Anlage 3: Zusätzliche Anforderungen für große Praxen

Messung und Auswertung des Lernerfolgs

Die Ergebnisse sollten bei der Verbesserung des Sensibilisierungs- und Schulungsangebots zur Informationssicherheit in geeigneter Weise einfließen.

• Eine Methode den Lernerfolg zu messen, sind Tests am Ende der Schulungen.

Netzwerksicherheit

Planung des internen Netzwerkes

Bei der Planung des internen Netzwerkes soll eine Netzwerksegmentierung erfolgen, die berücksichtigt, welche Daten in dem jeweiligen Segment verarbeitet und kommuniziert werden. Hierbei soll eine Trennung zwischen Gesundheitsdaten und weniger kritischen Daten erfolgen.

• Durch Netzwerksegmentierung werden die einzelnen Segmente oder Bereiche zusätzlich geschützt.
• Wenn die Gesundheitsdaten in einem anderen Netzwerksegment verarbeitet werden als die E-Mails, dann kann sich Schadsoftware, die z.B. durch einen E-Mailanhang eingedrungen ist, nicht sofort auf die Gesundheitsdaten zugreifen, und es wird die Wahrscheinlichkeit erhöht, dass die Schadsoftware "rechtzeitig" erkannt wird und Gegenmaßnahmen ergriffen werden können, bevor die Gesundheitsdaten kompromittiert werden.
• Netzwerksegmentierung kann durch Firewalls, Virtual Local Area Networks (VLANs) oder auch Software Defined Networking (SDN) durchgeführt werden.

Absicherung von schützenswerten Informationen

Schützenswerte Informationen müssen über nach dem derzeitigen Stand der Technik sichere Protokolle übertragen werden, falls nicht über vertrauenswürdige dedizierte Netzsegmente kommuniziert wird.

• Schützenswerte Informationen müssen über nach dem derzeitigen Stand der Technik sichere Protokolle übertragen werden, falls nicht über vertrauenswürdige dedizierte Netzsegmente (z. B. innerhalb des Managementnetzes) kommuniziert wird.
• Können solche Protokolle nicht genutzt werden, muss nach Stand der Technik angemessen verschlüsselt und authentisiert werden.

Smartphone und Tablet

Festlegung einer Richtlinie für den Einsatz von Smartphones und Tablets

Bevor eine Praxis Smartphones oder Tablets bereitstellt, betreibt oder einsetzt, muss eine generelle Richtlinie im Hinblick auf die Nutzung und Kontrolle der Geräte festgelegt werden.

• Bevor eine Institution Smartphones oder Tablets bereitstellt, betreibt oder einsetzt, muss eine generelle Richtlinie im Hinblick auf die Nutzung und Kontrolle der Geräte festgelegt werden. Ein Beispiel in Form einer Muster-Richtlinie befindet sich im Bereich Musterdokumente.
• Hierbei muss unter anderem festgelegt werden, wer auf welche Informationen der Institution zugreifen darf.

Smartphone und Tablet

Auswahl und Freigabe von Apps

Apps aus öffentlichen App-Stores sollten vor einer gewünschten Installation durch die Verantwortlichen geprüft und freigegeben werden. 

• Apps aus öffentlichen App-Stores sollten durch die Verantwortlichen geprüft und freigegeben werden.
• Dazu sollte ein Freigabeprozess entwickelt werden, in dem auch geeignete Bewertungskriterien definiert sind.
• Alle freigegebenen Apps sollten intern in einem Standardkatalog veröffentlicht werden.

Smartphone und Tablet

Definition der erlaubten Informationen und Applikationen auf mobilen Geräten

Die Praxis sollte festlegen, welche Informationen auf den mobilen Endgeräten verarbeitet werden dürfen.

• Die Institution sollte festlegen, welche Informationen auf den mobilen Endgeräten verarbeitet werden dürfen.
• Grundlage für die Regelung sollte einerseits die Klassifikation der Institutionsdaten sein und andererseits die Bedingungen, unter denen die Daten auf den Geräten verarbeitet werden.
• Die Benutzer der mobilen Endgeräte sollten nur freigegebene und geprüfte Apps aus als sicher klassifizierten Quellen installieren dürfen.

Mobile Device Management (MDM)

Sichere Anbindung der mobilen Endgeräte an die Institution

Die Verbindung der mobilen Endgeräte zum MDM und das interne Netz der Institution muss angemessen abgesichert werden.

• Die Verbindung der mobilen Endgeräte zum MDM muss angemessen abgesichert werden. Dies bieten kommerzielle MDM-Lösungen in der Regel out-of-the-box an.
• Wenn Daten zwischen den mobilen Endgeräten und dem IT-Netz der Institution übertragen werden, sollte durch geeignete Maßnahmen (z. B. VPN) verhindert werden, dass Unbefugte sie verändern oder einsehen können.

Mobile Device Management (MDM)

Berechtigungsmanagement im MDM

Für das MDM muss ein Berechtigungskonzept erstellt, dokumentiert und angewendet werden.

• Für das MDM muss ein Berechtigungskonzept erstellt, dokumentiert und angewendet werden.
• Den Benutzergruppen und Administratoren sollte das MDM nur so viele Berechtigungen einräumen wie für die Aufgabenerfüllung notwendig sind (Minimalprinzip).
• Es sollte regelmäßig überprüft werden, ob die zugeteilten Rechte noch angemessen sind und den Aufgaben entsprechen.

Mobile Device Management (MDM)

Verwaltung von Zertifikaten

Zertifikate zur Nutzung von Diensten auf dem mobilen Endgerät sollten zentral über das MDM installiert, deinstalliert und aktualisiert werden.

