Remote Patient Monitoring: Potenzial und Cyberrisiken

Vermehrt werden RPM-Technologien eingesetzt, um beispielsweise hochinfektiöse, chronisch erkrankte oder in der Mobilität eingeschränkte Patientinnen und Patienten in Echtzeit von der Ferne aus zu überwachen. Hierzu erfassen und übermitteln vernetzte Medtech-Produkte, Wearables und Sensoren relevante Gesundheitsparameter. Die Daten werden vom Gerät beispielsweise direkt über Mobilfunk mittels eigener SIM-Karte oder ein Gateway (kann auch das Smartphone sein) als Übertragungsmedium an einen RPM-Plattform-Provider gesendet. Meistens basieren RPM-Lösungen auf der Cloud-Technologie. Somit müssen die Daten schliesslich von der Cloud des RPM-Plattform-Providers sicher in das System der entsprechenden Gesundheitseinrichtung, also die zentrale Datenbank, übertragen werden.

Enorme Vorteile – hohe Cyber-Risiken

Die Vorteile von RPM für alle Beteiligten, vom Betreiber der vernetzten Medizintechnik bis zu den Patientinnen und Patienten, liegen auf der Hand:

• Verbesserung der Versorgung und Lebensqualität von Patientinnen und Patienten

• Rechtzeitige Erkennung von kritischen Zuständen

• Verbesserung des Behandlungserfolgs dank erhöhter Datenqualität

• Verbesserung der Interaktion zwischen medizinischem Personal und Patienten

• Senkung von Behandlungskosten

• Effizienzsteigerung von klinischen Studien

Die für RPM notwendige Vernetzung und die daraus resultierenden Datenflüsse sind jedoch mit hohen Cyber-Risiken verbunden: Einerseits stellen die vernetzten Medtech-Produkte selber attraktive Angriffsziele dar: Sie sind üblicherweise dauernd eingeschaltet, immer online, kombiniert mit teilweise geringe Security Standards sowie schlecht gewartet Softwareständen.

Gleichzeitig sind diese vernetzten Geräte und die zusammenhängende RPM-Gesamtlösung selten end-to-end überwacht um mögliche Kompromittierungen frühzeitig zu erkennen und zu reagieren.

Andererseits weist das komplexe IoT-Ökosystem der RPM-Leistungserbringung zahlreiche Stakeholder und damit auch Schnittstellen und Zonenübergänge auf. Ein potenzieller Angreifer wird sich den schwächsten Punkt im Gesamtsystem aussuchen. Daher müssen die Schnittstellen und Zonenübergänge sicher authentifiziert, gemanaged und überwacht werden. Gleichzeitig ist es zentral für die Sicherheit, dass die involvierten Medtech-Geräte sicher mit sicherheitsrelevanten Updates, Patches oder neuer Firmware ausgestattet werden können. Eine resistente Verschlüsselung ist die Grundvoraussetzung für die Sicherstellung des Datenschutzes sowie der Integrität der übertragenen Daten.

Stärkung der Cyber-Resilienz durch "Security by Design"

Um die Cyber-Risiken wirksam zu mitigieren, sind bereits bei der Entwicklung von RPM-Sicherheitsarchitekturen bestimmte Massnahmen notwendig. Denn neben der sicheren Integration und dem sicheren Betrieb ist die Product Cyber Security ein entscheidender Faktor. Daher ist es erfolgsentscheidend, dass diesen Sicherheitsaspekten schon früh in der Entwicklungsphase Rechnung getragen wird.

Zentral ist das "Security by Design"-Prinzip: Der Ansatz verfolgt die Prämisse, dass die notwendigen Sicherheitsmassnahmen vor allem innerhalb eines medizintechnischen Produkts, insbesondere in dessen Hard- und Software, umgesetzt werden. Diese Cyber Security-Aspekte wie zum Beispiel eine sichere Identifikation des Geräts, unveränderbare Log-Informationen oder sichere Update-Prozesse sowie Tamper Protection manifestieren sich auch in der Weiterentwicklung der entsprechenden Normen der Regulatoren.

