehackt.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 15 die Verwundbarkeiten 09.08.2011 Sogar Insulin-Pumpen werden gehackt Ein an Diabetes erkrankter IT-Experte hat Schwachstellen bei Insulin-Pumpen aufgedeckt. Nicht einmal der menschliche Blutkreislauf ist vor Hackern sicher... IT-Sicherheitsexperte Jay Radcliffe ”Nichts ist sicher vor Hackern: Wie der ITkonnte die Sicherheitsexperte Jay Radcliffe, der selbst Übertragung Daten manipulieren Diabetiker ist, auf einerder Konferenz in Las Vegas erklärte, hat er einige Schwachstellen gefunden, die es einem Angreifer ermöglichen würden, Insulin-Pumpen und die auf den Bildschirmen sichtbaren Blutzuckerwerte zu manipulieren..." http://www.welt.de/gesundheit/article13535259/Sogar-Insulin-Pumpen-werden-gehackt.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 16 die Verwundbarkeiten 09.08.2011 SogarIT-Sicherheitsexperte Insulin-Pumpen werden Jay gehackt Radcliffe konnte die Ein an Diabetes erkrankter IT-Experte hat Schwachstellen bei Insulin-Pumpen aufgedeckt. Nicht einmal der Anzeige der Daten manipulieren menschliche Blutkreislauf ist vor Hackern sicher... ”Nichts ist sicher vor Hackern: Wie der ITSicherheitsexperte Jay Radcliffe, der selbst Diabetiker ist, auf einer Konferenz in Las Vegas erklärte, hat er einige Schwachstellen gefunden, die es einem Angreifer ermöglichen würden, Insulin-Pumpen und die auf den Bildschirmen sichtbaren Blutzuckerwerte zu manipulieren..." http://www.welt.de/gesundheit/article13535259/Sogar-Insulin-Pumpen-werden-gehackt.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 17 die Verwundbarkeiten 09.08.2011 Sogar Insulin-Pumpen werden gehackt Ein an Diabetes erkrankter IT-Experte hat Schwachstellen IT-Sicherheitsexperte Jay Radcliffe bei Insulin-Pumpen aufgedeckt. Nicht einmal der die sicher... menschliche Blutkreislauf istkonnte vor Hackern Abgabemenge manipulieren ”Nichts ist sicher vor Hackern: Wie der ITSicherheitsexperte Jay Radcliffe, der selbst Diabetiker ist, auf einer Konferenz in Las Vegas erklärte, hat er einige Schwachstellen gefunden, die es einem Angreifer ermöglichen würden, Insulin-Pumpen und die auf den Bildschirmen sichtbaren Blutzuckerwerte zu manipulieren..." http://www.welt.de/gesundheit/article13535259/Sogar-Insulin-Pumpen-werden-gehackt.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 18 die Verwundbarkeiten 15.10.2012 Patienten „knackten“ Schmerzpumpen: Überdosen verabreicht aber es geht noch einfacher Codes waren im Internet abrufbar - Konsequenzen in mehreren österreichischen Spitälern Zwei im April 2011 bei Kämpfen in ihrer Heimat schwer verletzte Libyer haben im Linzer Allgemeinen Krankenhaus (AKH) die Codes für Schmerzpumpen geknackt... http://derstandard.at/1350258361752/Patienten-knackten-Schmerzpumpen-Ueberdosen-verabreicht Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 19 die Verwundbarkeiten 15.10.2012 Patienten „knackten“ Schmerzpumpen: Überdosen verabreicht Zwei im April 2011 bei Kämpfen in ihrer Heimat schwer verletzte Libyer haben im Linzer Allgemeinen Krankenhaus (AKH) die Codes für Schmerzpumpen geknackt... http://derstandard.at/1350258361752/Patienten-knackten-Schmerzpumpen-Ueberdosen-verabreicht Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 20 die Verwundbarkeiten 15.10.2012 Patienten „knackten“ Schmerzpumpen: Überdosen verabreicht Zwei im April 2011 bei Kämpfen in ihrer Heimat schwer verletzte Libyer haben im Linzer Allgemeinen Krankenhaus (AKH) die Codes für Schmerzpumpen geknackt... Standard & Standard Passwortin Codes waren imBenutzer Internet abrufbar - Konsequenzen mehreren österreichischen Spitälern nicht geändert