Sprungbrett_2

Zusammenfassung
Krankenhäuser sind zunehmend IT-vernetzte offene
Systeme. Sichere Systeme in unsicheren Netzen sind eine
Herausforderung. Cyberattacken auf Krankenhäuser
profitieren von veralteter Technik, Nonusable Security,
inhärenten Schwachstellen mobiler Netze, mangelnden IT-
Ressourcen. Hohe Anforderungen an Verfügbarkeit und
Integrität der IT-Datenflüsse im Krankenhaus konkurrieren
mit Datenschutz und Datensicherheit und bieten lukrative
Angriffsziele für Erpresser. Ein ISMS muss neben der
technischen Infrastruktur Personal, Patienten und
Prozesse managen und Überlebensstrategien vorsehen.
Besondere Herausforderung sind die effiziente Nutzung
von begrenzten Ressourcen im laufenden Betrieb und
Usable Security. Eine aktuelle effektive Backupstrategie
für kritische Daten, regelmäßige Mitarbeiterschulungen
und tech-nische Maßnahmen sind Kern jedes ISMS.
Medizintechnik (medizinische Netze) und IOT sind nur ein
Teilproblem.
Normen, Tipps und Tools
Basis-Normen:
‣ ISO/IEC 27001: Managementnorm zur Informationssicherheit, definiert entsprechende Rollen und
Verantwortlichkeiten
‣ ISO 27002 gibt Empfehlungen zur konkreten Umsetzung des ISMS
‣ Alternative: Informationsmanagement nach BSI:
https://www.bsi.bund.de/DE/Themen/ITGrundschutz/itgrundschutz_node.html
Zur Umsetzung gibt es entsprechende Software-Tools:
‣ Verinice ist ein freies Tool, das BSI Grundschutzkataloge aber auch die ISO 27001 unterstützt
https://verinice.com/produkt/
‣ GS TOOL QUO VADIS - ÜBERBLICK DER GSTOOL-ALTERNATIVEN
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Veranstaltungen/Grundschutz/3GS_Tag_2015/04_Rehaeu
sser_GSTOOL.pdf;jsessionid=E5BBF96AB9E1AD7A57D2AE0466072EA1.2_cid360?__blob=publicationFile&v=1
Grundsätzlich ist es auch möglich ein generisches ISMS im Rahmen eines IT-Service-Managements (ITSM) nach der
Normenreihe ISO/IEC 20000 unter Benutzung der Infrastructure Library (ITIL®) zu etablieren. ITIL ist eine Sammlung von
Best Practices zur Umsetzung eines ITSM: http://www.itil-officialsite.com/
Medizinische Netze sind IT-Netze, die mindestens ein Medizingerät enthalten. Ziele der Norm DIN EN ISO 80001-1 für
Betreiber sind Integrität, Verfügbarkeit, Sicherheit und Datenschutz in medizinischen Netzen. Neben der Erfassung und
Standardisierung der Prozesse sind besondere Herausforderungen dieser Norm die Koordination aller Beteiligten
(Medizintechnik, IT, Anwender, Beschaffung...), das Management einer verteilten gelenkten Risikomanagement-
Dokumentation und die Zusammenarbeit mit Lieferanten und Herstellern bei Beschaffung und Wartung. Manche
Hersteller, z.B. Dräger, bieten entsprechende Monitoring-Netze als mehr oder weniger geschlossene Lösungen komplett
an: https://www.draeger.com/de_de/Hospital/Products/Patient-Monitoring/Network-Solutions/Infinity-OneNet
14