Transcript Powerpoint - Bernd Schütze: Medizinische Informatik

Mobile Devices im Krankenhaus –
Aspekte von Datenschutz und Datensicherheit
IT-Trends Medizin/Health Telematics, 12. September 2012
Rechtliche Grundlagen
EU
Bundesrecht
-
Bundesdatenschutzgesetz (BDSG)
Telekommunikationsgesetz (TKG)
Telemediengesetz (TMG)
Signaturgesetz (SigG)
Verordnung zur elektronischen Signatur (SigV)
Mediendienstestaatsvertrag (MDStV)
Landesrecht (z.B. NRW)
-
Archivgesetz (ArchivG)
Gesetz über die Ausführung des Gesetzes zu Artikel 10 Grundgesetz
(AG G 10 NW)
Berufsordnung der Ärztekammer Westfalen-Lippe
Berufsordnung für die nordrheinischen Ärztinnen und Ärzte
Berufsordnung für Apothekerinnen und Apotheker der
Apothekerkammer Nordrhein
Berufsordnung für Apothekerinnen und Apotheker derApothekerkammer
Westfalen-Lippe
Datenschutzgesetz (DSG NRW)
Gesetz über den öffentlichen Gesundheitsdienst (ÖGDG)
Gesetz über den Feuerschutz und die Hilfeleistung
Gesetz über Hilfen und Schutzmaßnahmen bei psychischen
Krankheiten (PsychKG)
Gesetz über Tageseinrichtungen für Kinder (GTK)
Gesundheitsdatenschutzgesetz (GDSG NW)
Gutachterausschussverordnung (GAVO NRW)
Heilberufsgesetz (HeilBerG)
Hochschulgesetz (HG)
Krankenhausgesetz (KHG NRW)
Meldedatenübermittlungsverordnung (MeldDÜV NRW)
Meldegesetz (MG NRW)
Sicherheitsüberprüfungsgesetz (SÜG NRW)
Verordnung zur Durchführung des Meldegesetzes (DVO MG NRW)
-
Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten und zum freien Datenverkehr
Richtlinie 2002/22/EG Universaldienst und Nutzerrechte bei
elektronischen Kommunikationsnetzen und -diensten
(Universaldienstrichtlinie)
Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische
Kommunikation)
Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten
Richtlinie 2009/136/EG („Cookie“-Richtlinie)
Kirchenrecht
-
Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSGEKD)
Verordnung über die in das Gemeindeverzeichnis aufzunehmenden
Daten der Kirchenmitglieder mit ihren Familienangehörigen
Verordnung über den automatisierten zwischenkirchlichen
Datenaustausch
Verordnung mit Gesetzeskraft zur Einführung des Datenschutzes in der
Vereinigten Evangelisch-Lutherischen Kirche Deutschlands
Anordnung über die Sicherung und Nutzung der Archive der
Katholischen Kirche
Anordnung über das kirchliche Meldewesen (KMAO) für Bistum …
Anordnung über den kirchlichen Datenschutz (KDO) für Bistum …
Durchführungsverordnung zur KDO (KDO-DVO)
Medizinisches Umfeld
-
-
Musterberufsordnung für deutsche Ärztinnen und Ärzte (MBO)
• §9 Abs. 1 Schweigepflicht des Arztes
Strafprozessordnung (StPO)
• §53 Ab2. 1 Zeugnisverweigerungsrecht
• §97 Abs.1 Beschlagnahmeverbot
• §103 Abs.1 eingeschränktes Durchsuchungsrecht für Arztpraxen
Strafgesetzbuches (StGB)
• §203 Abs.1 4.2.1.2.c Ärztliche Schweigepflicht
Zivilprozessordnung (ZPO)
• § 383 Zeugnisverweigerung aus persönlichen Gründen
Sozialgesetzbuch V (SGB V)
• § 73 Kassenärztliche Vereinigung
• § 140a Integrierte Versorgung
Normatives…
National
-
DIN 6789-6 Dokumentationssystematik - Teil 6: Verfälschungssicherheit digitaler technischer Dokumentation
DIN EN 12251 Sichere Nutzeridentifikation im Gesundheitswesen - Management und Sicherheit für die Authentifizierung durch Passwörter
DIN EN 13606-4 Kommunikation von Patientendaten in elektronischer Form - Teil 4
