IKT-Trends und deren Bedeutung für eHealth

50 %
50 %
Information about IKT-Trends und deren Bedeutung für eHealth

Published on September 24, 2012

Author: FraunhoferAISEC

Source: slideshare.net

Description

Präsentation zum Thema „IKT-Trends und deren Bedeutung für eHealth“, gehalten von Prof. Claudia Eckert im September 2012

IT-SicherheitIKT-Trends und deren Bedeutung für eHealthClaudia EckertFraunhofer AISEC, MünchenTU München, Lehrstuhl für Sicherheit in der Informatik 1

Agenda1. IKT Trends2. Sicherheitsbedrohungen3. Lösungsansätze4. Take Home Message und Diskussionsanregungen

Agenda1. IKT Trends2. Sicherheitsbedrohungen3. Lösungsansätze4. Take Home Message und Diskussionsanregungen

1. IKT TrendsCy ber Phy s ical S y s tem s (CPS ) Offene, vernetzte, Internet-basierte Systeme Vernetzung von Menschen, Geräten physischen Objekten, DienstenBeis piele für CPS Smart Grid, Smart City, Auto, ProduktionMobile Endgeräte, m obiles Internet: iOS und Android-basierte Geräte Always on, Access anywhere

1. IKT TrendsCloud-bas ierte Diens te eMails, Kalender, Speicherdienste (Bilder, Dokumente,…) gemeinsame Dokumentenbearbeitung im Web: z.B. mit Google Docs, DropboxCons um erization of IT Was ist das? Neue IKT Technologien, die sich zunächst auf dem Konsumentenmarkt etablieren, dringen in Organisa- tionsstrukturen vor. Soziale Netze, BYOD: Vermischung privat/geschäftlich

1. IKT Trends und deren Bedeutung für eHealthCy ber-Phy s ical S y s tem eHealth System ist ein CPS!Mobile Endgeräte &Cons um erization is t Realität Tablet, Laptops, SmartphonesCloud-Diens te Cloud4Health Projekte z.B.. Patientenakte in Cloud4Health (BMWi)

Agenda1. IKT Trends2. Sicherheitsbedrohungen3. Lösungsansätze4. Take Home Message und Diskussionsanregungen

2. Sicherheitsbedrohungen: allgemeinCy ber-Angriffe s ind attraktiv für Angreifer Angriffe aus Distanz, kein Risiko durch Vor-Ort-Präsenz Geringes Entdeckungsrisiko u.a. durch Verschleierung von Spuren Hohe Effizienz und Effektivität durch parallele Angriffe, u.a. Cloud als Tatwaffe Tatwaffe Internet ist permanent von überall verfügbar Große Gewinne sind erzielbar Cyber Crime als Geschäftsmodell, z.B. SPAM über Botnetze: 10.000 $ pro Tag, Miete ab 10$ pro Woche für 50.000 -100.000 Bots

2. Sicherheitsbedrohungen: allgemein Aktuelle Cyber-Gefährdungen und AngriffsformenRegister des BSI, 2012 Gezieltes Hacking von Webservern mit dem Ziel der Platzierung von Schadsoftware oder zur Vorbereitung der Spionage in angeschlossenen Netzen oder Datenbanken Ungezielte Verteilung von Schadsoftware mittels SPAM oder Drive-by-Exploits mit Fokus auf Identitätsdiebstahl Drive-by-Exploits zur breitflächigen Infiltration von Rechnern mit Schadsoftware beim Surfen mit dem Ziel der Übernahme der Kontrolle des betroffenen Rechners Distributed Denial of Service-Angriff mittels Botnetzen mit dem Ziel der Störung der Erreichbarkeit von Webservern oder der Funktionsfähigkeit der Netzanbindung der betroffenen Institution Gezielte Malware-Infiltration über E-Mail und mithilfe von Social Engineering mit dem Ziel der Übernahme der Kontrolle über den betroffenen Rechner und anschließender Spionage

