EDV-Sicherheitsrichtlinien des UKB - Zentralbereich für Information und Steuerung
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Zentralbereich für Information und Steuerung
DER UNIVERSITÄTSKLINIKEN BONN
Geschäftsführende Leitung
EDV-Sicherheitsrichtlinien des UKB
Stand: 17.02.03 12:46
19.1.99
1EDV-Sicherheitsrichtlinien der MEB
Einleitung
Im medizinischen Bereich, insbesondere in einer Universitätsklinik, werden spezielle Anforderungen an die
Datenverarbeitung und ihre Sicherheit gestellt. Bedingt durch die Aufgaben in Forschung und Lehre,
Krankenversorgung und Verwaltung ergeben sich teilweise widersprechende Anforderungen an die EDV.
Einerseits muß die Verarbeitung von patientenbezogenen Daten (Datenschutz, ärztliche Schweigepflicht) den
Anforderungen der Datenschutzgesetze genügen und sicher sein, andererseits wird in vielen Fällen gleichzeitig
Zugriff auf Informationsdienste für wissenschaftliche Aufgaben und Lehre (Internet, MEDLINE, etc) und die
Nutzung von elektronischer Post (e-mail) sowohl innerhalb der MEB zur Befundübermittelung als auch weltweit
gefordert. Dadurch ist eine Öffnung des Datennetzes nach außen mit den daraus resultierenden Gefahren
unvermeidbar. Darüber hinaus werden in zunehmendem Umfang wichtige DV-Anwendungen und DV-Systeme
nur dann noch von den Herstellerfirmen in ausreichendem Maße und zu finanziell tragbaren Konditionen
gewartet, wenn Ihnen über Kommunikationsleitungen für Wartungs- und Reparaturzwecke der Zugriff auf EDV-
Systeme in den MEB eröffnet wird.
Dem enormen Nutzen durch den Einsatz der modernen DV-Technologien steht die Bewältigung der damit in
Bezug auf Datenschutz und Datensicherheit verbundenen Risiken gegenüber.
Die Wichtigkeit des Datenschutzes im medizinischen Bereich rechtfertigt folgende Leitsätze:
• Was nicht explizit erlaubt ist, ist verboten. Das heißt, es werden keine neuen Protokolle, Dienste, Services
ohne Überprüfung und Zustimmung entsprechender Stellen in den MEB (Klinischer Vorstand, ZIS-Vorstand,
Datenschutzbeauftragte) eingeführt. Dies gilt sowohl für Anwendungen innerhalb der MEB als auch für
Kommunikation zu externen Bereichen.
• Die Schutzmaßnahmen müssen praktikabel und bezahlbar sein. Das heißt, die Datensicherheit muß so
geregelt sein, daß sowohl die gesetzlichen Forderungen (Datenschutz, ärztliche Schweigepflicht, etc.)
eingehalten werden, aber auch die notwendigen Bedürfnisse und finanziellen Restriktionen der Kliniken und
Institute berücksichtigt werden. Grundsätzlich hat dabei der Datenschutz Vorrang vor den Wünschen und
Forderungen der Kliniken, Institute und Verwaltung.
Im folgenden werden deshalb die Richtlinien zum sicheren Einsatz von EDV-Systemen und EDV-
Kommunikationsmedien in den MEB festgelegt, welche die angesprochenen Risiken minimieren.
Betroffene Bereiche
Definition des sicheren Bereichs
In den MEB wird ein gesicherter Netzbereich aufgebaut, im weiteren MEBNet genannt. In diesem Netzbereich
können bei Einhaltung der in diesem Papier aufgeführten Regeln personenbezogene Daten verarbeitet werden (
Labordatenverarbeitung, Übermittlung von Befunden, etc).
Physikalisch besteht das MEBNet aus dem Verkabelungssystem, der Netzsteuerungselektronik und den an das
Netz angeschlossenen Endgeräten (PC-Arbeitsplätze, Server, Drucker,...).
Im vom Internet frei zugänglichen Bereich ist die Verarbeitung von personenbezogenen Daten nicht zulässig.