• Zertifikate zur Nutzung von Diensten auf dem mobilen Endgerät sollten zentral über das MDM installiert, deinstalliert und aktualisiert werden.
• Die Installation von nicht vertrauenswürdigen und nicht verifizierbaren (Root-) Zertifikaten durch den Benutzer sollte durch das MDM verhindert werden.
• Das MDM sollte Mechanismen unterstützen, um die Gültigkeit von Zertifikaten zu überprüfen.

Mobile Device Management (MDM)

Fernlöschung und Außerbetriebnahme von Endgeräten

Das MDM muss sicherstellen, dass sämtliche Daten auf dem mobilen Endgerät aus der Ferne gelöscht werden können.

• Das MDM muss sicherstellen, dass sämtliche Daten auf dem mobilen Endgerät aus der Ferne gelöscht werden können (Remote Wipe bei bestehender Datenverbindung).
• Werden in dem mobilen Endgerät externe Speicher genutzt, sollte geprüft werden, ob diese bei einem Remote Wipe ebenfalls gelöscht werden können. Diese Funktion sollte vom MDM unterstützt werden.
• Der Prozess zur Außerbetriebnahme des mobilen Endgerätes (Unenrollment) muss sicherstellen, dass keine schutzbedürftigen Daten auf dem mobilen Endgerät oder eingebundenen Speichermedien verbleiben. Dies sollte insbesondere dann gelten, wenn das Unenrollment aus der Ferne ausgeführt wird.

Mobile Device Management (MDM)

Auswahl und Freigabe von Apps

Nur durch die Verantwortlichen geprüfte und freigegebene Apps dürfen über das MDM zur Installation angeboten werden.

• Apps aus öffentlichen App-Stores müssen durch die Verantwortlichen geprüft und freigegeben werden.
• Dazu sollte ein Freigabeprozess entwickelt werden, in dem auch geeignete Bewertungskriterien definiert sind.
• Alle freigegebenen Apps sollten intern in einem Standardkatalog veröffentlicht werden und dort für die Benutzer verfügbar sein.
• Apps sollten gemäß den Anforderungen des geplanten Einsatzszenarios über das MDM installiert, deinstalliert und aktualisiert werden.
• Das MDM sollte die Installation, Deinstallation und Aktualisierung erzwingen, sobald eine Verbindung zum mobilen Endgerät besteht.

Mobile Device Management (MDM)

Festlegung erlaubter Informationen auf mobilen Endgeräten

Die Praxis muss festlegen, welche Informationen die mobilen Endgeräte unter welchen Bedingungen verarbeiten dürfen.

• Die Institution muss festlegen, welche Informationen die mobilen Endgeräte unter welchen Bedingungen verarbeiten dürfen. Grundlage für die Regelung sollten einerseits die Klassifikation bzw. der Schutzbedarf der Informationen sein und andererseits die Bedingungen, unter denen die Daten auf den Geräten verarbeitet werden, etwa in abgeschotteten Containern.
• Die Verantwortlichen müssen das MDM auf Basis dieser Regeln konfigurieren, sodass es diese auf allen mobilen Endgeräten durchsetzen kann.
• Den Benutzern müssen die Regeln in geeigneter Weise bekannt gegeben werden.

Datenträgerverschlüsselung

Wechseldatenträger sollten vollständig verschlüsselt werden.

• Wechseldatenträger sollten vollständig verschlüsselt werden. Es sollte ein sicheres Verschlüsselungsverfahren eingesetzt werden. Empfehlungen zu geeigneten Algorithmen und Schlüssellängen bieten die Technischen Richtlinien des BSI BSI-TR-02102. Mittels Open-Source Lösungen wie VeraCrypt können entsprechende verschlüsselte Container angelegt werden.

Wechseldatenträger /
Speichermedien

Integritätsschutz durch Checksummen oder digitale Signaturen

Ein Verfahren zum Schutz gegen zufällige oder vorsätzliche Veränderungen sollte eingesetzt werden.

• Um beim Datenaustausch mittels mobiler Datenträger die Integrität von vertraulichen Informationen sicherzustellen, sollte ein Verfahren zum Schutz gegen zufällige oder vorsätzliche Veränderungen eingesetzt werden.
• Die Verfahren zum Schutz vor Veränderungen sollten dem aktuellen Stand der Technik entsprechen.

E-Mail-Client und -Server

Sicherer Betrieb von E-Mail-Servern

Bei dem Betrieb von E-Mail-Servern muss mindestens Folgendes berücksichtigt werden:

• es muss eine sichere Transportverschlüsselung für das Senden und Empfangen von E-Mails ermöglicht werden
• es sollten Schutzmechanismen gegen Denial-of-Service (DoS)-Attacken ergriffen werden
• E-Mail-Server müssen so konfiguriert werden, dass sie nicht als Spam-Relay missbraucht werden können.

• Der Empfang von E-Mails über unverschlüsselte Verbindungen sollte deaktiviert werden.
• Der E-Mail-Server sollte so konfiguriert werden, dass E-Mail-Clients nur über eine sichere Transportverschlüsselung auf Postfächer zugreifen können, wenn dies über nicht vertrauenswürdige Netze passiert. 

E-Mail-Client und -Server

Datensicherung und Archivierung von E-Mails

Die Daten der E-Mail-Server und -Clients sind regelmäßig und verschlüsselt zu sichern.

• Es sollte beachtet werden, dass E-Mails möglicherweise nur lokal auf Clients gespeichert sind. 

E-Mail-Client und -Server

Spam- und Virenschutz auf dem E-Mail-Server

Eingehende und ausgehende E-Mails und deren Anhänge sind auf Spam-Merkmale und schädliche Inhalte zu überprüfen.

• Es muss festlegt werden, wie mit verschlüsselten E-Mails zu verfahren ist, wenn diese nicht durch das Virenschutzprogramm entschlüsselt werden können.