Miteinander von MT und IT mit Portfolio
Werbung
Miteinander von MT und IT mit Portfolio- und Securitymanagement Jochen Kaiser Servicecenter IT, Klinikum Stuttgart* [email protected] * Bis 31.3.2017 Schnittstellen zwischen MT und IT - Typische Szenen einer Zusammenarbeit • Integration ins Netzwerk: • „brauchen eine Dose“ bzw. „brauchen eine IP-Adresse“) „ist da denn überhaupt eine Dose?“ • „brauchen einen Switchport“ „in welchem VLAN braucht ihr den? Brauchts 100/1000?“ • „kann das jemand schalten?“ „was braucht ihr?“ – „hab ich doch in der Mail vom x.y.z geschrieben“ – „Ticketnummer?“ – „wie Ticket?“ – „wir haben seit 10 Jahren ein Ticketsystem, da steht alles drin, ihr doch auch“ Schnittstellen zwischen MT und IT - Typische Szenen einer Zusammenarbeit Integration ins Netzwerk: • „wir brauchen nur ein Filesystemzugriff“ – „moment, das ist genau das Schlimme, die meisten Angriffe über diese Ports, warum keine Integration über HL7, DICOM oder IHE …“ – „das ist zu teuer, kostet genauso viel wie das Gerät“ • „euer Netz geht nicht“ „habt ihr den Anschluss geprüft? Bei uns sieht‘s gut aus.“ – „ne bei uns endet es mit der DOSE, alles andere geht uns nix an“ • „Wir brauchen das gleiche Netzwerk wie im andern Gebäude“ „geht nicht, das macht unsere L3-Strategie kaputt“ • „brauchen dringend Freischaltung für den Support“ „habt ihr denn eine Fernwartungsvereinbarung getroffen?“ • „Wir brauchen das Gerät an mehreren Standorten mit der selben Adresse.“ „Seufz! Haben wir noch nicht /“ Medizintechnik und IT – unterschiedliche Welten (* 2005) Zusammenschaltung von Systemen unterschiedlicher Welten: • regulierter Markt trifft auf unregulierten IT-Markt Æ Regeln treffen auf Best Practice (bzw. good practice) Æ gesetzliche Vorschriften treffen auf Optimierung Æ statische Welt trifft auf eine dynamische Welt Æ closed World trifft auf open World Æ Herstellung/Betrieb trifft auf Kommunikation Æ Hersteller treffen auf Krankenhäuser Æ ISO trifft auf RFC Æ Ingenieur trifft auf Informatiker Folie von 2005 Æ „mt“ trifft auf „Computerbild“, „Chip“ und „PC-Welt“ Æ Medizinprodukte treffen auf IT-Sicherheit und Datenschutz Priorität früher: Zusammenarbeit Medizintechnik und IT These: Zusammenlegen, alles andere klappt von selbst. Heute: eigene Prioritäten der Bereiche. Prioritäten IT und Prioritäten MT Prioritäten IT • Elektronische Akte • Vollständige Dokumentation • Mobilität der Daten • Prozessunterstützung • Service • Effiziente Dienstleistung • Strategiediskussion mit Geschäftsführung: Æ Ausrichtung des Hauses Prioritäten MT • [Betriebsoptimierung] • Projekte mit IT (strukturierter Umgang) • ... • Investive Zuständigkeit erlangen • Sicherheit der Medizingeräte Medizintechnik und IT (verschiedene Foren des Miteinanders) • Abteilung MT als Teil der Gesamt-IT • • • • • • • • • oftmals nur rein organisatorischer Zusammenschluss (Übernahme) Oft keine räumliche Nähe zwischen IT und MT Oft kaum gegenseitige Annäherung/Ausbildung nur wenige Mitarbeiter profitieren von der Nähe der/zur IT Akzeptanzprobleme seitens der IT-Mitarbeiter („die haben doch keine Ahnung von IT, aber wollen Admin-Rechte haben“, „immer Sonderlösungen, die verstehen nicht, dass wir hier auch noch andere Aufgaben haben“), Ausgrenzung / Auftreten und Art der „Realisierung“ von IT von