DIN EN 14169-1 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 1: Überblick
DIN EN 14169-2 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 2: Geräte mit Schlüsselerzeugung
DIN EN 14169-3 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 3: Einheiten mit Schlüsselimport
DIN EN 14169-4 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 4: Erweiterung für Einheiten mit Schlüsselgenerierung und vertrauenswürdigem
Kanal zur Zertifizierung von Generierungsanwendungen
DIN EN 14169-5 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 5: Erweiterung für Einheiten mit Schlüsselgenerierung und vertrauenswürdigem
Kanal zur Signatur von Generierungsanwendungen
DIN EN 14169-6 Schutzprofile für Sichere Signaturerstellungseinheiten - Teil 6: Erweiterung für Einheiten mit Schlüsselimport und vertrauenswürdigem Kanal
zur Signatur von Generierungsanwendungen
DIN EN 14484 Internationaler Austausch von unter die EU-Datenschutzrichtlinie fallenden persönlichen Gesundheitsdaten - Generelle Sicherheits-Statements
DIN EN 14485 Anleitung zur Verwendung von persönlichen Gesundheitsdaten in internationalen Anwendungen vor dem Hintergrund der EUDatenschutzrichtlinie
DIN CEN/TS 15260 Klassifikation von Sicherheitsrisiken bei der Benutzung von Medizininformatikprodukten
DIN CEN/TS 15260 Medizinische Informatik - Klassifikation von Sicherheitsrisiken bei der Benutzung von Medizininformatikprodukten
DIN EN 15713 Sichere Vernichtung von vertraulichen Unterlagen - Verfahrensregeln
DIN ISO/IEC 27000 Informationstechnik - IT-Sicherheitsverfahren - Informationssicherheits-Managementsysteme - Überblick und Terminologie
DIN ISO/IEC 27001 Informationstechnik - IT-Sicherheitsverfahren - Informationssicherheits-Managementsysteme - Anforderungen
DIN ISO/IEC 27002 Informationstechnik - IT-Sicherheitsverfahren - Leitfaden für das Informationssicherheits-Management
DIN EN ISO 27789 Audit-Trails für elektronische Gesundheitsakten
DIN EN ISO 27799 Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002
DIN 31644 Information und Dokumentation - Kriterien für vertrauenswürdige digitale Langzeitarchive
DIN 31645 Information und Dokumentation - Leitfaden zur Informationsübernahme in digitale Langzeitarchive
DIN 66399-1 Büro- und Datentechnik - Vernichten von Datenträgern - Teil 1: Grundlagen und Begriffe
DIN 66399-2 Büro- und Datentechnik - Vernichten von Datenträgern - Teil 2: Anforderungen an Maschinen zur Vernichtung von Datenträgern
DIN EN 80001-1 Anwendung des Risikomanagements für IT-Netzwerke mit Medizinprodukten - Teil 1: Aufgaben, Verantwortlichkeiten und Aktivitäten
Kurz:
-
Man kann sich mit dem Thema beschäftigen…
-
International
-
ISO/IEC 2382-8 Informationstechnik - Begriffe - Teil 8: Sicherheit
ISO/IEC FDIS 9797-3 ormation technology - Security techniques - Message Authentication Codes (MACs) - Part 3: Mechanisms using a universal hashfunction
ISO/IEC 9798-1 Informationstechnik - IT Sicherheitsverfahren - Authentifikation von Instanzen - Teil 1: Allgemeines Modell
ISO/IEC 9798-2 Informationstechnik - IT-Sicherheitsverfahren - Authentifikation von Instanzen - Teil 2: Mechanismen auf Basis von
Verschlüsselungsalgorithmen
ISO/IEC 9798-3 Information technology - Security techniques - Entity authentication - Part 3: Mechanisms using digital signature techniques
