IT Security

Unter IT Security (auch IT-Sicherheit oder Informationssicherheit genannt) versteht man die Fähigkeit von IT-Systemen (und den zugehörigen Organisationen), die Vertraulichkeit, Verfügbarkeit und Integrität (von Systemen und Daten) zu gewährleisten.

1. Ziele der IT-Security

Mit dem Akronym CIA lassen sich die Ziele der IT-Security einfach merken:

• Confidentiality: Vertraulichkeit von z. B. personenbezogenen Daten
• Integrity: Die Unverfälschtheit von Daten und Systemen
• Availability: Die Verfügbarkeit von Daten und Systemen

Manchmal ergänzt man diese Liste noch um weitere Ziele:

• Accountability: Die Fähigkeit, Tätigkeiten wie die Veränderung von Daten und Systemen einer Person zuzuordnen
• Authenticity: Die Echtheit und Vertrauenswürdigkeit von Daten und Systemen

Im Gesundheitswesen spielt die Safety eine besonders große Rolle. Deren Ziel besteht darin, (körperliche) Schäden von Patienten, Anwendern und Dritten zu vermeiden.

2. Regulatorische Anforderungen an die IT Security

In Europa sind u. a. die folgenden Gesetze zu beachten:

• EU-Medizinprodukteverordnungen MDR und IVDR
• EU Datenschutzgrundverordnung DSGVO
• Digitale-Versorgung-Gesetz (DVG) und die DiGAV

Außerdem steht die Norm IEC 81001-5-1 kurz vor ihrer Harmonisierung.

In den USA sind beispielsweise relevant:

• Cybersecurity Guidance-Dokumente der FDA
• HIPAA
• Health Breach Notification Rule
• Vorschriften der Federal Trade Commission FTC

Ein weiterer Artikel betrachtet die Security Patches aus regulatorischer Sicht, ein weiterer die Rolle der Software Bill of Materials SBOM.

Hilfreich sind die Überlegungen zur IT Security bei Legacy Devices. und zur Integration eine IT-Sicherheitsmanagementsystems nach ISO 27001 mit dem Qualitätsmanagementssystem.

3. Hilfestellung bei der Umsetzung

a) Leitfäden

Der Leitfaden des Johner Instituts zur IT Security dient Herstellern als Checkliste. Die Anforderungen lassen sich gut prüfen, weil sie gemäß dem Software-Lebenszyklus organisiert und als binär beantwortbare Kriterien formuliert sind.

b) Normen

Viele Normen haben den Anspruch, Best Practices zu formulieren. Diese sollten Hersteller berücksichtigen, um die IT Security nach dem Stand der Technik zu gewährleisten.

• IEC 81001-5-1: Die harmonisierte Norm für sichere Health Software
• ISO 29147: Wie Hersteller IT-Schwachstellen offenlegen sollten
• IEC 60601-4-5: Die Norm zur IT-Sicherheit auch für Standalone-Software?
• ISO 27001: IT-Sicherheitsmanagement für alle Medizinproduktehersteller?
• IEC 62443-4-1: IT-Sicherheit als Teil des Produktlebenszyklus
• UL 2900 – Weshalb Sie den IT-Security-Standard kennen, aber niemals kaufen sollten
• ISO/IEC 15408: IT-Sicherheit von (Medizin-)Produkten bewerten

c) Methoden

Die Normen referenzieren Methoden, die zur Stärkung der IT-Sicherheit beitragen. Diese werden in den folgenden Artikel vorgestellt:

• Threat Modeling – eine Einführung
• Bewertung von Schwachstellen mit dem Common Vulnerability Scoring System (CVSS)
• Anonymisierung und Pseudonymisierung von Daten
• Fuzz Testing: IT-Sicherheit von Produkten bewerten

d) Spezifische Kontexte

Weitere Artikel adressieren bestimmte technische und organisatorische Kontexte:

• Risikomanagement im Krankenhaus und bei anderen Betreibern
• IT-Netzwerke: Besonderheiten bei Krankenhäusern auswählen
• Medical Cloud: Cloud Computing im Gesundheitswesen
• Internet der Dinge (IoT) im Gesundheitswesen