Digitalisierung und Förderung Was Kliniken und Krankenhäuser jetzt beachten müssen

Anbieter zum Thema

ProSoft GmbH

Governikus GmbH & Co. KG

Bei der von Bund und Ländern angestrebten „Digitalisierung im Gesundheitswesen“ sind die Verfügbarkeit, Integrität und Vertraulichkeit der eingesetzten IT-Systeme sowie die Authentizität der Informationen eine bedingungslose Grundvoraussetzung. Da sich die im Gesundheitswesen zur Verfügung stehenden Mittel mit Aufkommen der COVID-19 Pandemie nicht gerade verbessert haben, fördert das Bundesamt für Soziale Sicherung (BAS) nicht mehr nur die Verfügbarkeit von (akut-) stationären Versorgungseinrichtungen.

Inzwischen fallen auch angemessene technische und organisatorische Maßnahmen (TOM), die dem „Stand der Technik“ entsprechen und zu mehr IT-Sicherheit in kritischen Infrastrukturen wie größeren Krankenhäusern und Kliniken führen, unter diese Förderung. Damit werden auch zentrale Vorgaben wie DSGVO, ISO 27001, BSI-KRITIS-V und die branchenspezifischen Sicherheitsstandards B3S für die Gesundheitsversorgung im Krankenhaus eingehalten.

Wer erhält Förderung und wie viel?

Je nachdem, ob ein Krankenhaus zu den kritischen Infrastrukturen zählt oder nicht, können Förderungen aus dem Krankenhausstrukturfonds (KHSF) oder dem Krankenhauszukunftsfonds (KHZF) beantragt werden. Zu den kritischen Infrastrukturen und damit unter die BSI-KRITISV zählen solche Krankenhäuser, die den Schwellenwert von 30.000 vollstationären Fällen pro Jahr überschreiten.

Bei der Förderung geht es dabei strikt nach „Wer zuerst kommt, mahlt zuerst“: Im Krankenhausstrukturfonds für kritische Infrastrukturen beispielsweise werden bis zum Jahr 2024 zwei Milliarden Euro bereitgestellt. Die Förderquote der Fonds beträgt maximal 50 % der anfallenden Kosten. Die andere Hälfte des Kostenblocks teilen sich die antragstellende Einrichtung sowie das jeweilige Bundesland.

Alle Krankenhäuser, die nicht zu den kritischen Infrastrukturen zählen, können Mittel aus dem Fördertopf des Krankenhauszukunftsfonds beantragen. Dieser umfasst ein Fördervolumen von 4,3 Milliarden Euro und wird zu rund zwei Drittel vom Bund getragen. Hier sind Stand 01/2022 fast die gesamten Fördermittel bereits beantragt.

Verbesserung der IT- und Cybersicherheit

Förderungsfähige Projekte sind technische und organisatorische Maßnahmen (TOM) im Bereich IT-Sicherheit, die der Prävention gegen IT-Vorfälle, deren Detektion oder Mitigation dienen. Darüber hinaus werden aber auch Informationskampagnen und Schulungsmaßnahmen gefördert, die für ein stärkeres Bewusstsein für Themen rund um den Datenschutz sorgen.

Mit Prävention sind Abwehrmaßnahmen wie die sichere Authentifizierung, IPS, NAC, Malware-Scanner und Datenschleusen gemeint. Ein professionelles Sicherheitsmanagement (ISMS) definiert die Standards und kontrolliert kontinuierlich deren Einhaltung. Die Detektion von IT-Sicherheitsvorfällen kann durch einzelne Maßnahmen wie IDS, SIEM, Malware Multiscanner oder durch eine IT-Sicherheitszentrale (SOC), in der alle Informationen zur IT-Sicherheit zusammenlaufen, erreicht werden.

Log-Management zur Einhaltung von Standards wie KRITIS und B3S

Die Protokollierung von Ereignissen und IT-Sicherheitsvorfällen spielt bei der Prävention und Detektion eine zentrale Rolle. Alle Ereignisse im System zu protokollieren ist aber nur dann sinnvoll, wenn die Logfiles manipulationssicher, pseudonymisiert und mit eindeutigem Zeitstempel im IT-System gespeichert werden. Da die meisten Logdateien für die Entdeckung von IT-Sicherheitsvorfällen nicht von Bedeutung sind, müssen Filter „wichtige“ Ereignisse sichtbar machen und bei Anomalien die Verantwortlichen alarmieren. Dies erreichen nur „professionelle“ Log-Management-Lösungen.

Anforderungen an die Protokollierung

Der B3S KH wirft hier einen strengen Blick auf seine Anforderungen an die Protokollierung und fordert:

• Die Erstellung eines Protokollierungskonzeptes (ANF-MN 139)

• Den Schutz vor Manipulation der Logdaten (ANF-MN 140 + 141)

• Eine zentrale Protokollierungsinfrastruktur (ANF-MN 142)

• Eine ausreichende Dimensionierung der Protokollierungsinfrastruktur (ANF-MN 143)

• Eine zentrale Referenzzeitquelle (ANF-MN 144)

Professionelles Log-Management inklusive Auditsicherheit

Neben den zuvor genannten Anforderungen kann Log-Management zusätzlich den dedizierten Ansatz haben, den Nachweis zur Einhaltung von geforderten Regulatoriken zu erreichen und nachzuweisen. Laut Gesetzgeber, erfahrenen IT-Forensikern und Auditoren sollte ein zentrales Log Management ebenso sicherstellen, dass:

• die Ereignisse der zu überwachenden Systeme vollständig und lückenlos erfasst werden.