Die Sicherheitsüberlegungen im MEBNet müssen die nachfolgend aufgeführten Bereiche berücksichtigen:
• DV-Hardware (Prozessoren, Ausgabegeräte, Speichermedien, Kommunikationsleitungen,
Netzsteuerelektronik, Zubehör)
• Technische Kommunikationsregeln (Übertragungsprotokolle)
• Software (System-, Kommunikations- und Anwendungssoftware)
• Daten (während der Verarbeitung und Übertragung und auf Speichermedien)
• Mitarbeiter (Anwender, DV-Fachpersonal, Wartungspersonal)
• Dokumentation der Hardware, Software und administrativen Prozeduren
• Organisatorische Regelungen
Verantwortlichkeiten
Die Verantwortlichkeit für die Einhaltung des Datenschutzes ist gesetzlich geregelt. Die „datenverarbeitende
Stelle“ im Sinne der Datenschutzgesetze ist für die Einhaltung der gesetzlichen Vorschriften und anderer
Vorschriften über den Datenschutz verantwortlich; sie hat sich davon zu überzeugen, daß die ausführenden
Stellen als Auftragnehmer den Datenschutz nicht verletzen. Datenverarbeitende Stellen in den MEB sind die
Kliniken, Institute und Verwaltung. Auftragnehmer im Sinne der Datenschutzgesetze sind die Betreiber der
zentralen Datenverarbeitung für die MEB (ZIS) und die dezentralen Betreiber von Servern in den Kliniken und
Institute. In der folgenden Abbildung 1 sind die Verantwortlichkeiten dargestellt. Die datenverarbeitenden
Stellen sind in der Abbildung als „Anwender“ bezeichnet.
19.1.99
2Datenschutz - Verantwortlichkeiten
Verantwortung Verantwortung Verantwortung
Datennutzer Netzbetreiber Datenhalter
Arbeitsplatz-
Netzwerk Server
Computer
Daten- Zugang
übertragung von außen
Abbildung 1: Verantwortlichkeiten für den Datenschutz
Grundregeln
Die Grundregeln betreffen alle Bereiche in den MEB, die EDV einsetzen.
DV-Geräte und Einrichtungen (Netzwerksteuerungskomponenten, Server, Speichereinheiten, Ausgabegeräte),
die für den Datenschutz und die Datensicherheit in den MEB von Bedeutung sind, müssen mit geeignetem
Zugangsschutz physisch und systemtechnisch gesichert werden (Zugangsschutz, Identifizierung).
Kommunikationsnetz
Es wird ein abgesicherter Netzbereich, im weiteren MEBNet genannt, aufgebaut. Der abgesicherte Netzbereich
wird insgesamt gegenüber der Außenwelt als Gesamtheit (vertrauenswürdig) betrachtet; zwischen einzelnen
Institutionen der MEB Abteilungen (Kliniken, Instituten, Verwaltung) werden außer der Absicherung der
Serversysteme keine weiteren Einschränkungen und Sicherheitsverfahren auf Netzwerkebene eingebaut. Die
folgenden Regeln gelten für den abgesicherten Netzbereich.
• Der Zugang zum gesicherten Netzbereich darf nur kontrolliert und protokolliert erfolgen. Der Anschluß des
gesicherten Netzbereiches an externe Kommunikationseinrichtungen (z.B. Internet) wird durch ein
sogenanntes Firewall-System realisiert. Das Firewall-System besteht aus Netzsteuerelektronik, zentral
betriebenen Steuerungsrechnern (Firewall) und Modemserver für den Zugang von und nach außen über
Modem und ISDN. Der Modem- (bzw. ISDN) - Betrieb an einem vernetzten Arbeitsplatz-PC ist nicht
gestattet.
• Für den Betrieb von Firewall-Systemen sind betriebsintern Richtlinien und Zuständigkeitsregelungen zu
definieren. Diese sollen auch Vorschriften über die Protokollierung, die Behandlung von
sicherheitsrelevanten Ereignissen und Sanktionen bei Sicherheitsverstößen enthalten.
• Im Regelfall werden vorgegebene, vom Datenschutzbeauftragten freigegebene interaktive Dienste (telnet,
ftp, Zugriff auf News-, WWW- und externe Medline-Server) zum Internet hin nur dann ohne Kontrolle
vermittelt, wenn die Kontaktaufnahme von der Klinik in die Außenwelt erfolgt.
• Der Zugriff vom Internet aus auf das MEBNet erfolgt über das Firewall-System mit Benutzernummern und
nur einmalig zu verwendenden Paßwörtern. Zugriffsberechtigungen werden nur in Einzelfällen auf schriftlich
begründeten Antrag erteilt.
• Datenverbindungen (wie Modem- , ISDN-Strecken oder doppelte Netzwerkkarten in einem Rechner), die den
Firewall umgehen, sind nicht gestattet.
• Wartungszugänge für externe Firmen zu in den MEB betriebenen EDV-Systemen dürfen nur über diesen
Firewall-System (insbesondere über den zentralen Modemserver) erfolgen; dabei ist der Zugriff auf
schutzwürdige Daten der MEB auszuschließen. Wartungsarbeiten sind grundsätzlich zu protokollieren.
• Der ungesicherte Bereich des Datenkommunikationsnetzes der MEB ist Teil des BONNET (MEB-
BONNET) und Internet und unterliegt insofern den Regeln des BONNET und des Internet. Es wird von den
MEB (ZIS) betrieben.
19.1.99
3Übertragungsprotokolle
• Für die Kommunikation mit externen Bereichen ist nur das TCP/IP-Protokoll erlaubt; andere Protokolle (z.