ISO/IEC 9798-4 Information technology - Security techniques - Entity authentication - Part 4: Mechanisms using a cryptographic check function
ISO/IEC 9798-5 Informationstechnik - IT Sicherheitsverfahren - Authentifikation von Instanzen - Teil 5: Mechanismen auf Basis von zero-knowledge
Techniken
ISO/IEC 9798-6 Informationstechnik - IT Sicherheitsverfahren - Authentifikation von Instanzen - Teil 6: Mechanismen auf Basis von manuellem Datentranfer
ISO/IEC 11586-1 Informationstechnik - Kommunikation Offener Systeme - Allgemeine Sicherheitsmechanismen für die anwendungsorientierten OSISchichten: Konzepte, Modelle und Notation
ISO/IEC 11586-3 Informationstechnik - Kommunikation Offener Systeme - Allgemeine Sicherheitsmechanismen für die anwendungsorientierten OSISchichten: Protokollspezifikationen für das Dienstelement für den Austausch von Sicherheitsinformationen (SESE)
Mobile Security
1. IT-Sicherheitsmanagement ist
IT-Sicherheitsmanagement ist
IT-Sicherheitsmanagement …
Business as usual:
- Sicherheitsrichtlinie
- Klassifzierungsrichtlinie
- Richtlinie IT-Risikomanagement
- Systemrichtlinien
- …
2. Einzige Besonderheit: die Daten „wandern“
3. Beachtenswertes für „unser“ Krankenhaus
Speicherort der Daten
• Gesetz zum Schutz personenbezogener Daten im
Gesundheitswesen
(Gesundheitsdatenschutzgesetz - GDSG NRW, zuletzt
geändert am 22.02.1994*)
• Gilt für Krankenhäuser (nicht Arztpraxen)
• §7 Abs. (1):
„Patientendaten sind grundsätzlich in der
Einrichtung oder öffentlichen Stelle zu verarbeiten“
• Mobile?
* Abgesehen von Änderungen PsychKG (1999, 2005),
Anpassungen nach Änderungen SGB V (2005)
Überarbeitung Krebsregistergesetz (2005)
Speicherort der Daten: die „Cloud“
Dienst
1. ADrive
2. Amazon CloudDrive
3. Box
4. Dropbox
5. Google Drive
6. iCloud
7. SugarSync
8. Telkom Cloud
9. Ubuntu one
10. Windows Live / SkyDrive
11. Wuala
Serverstandort
1. USA
2. USA
3. USA
4. USA
5. USA
6. USA
7. USA
8. Deutschland
9. GB
10. Unbekannt
11. Schweiz, Deutschland, Frankreich
Hinweis: Cloud Computing Sicherheitsempfehlungen des BSI:
https://www.bsi.bund.de/DE/Themen/CloudComputing/Eckpunktepapier/Eckpunktepapier_node.htm
https://www.bsi.bund.de/DE/Themen/CloudComputing/Studien/Studien_node.html
Speicherort der Daten: die „Cloud“
•
Mobile Geräte
– Synchronisation von Terminen, Kontakten, E-Mails, Fotos usw.
1.
Sind
Sie sicher, dass in Terminen, Kontakten, Mails usw.
• iPhone, iPad, iPod
keine
enthalten
sind? die
– Applepersonenbezogenen
darf Daten zu Ihrem Konto undDaten
zu allen Geräten
oder Computern,
hierunter registriert sind, erheben, nutzen, übermitteln, verarbeiten und
aufbewahren
2. Sind
Sie
sicher,
dass
keinezuPatientendaten
(z.B. derenund
– Apple
darf,
ohne Ihnen
gegenüber
haften, auf Ihre Kontoinformationen
Ihre Inhalte
zugreifen,werden?
diese nutzen, aufbewahren und/oder an
Namen)
erwähnt
Strafverfolgungsbehörden, andere Behörden und/oder sonstige Dritten weitergeben
darf, wenn Apple der Meinung ist, dass dies vernünftigerweise erforderlich oder
ist, wenn
dies
gesetzlich
vorgeschrieben
ist oder wenn Apple einen
3. Istangemessen
denn
dann
ein
Vertrag
über
Auftragsdatenverarbeitung
hinreichenden Grund zu der Annahme hat, dass ein solcher Zugriff, eine solche
Nutzung, Offenlegung
Aufbewahrung
angemessenerweise
notwendig ist
entsprechend
§80oder
SGB
X geschlossen
worden?
