Einleitung

Wir führten im vergangenen Jahr ein umfassendes Audit sowie Penetrationstests der eCareMed-Plattform durch – eines strategischen Gesundheitssystems, das 15 zentrale medizinische Einrichtungen in der Woiwodschaft Schlesien umfasst.
Das System integriert Einheiten unterschiedlicher Spezialisierung und Bedeutung – von regionalen Krankenhäusern bis hin zu national bedeutenden Institutionen wie dem Universitätsklinikum Prof. K. Gibiński sowie dem Nationalen Institut für Onkologie in Gliwice.

Schlesische Digitale Medizinplattform eCareMed

Das Hauptziel des implementierten Systems war es, die Zugänglichkeit medizinischer Dienstleistungen für Patienten durch den Einsatz moderner Informations- und Kommunikationstechnologien (IKT) im Betrieb der Medizinischen Universität Schlesiens sowie 14 kooperierender Krankenhäuser zu erhöhen.

Das Projekt der Medizinischen Plattform eCareMed mit einem Gesamtwert von etwa 78 Millionen PLN umfasste die Implementierung integrierter teleinformatischer Lösungen zur Unterstützung aller medizinischen Einrichtungen, die in den umfassenden Prozess der Diagnose, Behandlung, Rehabilitation und Patientenüberwachung außerhalb medizinischer Einrichtungen eingebunden sind.
Ein zentraler Bestandteil des Projekts war die Bereitstellung von Werkzeugen zur Optimierung medizinischer Konsultationen sowie die Ermöglichung von Diagnosen auf Basis umfassender elektronischer medizinischer Dokumentation. Die eCareMed-Plattform stellte zahlreiche Funktionen bereit, die die Gestaltung und Umsetzung innovativer organisatorischer, entscheidungsunterstützender und diagnostischer Prozesse auf Grundlage moderner IKT-Technologien ermöglichten.

Im Rahmen des Projekts führen die durch eCareMed abgedeckten Einheiten Tätigkeiten wie Telekonsultationen, Telemonitoring und Telerehabilitation durch. Alle drei Komponenten können sowohl unabhängig voneinander als auch in Zusammenarbeit funktionieren, insbesondere in medizinischen Fachbereichen wie Kardiologie, Neurologie und Onkologie.

Plattform-Audit

Die wichtigsten Komponenten der Plattform, die dem Audit unterzogen wurden, umfassten:

1. Kommunikationsserver-Software
2. Eine einheitliche Netzwerkschicht, die eine sichere und standardisierte Kommunikation zwischen den einzelnen Plattformkomponenten sowie allen Teilnehmern ermöglicht.
3. Die zusätzlichen Komponenten der Plattform umfassten:

• Server mit Hypervisor-Software und Speichersystemen, die für die Verarbeitung der Anwendungsschicht der Plattform verantwortlich sind – die Kommunikationsserver-Software läuft auf bis zu 15 virtuellen Maschinen auf Basis von Linux.
• Switches und Netzwerkverbindungen zwischen der Netzwerkschicht (Kernkomponente) und den internen Netzwerken der einzelnen Krankenhäuser innerhalb der Gruppe des Auftraggebers.
• WAF- und Firewall-Systeme der Krankenhäuser innerhalb der Gruppe des Auftraggebers sowie Methoden zu deren Konfiguration zur Anbindung der internen Krankenhausnetzwerke an die Kernkomponente – die Netzwerkschicht.
• WAF- und Firewall-Systeme zur Absicherung und Verbindung der Krankenhausnetzwerke, einschließlich Konfigurationsmethoden für diese Geräte zur Umsetzung von Sicherheitsrichtlinien sowie VPN-Verbindungen.

Hauptziele des Audits

Das Hauptziel des Audits war die Identifizierung potenzieller Sicherheitslücken in der eCareMed-Plattform sowie die Bewertung der damit verbundenen Risiken, ergänzt durch die Entwicklung von Maßnahmenempfehlungen zur Behebung dieser Schwachstellen.
Ein zentraler Aspekt des Audits war die Bereitstellung einer klaren Empfehlung hinsichtlich der Produktionsreife des Systems sowie dessen Verfügbarkeit für Endnutzer. Die Plattform besteht aus zahlreichen kritischen Komponenten, die für die Aufrechterhaltung der Kontinuität medizinischer Abläufe essenziell sind, darunter der Communication Server sowie die fortschrittliche Netzwerkschicht.

