Druck- und Patientensicherheit

Die technische Welt verändert sich. Es gab da eine Zeit in der „nicht allzu fernen“ Vergangenheit, als Kliniken und Krankenhäuser alle ihre Systeme in den wohldefinierten Grenzen ihrer eigenen physischen Infrastrukturen betrieben. Normalerweise geschah dies im Keller (was vielleicht erklären kann, warum so viele meiner IT-Kollegen so von der Sonne bedroht sind). Heute haben die vielen Fusionen und Übernahmen die Komplexität der IT-Infrastruktur verändert. Die IT fordert, dass Daten nicht nur die Straße kreuzen, sondern die Stadt, den Staat und manchmal sogar internationale Grenzen überschreiten. Das bedeutet, dass die Patientendaten nicht mehr auf die Drähte im Gebäude beschränkt sind, sondern den Globus umrunden.

Dieses Problem wird durch den Standort der klinischen Abrechnungssysteme von EMR verstärkt. Viele Anbieter bieten heute das Hosting eines EMR-Systems einer Organisation an. Cerner, Epic und Allscripts haben alle entsprechende Hosting-Optionen für einige oder alle ihrer Anwendungen. Andere Unternehmen wie eClinicalWorks bieten eine Cloud-gehostete Umgebung mit Daten im öffentlichen Internet an.

Wenn Daten große Entfernungen zurücklegen müssen, besteht eine erhöhte Wahrscheinlichkeit, dass Daten von unerwünschten Akteuren gelesen werden. Viele Datenformen haben jedoch Sicherheit eingebaut, um eine sichere Übermittlung zu ermöglichen. Daten, auf die über das Internet zugegriffen wird, können (und sollten) durch Verschlüsselungsschemata wie TLS geschützt werden. Sogenannte private Netzwerke sollten ebenfalls verschlüsselt werden, obwohl dies nicht notwendigerweise der Fall ist. Daten in diesen Welten sind leicht zu erlangen, wenn man ein wenig Wissen über Telefonie hat, da diese Daten oft nicht durch gemeinsame Verschlüsselungsschemata geschützt werden.

Anfällige Druckströme

Ein wichtiger Schritt in der Sicherheitsaufrüstung ist der druckfertige Datenstrom. Klinische Umgebungen erfordern sehr viel Ausdruck. Etiketten, Verschreibungen, Zusammenfassungen der Besuche und Armbänder werden oft von EMR-Systemen erzeugt und an Ausgabegeräte gesendet. Druckfertige Datenströme sind zwar vom menschlichen Auge nicht leicht abzulesen, aber sie sind leicht zu erfassen. Ebenso einfach ist es, ihren Inhalt zu offenbaren.

Nehmen wir an, dass eine Druckübertragung erfasst wird. Das ist ziemlich einfach zu machen. Wireshark-Spuren, digitale Feed-Taps und andere gängige Sniffing-Methoden sind leicht zu erreichen. Zu ermitteln, welche Daten zu einen druckbereiten Datenstrom gehören, ist also einfach. Ein paar Markierungen wie „PJL“, „XA“ und einige andere können schnell als Informationen identifiziert werden, die für einen Drucker bestimmt sind.

Sobald die Daten isoliert sind, muss man sie nur noch an einen Drucker „zurückgeben“ (viele Drucker verarbeiten eine Vielzahl von Dokumenten-Datenströmen und sogar Etikettendrucker können ziemlich flexibel sein). Dann, voila, kommt die Information, leicht lesbar für das menschliche Auge. Die Informationen können die zuvor erwähnten PHI-Daten oder Rechnungsdaten oder irgendetwas anderes, das gedruckt wird, enthalten. Wenn der Sniffer mit etwas Intelligenz platziert wird, steigt die Sensibilität der Daten.

Was passiert, wenn die Dokumente aus der Public Cloud gedruckt werden? Gibt es einen Mechanismus, der verhindert, dass diese Daten von ausgefeilten webbasierten Bots, die darauf trainiert sind,  erfasst werden? Im Allgemeinen nicht. Druckdaten und Druckverkehr werden in der Sicherheitsplanung oft nicht berücksichtigt.