2. Sicherheitsbedrohungen: speziell SoftwareBeis piel: Web-Anwendung (siehe BSI Register) Problem : Programmierung Einschleusen von Viren, Trojanern Problem : mangelhafte Kontrollen unerlaubte Datenzugriffe, Identitätsdieb- stahl, IdentitätsmissbrauchHeraus forderungen: Zuverlässige Abschottungen (Kaskadeneffekte unterbinden) Selbst-Überwachung (Aufbau eines ‘Immunsystems’) Autonome Reaktion (kontrollierte ‘Selbst-Heilung’ )

2. Sicherheits-Bedrohungen: speziell Mobile Endgeräte, BYOD Verlust des Gerätes:  Zugriff auf sensible Daten auf dem Gerät  Missbrauch von Identifizierungsdaten Download von bösartigen Apps:  Ausspionieren, Manipulieren von Daten Private und berufliche Nutzung:  Fehlender Zugangsschutz, sorgloser Umgang, PrivatsphäreHeraus forderungen Sichere, vertrauenswürdige Ausführungsumgebung Sichere Identität

2. Sicherheits-Bedrohungen: speziell Cloud-ComputingKontrollverlust Wo sind die Daten, Wer hat Zugriff, Wie werden Datenschutz- auflagen eingehalten, …Heraus forderungen: Zertifizierte Cloud-Angebote Monitoring: Einhaltung rechtlicher, organisatorischer Vorgaben Providerwechsel ermöglichen, „Lock-In“-Effekt verhindern Integration der Cloud-Services in unternehmenseigene Prozesse

ZwischenfazitRisken und Anforderungen an den eHealth-Bereich Identitätsdiebstahl und Identitätsmissbrauch, Fraud Vertrauenswürdige ID-Token: eGK, HBA Unsichere Endgeräte: PCs, Smartphones, Tablets Sicherer Speicher (eGK, Server), abgesichertes (mobiles) Endgerät Unsichere Cloud (für Patientenakte, Bilder, Artzbrief etc.) Zertifizierte Health-Cloud Angebote, Anbieter ( vgl. DATEV- ’Modell’ ) Fehlende Vertrauensanker (Hardware und Software) Hardware Sicherheitsmodule (vgl. Smart Meter), geprüfte App (vgl nPA) Unsichere Anwendungen Test-Framework für Health-Apps, Security as a Service für eHealth

Stand der Forschung Lösungsansätze mit Potential für eHealth-Domäne

3. Lösungsansätze Hardware-SicherheitsmoduleZiel: Angriffsresistenz, Sicherer Speicher, SicherheitsfunktionenLös ungs ans ätze Seitenkanal-resistente(re) Microcontroller:  Skalierende, preiswerte Lösungen: spezielle FPGAs, ASICs, JavaCard- basiert Leichtgewichtige Kryptoverfahren (ECC) Unfälschbare Identität: PUF Sichere Multi-Core ArchitekturenBeis piele: SmartMeter, Automotive

3. Lösungsansätze Software-ArchitekturenZiel: Selbstüberwachende Software-Systeme, insbesondere auch mobile Endgeräte, Tablets, LaptopsLös ungs ans ätze: Virtualisierung: Isolierung von kritischen z.B. Apps Anwendungen z.B. Android Monitor-Komponente im Hypervisor Plattform (VMI): Sicheres z.B. L4Linux  Erkennt Manipulationen Betriebssystem mit Android Patches  Erkennt Einbruchsversuche Hypervisor mit VMI Monitor Hardware-Sicherheitsanker (HSM) Hardware, z.B. HSM, Multi-Core  Sichere Ein-/Ausgabe

3. Lösungsansätze Sandboxed Android, Dual-Boot Remote device administration  Remote access using ssh and other Linux utilities Storage  Filesystem snapshots and recovery  Transparent file encryption (device or file based)  File integrity protection using Linux Security Modules (LSM) Network  Transparent tunneling using Virtual Private Networks (VPN) Graphical User Interface (GUI)  Secure display (indicated by LED), secure input (hardware buttons)  Secure PIN entry used to unlock SE in microSD card (key storage)