Die übergeordneten Ziele des Audits waren:

1. Identifizierung von Schwachstellen in der IT-Plattform eCareMed, einschließlich ihrer zentralen und zusätzlichen Komponenten.
2. Bewertung der mit den identifizierten Schwachstellen in den zentralen und zusätzlichen Komponenten der Plattform verbundenen Risiken sowie Bereitstellung von Empfehlungen zur Minderung dieser Risiken, um die Widerstandsfähigkeit der Plattform gegenüber allen bekannten Formen von Cyberbedrohungen zum Zeitpunkt des Audits zu erhöhen.
3. Aufgrund der Dienstleistungsvereinbarungen, die die Plattform und ihre Komponenten regeln, mussten die Bewertungen der Auswirkungen von Schwachstellen gemäß CVSS Version 4.0 durchgeführt werden.
4. Analyse und Demonstration potenzieller unbefugter Zugriffe auf Daten und Ressourcen innerhalb der Plattform, einschließlich ihrer zentralen und zusätzlichen Komponenten.

Der Auftraggeber zielte darauf ab zu überprüfen, ob die zentralen und zusätzlichen Komponenten der eCareMed-Plattform, die von Auftragnehmern, Subunternehmern und Lieferanten entwickelt oder bereitgestellt wurden, sicher nutzbar sind und mit der Designdokumentation der Plattform übereinstimmen – sowohl mit der im Vergabeprozess bereitgestellten Dokumentation für einzelne Komponenten als auch mit der As-built-Dokumentation dieser Komponenten.

Der Auftraggeber erwartete einen Sicherheitsprüfbericht, der eindeutig feststellt, ob die regionale IT-Plattform für die Nutzung durch Systemanwender, Projektauftragnehmer und Administratoren sicher ist.

Eines der finalen Deliverables war die klare Empfehlung des Prüfers, ob die eCareMed-Plattform bereit für den Produktivbetrieb (d. h. die Verfügbarkeit für Endnutzer) ist oder ob Bereiche aufgezeigt werden, die noch einer Behebung bedürfen.

Ziel des Audits war außerdem die Identifizierung potenzieller Konfigurationsunterschiede in den Komponenten der Plattform zwischen verschiedenen Krankenhäusern – sogenannter Abweichungen oder Diskrepanzen gegenüber den in der As-built-Dokumentation definierten Standards der jeweiligen Komponenten.

Umfang der Arbeiten:

