ISO 27017 für Gesundheitswesen: Cloud-Sicherheit nachweisen

Wer eine Praxissoftware, ein Terminportal oder eine Archivlösung aus der Cloud anbietet, kennt die Fragen des Einkaufs eines Spitals oder einer Klinikgruppe: Wo liegen die Daten? Wer kann darauf zugreifen? Was geschieht bei Vertragsende? Im Lieferantenfragebogen stehen diese Punkte meist auf der ersten Seite.

ISO 27017 liefert die Struktur für die Antworten. Der Standard ergänzt ISO 27001 und ISO 27002 um Kontrollen, die nur in der Cloud auftreten. Dazu gehören die Trennung der Mandanten, der Zugriff durch Administratoren und die Rückgabe der Daten.

Ein Zertifikat nach ISO 27017 fasst diese Antworten in einem Dokument zusammen, das die Einkaufsabteilung prüfen kann. Bei einer Ausschreibung oder einer Partnerprüfung ersparen Sie sich damit lange Einzelerklärungen.

• Der Standard ISO 27017 im Überblick

Im Zentrum steht die geteilte Verantwortung zwischen Anbieter und Kunde. Die folgenden Beispiele zeigen, wie sich das im Gesundheitswesen konkret äussert.

Mandantentrennung

Eine Praxisverwaltung als Cloud-Dienst bedient viele Praxen auf derselben Infrastruktur. Die Patientendaten der einen Praxis dürfen für eine andere nie sichtbar sein.

Administratorzugriff

Ein Support-Mitarbeiter löst ein Problem im Befundportal eines Labors. Der Standard verlangt, dass solche Zugriffe geregelt, begrenzt und nachvollziehbar sind.

Datenrückgabe und Löschung

Eine Gruppenpraxis wechselt den Anbieter. Sie muss ihre Daten in einem brauchbaren Format zurückerhalten, danach müssen die Kopien beim alten Anbieter sicher gelöscht werden.

Virtualisierung

Virtuelle Maschinen mit Behandlungsdaten laufen neben anderen Systemen. Die Umgebung muss so abgesichert sein, dass ein kompromittiertes System die anderen nicht erreicht.

Vorfallbehandlung

Fällt ein Telemedizin-Dienst aus oder gelangen Daten in falsche Hände, muss klar sein, wer wen informiert und in welcher Reihenfolge.

Der Standard richtet sich an Cloud-Anbieter und an Cloud-Kunden. Im Gesundheitswesen treffen beide Seiten ständig aufeinander.

• ISO-Zertifizierung für KMU

Die sechs Kernanforderungen lassen sich mit überschaubaren Mitteln umsetzen. Entscheidend ist, dass Sie jede davon schriftlich festhalten und im Betrieb belegen können.

1. 01

   Cloud-spezifische Risikoanalyse

   Sie listen auf, welche Patientendaten in welchen Cloud-Diensten liegen, und bewerten Risiken wie Fremdzugriff, Ausfall oder Fehlkonfiguration.

2. 02

   Verantwortlichkeiten festlegen

   Im Vertrag oder in einem Anhang steht, wer Zugriffsrechte vergibt, wer Backups prüft und wer Vorfälle meldet. Beide Seiten kennen diese Aufteilung.

3. 03

   Datenisolierung sicherstellen

   Jede Praxis oder Abteilung erhält eine eigene, technisch getrennte Datenumgebung. Die Trennung wird regelmässig getestet und dokumentiert.

4. 04

   Sichere Löschung gewährleisten

   Sie definieren ein Verfahren für das Vertragsende, inklusive Bestätigung der Löschung an den Kunden.

5. 05

   Virtualisierung absichern

   Sie härten die Systeme, trennen Verwaltungsnetze von Kundennetzen und spielen Sicherheitsupdates nach festem Plan ein.

6. 06

   Cloud-spezifische Incident Response

   Ein Ablaufplan nennt Ansprechpersonen, Fristen und Kommunikationswege zu Kunden. Er wird mindestens einmal geübt.

Sie beantworten online 34 Ja/Nein-Fragen zu ISO 27017. 12 davon sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Bei den übrigen 22 Fragen braucht es mindestens 15 Ja-Antworten. Ein Audit vor Ort entfällt.

Das Zertifikat wird von der G6 Agency AG im Rahmen einer Lizenz von SICE ausgestellt, SICE prüft jede Beurteilung vor der Ausstellung. Nach bestandener Beurteilung und Zahlung erhalten Sie es innerhalb von 4 Stunden. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren. Ihr Kunde prüft die Echtheit selbst, ohne bei Ihnen nachzufragen.

Der Preis beträgt 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Die Verrechnung läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Für den Kauf brauchen Sie kein Konto. Bei mehreren Standards gibt es 20 % Rabatt für zwei und 30 % für drei oder mehr, auch auf die jährliche Gebühr.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• Details zu ISO 27017

Der klassische Weg führt über eine Zertifizierungsstelle, die Ihren Betrieb vor Ort auditiert. Das bindet Personal für mehrere Tage und braucht eine längere Vorlaufzeit. Wer einen Termin mit Auditor wünscht oder dazu verpflichtet ist, wählt diesen Weg.

Zertify eignet sich, wenn ein Kunde, eine Ausschreibung oder ein Partner einen überprüfbaren Nachweis verlangt und Sie ihn ohne Wartezeit brauchen. Wie sich die Routen unterscheiden, lesen Sie im Vergleich. Wer ISO 27001 bereits umsetzt, hat für die Beurteilung eine gute Grundlage.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Audit vor Ort
• ISO 27001 Informationssicherheit