MT-Herstellern „Das ist so“ (= Zertifizierter, eingefrorener Zustand des Medizingeräts) Oftmals keine Lösung der techn. Schnittstellenproblematik Nicht überall hat MT die Budgetverantwortung für Beschaffungen keine Serviceprozesse definiert, sondern nur „org. Schnittstellen“ Organisationsformen Medizintechnik/IT • Integration der MT in die IT-Abteilung • MT wird Teil der IT-Abteilung Î reicht nicht aus, Zusammenarbeit entwickelt sich nicht von alleine muss zusätzlich dazu weitere Zusammenarbeit ausweisen: • Nebeneinander klassisch • Keine Schnittstellen, Kooperation über Aufträge Î Zusammenarbeit über persönliche Kontakte, Networking • Nebeneinander mittels Schnittstellen • Klare Ansprechpartner, kooperative Zusammenarbeit Î Zusammenarbeit durch regelmäßige Meetings (aber einzelne Aufgaben zu komplex) • Nebeneinander mittels Service-Portfolio • Klar definierte Dienstleistungen und Vorgaben Î Zusammenarbeit mit Überholspur durch Standards Lösung: Definition eines professionellen Miteinanders Rolle: Dienstleister, Standardisierer Rolle: professioneller Partner Definition standardisierter Vorgaben Anforderung von Dienstleistungen Abteilung Medizintechnik Abteilung IT Definition standardisierter Sicherheitsvorgaben Lösung Standardisierung, Vorgaben Planungsprozesse - Netzwerkanschluss IP-Adresse Neues Netzwerk Übergreifende Netze […] IT-Sicherheit - Betriebssystemupdates Virenschutz Windows-Richtlinien Datenschutz Segmentierung (Netze) Ausfallkonzepte […] Ausnahmen … Integration - Datenhaltung - Auftragskommunikation - Unterstützung Risikomanagement - Alarmkonzept - Mobilität - […] Lösung Standardisierung, oftmals eher so Planungsprozesse - Netzwerkanschluss IP-Adresse IP-A Adresse Neues Netzwerk Übergreifende Netze […] IT-Sicherheit - Betriebssystemupdates Virenschutz Virenschutz Windows-Richtlinien Datenschutz Segmentierung (Netze) Ausfallkonzepte AussfaaAusnahmen llkonzept…e […] Integration - Datenhaltung - A Auftragsuftragskommunikation - Unterstützung Risikomanagement - Alarmkonzept - Mobilität - […] Lösung Standardisierung, Vorgaben Planungsprozesse - Netzwerkanschluss IP-Adresse Neues Netzwerk Übergreifende Netze […] IT-Sicherheit - Betriebssystemupdates Virenschutz Windows-Richtlinien Datenschutz Segmentierung (Netze) Ausfallkonzepte […] Ausnahmen … Integration - Datenhaltung - Auftragskommunikation - Unterstützung Risikomanagement - Alarmkonzept - Mobilität - […] Ideal: Planung individuell ProzessÜberholspur Standards Klare Prozesse, Schnelle Abarbeitung, Schnittstellen zum nächsten Schritt Planung Planung Planung Integration individuell Integration Integration Standards Integration Zeitaufwand Netzwerk individuell Netzwerk Netzwerk Netzwerk Klare Prozesse, Schnelle Abarbeitung, Schnittstellen zum nächsten Schritt Standards Klare Prozesse, Schnelle Abarbeitung, Schnittstellen zum nächsten Schritt Planungsprozesse (Auswahl) • Auswahlprozess eines neuen Medizingeräts • Beschaffung eines neues Medizingeräts (MT beachtet die Vorgaben (Security, Netzwerk, Integration) seitens IT) • Ausstattung mit WLAN für ein Medizingerät an Standort X • Neuverlegung eines Netzanschlusses an Standort X für Medizingerät • Absicherung eines unsicheren (un-secure) Medizingeräts • Planung: mobiles Medizingerät an mehreren Netzwerkstandorten • Planung