– http://www.apple.com/legal/icloud/de/terms.html bzw.
http://www.apple.com/privacy/
4.
Bei
Serverstandort außerhalb EG:
• Android
– Einstellung von Daten in Google Drive geht
= unentgeltliches,
nicht ausschließliches,
Auftragsdatenvereinbarung
nicht, nur
weltweites und zeitlich unbegrenztes Recht die Daten zum Zweck der Erbringung
Funktionsübertragung
der Dienste von Google zu nutzen
(auch, wenn man selbst Google nicht mehr nutzt)
→ →Es
eine
Übermittlung
der Daten
statt öffentlich
u.a.findet
das Recht,
Inhalte
technisch zu vervielfältigen
und Daten
zugänglich zu machen
– https://www.google.com/intl/de/policies/terms/1
Übermittlung
• §5 Abs. (1) GDSG NRW:
„… Als
gilt auch die Weitergabe von Patientendaten
Betrifft
nurÜbermittlung
NRW?
Personen in anderen
Organisationseinheiten
innerhalb
der
In 5anBundesländern
ist der Datenaustausch
zwischen
Abteilungen
Einrichtung
öffentlichen Stelle,
sofern diese
innerhalb
einesoder
Krankenhauses
geregelt:
Organisationseinheiten nicht unmittelbar mit Untersuchungen,
Behandlungen oder sonstigen Maßnahmen nach §2 Abs. 1 befasst
sind…“
• Innere, Chirurgie, Gyn, … - Dritte im Sinne des Datenschutzes
Sieht Ihr Rechtekonzept dies vor?
Was heißt das für mobile (private) Geräte?
BYOD
Befragte:
Quelle:
IT-Mitarbeiter in Nordamerika und Europa
Forrsights Workforce Employee Survey, 4. Quartal 2011
BYOD
• Krankenhaus wird einerseits Mitarbeitern die Nutzung
privater Geräte langfristig nicht verweigern können
• Aber: Auf dem Mitarbeiter gehörende Geräte hat der
Arbeitgeber keine Weisungsbefugnis
Auf diesen Geräten gespeicherte Patientendaten
befinden sich daher prinzipiell nicht in der
Einrichtung
Die Patientendaten wurden übermittelt
Folgen einer Übermittlung
1. Schwierig
1.
Der Patient dem
mussPatienten
zustimmenzu verkaufen
2. Änderung Behandlungsvertrag, z.B.:
2.Rechtlich unwirksam: Patient muss
„Hiermit entbinde
ich meine behandelnden
informiert
einwilligen
von ihrer
Schweigepflicht
→Ärzte
genaue
Aufklärung
welche und
Daten
stimme zu,werden
dass das Krankenhaus bei
übermittelt
Bedarf beliebige meiner Daten an vom
Krankenhaus ausgesuchte
3.Unbrauchbare
Lösung Mitarbeiter an
deren private „Bullshit“)
Geräte übermittelt…“
(Neudeutsch
Was tun…?
• Cloud meiden wie die P… ;-)
• Daten des Krankenhauses werden auf externen
Speicherorten oder mobilen Geräten nur verschlüsselt
abgelegt
– Bei eigenen Geräten wie Laptops am besten vollständig
verschlüsseln (z.B. Pre-Boot)
– Bei Geräten des Mitarbeiters mit vom Krankenhaus kontrollierten
Containern arbeiten, die bei Bedarf vom KH gelöscht werden
können
• Richtlinie für mobile Geräte erstellen
• Entsprechende Management-Software einsetzen
• Betriebsvereinbarung BYOD
Richtlinie mobile Geräte
• Generelle Sicherheitsmaßnahmen wie Authentifizierung
usw.