Das Problem des Drucks

Das Kernproblem ist hier nicht nur die Schwachstelle, sondern der häufige Fehler, den Druckverkehr für selbstverständlich zu nehmen. Viele halten den Druck für ein magisches Ding, das einfach passieren und sich um sich selbst kümmern soll. Dies trifft häufig auf genau die IT-Organisationen zu, die diese Druckdatenströme schützen sollen. Innerhalb dieser Organisationen  ist wenig darüber bekannt, wie ein Druck erstellt, gesendet und empfangen wird, außer dass „Windows es einfach handhabt“. Oder „Mein EMR befasst sich nur damit.“ Über die klaren Sicherheitsrisiken hinaus versäumen die Leute zu hinterfragen, was passiert, wenn diese Armbänder nicht gedruckt werden? Oder wenn sich die Patientenversorgung aufgrund von Störungen in den Druckmechanismen verzögert? Haben diejenigen, die unsere Systeme entwerfen, irgendwelche Kenntnisse über die Notwendigkeit der kritischen Druckausgabe im Arbeitsablauf des Gesundheitswesens?

Genau wie bei jedem anderen Problem ist die mangelnde Verwaltung in der Druckumgebung das Kernproblem. Es reicht nicht aus, die Druckerhersteller um Hilfe zu bitten, da sie das Gesundheitswesen nicht verstehen. Ein Blick auf unsere EMR-Anbieter reicht auch nicht aus. Sie wissen, wie die Daten zu formattieren sind und wie sie auf dem Papier erscheinen sollen, haben aber keine Ahnung vm Netzwerk, das den Datenverkehr bewegt. Auch unsere Netzwerkingenieure sind dieser Aufgabe nicht gewachsen. Sie wissen, wie man Netzwerke mit geringerer Anfälligkeit erstellt, aber diese hängen von Anwendungen wie Webservern und Webbrowsern ab, um die Sicherheit zu gewährleisten. Um dies auch noch weiter zu erschweren, machen viele Unternehmen die unerfahrensten Mitarbeiter für die Druckumgebung verantwortlich, weil „es“ so herausfordernd und problematisch ist. Erfahrene Leute wollen damit nichts zu tun haben, weil sie wissen, dass es schwierig ist.

Zugehörigkeit

Wenn die Anfälligkeit des Drucks das Problem ist, ist Inhaberschaft die Antwort darauf. Standfeste, intelligente und erfahrene Teams sollten sich die Druckumgebung zu eigen machen. Diese Leute müssen studieren, wie Netzwerkdruck funktioniert. Sie sollten wissen, welche Systeme diese Datenströme produzieren und wie sie am besten gesichert werden können. Es sollte sowohl hochqualifizierte technische Mitarbeiter als auch ein Management geben, die sich auf dieses, sich ständig verändernde Umfeld konzentrieret. Große Betriebe müssen Mitarbeiter beschäftigen, die sich aussschließlich diesem Thema widmen. Viele zukunftsorientierte Unternehmen schaffen heute Output Management-bezogene Positionen sowohl für Mitarbeiter als auch für Führungskräfte. Einige etablieren sogar Abteilungen, die für die Drucklandschaft verantwortlich sind.

Viele Drucker haben heute die Fähigkeit, Daten zu entschlüsseln; IPSEC- und TLS-Entschlüsselung sind oft verfügbar. Einige Druckertreiber können die Daten verschlüsseln, aber nicht alle. EMR-Anbieter verschlüsseln die ausgehenden Daten nicht, sondern sind auf andere Mechanismen angewiesen.

Hier kommt LRS ins Spiel. LRS Mitarbeiter arbeiten schon seit vielen Jahren mit dieser Umgebung. LRS verschlüsselt schon seit fast zwei Jahrzehnten Datenströme zu Druckern und von EMRs zu LRS-Output-Management-Systemen. Wir können Ihnen dabei helfen, in diesem Bereich eine Nasenlänge voraus zu sein und dem oben beschriebenen Datenverlust entgegen zu steuern.

Informationsverlust durch druckfertige Daten ist leider Wirklichkeit und geschieht jeden Tag. Wenn Sie sich mit diesem Thema befassen, können Sie ihre Organisation, ihre Patienten und vielleicht sogar sich selbst schützen.