1. Schwachstellen- und Compliance-Audit:
   • Wir führten ein umfassendes Audit unter Anwendung von Whitebox- und Blackbox-Methoden durch, wobei ein besonderer Schwerpunkt auf manuellen Penetrationstests lag, bedingt durch die hohe Sensibilität der verarbeiteten medizinischen Daten. Vulnerability-Scanner wurden lediglich als ergänzende Werkzeuge eingesetzt.
     Die Tests wurden aus drei Perspektiven durchgeführt: aus dem Internet mit aktiven Sicherheitsmechanismen, aus dem Internet mit teilweiser Umgehung von Sicherheitsmaßnahmen sowie aus dem internen Netzwerk über VPN.
   • Schwachstellenbewertungen wurden unter Verwendung der CVSS-4.0-Skala durchgeführt, mit besonderem Fokus auf das Risiko eines unbefugten Datenzugriffs.
   • Wir führten Compliance-Audits im Hinblick auf die Verordnung über nationale Interoperabilitätsrahmen (NIF), das Gesetz über das nationale Cybersicherheitssystem (NCSA) sowie die WCAG-2.1-Richtlinien zur Barrierefreiheit durch.
2. Penetrationstests:
   • Wir führten detaillierte Sicherheitstests der Netzwerkschicht durch, einschließlich Web Application Firewall (WAF)-Geräten, Unified Threat Management (UTM)-Systemen sowie dem Sicherheits-Controller SecoManager.
   • Wir haben die Management-Umgebung auf Basis der Technologien Kubernetes, Rancher, Galera und GitHub geprüft und dabei die Sicherheit der Verwaltungs- und Updateprozesse verifiziert.
   • Besonderes Augenmerk lag auf der Prüfung von Authentifizierungs- und Autorisierungsmechanismen, einschließlich der Möglichkeiten zur Rechteausweitung (Privilege Escalation) über verschiedene Systemkomponenten hinweg.
3. Funktionstests und Dokumentationskonformität:
   • Wir führten eine umfassende Überprüfung der Konformität der Plattform mit den Projektannahmen sowie dem konzeptionellen Design der Plattform und aller ihrer Komponenten durch.
   • Wir identifizierten und dokumentierten etwaige Abweichungen zwischen der entwickelten Plattform und der Projektdokumentation.
   • Besonderes Augenmerk lag auf der Überprüfung von Unterschieden in der Konfiguration einzelner Systemkomponenten zwischen den Krankenhäusern sowie der Identifizierung potenzieller Abweichungen vom definierten Standard.
   • Die Überprüfung wurde für alle Systemkomponenten durchgeführt, die für den ordnungsgemäßen Betrieb in jedem der 15 Krankenhäuser erforderlich sind.
4. Risikobewertung und Empfehlungen:
   • Wir erstellten eine umfassende Business Impact Analysis (BIA) sowie eine Data Protection Impact Assessment (DPIA).
   • Wir entwickelten detaillierte Disaster-Recovery-Pläne (DRP) für alle identifizierten Risikoszenarien.
   • Wir erstellten Empfehlungen zur Verbesserung der Sicherheit unter Berücksichtigung der Besonderheiten des medizinischen Umfelds.
5. Zusammenarbeit und Koordination:
   • Wir standen in regelmäßigem Kontakt mit dem Kunden durch wöchentliche Abstimmungsgespräche.
   • Wir implementierten einen Prozess zur sofortigen Meldung identifizierter Schwachstellen, der eine schnelle Reaktion ermöglichte.
   • Die invasiven Tests wurden gemäß einem streng festgelegten Zeitplan durchgeführt, um das Risiko von Störungen im Betrieb der medizinischen Einrichtungen zu minimieren.
6. Abschlussbericht:
   • Wir stellten einen detaillierten Bericht bereit, der eine vollständige Dokumentation der durchgeführten Tests sowie Nachweise der identifizierten Schwachstellen enthält.
   • Wir erstellten detaillierte Maßnahmenempfehlungen, die dem Kunden eine fundierte Geschäftsentscheidung darüber ermöglichen, wo zusätzliche Ressourcen investiert werden sollten, um die festgelegten Akzeptanzkriterien zu erfüllen, unter Berücksichtigung der Priorisierung der Maßnahmen.
   • Wir präsentierten eine Analyse der Umsetzungskonformität der Plattform im Hinblick auf die Projektdokumentation.

Conclusions

Das Audit hat die Sicherheit der eCareMed-Plattform erheblich verbessert. Das Projekt hatte strategische Bedeutung für die gesamte Region, und seine Ergebnisse trugen nicht nur zur Absicherung kritischer Infrastruktur und medizinischer Daten bei, sondern auch zur Überprüfung der Qualität der gesamten Systemumsetzung.
Umfassende Funktionstests bestätigten die Konformität der Plattform mit den Projektannahmen und stellten sicher, dass das System alle erforderlichen Funktionen in allen 15 medizinischen Einrichtungen erfüllt.
Die eingeführten Verbesserungen erhöhen das Niveau der Sicherheit und der betrieblichen Stabilität, was für ein System, das eine so große Anzahl medizinischer Einrichtungen unterstützt, von entscheidender Bedeutung ist.

Möchten Sie die Sicherheit Ihres Systems erhöhen und zentrale Daten schützen? Kontaktieren Sie uns und erfahren Sie, wie unsere Audits und Penetrationstests dazu beitragen können, Ihre Organisation abzusichern.