COMPLEX - Visus Technology Transfer GmbH

COMPLEX | IT-SICHERHEIT
Der kommende Prozessstandard
ISO/IEC 80001
beschreibt die Vorgehensweise,
wie
Medizinprodukte gegen
Viren, Würmer und Hacker
abgesichert werden.
28 EHEALTHCOM
gen wird vonden Herstellern gegenwärtigjedochnicht
umgesetzt. Andererseits
sind die Kliniken nicht in der Lage, die
Netze komplett abzuschotten und
gleichzeitig den betrieblichen Anforderungen
an die IT-Infrastruktur nachzukommen.
Folglichmüssen Gegenmaßnahmen
gefunden werden, die den
Anforderungen und Möglichkeiten beider
Parteien gerecht werden.
WENN SICHERHEITSRISIKEN in
medizinischen Netzwerken bestehen,
sollten IT-Sicherheitsverantwortliche mit
Bedacht vorgehen, um
nicht die Betriebserlaubnis
für die Medizinprodukte
zu verlieren.
Eine vorschnelle
Vorgehensweise kann
enorme Kosten erzeugen,
etwa wenn der
Hersteller den zertifizierten
Zustand wiederherstellen
muss,
nachdem die IT-Abteilung
ein infiziertes System„entwurmt“,
alle Betriebssystem-Patches installiert
und „zur Sicherheit“ nocheinen Virenscanner
installiert hat. Denn die Aktualisierung
des Betriebssystems kann unbekannte
Nebeneffekte erzeugen: So
können zum Beispiel Graustufenänderungen
nach einer neuen Grafikbibliothek
auf einer radiologischen Befun-
dungsworkstation auftreten. Ein Virenscanner
kann wiederum die Ausführung
vonProgrammen verhindern und arbeitet
oft mit einer so hohen Systemlast,dass
anderen Anwendungen nicht mehr genügend
Ressourcen zur Verfügung stehen.
Liefert ein Messplatz zum Beispiel
falsche Ergebnisse, weil der Virenschutz
täglichsämtliche Festplatten scannt,dann
wird der Hersteller des Medizinprodukts
die Verantwortung für nicht autorisierte
Veränderungen am System ablehnen.
Es ist also eine differenziertere Vorgehensweise
notwendig, die individuell
auf die technischen, organisatorischen
und personellen Möglichkeiten
eines Krankenhauses abgestimmt ist.
Bei der Absicherung vernetzter Medizinprodukte
hat sichdie folgende Vorgehensweise
bewährt:
Identifizierung der Medizinprodukte
im Netzwerk: Die Netzwerkemüssen
durchforstet werden, um die Medizinprodukte
zu identifizieren und den Projekten
entsprechend dem Geräteverzeichnis
zuzuordnen.
Schulung der IT-Abteilung: Die IT-Abteilung
muss sichinSachen Medizinproduktgesetz
informieren und selbständig
Entscheidungen treffen können.
Entwicklung einer Absicherungsstrategie
für Medizinprodukte: Das Krankenhaus
muss eine Gesamtstrategie für
die Absicherung der vernetzten Medizintechnik
entwickeln.
Aufbau eines Absicherungskatalogs:
Es muss ein Absicherungskatalog erstellt
werden, der technische Standardmaßnahmen
zur Absicherung der MPG-Systeme
vorschlägt. Diese werden auchbei
Neuanschaffungen im Dialog mit dem
Hersteller angewendet.
Absicherung der Medizinprodukte:
Schließlichfolgt die konsequente Absicherung
der Medizinprodukte. Gleichzeitig
müssen die Systeme für die IT relevant
dokumentiert werden.
Diese Vorgehensweise wird weitestgehend
vomkommenden Prozessstandard
ISO/IEC 80001 abgebildet. An der
Schaffung dieses Standards beteiligen
sichauchdeutsche Hersteller und Krankenhausvertreter.Sie
treffen sichregel-
mäßig in der Arbeitsgruppe 811.3.2 der
DKE (Deutsche Kommission Elektrotechnik
Elektronik Informationstechnik im
DIN und VDE). In ihren Gesprächen diskutieren
sie darüber,wie künftig medizintechnische
Systeme in Krankenhäusern
vernetzt werden können und wie
ein Risikomanagement- und Integrationsprozess
im Krankenhaus gestartet
werden kann.
DIE LÖSUNG besteht in der Beauftragung
eines Spezialisten, der als Integrationsmanager
den Integrationsprozess
anstößt und überwacht. Durchgeführt
wird dieser Prozess hingegen wie
bisher vonden Projekt- und Produktverantwortlichen,
aber eben abgesichert unter
den Risiko-Leitlinien der Klinik. Neben
den Sicherheitsaufgaben behandelt
der Prozessstandard auchweitere wichtige
Kenngrößen vonNetzwerken und
regelt die Vorgehensweise bei der Integration
vonMedizinprodukten. So ist die
Frage der im Netz verfügbaren Dienstgüte,
insbesondere die Bandbreite und die
Verfügbarkeit bestimmter Netzbereiche,
vorder Integration eines Medizinprodukts
in das Netzwerk zu klären. Wenn
beispielsweise die Backup-Lösung eines
Klinikums neben einer PACS-Serverumgebung
platziert wird, und beide dieselben
Netzwerkressourcen verwenden,
dann steht für das PACS eine drastisch
reduzierte Netzwerkbandbreite zur Verfügung,
waszuProblemen beim Workflow
führen könnte. Zurzeit ist das Nebeneinander
der unterschiedlichen
Anwendungen im Netzwerk nochsolange
ohne Bedeutung, bis massiveFehler
analysiert werden. Zukünftig soll der
Standard dabei helfen, solche Probleme
im Vorfeld zu vermeiden.
EINE MASSIVE INFEKTION mit
Schadprogrammen ist grundsätzlich
möglich, ganz gleichobdas Medizinprodukt
abgesichert wurde oder nicht. Dann
ist ein Krisenmanagement erforderlich,
welches umso effektiver ist, je besser es
vorbereitet wurde: Dazu gehört beispielsweise,
dass die Verträge und die komplette
Dokumentation der Medizinproduk-
FOTO: SHUTTERSTOCK