Netzanschluss (gesichert, ungesichert) • Planung eines Alarmsystems (oder nur Messaging?) • Vorbereitung Wartungszugang (inkl. Datenschutz) • Anschluss des Medizingeräts an die Strukturen für die Auftragsdaten • Integration des Medizingeräts in die KIS- und Archivstrukturen (Schnittstelle) Serviceprozesse (Auswahl) • • • • • • • • • • • Anschluss an bestehendes WLAN für ein Medizingerät Netzanschluss für ein Medizingerät, gesichert (mit Firewall) Netzanschluss für ein Medizingerät, ungesichert (direkt) Erstellung eines neuen medizinischen VLANs Einrichtung Wartungszugang mit Absicherung (Datenschutzkonform) Störungsbehebung (Analyse Netzanschluss, Analyse Kommunikation) Kurzfristige Störungsbehebung Erweiterung eines Medizingerättyps um weitere Einheiten Wartung durch Wartungsfirma Bereitstellen von Wartungslaptops für Dienstleister Integration in eine Überwachung (Netzwerk) Verbesserung der Serviceprozesse durch „Enabling“ Enabling Breite Ausgabe nicht nur an Netzwerkadmins, sondern auch an Fachleute (MT und IT) Basis-Messaufgaben mit Gerät und Smartphone Integrationsprozesse (Auswahl) • Integration in die Schnittstellen Medizin-IT • Einrichtung einer Schnittstelle zur Auftragskommunikation • Einrichtung einer Schnittstelle zur Speicherung/Weiterverarbeitung diagnostischer Ergebnisse • Integration in ein Alarmierungskonzept • Schaffung eines medizinischen VLANs • Unterstützung beim Risikomanagement bei der Integration oder Zusammenschaltung eines Medizinproduktesystems Lösung Standardisierung, Vorgaben Planungsprozesse - Netzwerkanschluss IP-Adresse Neues Netzwerk Übergreifende Netze […] IT-Sicherheit - Betriebssystemupdates Virenschutz Windows-Richtlinien Datenschutz Segmentierung (Netze) Ausfallkonzepte […] Ausnahmen … Integration - Datenhaltung - Auftragskommunikation - Unterstützung Risikomanagement - Alarmkonzept - Mobilität - […] Weitere Prozesse für Krankenhäuser Î Dazu mehr im Teil 2 IT-Sicherheitsstandards für die MT • Rahmenbedingungen: • Vermehrter Befall mit Schadsoftware, teilweise Panik seitens IT • Erhöhte Anforderungen durch KRITIS • Aktualisierungen werden öfter verlangt und angeboten • Umsetzung von Richtlinien (Compliance) wird gefordert • Anteil der EPA bzw. MEPA steigt (= med. Daten auf Mobilgerät in der Klinik) (weil Daten dem MDK zur Kontrolle früher bereitstehen müssen; weil Dichte der Dokumentation erhöht wird) • Konsequenzen: • IT-Sicherheit bei der Beschaffung muss erhöht werden • Prüfbarkeit und Servicefähigkeit • Standardisierung auf Service und Security ausweiten Fazit: notwendige Changes/ erste Schritte • Anwender und GF mitnehmen (Prioritäten klären) • Änderung der Rolle der beschafften Medizingeräte: • Nicht mehr die Exzellenz in der Diagnostik steht im Vordergrund, sondern die Gesamtmischung aus Diagnostik, Service, Integration und Schnittstellenkosten/-qualität • GF muss sensibilisiert werden für folgende Problematik: • Elektronische Patientenakte (EPA), Mobile elektronische Patientenakte (MEPA) • Archivierung • Sicherer Betrieb der IT-Infrastruktur und Informationssicherheit • Kostensenkung durch Standardisierung • Beschreibung des Serviceportfolios • Erweiterung um die Spezifika für die Medizintechnik IT-Sicherheitsgesetz BSIG – BSI-Gesetz Gesetz für das Bundesamt für Informationssicherheit