• Geräteverlust und unautorisierter Zugriff auf das Gerät
– Vorbeugende Maßnahmen wie Verschlüsselung
– Rückwirkende Maßnahmen wie Löschmechanismen
• Datenverlust
– Vorbeugende Maßnahmen wie Backups
– Rückwirkende Maßnahmen wie Data Recovery
• Defekte Geräte
– Vor Einschicken Daten löschen
• Datenübertragung und Angriff auf die Funkschnittstelle
berücksichtigen
– VPN
• Entsorgung
Management Software
Anforderungen:
- Kompatibel zu allen gängigen Mobile Plattformen und Anwendungen
- Arbeitet in allen gängigen Mobilfunknetzen
- Kann direkt „over the air“Die
(OTA)ideale
implementiert werden unter Auswahl
bestimmter Zielgeräte
- Hardware,
Betriebssysteme, Konfiguration und Anwendungen
Mobile-Device-Management-Lösung
können schnell und problemlos ausgeliefert werden
- Mobile Geräte können nach Bedarf von Administratoren dem System
hinzugefügt oder daraus entfernt werden
- Die Integrität und Sicherheit der-IT-Infrastruktur ist stets gewährleistet
- Security Policies werden konsequent durchgesetzt
- Der Anwender
bekommt
von der Existenz
der nicht
Lösung so wenig wie
Diese
Lösung
gibt es
möglich oder nötig mit
ist eine „eierlegende Wollmilchsau“
Management Software
Auswahlkriterien
• Unterstütze (mobile) OS
–
–
–
–
–
–
Android
Blackberry
iOS
Symbian
Windows
…
• Security-Features
–
–
–
–
–
–
–
–
–
App-Installation
(White-List, Black-List, …)
Authentifizierung-/Authorisierungs-Management
Jailbreak-Erkennung, rooten, …
Passwort
(Zusammensetzung, Wechsel, …)
Remote Control
Remote-Wipe
Verschlüsselung
(PIM-Container, Container für betriebliche Daten)
VPN-Konfiguration
(Installation, Wartung, …)
…
• Systemintegration
–
–
–
AD/LDAP-Integration
App-Management
…
Management Software
•
•
Eigene Anforderungen mit Anbieter abgleichen
Anbieter (Auswahl ohne Anspruch auf Vollständigkeit):
– 7P Group (7P MDM)
http://www.7p-group.com/portfolio/leistungen/effizienz-durch-mobilitaet/
– MobileIron
http://smartling.mobileiron.com/en/germany
– Sophos (smartMan)
http://www.dialogs.de/de_DE/produkte/smartman.html
– Sybase (Afaria)
http://www.sybase.de/mobilize
– Symantec (Endpoint Protection, Mobile Management, Access Control, SafeGuard
Easy)
http://www.symantec.com/de/de/theme.jsp?themeid=sep-family
http://www.symantec.com/de/de/mobile-management
http://www.symantec.com/de/de/network-access-protection
http://www.symantec.com/business/support/index?page=content&id=TECH30951
– T-Systems (SiMKO)
http://www.t-systems.de/tsip/de/754852/start/branchen/oeffentlicher-sektor/aeussereinnere-sicherheit/aeussere-innere-sicherheit
– Thinking Objects (Auralis)
http://www.to.com/auralis.988.0.html
– Ubitexx (ubi-Suite)
http://www.ubitexx.com/language/de-de/products/multiplatform_management
Lizenzkosten: 30 bis 100 Euro / Client
Beispiel: Klinikum mit 1000 Clients
= 30.000 bis 100.000 Euro
Betriebsvereinbarung
• Individualvereinbarung mit einzelnen Benutzern
nicht realisierbar
• Je nach eingesetzter Managementsoftware
potentielle Überwachungsmöglichkeit
→ Zustimmungspflichtig Betriebsrat/Personalrat
• Inhalt
–
–
–
–
–
Welche Apps?