http://derstandard.at/1350258361752/Patienten-knackten-Schmerzpumpen-Ueberdosen-verabreicht Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 21 die Verwundbarkeiten 15.10.2012 Patienten „knackten“ Schmerzpumpen: Überdosen verabreicht Zwei im April 2011 bei Kämpfen in ihrer Heimat schwer verletzte Libyer haben im Linzer Allgemeinen Krankenhaus (AKH) die Codes für Schmerzpumpen geknackt... Codes waren im Internet abrufbar - Konsequenzen in mehreren österreichischen Spitälern http://derstandard.at/1350258361752/Patienten-knackten-Schmerzpumpen-Ueberdosen-verabreicht Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 22 weitere Ergebnisse dieses Strukturwandels im CYPERSPACE weitere Ergebnise dieses Strukturwandels im CYPERSPACE weitere Ergebnise dieses Strukturwandels im CYPERSPACE weitere Ergebnise dieses Strukturwandels im CYPERSPACE beindruckende Zahlen und extrem Komplex aber nichts im Vergleich zu dem was auf uns zu kommt ... Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 28 The Internet of Things Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 29 Grundlegende Trends dieser Entwicklung Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 30 Zukunftstrend: Das selbstfahrende Auto Zahlreiche namhafte Hersteller wie etwa Nissan, Volvo, Daimler kündigen für 2020 – Selbstfahrende Auto´s an = in 5 Jahren! Googles „driverless car“ ein Lexus RX450h fährt heute schon ohne Fahrer dafür mit jeder Menge Technik ... Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 31 Traffic Management V2V = vehicle to vehicle V2I = vehicle to infrastructure V2X = V2V + V2I Das Ergebnis ist ein präzises Bild über die Verkehrslage. So präzise, dass sich Fahrzeuge vollkommen autonom durch den Verkehr bewegen können. Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 32 Direkter Zugriff auf‘s Fahrzeug: Chip-Tuning der etwas anderen Art Charlie Miller und Chris Valasek fanden heraus, was für Gefahren durch Fahrzeug-Hacker drohen: VOLLE BREMSFUNKTION übernommen, GURTSTRAFFER übernommen, LENKRAD übernommen, ... Weitere Infnormationen unter http://blog.ioactive.com/2013/08/car-hacking-content.html Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 33 Die Sicht der Insassen http://www.youtube.com/watch?v=dk3oc1Hr62g Die erweiterte Realität des Systems http://www.youtube.com/watch?v=dk3oc1Hr62g Smart Home / Personal Area Network Wir fassen zusammen Steigende Zahl, Komplexität und Intelligenz von Angriffen diginotar drive by infection XSS autonomous bot networks MPACK DNS spoofing Hoch rootkit/stealth malware denial of service packet manipulation sniffer backdoors trojan malware stuxnet SQL inj. fast flux mobile threat platform independent malware longrider attacks bot nets worms exploiting macro virus polymorphism file infector Construction Kits self replicating code Niedrig 1980 1985 1990 1995 2000 2005 2008 2013 Wir fassen zusammen Steigende Zahl, Komplexität und Intelligenz von Angriffen Dunkelziffer: Anzahl der nicht bekannten Attacken/Malware diginotar drive by infection XSS autonomous bot networks MPACK DNS spoofing Hoch rootkit/stealth malware denial of service packet manipulation sniffer backdoors trojan malware stuxnet SQL inj. fast flux mobile threat platform independent malware longrider attacks bot nets worms exploiting macro virus polymorphism file infector Construction Kits self replicating code Niedrig 1980 1985 1990 1995 2000 2005 2008 2013 Wir fassen zusammen Steigende Zahl, Komplexität und Intelligenz von Angriffen Dunkelziffer: Anzahl der nicht bekannten Attacken/Malware diginotar drive by infection Steigender Grad der Vernetzung, technologische Entwicklung XSS MPACK autonomous bot networks