Risiken…. x Ein netzweiter Befall mit Schadsoftwarebefall führt zu starken betriebsverhindernden Zuständen. x Fehler von Dienstleistern im Netzwerkbereich führt zu Schleifen und Ausfall des gesamten Netzwerks. x Eine Infektion von Installationspaketen führt zu einer weitgehenden Durchsetzung vieler Systeme mit Schadsoftware. Die Klinik-EDV wäre in diesem Fall nicht mehr betreibbar. x Angriffe auf kritische EDV-Serversysteme, die unzureichend geschützt sind, führen zu einer Fernkontrolle dieser EDV-Serversysteme. x Private Systeme, die unerlaubt im Kliniknetz betrieben oder mit ihm verbunden werden sorgen für eine Infektion. ….noch mehr Risiken.. x Mitarbeitern der IT-Abteilung fehlt die Zeit/die Qualifikation um die große Zahl an komplexen Systeme sicher zu betreiben. x Fehler im Telefonsystem / im Netzwerk führt zu einem Ausfall der Telekommunikation. x Unübersichtliche Schnittstellen zu Dienstleistern führen zu Betriebsstörungen. x EDV-Service reagiert bei einem Vorfall zu langsam, Krisenmanagement nicht geübt. Schädling kann sich ungehindert ausbreiten. x Elementarereignisse im Rechenzentrum (Wasser, Feuer, Erdbeben). … und weitere. x Gefährdung der Gesundheit/des Lebens durch die Infektion kritischer Systeme der Medizintechnik (z.B. Überwachungssysteme) oder der Betriebstechnik mit Schadsoftware. x Gefährdung der Gesundheit/Lebens durch Ausfall wichtiger Bereiche im Netzwerk. x Mitarbeiter/IT-Administratoren können durch falsche Vergabe von Rechten auf vertrauliche oder geheime Daten in EDV-Systemen zugreifen. x Dolose Handlungen im SAP durch Einspielen von unkontrollierten Programmen durch Mitarbeiter oder externe Berater. x Infektion von Client-Systemen mit Schadsoftware führt zu einer unbefugten Offenbarung kritischer Informationen, die sich auf einem Arbeitsplatz-PC befinden. … und weitere. x Gefährdung der Gesundheit/des Lebens durch die Infektion kritischer Systeme der Medizintechnik (z.B. Überwachungssysteme) oder der Betriebstechnik mit Schadsoftware. x Gefährdung der Gesundheit/Lebens durch Ausfall wichtiger Bereiche im Netzwerk. x Mitarbeiter/IT-Administratoren können durch falsche Vergabe von Rechten auf vertrauliche oder geheime Daten in EDV-Systemen zugreifen. x Dolose Handlungen im SAP durch Einspielen von unkontrollierten Programmen durch Mitarbeiter oder externe Berater. x Infektion von Client-Systemen mit Schadsoftware führt zu einer unbefugten Offenbarung kritischer Informationen, die sich auf einem Arbeitsplatz-PC befinden. Eigentlich nicht im Fokus des IT-Sicherheitsgesetzes! Warum fallen diese Risiken unter das IT-Sicherheitsgesetz? x Ein netzweiter Befall mit Schadsoftwarebefall führt zu starken betriebsverhindernden Zuständen. x Fehler von Dienstleistern im Netzwerkbereich führt zu Schleifen und Ausfall des gesamten Netzwerks. x Eine Infektion von Installationspaketen führt zu einer weitgehenden Durchsetzung vieler Systeme mit Schadsoftware. Die Klinik-EDV wäre in diesem Fall nicht mehr betreibbar. x Angriffe auf kritische EDV-Serversysteme, die unzureichend geschützt sind, führen zu einer Fernkontrolle dieser EDV-Serversysteme. x Private Systeme, die unerlaubt im Kliniknetz betrieben oder mit ihm verbunden werden sorgen für eine Infektion. … da die kritische Dienstleistung gefährdet ist… BSIG - §1 (10) Kritische Infrastrukturen im Sinne dieses Gesetzes sind Einrichtungen, Anlagen oder Teile davon, die 1. den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen angehören und 2. von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden. Die Kritischen Infrastrukturen im Sinne dieses Gesetzes werden durch die Rechtsverordnung nach § 10 Absatz 1 näher bestimmt. IT-Sicherheitsgesetz - Sektoren und Branchen Wasser ITSicherheitsgesetz Ernährung definiert den gesetzlichen Rahmen Energie Staat und Verwaltung Transport und Verkehr Sektor Gesundheit Kritische Infrastruktur Informationstechnik und Telekommunikation Labordienstleistungen Gesundheit Pharmazie und Versorgungsgüter Finanz- und Versicherungswesen Medien und Kultur Ambulante und stationäre Versorgung Branchen Sektoren definiert die Mengenparameter für Teilnahme Verordnung IT-Sicherheitsgesetz KH1 KH2 KHn ~ 30.000 vollstationäre Fälle §8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen (1) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens zwei Jahre nach Inkrafttreten der Rechtsverordnung […] angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Zeitplan IT-Sicherheitsgesetz 2015 Q3 Gesetz tritt in Kraft Verordnung Korb 1 Q4 2016 Q1 Q2 Q3 2017 Q4 Q1 Q2 Q3 2018 Q4 Q1 Q2 Q3 2019 Q4 Q1 Q2 § § § Verordnung Korb 2 Meldung Meldepflicht Korb 1 Meldung Meldepflicht Korb 2 Umsetzung im Unternehmen Korb 1 Umsetzung Korb 2 (~ im Krankenhaus) ! ! Q3 Q4 §8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen (Fortsetzung) [...] Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht. der Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, der die praktische Eignung einer Maßnahme zum Schutz der Funktionsfähigkeit von informationstechnischen Systemen, Komponenten oder Prozessen gegen Beeinträchtigungen der Verfügbarkeit, Integrität und Vertraulichkeit gesichert erscheinen lässt Pflichten eines Betreibers kritischer Infrastrukturen • Wenn Zahl der stationären Fälle ~ 30.000 Î Krankenhaus* ist Teil der kritischen Infrastruktur • Krankenhaus definiert dann die kritischen Dienstleistungen: Krankenversorgung Dann Pflichten: • Kontaktstelle, die jederzeit erreichbar ist (1/2 Jahr) • Meldung erheblicher Störungen • Meldung erheblicher potentieller Störungen • Nennung des Betreibers nur, wenn erhebliche Störung zum Ausfall der KRITIS geführt hat • Und Umsetzung der Absicherung bis zum 2. Jahr Prozess zur Kritikalitätsanalyse Quelle: BSI/BBK BSI-Gesetz Personalbedarfsschätzung Überblick IT-Security Aufgaben Security in Line Beschreibung Security im Rahmen von Linienaufgaben Aufgaben, die in Line erfüllt werden sollten, schon immer erfüllt hätten müssen. Auswirkung bei Nichterfüllung Verantwortung Notwendiges Personal ISMS Transf.Proj. Krit. Dienstleistung Aufgaben um das Security Management allg. ll Sicherheitsh h projekte zur Absicherung der Infrastruktur Absicherung der kritischen Dienstleistungen Aufbau eines Systems (Regeln, Prozesse) zur strukturierten Zusammenarbeit in Security Fragen zwischen IT, GF, Mitarbeitern, Lieferanten Zusätzliche Absicherungen, mit Variablen die mit der Größe der Einrichtung skalieren Die kritische Dienstleistung muss sowohl durch robuste IT als auch durch die Etablierung durch Ersatzverfahren abgesichert werden Nichterfüllung bedeutet