COMPLEX - Visus Technology Transfer GmbH

»Wir haben eine restriktive Security-Politik«
Wiesichdie Sana-Kliniken gegen Computerschädlinge schützen, erläutert RAINER SCHLIENZ,
Leiter des Betreiberzentrums Konzernanwendungen bei der Sana IT Services GmbH.
Mit welcher Strategie haben Sie
es geschafft, die von Ihnen betreuten
Sana-Kliniken seit 15 Jahren
virenfrei zu halten?
Eine Sicherheitsstrategie umfasst
immer eine Vielzahl exakt aufeinander
abgestimmter Maßnahmen.
IT-Sicherheit bedeutet bei
Sana modernste Technik mit definierten Vorgehenskonzepten,
die vonunseren eigens hierzu ausgebildeten IT-
Sicherheitsspezialisten präzise umgesetzt werden. Und
diese Securitiy-Experten sitzen bereits ab der ersten Planung
eines IT-Vorhabens mit am Tisch.
Wie sichern Sie sich gegen das Risiko ab, das von
Computern ausgeht, die dem Medizinproduktegesetz
unterliegen?
An dieser Stelle arbeiten wir Hand in Hand mit der
Sana-Medizintechnisches Servicezentrum GmbH, der
konzerneigenen Gesellschaft für Medizintechnik. In der
te zur Verfügung stehen. Auch muss die
IT-Abteilung mental auf diese Ausnahmesituationvorbereitet
werden, damit
sie nicht in Panik gerät und sofort mit
dem Einspielen vonPatches beginnt. In
diesem Fall würde –ohne Genehmigung
durchden Hersteller –die Haftung für
Schäden auf die Klinik übergehen.
Ist der Ernstfall eingetreten, sollte die
IT-Abteilung vorrangig die Geschäftsführung
darüber informieren. Denn nur mit
derRückendeckung durchdie Geschäftsführung
können die Verantwortlichkeiten
geklärt werden. Dabei lautet die zentrale
Fragestellung: Hat der Hersteller
versäumt, sein Produkt abzusichern oder
hat das Krankenhaus das Produkt entgegen
der Empfehlungen des Herstellers
in das Kliniknetzwerk integriert?
Im Anschluss daran muss die IT-Abteilung
Kontakt mit dem Hersteller aufnehmen,
um die möglichen Abwehrmaßnahmen
zu besprechen:
Praxis kommen wir aber nicht umhin, zusätzliche Schutzmechanismen
zur Absicherung der betroffenen Geräte
zu implementieren. Dabei müssen wir in der Regel an
anderer Stelle als am abzusichernden Gerät ansetzen.
Wie schützen Sie sich gegen die Gefahr, die von
Laptops und USB-Speichermedien ausgeht?
Wirbetreiben für die vonSana IT Services betreuten
Kliniken eine sehr restriktive Politik. Sana Notebooks
können prinzipiell nicht vom Anwender administriert
werden und lassen sich nur in das Sana-Netz
einbinden. Genausowenig ist es möglich,ein fremdes
Gerät unautorisiert in einem Netzwerk der Sana IT Services
GmbH zu betreiben. In Einzelfällen können wir
für ausgewählte Geschäftsvorfälle eine Freigabe von
Datenlaufwerken oder den Einsatz vonUSB-Speichermedien
nicht umgehen. Hier setzen wir auf Echtzeitscanner,Personal
Firewalls und Application White Lists,
die wir stets auf dem neuesten Stand halten.
(Interview: Dr.Michael Lang)
Die Qualitätssicherungsabteilung des
Herstellers soll die sicherheitskritischen
Patches schnellstmöglicheiner Überprüfung
unterziehen.
Andere Sicherheitsmaßnahmen wie
etwaVirenschutz oder Firewalling sollten
ebenfalls mit dem Herstellerdiskutiert
werden.
Auch ein autonomer Betrieb des Medizinprodukts
ohne Netzwerk sollte erörtert
werden.
Parallel zur Kommunikation mit dem
Hersteller sollte die IT-Abteilung permanent
die Aktivitäten des Schädlings analysieren
und den Wurm aus dem Kommunikationsnetz
eliminieren.
Im schlimmsten Fall führt die Infektion
zum Ausfall wichtiger medizinischer
Systeme, und der Hersteller kann keine
Gegenmaßnahmen anbieten. Dann helfen
nur nochdrastische Maßnahmen:
Befreiung vomSchädling und Aktualisierung
mit Patches
Funktionsprüfung durchfachkundiges
Personal
Kennzeichnung, dass das System kein
Medizinprodukt gemäß dem Medizinproduktegesetz
ist und nur nochinNotfällen
auf eigene Gefahr anzuwenden ist.
Fazit: Nur mit einem erfolgreichen
Krisenmanagement ist eine regelkonforme
Wiederinbetriebnahme der Systeme
innerhalb weniger Tage möglich. Und
nur eine Manöverkritik nachAbschluss
der Maßnahmen kann zu Verbesserungen
im Netzwerk führen.
JOCHEN KAISER
ist hauptamtlicher IT-
Sicherheitsbeauftragter
des Klinikums Erlangen.
Kontakt: jochen.kaiser@
ukerlangen.de
EHEALTHCOM 29