B. Novell-IPX, NetBEUI) werden grundsätzlich gesperrt. Ausnahmen müssen im Einzelfall geprüft und
genehmigt werden.
Hardware - Server
• Die Einrichtung und Betreuung von Servern wird zentral vom ZIS koordiniert.
• Die Server werden mit entsprechenden Schutzmechanismen (Physikalische Zugangskontrolle,
Benutzerberechtigungen, Paßwörter, Terminaleinschränkungen, etc) ausgestattet.
• Für den Betrieb von Serversystemen sind betriebsintern eindeutige Richtlinien festzulegen und als
Benutzerordnung zu dokumentieren, die mindestens folgende Fragen regeln müssen:
• Was ist die ordnungsgemäße Nutzung des Systems?
• Wer darf die Ressourcen des Systems nutzen ?
• Wer und unter welchen Voraussetzungen werden Zugangsberechtigungen erteilt ?
• Wer erteilt Zugangsberechtigungen?
• Wer erhält Systemadministratorrechte ?
• Was sind die Rechte und Verantwortung der Nutzer ?
• Welche Regeln werden für die Passwortvergabe und Änderung festgelegt ?
• Die Systembeschreibung muß ausreichend für die Forderungen des Datenschutzgesetzes sein. Die
Verarbeitung von personenbezogenen Daten muß dem Datenschutzbeauftragten gemeldet werden.
• Server mit sicherheitrelevanten Informationen, auf die von Außerhalb zwingend zugegriffen werden muß
(Wartungsfall), müssen den Netzverkehr, insbesondere LOGIN-Passwörter, mit geeigneten Verfahren (z.B.
secure shell, SSL-Telnet) verschlüsseln.
• Die EDV Systeme sollen aus ergonomischen Gründen so gestaltet werden, daß alle an einem Arbeitsplatz
benötigten Funktionen von einem Bildschirm Arbeitsplatz genutzt werden können.
Software, Anwendungen
• Der Einsatz von Software, die standardmäßig personenbezogene Daten verarbeitet, speichert oder
transportiert, muß den Datenschutzbestimmungen entsprechen und durch den Datenschutzbeauftragten
zugelassen sein.
• E-Mail soll im Prinzip möglich sein.
- Für Computer (PCs etc.), auf denen personenbezogene Daten gespeichert werden, ist die Versendung
von E-mails grundsätzlich nicht erlaubt. Ausnahmen müssen mit den Datenschutzbeauftragten
konzeptionell abgestimmt werden.
- Eingehende E-Mail bedeutet keine Gefährdung des Datenschutzes, weil sie nicht ohne manuelle Schritte
übernommen wird und somit eine Überprüfung möglich ist. Die Überprüfung auf Viren oder ähnliche
Angriffe muß bei Bedarf vom Anwender für das jeweilige System durchgeführt werden.
- Für die Versendung von personenbezogenen Daten ist die Verwendung von digitaler Signatur und
Verschlüsselung eine Mindestanforderung. Der Empfang digital signierter E-Mail erlaubt damit die
Überprüfung der Authentizität und Integrität der Informationen.
• Dienste, die nur im lokalen Netz benötigt werden und gefährliche Sicherheitslücken haben, werden für die
Außenkommunikation gesperrt. (Beispiele: tftp, finger, NFS, NIS, X, Java, JavaScript). Eine Liste der
zugelassenen Dienste für die Außenkommunikation ist im Anhang beigefügt.
Daten
• Außerhalb des geschützten Netzbereiches dürfen keine personenbezogenen Daten gespeichert oder
verarbeitet werden.
• Datenbanken (Dateien) mit personenbezogenen Daten werden nur auf Serversystemen, nicht auf
Arbeitsplatz-PCs, gespeichert. Diese Daten müssen auf dem Speichermedium und auf dem Transportweg
verschlüsselt werden; im Einzelfall ist eine Prüfung der Verhältnismäßigkeit der Mittel (Abwägung Risiko /
Aufwand) durchzuführen.
• Die Abspeicherung von personenbezogenen Daten auf externen Datenträgern (CD-ROM, Diskette,
Magnetband, etc.) ist nicht erlaubt. Ausnahmen für notwendige Speicherungen (z.B. Datensicherungen von
Servern etc.) müssen mit dem Datenschutzbeauftragten abgestimmt und genehmigt werden.
• Eigene Informationsangebote der Klinik (z. B. WWW- oder FTP-Server) für Nutzung aus dem Internet, sind
vor dem Firewall (im BONNET-Bereich) anzusiedeln, weil sie den Zugriff von außen ermöglichen.