Defizit der Geschäftsführung bei Governance, Führung und Risikomanagement Nichterfüllung bedeutet fehlendes Entwicklungskonzept und Kontrollverlust der IT/GF über die Gesamtsituation Nichterfüllung bedeutet Ausfall der kritischen Dienstleistung des Krankenhauses IT-Abteilung Geschäftsführung IT-Abteilung Anwender, Ressourcen: GF Geschäftsführung Kein zusätzliches Personal*, da dies implizite Security Linienaufgaben sind IT-Sicherheitsspezialisten für Erstellung der Regeln und Security-Prozesse Projektmanager für „Aufräumarbeiten“ und „Transformationen“ Personal für Prozessanalyse und Unterstützung Erstellung Ersatzmaßnahmen Nichterfüllung bedeutet Qualitätsprobleme der IT bzw. Nichtwahrnehmung notwendiger Aufgaben Beispiele für IT-Security Aufgaben Security in Line Security im Rahmen von Linienaufgaben • Einspielen Patches • Verschlüsselung Laptop • Virenschutz • Schutz USB-Ports • Zustand RZ • Zustand Verteiler • Bestandsverzeichnis • Firewall und Antispam • Incident-Handling • Sicherheitsprofile • Betriebskonzepte (inkl. Security) • Anlaufpläne • Wiederherstellung • Backup • Rechtesystem War schon immer notwendig*, kein zusätzliches Personal ISMS Transf.Projekte Krit. Dienstleistung Aufgaben um das Security Management allg. ll Sicherheitsh h projekte zur Absicherung der Infrastruktur Absicherung der kritischen Dienstleistungen • • • • • Leitlinien Geschäftsordnung IT-Security Policies für …. Sicherheitsvorgaben für Konzepte Vorbereitung Audit Incidentaufarbeitung Awareness-Schulung Risikoanalyse IT • Assetmanagement • Office Makros signieren • Dokumentation ins Filesystem • Sicherung Dokumentationsstrukturen • Reduktion Shares • Ertüchtigung RZ • Ertüchtigung Verteiler • Netzzugangsschutz • Absicherung MT • Absicherung BT • Korrelation Log-Files • Prozessanalyse • Identifizierung IT-Komp. • IT-Anwendungsanalyse • Komponentenanalyse Ersatzverfahren: 1. Manuelle Prozesse 2. Mündliche Abstimmung 3. Systemredundanz 4. Datenredundanz 5. Komm-redundanz Aufbau Regelwerk und Risikoanalyse und Awareness: 2+ Personen / dauerhaft Projekte mit vielen Beteiligten, Aufwand: 2 Personen als Projektbegleitung (2J) Analyse und Absicherung der kritischen Dienstleistung. 1 Person Prozessanalyse f. 2 Jahre • • • • BSI-Gesetz Was ist mit der Medizintechnik? Schnittstellen MT und IT • Fragestellung: welche spezifischen Aufgaben erwarten die Medizintechnik beim neuen ITSicherheitsgesetz? • Bisher keine offiziellen Antworten… • Eine mögliche Interpretation: 1. Mitwirkung bei der Analyse (Prozesse) Æ Erkennen der kritischen Komponenten 2. Absicherung der Endsysteme (Medizingeräte) 3. Verlässliche Patientendokumentation April 2017 Juli 2019 Juli 2017 Oktober 2017 Januar 2018 April 2018 Juli 2018 Oktober 2018 Januar 2019 April 2019 Security Roadmap Schulung IT-Security-MA Informationssicherheit Etablierung und Durchführung Risikomanagementprozess und ISMS-Prozesse Vorbereitung und Beschluss IT-Lleitlinien ISMS Rekrutierung der IT-Security Mitarbeiter Gründung und Aufbau CERT 6 Erstellung IT-Sicherheitsrichtlinien Schulung der Anwender Etablierung Vorabkontrolle 4 Signatur der Office. Makros Erhöhung der Makrosicherheit Erstellung Wiederanlaufpläne Training Wiederanlaufpläne Absicherung Treiber und BIOS aller Laptops Schutz der USB-Ports Schwachstellenmanagement