Diebstahlsicherung / Vorgehen bei Verlust
Was darf wo gespeichert werden?
Antivirenprogramm
…
Fazit
• Einsatz mobiler Geräte im Krankenhaus auch Abseits
der mobilen Visite sinnvoll
• Kosten sind nicht vernachlässigbar
– Neben Anschaffungskosten bleiben
– Lizenzkosten für Managementsoftware
– Menschen, die
•
•
•
•
Software bedienen
Geräte einrichten
Anwender schulen
…
• (GDSG NRW könnte nach 18 Jahren langsam den
Anforderungen der heutigen Krankenhaus-Welt
angepasst werden)
Diskussion
[email protected]
Literatur (Auswahl)
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Androulidakis I. Mobile Phone Security and Forensics: A Practical Approach. Springer Verlag. ISBN 1461416493
Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder: Orientierungshilfe Cloud Computing
http://www.datenschutz-bayern.de/technik/orient/oh_cloud.pdf
AV-Comparatives: Mobile Security Bewertungen
http://www.av-comparatives.org/de/vergleichstests-bewertungen/mobile-security-bewertungen
Barrett D, Kipper G. Virtualization and Forensics: A Digital Forensic Investigators Guide to Virtual Environments. Syngress Media. ISBN
1597495573
BITKOM Leitfaden Desktop-Virtualisierung
http://www.bitkom.org/de/publikationen/38337_66035.aspx
BITKOM Positionspapier zu Cloud Computing
http://www.bitkom.org/de/publikationen/38337_71486.aspx
BSI: Mobile Security
https://www.bsi.bund.de/ContentBSI/Themen/Mobilsecurity/mobilsecurity.html
BSI: Cloud Computing
https://www.bsi.bund.de/DE/Themen/CloudComputing/CloudComputing_node.html
CyberBloc: Cloud Storages im Überblick
http://www.cyberbloc.de/index.php?/site/v3_comments/cloud_storages_im_ueberblick/
Esb Rechtsanwälte: Rechtliche Fallstricke bei BYOD
http://www.kanzlei.de/publikation/Rechtliche%20Fallstricke%20bei%20Bring%20Your%20Own%20Device.pdf
Hoog A. Android Forensics: Investigation, Analysis and Mobile Security for Google Android. Syngress Publishing. ASIN B006V36GEE
Institut für IT-Recht: Bring-Your-Own-Device: Datenschutz-Empfehlungen und technische Umsetzungsmöglichkeiten
http://www.iitr.de/bring-your-own-device-datenschutz-empfehlungen-und-technische-umsetzungsmoeglichkeiten.html
IT-Recht Kanzlei:Cloud Computing und Datenschutz - Eine Einführung
http://www.it-recht-kanzlei.de/cloud-computing-wolke-daten.html
Jansen W, Delaitre A. Mobile Forensic Reference Materials: A Methodology and Reification. CreateSpace Independent Publishing Platform. ISBN
1478179597
Kersten H, Klett G: Mobile Device Management. mitp Verlag. ISBN 3826692144
Kraska S, Meuser P. BYOD – Datenschutz und technische Umsetzung
http://www.channelpartner.de/channelcenter/mobilecomputing_smartphones/2589912/index.html
Maxwell R, Hooq A, Strzempka. Iphone and IOS Forensics: Investigation, Analysis and Mobile Security for Apple Iphone, Ipad and IOS Devices.
Syngress Media. ISBN 1597496596
Walter T, Dorschel J: Mobile Device Management – rechtliche Fragen
http://www.bartsch-rechtsanwaelte.de/media/docs/JD/Mobile%20Device%20Management%20-%20rechtliche%20Fragen.pdf
Zeitschrift für Informations-Sicherheit (kes): Mobile Security
http://www.kes.info/archiv/material/mobsec2012/mobsec2012.pdf