DNS spoofing Hoch rootkit/stealth malware denial of service packet manipulation sniffer backdoors trojan malware stuxnet SQL inj. fast flux mobile threat platform independent malware longrider attacks bot nets worms Progressive Integration von IP-basierten Systemen exploiting macro virus • • • • polymorphism file infector IP to Home IP to Mobility IP to Industry IP to anything/everybody Construction Kits self replicating code Niedrig 1980 1985 1990 1995 2000 2005 2008 2013 Wir fassen zusammen Steigende Zahl, Komplexität und Intelligenz von Angriffen Dunkelziffer: Anzahl der nicht bekannten Attacken/Malware diginotar drive by infection Steigender Grad der Vernetzung, technologische Entwicklung XSS Sinkendes Verständnis für ………….. MPACK autonomous bot networks DNS spoofing Hoch Abnehmendes Bewusstsein/ Systemverständis rootkit/stealth malware denial of service packet manipulation sniffer backdoors trojan malware stuxnet SQL inj. fast flux mobile threat platform independent malware longrider attacks bot nets worms Progressive Integration von IP-basierten Systemen exploiting macro virus • • • • polymorphism file infector IP to Home IP to Mobility IP to Industry IP to anything/everybody Construction Kits self replicating code Niedrig 1980 1985 1990 1995 2000 2005 2008 2013 Wir fassen zusammen Steigende Zahl, Komplexität und Intelligenz von Angriffen Compliance Management durch ein Informationssicherheitsmanagement-System Security-Software Patches, ... Sinkendes Verständnis für ………….. Hoch Security Policy Security Design Abnehmendes Bewusstsein/ Systemverständis Zusätzliche Treiber Awareness Schulungen Niedrig 1980 1985 1990 1995 2000 2005 2008 2013 Gefahren bei sorglosem Umgang Verfügbarkeitsverlust Vertrauensverlust Reputationsverlust wirtschaftlicher Schaden Zeitaufwand Verurteilung gilt auch bei nicht elektronisch gespeicherten Daten bzw. Informationen Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 42 Datenschutz & Informationssicherheit sind ohne Zweifel ein zentrales Thema 1. muss abgewogen werden zwischen dem, was schon erreicht wurde, und dem was noch zu tun ist 2. es gibt durch das breite Aufgabenspektrum eine große Berührungsfläche, bei der der gute Wille aller Akteure maßgeblich für den Erfolg verantwortlich ist 3. Fragen der Informationssicherheit sind nicht immer technische getrieben 4. Informationssicherheit ist prozessorientiert und auf eine kontinuierliche Verbesserung ausgerichtet Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 43 Conclusio Es braucht das drigende Bewusstsein, dass mit diesen enormen CHANCEN auch enorme RISIKEN verbunden sind Dafür brauchen wir IHR Interesse! Dafür brauchen wir IHRE Mitarbeit! Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 44 Ein Statement für Datenschutz und Informationssicherheit “Die Sicherheitsanforderungen, die wir uns bei Anwendungen für E-Health & Infrastruktur auferlegen beruhen einerseits auf unserem hohen Verantwortungsempfinden und auf der Tatsache, dass wir täglich für Leib und Leben von vielen Menschen mitverantwortlich sind und anderseits auf verbindlichen Rechtsvorschriften zur Informationssicherheit bzw. im Umgang mit sensiblen und damit besonders schützenswerten Daten“ Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 45 Danke für Ihr Interesse! Ing. Franz Hoheiser-Pförtner, MSc Chief Information Security Officer e-mail: [email protected] e-mail: [email protected] Tel: 01/40409 – 66017 VB Präventions- und Sicherheitsmanagement 1220 Wien, Stadlauer Straße 54 E-Mail: [email protected] www.wienkav.at Copyright © 2014 Das Gesundheitswesen muss ihre Daten und Informationen gezielt schützen März 2105 Folie 46