• Informationsangebote, die nur für Nutzung innerhalb der MEB zur Verfügung stehen sollen, sind von dieser
Regelung nicht betroffen. Selbstverständlich sind die Datenschutzvorschriften und die ärztliche
19.1.99
4Schweigepflicht zu beachten; personenbezogene Daten dürfen nur mit Kenntnis und schriftlicher
Einwilligung der Betroffenen bereitgestellt werden.
• Für die entsprechend den Anforderungen des Gesundheitswesens an externe Stellen zu übermittelnden Daten
sind kryptographische Verschlüsselungsprogamme zu verwenden .
Organisatorische Regelungen
• Organisatorische Regelungen für den Betrieb von DV-Geräten im MEBNet dürfen den
Datenschutzbestimmungen und den vorliegenden Regelungen nicht widersprechen.
• Die Betreiber eines Systems sind berechtigt und verpflichtet, bei Verstößen gegen bestehende Regelungen
und bei Beeinträchtigung der Betriebssicherheit Personen oder Bereiche von den Diensten auszuschließen.
Schwerwiegende Verstöße gegen diese Sicherheitsrichtlinien werden über den Datenschutzbeauftragten an
den Klinischen Vorstand gemeldet.
Dokumentation
• Es sind die gemäß dem Datenschutzgesetz notwendigen Dokumentationen zu erstellen (z.B. Meldungen an
den Datenschutzbeauftragten, ggf. Protokolle).
• Technische Dokumentationen über die Implementation des Datenschutzes (z.B. Paßwörter, technische
Parameter, usw.) sind als vertraulich bzw. Geheimsache zu behandeln und unterliegen ihrerseits dem
Datenschutz.
Zuständigkeiten:
• Das DV-Kommunikationsnetz der MEB, genannt MEBNet, wird vom ZIS betrieben und verantwortet.
• Zentrale Dienste werden ausschließlich vom ZIS zur Verfügung gestellt und betrieben. Einzelne Dienste
können vom ZIS an andere Abteilungen delegiert werden.
• Abteilungsspezifische Dienste/Server werden von der jeweiligen Abteilung (in deren Verantwortung)
betrieben. Die EDV-mäßige Zustimmung aus systemtechnischer Sicht wird durch den ZIS-Vorstand erteilt.
• Die Schulung der Anwender wird durch die jeweiligen Abteilungen durchgeführt.
• Die Nutzung neuer Dienste und Protokolle (z.B. Rundfunk über Internet, Videokonferenz, ...) insbesondere
bei Kommunikation nach externen Bereichen müssen über den Klinischen Vorstand genehmigt werden.
Rechte und Pflichten der Mitarbeiter
• Es ist nur die ordnungsgemäße dienstliche Nutzung gestattet.
• Berechtigt zur Nutzung der Systeme in den MEB sind Mitarbeiter der MEB, Gastwissenschaftler und im
Auftrag der MEB verpflichtete Personen. Näheres regeln die Richtlinien für den Betrieb der einzelnen
Serversysteme.
• Die Verpflichtung auf die Datenschutzgesetze ist in jedem Einzelfall vorzunehmen
(Datenschutzverpflichtung).
• Die Mitarbeiter sind in Bezug auf den Datenschutz und die einzusetzenden Anwendungen zu schulen.
• Die Anwender sind verpflichtet, die Betriebsregelungen der Server, auf denen sie eine Zugangsberechtigung
haben, einzuhalten
Anhang
Tabelle 1: Erlaubte Datenübertragungsprotokolle im MEBNet
Protokoll Einsatz
TCP/IP Internet, Intranet
IPX/SPX Novell-Netz, nur im
MEBNet
Apple-Talk nur im MEBNet
SNA nur im MEBNet
Ethernet im Hausbereich
Fast Ethernet im Hausbereich
Token-Ring im Hausbereich
FDDI im Backbone und
im Hausbereich
ATM für spezielle
Anwendungen
Tabelle 2: Installierte und verfügbare Dienste im MEBNet
19.1.99
5Protokoll Einsatz
DNS Domain-Names-
Server
smtp / pop3 Zentraler e-mail-
Server
http Interner WWW-
Server (im Aufbau)
Tabelle 3: Erlaubte Protokolle für die Kommunikation von Innen nach Außen
Protokoll Einsatz
telnet / TN3270 Terminal-
Emulation
smtp / pop3 e-mail
http WWW-Zugriff
https Secure WWW-
Zugriff
ftp Filetransfer-
protokoll
nntp Netnews zum
Newsserver des
RHRZ
ntp / time Zugriff auf
Time-Server
winspirs Zugriff auf
Medline-Server der
ULB
Tabelle 4: Erlaubte Protokolle für die Kommunikations von Außen nach Innen
Protokoll Einsatz
telnet /tn3270 Terminal-emulation
ftp Filetransfer-
protokoll
https Secure WWW für
Mailabfrage
19.1.99
6Sie können auch lesen