3. Lösungsansätze Cloud Zertifizierung Zertifizierung Reichw eite Anbieter EuroCloud Star Audit Europäisch EuroCloud Trust in Cloud National SaaS-EcoSystem Trusted Cloud Europäisch TÜV Trust IT EuroPriSe Europäisch ULD ISA 3402 Type II International Diverse ISO 27001 International Diverse BSI Cloud Zertifikat* National/Europäisch BSI CSA Certification Framework* International CSA* in PlanungProblem : Statisch, Re-Evaluierung nach 12 Monaten, keine kontinuierliche Prüfung

3. Lösungsansätze Cloud Leitstand – Fraunhof er AISEC http:/ / leitstand.aisec.f raunhof er.de Google Network Bandwidth Location of Data During the last hour During the last day 15 Datacenter DE 12 50% MBit/s 9 Datacenter UK 13% 6 Telco Cloud 3 12% Public Cloud 25% 0 10 20 30 40 50 60 Time Cloud Sicherheit Amount of Data 15 12 Active users During the last 6 hours 5 4 Y Axis Label Users 9 3 6 2 3 1 Datacenter Datacenter Telco Public 17 18 19 20 21 22 23 User DE UK Cloud Cloud Hour of day Failed login attempts During the last 6 hours 1250Ziel: durchgehendes Überwachen Login attempts 1000 750 500 Frontend 250 17 18 19 20 21 22 23 Hour of day Backend Query SELECT avg(count(call)) der Cloud-Aktivitären Data/Metrics Definition SELECT avg(count(call)) FROM win:time(1h) SELECT avg(count(call)) FROM win:time(1h) WHERE serviceName = bla FROM win:time(1h) WHERE serviceName = bla OUTPUT EVERY 3s; Engine Data/Metrics REST WebService WHERE serviceName = srv OUTPUT EVERY 3s; OUTPUT EVERY 3s;Lös ung: AISEC Cloud Leitstand Data Analysis Module Data Analysis Module Data Analysis Module  Angriffserkennung Data Stream  Überprüfung der Einhaltung Hypervisor Network RSA Zabbix Snort Sensor Sensor Archer rechtlicher Anforderungen, StandardsZiel: Sicherer Cloud-Speicher, ohne Vendor-Lock-inLös ung: Zentraler Trust Manager • Browser-basierter Zugriff, Verteilung verschlüsselter Daten auf (z.B. zertifizierte) Cloud-Plattformen

3. Lösungsansätze AngriffserkennungZiel: Erkennen von VerhaltensanomalienLös ungs ans ätze Lernen von neuen Angriffstechniken: Honey-Nets und Maschinelles Lernen Umsetzen in neuen Erkennungstechniken: Clusterungs-Verfahren Techniken sowohl zur Netzüberwachung als auch zur Überwachung von Rechnern (VMI)

3. Lösungsansätze Sicherheitsarchitektur für pseudonyme DatenZiel: anonymisierte Verarbeitung medizinischer DatenLös ung: TU München, Klinikum München• Trennung von Identifizierungsdaten und medizinischen Daten• Einsatz: • Systeme, auf denen med. Daten verarbeitet werden • Architektur ist z.B. auf Arztrechner in Praxen einsetzbar

Agenda1. IKT Trends2. Sicherheitsbedrohungen3. Lösungsansätze4. Take Home Message und Diskussionsanregungen