• die erfassten Daten in hohem Tempo verarbeitet und analysiert werden können.

• die abgelegten Informationen revisionssicher abgelegt und verarbeitet werden.

• die enorme Anzahl an direkten oder indirekten personenbezogenen Daten nur im Bedarfs- oder Verdachtsfall ausgewertet werden (DSGVO Art 5: Zweckbindung).

• die richtigen Erkenntnisse oder Alarme aus den gewonnen Massendaten generiert werden können.

Mit professionellen Log-Management-Lösungen können IT-Verantwortliche in Kliniken in wenigen Schritten die geforderte Auditsicherheit herstellen. Bei einigen Anbietern macht dies ein vorab definierter, mehrstufiger Prozess möglich:

• 1. Erstellung eines individuellen Protokollierungskonzepts, welches die spezifischen Anforderungen in Krankenhäusern abdeckt, inklusive Erfassung aller für die IT-Sicherheit und die geforderte(n) Regulatorik(en) wichtigen Komponenten, Applikationen sowie die darauf zugreifenden Personen. Definition deren Kritikalität im Hinblick auf die zu schützenden Ziele: Bekanntlich die Authentizität, Verfügbarkeit, Vertraulichkeit und Integrität. Die Protokollierung sollte zusammen mit zertifizierten Dienstleistern durchgeführt werden.

• 2. Alle Angaben, deren Bewertungen und Anforderungen werden eins zu eins in die Log-Management-Softwarelösung übernommen, welche nun in alle relevanten Systeme eingebunden wird. Alle damit im Zusammenhang stehenden Logfiles, die in Beziehung zu den relevanten IT-Systemen, Applikationen und Anwendern stehen, werden in den Compliance-Berichten berücksichtigt. Technische Maßnahmen für den Datenschutz, wie Pseudonymisierung und Rollenkonzepte, sollten hierbei genauso berücksichtigt werden, wie organisatorische Maßnahmen, beispielsweise ein N-Augen-Prinzip bei der De-Pseudonymisierung. Geloggte, unkritische Ereignisse dienen zum Nachweis der Einhaltung der gesetzlichen Vorgaben (Compliance). Werden Cyberangriffe erst nachträglich erkannt, werden aus zunächst harmlosen Logdateien wichtige Informationen, die zur Aufklärung der Angriffsmethoden und den daraus resultierenden Folgen notwendig sind. Oft sind bei internen und externen Angriffen mehrere IT-Komponenten involviert. Security Information und Event Management (SIEM) fügt die einzelnen Puzzleteile zu einem erkennbaren Bild zusammen, alarmiert die Verantwortlichen und ermöglicht so die Einleitung definierter Gegenmaßnahmen.

• 3. Aus allen relevanten Logdateien werden Alarme generiert und Berichte erstellt, die „Audit-sicher“ sein müssen. Ändern sich die Vorgaben in Regulatoriken, müssen Anwender diese Änderungen in der Regel selbst anpassen. Idealerweise kann dabei auf Standards aufgebaut werden, da andere Krankenhäuser die gleichen Anforderungen bereits erfüllen mussten.

• 4. Die kontinuierliche Pflege der ausgelieferten Compliance-Berichte und Alarme. Aktualisierung der Berichtspakete im Rahmen regelmäßiger Updates durch den Hersteller der Log-Management-Lösung. IT-Verantwortliche in Krankenhäusern müssen sich, sofern dieser Service angeboten wird, um nichts weiter kümmern, sondern können sich jederzeit auf eine funktionsfähige und rechtskonforme Lösung verlassen.

Bedenkt man alle zuvor genannten Vorgaben, ist der Einsatz von professionellen Log-Management-Lösungen heute alternativlos.

Fazit

Es gibt drei Gründe, die für den notwendigen Einsatz von Log-Management in kritischen Infrastrukturen im Gesundheitswesen wie Krankenhäusern und Kliniken sprechen. Das sind zum einen Compliance-Vorschriften, aber auch der fortlaufend zu gewährleistende störungsfreie IT-Betrieb und die damit zusammenhängende IT-Sicherheit. Für diese Felder ist die Logfile-Analyse eine wichtige und vielfach auch vorgeschriebene Informationsquelle. Bei der Unmenge an Logfiles, die täglich bereits in kleinen IT-Infrastrukturen anfallen, gleicht die Filterung von relevanten Logdateien der Suche nach der „Nadel im Heuhaufen“. Aber professionelles Log-Management kann aus Big Data nützliche Informationen für die Verfügbarkeit der IT und deren Absicherung erkennen.

Die finanzielle Unterstützung durch Krankenhausstrukturfonds und Krankenhauszukunftsfonds bietet eine günstige Gelegenheit, um auch Maßnahmen für die Verfügbarkeit der Krankenhaus IT bzw. OT zu gewährleisten und damit auch die Voraussetzungen für die überfällige Digitalisierung im Gesundheitswesen zu schaffen.

* Der Autor: Robert Korherr, Geschäftsführer der ProSoft GmbH

(ID:48573760)