Dies prüft das e-Health-Team des Fraunhofer-Instituts für Sichere Informationstechnologie SIT im jetzt vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gestarteten Projekt SiKIS (Sicherheitseigenschaften von Krankenhausinformationssystemen). Geplant sind unter anderem praktische Sicherheitstests von KIS, wofür noch Test-Kandidaten gesucht werden. Für teilnehmende Hersteller, Kliniken und Krankenhäuser entstehen keine Kosten. Mehr Infos zum Projekt gibt es hier: www.sit.fraunhofer.de/sikis.
Ein Patient, eine Patientin wird in einem Krankenhaus aufgenommen, auf verschiedenen Stationen untersucht und individuell medizinisch versorgt. Bei jedem Schritt fallen sensible Daten in unterschiedlichen Systemen an: Befunde, Untersuchungsergebnisse, Therapieentscheidungen, OP-Berichte sowie Informationen zu Pflege, Medikation etc. Diese Daten werden an medizinische IT-Systeme im Krankenhaus weitergeleitet, aber auch an Arztpraxen, an die Krankenkasse und andere Teilnehmende der Gesundheitsinfrastruktur.
Zentraler Bestandteil dieser Datenverarbeitung ist in vielen Kliniken das Krankenhausinformationssystem (KIS), in dem die zentrale Patientenakte geführt wird. Wie sicher sind diese Systeme vor Cyber-Angriffen, und wie sicher sind die sensiblen Daten von Patientinnen und Patienten beim Austausch zwischen verschiedenen internen und externen Systemen? Mit dieser Fragestellung hat das BSI das Fraunhofer SIT beauftragt.
Die e-Health-Expertinnen und -Experten des Fraunhofer SIT planen hierfür zunächst eine Marktanalyse, die feststellen soll, welche Systeme und Datenaustauschformate (z. Bsp. HL7, DICOM oder FHIR) im Klinikalltag in Deutschland am häufigsten im Einsatz sind. In einem zweiten Schritt werden sie Krankenhausinformationssysteme auf Herz und Nieren prüfen. Hier suchen die Forschenden KIS-Hersteller und Kliniken, die mit ihnen zusammenarbeiten und ihre KIS mittels Penetrationstests kostenneutral evaluieren lassen möchten. Nach dem Test werden die Ergebnisse zusammen mit einem Prüfzertifikat zur Verfügung gestellt.
Mögliche Schwachstellen werden in enger Zusammenarbeit mit dem BSI in einem Coordinated-Vulnerability-Disclosure-Verfahren dem Hersteller gemeldet. Durch dieses Verfahren werden sicherheitskritische Probleme frühzeitig entdeckt und können frühestmöglich behoben werden.
Basierend auf den vorherigen Ergebnissen werden zum Ende des Projektes abschließende Handlungsempfehlungen für Krankenhäuser und Kliniken erstellt, welche zur Veröffentlichung durch das BSI vorgesehen sind.
MEDICA.de; Quelle: Fraunhofer-Institut für Sichere Informationstechnologie SIT