aller Systeme Backup kritischer Systeme Risikomanagement Einführung neue Firewall und Firewallmanagement Gestaltung und Etablierung der Ersatzverfahren Prozessanalyse Identifizierung der IT-Komponenten IT-Anwendungsanalyse Manuelle Prozesse Komponentenanalyse Mündliche Abstimmung Systemredundanz Transformationsprojekte Datenredundanz Kommredundanz Training der Ersatzverfahren Med. Leistung In-Line-Security 5 Vorbereitung und Beschluss ITSicherheitsleitlinien IT-Datenschutzprozesse einführen Krit. Dienstleistung Erstellung AUP (Acceptable Use Policy) Dokumentation der Ersatzverfahren 1 Erstellung IT Bestandsverzeichnis Netzwerkzugangsschutz etablieren 3 7 Medizintechnik Im Netz gesichert Absicherung der Medizintechnik Entwicklung PMDs in i.s.h.med Alternativen zur Dokumentation ins Filesystem Reduktion der Shares Keine Dokumentation mehr ins Filesystem 2 Sichere und übersichtliche Verteilerräume Sanierung Verteilerräume April 2017 Juli 2019 Juli 2017 Oktober 2017 Januar 2018 April 2018 Juli 2018 Oktober 2018 Januar 2019 April 2019 IT Security-Roadmap -Medizintechnik April 2017 Juli 2019 Juli 2017 Oktober 2017 Januar 2018 April 2018 Juli 2018 Oktober 2018 Januar 2019 April 2019 Security Roadmap Schulung IT-Security-MA Informationssicherheit Etablierung und Durchführung Risikomanagementprozess und ISMS-Prozesse Vorbereitung und Beschluss IT-Lleitlinien ISMS Rekrutierung der IT-Security Mitarbeiter Vorbereitung und Beschluss ITSicherheitsleitlinien Gründung und Aufbau CERT Erstellung IT-Sicherheitsrichtlinien Schulung der Anwender Etablierung Vorabkontrolle 3 Signatur der Office. Makros Erhöhung der Makrosicherheit Erstellung Wiederanlaufpläne Training Wiederanlaufpläne Absicherung Treiber und BIOS aller Laptops Schwachstellenmanagement aller Systeme 2 Schutz der USB-Ports Backup kritischer Systeme Risikomanagement Einführung neue Firewall und Firewallmanagement Gestaltung und Etablierung der Ersatzverfahren Prozessanalyse Identifizierung der IT-Komponenten IT-Anwendungsanalyse Manuelle Prozesse Komponentenanalyse Mündliche Abstimmung Systemredundanz 6 1 Datenredundanz Kommredundanz Training der Ersatzverfahren Med. Leistung Krit. Dienstleistung In-Line-Security IT-Datenschutzprozesse einführen Transformationsprojekte Erstellung AUP (Acceptable Use Policy) Dokumentation der Ersatzverfahren Erstellung IT Bestandsverzeichnis Netzwerkzugangsschutz etablieren 5 Absicherung der Medizintechnik Entwicklung PMDs in i.s.h.med Alternativen zur Dokumentation ins Filesystem 4 Medizintechnik Im Netz gesichert Reduktion der Shares Keine Dokumentation mehr ins Filesystem Sichere und übersichtliche Verteilerräume Sanierung Verteilerräume April 2017 Juli 2019 Juli 2017 Oktober 2017 Januar 2018 April 2018 Juli 2018 Oktober 2018 Januar 2019 April 2019 Schnittstellen/Hotspots Medizintechnik IT-Sicherheitsgesetz 1. Erarbeitung des IT-Bestandsverzeichnisses 2. Schwachstellenmanagement aller Systeme 3. Signatur Office-Makros 4. Reduktion der Dokumentation ins Filesystem 5. Absicherung der med. Netzwerke 6. Systemredundanz bei den Ersatzverfahren 1. Erarbeitung des ITBestandsverzeichnisses • Die IT benötigt ein eigenes Bestandsverzeichnis (AssetManagement) um die Netzteilnehmer zu identifizieren. • Funktion: • • • • Zuordnung IP-Adresse zu Aufgabe Kurze Funktionsbeschreibung Kritikalität eines Systems (evtl. Ausstattung mit Hardware und Software) • IT-Security-Relevanz: • Bei Infektion mit eines Systems muss es schnell gehen um weitere Infektionen / Epidemie einzuschränken. • Oft wird aber nur die infizierte IP-Adresse rückgemeldet. Mitarbeiters fragt: kann IP vom Netz genommen werden? 