----------

Die Sicherheit von vernetzten Medtech-Anwendungen beginnt beim Hersteller

Telemedizin-Anwendungen und vernetzte Medizintechnik versprechen mehr Effizienz in der Gesundheitsversorgung – sind aber auch ein Sicherheitsrisiko. Wie man dennoch Patientendaten schützen kann, erklärt Reto Amstad, Senior Security Consultant, CyOne Security. Interview: Tanja Mettauer

Wie wird der Schutz von Patientendaten bei der kontinuierlichen Fern-Übermittlung gewährleistet?

Reto Amstad: Da es sich bei Telemedizin-Anwendungen in der Regel um verteilte und damit vernetzte IoT-Systeme handelt, sind verschiedene Stakeholder involviert – von der Patientin, dem Gerätehersteller über den Telemedizin-Plattformprovider (Cloud), den Kommunikationsanbieter (z. B. Mobilfunknetz) bis hin zur Spital- respektive Praxisinfrastruktur und der behandelnden Ärztin. Um die Daten auf dem gesamten Weg vom Patienten bis zum Arzt zu schützen, müssen alle involvierten Parteien ihren Beitrag leisten – denn Cyberkriminelle suchen sich üblicherweise das schwächste Glied der Kette aus. Die Sicherheit von vernetzten Medtech-Anwendungen beginnt klar beim Hersteller: Er muss sein Produkt nach dem "Product Security by Design"-Ansatz und basierend auf einer Risikoanalyse mit den notwendigen Sicherheitsfunktionen ausstatten und diese auch entsprechend umsetzen. Des Weiteren ist er dazu verpflichtet, die Sicherheitsfunktionen während des gesamten Produktlebenszyklus zu pflegen, auf allfällige Schwachstellen zu überwachen und auf solche entsprechend zu reagieren – zum Beispiel mit Updates. Der Patient seinerseits sollte die vorhandenen Sicherheitsfunktionen nutzen respektive diese nicht zum Beispiel durch Herabstufung schwächen oder umgehen. Gleichzeitig sollten verfügbare Updates für das Medizintechnikprodukt sowie eventuell verbundene Geräte (z. B. Smartphone inkl. Apps) installiert werden. Cloud-Plattform-Provider sowie die Zuständigen für das Spital- respektive Praxissystem, wohin die Daten schliesslich flies­sen, sind in der Verantwortung, sichere Schnittstellen und Authentifizierungsmechanismen bereitzustellen sowie die Patientendaten in Transit und at Rest auf den Servern vor unbefugtem Zugriff sowie Manipulation zu schützen.

Wie werden medizinische Geräte, etwa Herzschrittmacher, vor einem Cyberangriff geschützt?

Zentral ist, dass die relevanten Sicherheitsfunktionen bereits in der Entwicklungs- und Designphase eingeplant werden. Dazu wird eine Risikoanalyse erstellt, im Rahmen derer mögliche Gefahren eruiert und bewertet werden. Daraus werden entsprechende Gegenmassnahmen abgeleitet. Typische Beispiele für Sicherheitsfunktionen in Medizintechnikprodukten sind: resistente Verschlüsselung zum Schutz der Daten vor unerlaubtem Zugriff und Manipulation; Tamper Protection: Schutz vor physischer Manipulation, Datentrennung von Patienten- und Gerätedaten; sichere Updateprozesse: Updatefiles müssen überprüfbar sein, um mögliche manipulierte Updates zu erkennen und zu verwerfen; Secure Boot / Boot Integrity Checks: Das Gerät überprüft das Betriebssystem und die Software auf Integrität; sicheres Authentifizieren und zentrales Gerätemanagement.

Wie werden Patientendaten und Gerätedaten auf solchen Geräten voneinander getrennt?

Patientendaten und Systemdaten haben unterschiedliche Schutzbedürfnisse und Gefahrenszenarien. Bei der Datentrennung geht es primär um den Schutz der Patientendaten. Diese müssen etwa auch während Reparatur- oder Wartungsprozessen geschützt werden. Auch am Ende des Produktlebenszyklus muss sichergestellt werden, dass kein Zugriff auf das Gerät mehr erfolgen kann. Da das sichere Löschen von Daten schwierig und aufwändig ist, kann hier beispielsweise mit kryptografischen Verfahren (Verschlüsselung) sichergestellt werden, dass die Patientendaten geschützt bleiben.