4. Take Home Message Sicherheitslösungen & eHealth Domäne Identitätsdiebstahl und Identitätsmissbrauch sichere Smartcards: Forschung ist weit, Umsetzung ist auch weit Unsichere Endgeräte: PCs, Smartphones, Tablets Marktreife Lösungen mit sicheren Ausführungsumgebungen für mobile Geräte Unsichere Clouds (für Patientenakte, Bilder, Artzbrief etc.) verschlüsselter Cloud-Storage: sicherer als unprofessionelle IKT in Praxen, Zertifizierung von Clouds, Angebote noch in den Anfängen Fehlende Vertrauensanker (Hardware und Software) Hardware Sicherheitsmodule: Ausprägungen sind verfügbar, z.B. JavaCard Unsichere Anwendungen automatisierte Sicherheitstests: bislang nur proprietäre Tests, rudimentär

Anregungen für die DiskussionAkzeptanzproblem : Mehrwert der Gesundheitstelematik wird nicht verstanden/gesehen: Datenschutz-Misstrauen (diffus, Unwissenheit) Ärzteschaft befürchtet Störung der ArbeitsabläufeAkzeptanzerhöhung: Thes en Mehrwert für Ärzte: Prozesse, Kosten, Zeit, fancy und compliant Ist die gematik-Infrastruktur noch angemessen, aktuell?  Rundum-Sorglos-Services, inkl. Abrechnungswesen etc.  Fancy Technik, Komfort-Funktionen: Apps auf iPhone, iPads etc. Patient als ‚Herr seiner Daten‘: über unsichere Geräte, unsichere Dienste? • aber: Überforderung? Unwissenheit, Ignoranz?Rolle v on Norm ung:• Standards für Mobile Geräte Sicherheit? Für Sicheren eHealth App-Store , …

Vielen Dank für Ihre Aufmerksamkeit! Claudia Eckert Fraunhofer AISEC, München, TU München, Lehrstuhl für Sicherheit in der Informatik E-Mail: claudia.eckert@sec.in.tum.de Internet: http://www.sec.in.tum.de http://www.aisec.fraunhofer.de

Add a comment

Related presentations

Related pages

E-Health – Wikipedia

Unter dem Begriff E-Health versteht man Anwendungen ... Definitionsversuche für den Begriff E-Health: ... Patienten über dessen ...
Read more

Smilies, Emoticons und deren Bedeutung - The VTX Community

... Emoticons und deren Bedeutung. Eine kleine Auswahl von Smilies und Emoticons:-) ... = Für Linkshänder:-))) Sehr fröhlich oder witzig (Doppelkinn);-)=)
Read more

E-HEALTH-COM: Health-IT

... im E-Health weiter aus und stärkt ihre Position mit zwei Partnern von nationaler Bedeutung: ... eHealth Connector wurde entwickelt, um für Anbieter ...
Read more

Namensbedeutung - Beliebte Vornamen * Hitlisten 1890 bis 2015

Ein anderes Beispiel für die Bedeutung von Vornamen ist der schon erwähnte Generationsname aus China.
Read more

Geschwisterbeziehungen und ihre Bedeutung für die ...

deren Arbeit sich mit der Geschwisterbindung befasst, von einer ... ständigung voranzutreiben und in ihrer Bedeutung für die kindliche Entwicklung nicht zu
Read more

ÖGD und Web – Der Öffentliche Gesundheitsdienst und ...

... so genannten Apps und deren Bedeutung für die Medizin. ... In eHealth 2010 (diverse Autoren) Geodatensysteme im öffentlichen Gesundheitsdienst.
Read more

Hoher besuch am IEMG - Fachhochschule Flensburg ...

Aktuellster Ausdruck dessen ist eine jüngst an den Start gegangene ... Aber auch die Bedeutung von eHealth für die Region Flensburg war Gegenstand ...
Read more

Planungsstudie_Interoperabilitaet

... Sektoren eine herausragende Bedeutung ... eHealth-Planungsstudie ... für die Beteiligten sinnvoll, mit denen eine höhere ...
Read more

Kunigunde - Vornamen und ihre Bedeutung

Kunigunde - Vornamen und ihre Bedeutung. Home Home: Links: Suchen: Neues: Blog: ... Wenn Sie auf der Suche nach Wunsch-Namen für Ihr Baby sind ...
Read more