Handbuch für Primär-Versorgungs-Einheiten

Datensicherheit und Integrität beschreibt die Absicherung von IT-Infrastruktur in einer PVE und die Methoden, die Dienste hoch verfügbar zu halten.

Systemsicherheit

Um die Systemsicherheit zu gewährleisten, sind regelmäßige Updates eingesetzter Programme und Systeme durchzuführen, ebenso regelmäßige Überprüfungen auf Systemunsicherheiten (dies wird normalerweise durch den Softwareanbieter bereitgestellt) und Patches. Es empfiehlt sich zumindest eine wöchentliche Überprüfung, sofern der Anbieter der Softwarekomponenten nicht ein kürzeres Intervall oder automatische Updates und Korrekturen anbietet.

Neben den technischen Updates sind initiale wie auch periodische Teamschulungen zum Thema System- und Datensicherheit wesentlich. Diese fokussieren auf:

  • Umgang mit sensiblen Daten
  • Umgang mit verdächtigen Daten (Viren, Mail SPAM, …)
  • Verwendung von dienstlicher Infrastruktur
  • Sinnvolle Verwendung von IT-Ausrüstung (Ablageorte, Tipps zur Verwendung)

Die internen Netze müssen mit dedizierten Firewalls abgesichert werden. Zusätzliche Firewalls zur Absicherung der individuellen sind für stationäre PCs (Workstation) empfohlen, für Notebooks und Mobilgeräten, die sich auch in Fremdnetze einbuchen können, sind diese Firewalls als verpflichtend anzusehen.

Aktuelle Virenscanner sowohl am Arbeitsplatz als auch in der System-Firewall und den Servern sowie SPAM- und Fraud-Prevention-Lösungen für E-Mail ergänzen das Systemsicherheits-Konzept. Eine abgestimmte und effektive Lösung für die Systemsicherheit sollte von einer entsprechenden Fachfrau/einem entsprechenden Fachmann eingerichtet und dimensioniert bzw. zumindest in der Funktionalität und Sinnhaftigkeit validiert werden.

Verfügbarkeit der IT

Die Verfügbarkeit der IT ist im Gesundheitswesen allgemein und damit auch in einer PVE ein ganz wesentlicher Punkt, dem hohe Aufmerksamkeit zu schenken ist. Dabei ist auch der Aspekt der Wirtschaftlichkeit zu betrachten. Folgende Vorkehrungen sorgen für einen möglichst ausfallsicheren IT-Betrieb einer PVE:

  • Einsatz aktueller Hardware – idealerweise mit Servicevertrag (Service Level Agreement „SLA“) durch den Anbieter von Hard- und/oder Software.
  • Vorhalten von Ersatzgeräten und wesentlichen Ersatzteile vor Ort, wo notwendig oder sinnvoll wie z.B. Ersatzkabel, Tastaturen, Mäuse vorrätig halten (lagernde Ersatztastaturen und Mäuse kosten weniger als der Verdienstausfall, der durch ein defektes Peripheriegerät dieser Preisklasse produziert wird).
  • Wichtige Geräte in der PVE durch unterbrechungsfreie Stromversorgung (USV) und Netzfilter absichern.
  • Wichtige zentrale Datenbestände immer redundant abspeichern. Dies lässt sich recht einfach durch Einrichten eines NAS (Network Attached Storage Systeme) gewährleisten.

Ein weiterer wichtiger Punkt für die IT- und Daten-Verfügbarkeit ist die regelmäßige Sicherung sämtlicher Daten. Dabei ist nicht nur eine Sicherung von zentraler Wichtigkeit, auch die Verifikation des Wiedereinspielens von Daten muss regelmäßig erfolgen (d.h. Daten aus einer Sicherung wieder einspielen und stichprobenweise überprüfen).

Folgende Regeln werden für die besondere Schutzbedüftigkeit der Daten in einer PVE empfohlen:

  • Backups in mehreren Generationen und Tiefen anlegen. Z.B.: tägliche Sicherung in 4 Generationen, wöchentliche Sicherung in 10 Generationen (= Datenträger).
  • Regelmäßig bestimmte markierte Sicherungen disloziert, das heißt außerhalb der PVE, ablegen (z.B. Schließfach in einer Bank).
  • Zumindest halbjährlich sollte routinemäßig versucht werden, Backups wieder einzuspielen. Um das Hauptsystem damit nicht zu belasten, ist es ideal, ein (kleines) Zweitsystem zum sogenannten Restore-Test vorzuhalten.
  • Der Erfolg (oder Misserfolg) einer Sicherung sollte eine Benachrichtigung auslösen, die auch von den Verantwortlichen der PVE gelesen wird.