1. Erarbeitung des IT-Bestandsverzeichnisses • Aufgabe für die IT: • Bereitstellen der Datenstrukturen • Importfunktion für Daten anderweitiger Verzeichnisse • Aufgabe für die Medizintechnik (… und Betriebstechnik): • MT-Bestandsverzeichnis: Erweiterung um die Felder: IP-Adresse und Kritikalität und Beschreibung, Verortung (denn im Notfall muss entschieden werden, ob System am Netz bleibt) Beispiel (1): infizierte Monitoringzentrale Beispiel (2): infizierter Herzkatheter Optimum: IT hat IP und Kritikalität und kann beurteilen oder Anwender fragen, ob ein System ausgeschaltet werden kann. (… auch zu Randzeiten, Rufbereitschaft). 2. Schwachstellenmanagement für alle Systeme • Ein Schwachstellenmanagement überprüft die Sicherheitssituation der einzelnen Systeme Î Bewertung der Gesamtsituation möglich • Unterschiedliche Arten der Prüfung: • Portscan („nur anklopfen“) Erkenntnisse: System existiert, folgende Dienste aktiv • Invasive Scan („Eindringversuch“) Erkenntnisse: System wurde einem Angriff ausgesetzt • Non-Invasive/Credential-based/ („Read-Only-Zugang zu dem System“) Erkenntnisse: System-Einstellungen und Patchlevel Î Aussage über Sicherheitsgrad des Systems 3. Signatur der Office Makros • Problemstellung: • Office-Makros werden benutzt um Dokumentation zu unterstützen. • Office-Makro-Sicherheits-Einstellung wird auf entsprechenden PCs auf „alle Makros sicher“ eingestellt. Î damit können alle Makros, auch Makroviren, ausgeführt werden. • Gegenmaßnahmen seitens IT: Makros werden erfasst und bekommen einen Stempel (Signatur) durch die Domäne. 4. Reduktion der Shares • Oftmals wird vom Medizingerät in das Share dokumentiert, z.B. weil es keine Schnittstelle gibt. • Dazu wird ein Verzeichnis bereit gestellt, das die Daten entgegennimmt. • Offen bleibt die Frage: • was passiert danach mit den Daten? • Wie wird die Abrechnung angetriggert? • Wie kommen die Daten in die Akte/Archiv? • Kritisch wegen: • Datenverlust möglich • Verzögerung bei Abrechnung • Lösung: • Schnittstellen oder Store-Forward (Zwischenspeicherung Æ Akte) 5. Absicherung der med. Netze • Absicherung der Med. Netze: Absicherung der med. Netze nicht gleichbedeutend mit IEC 80001-1 (Risikomanagement von Netzwerken, an die Medizinprodukte angeschlossen werden) • Dreistufiges Vorgehen empfohlen • Entscheidungsfindung und Adresskonzept • Einbettung der Medizingeräte in neues Adresskonzept auch ohne Schutz • Schutz dort wo möglich durch verschiedene Maßnahmen (Router oder Switche oder Mini-Firewalls). 6. Mitwirkung an Ersatzmaßnahmen (z.B. Systemredundanz) • Die Rolle des Medizingeräts in der Prozessanalyse muss identifiziert werden. • Ist das Gerät zwingend notwendig? • Welche Art der Redundanz ist möglich? Gestaltung und Etablierung der Ersatzverfahren Manuelle Prozesse Mündliche Abstimmung Systemredundanz • Aufgabe der MT: - Mitwirkung an der Prozessanalyse - Ersatzverfahren und –geräte finden Datenredundanz Kommredundanz
