Die Gesundheitsbranche ist eine der am stärksten regulierten Branchen. Der Umgang mit vertraulichen Informationen und Daten gehört für Ärzte, Pfleger oder Krankenschwestern zum Alltag. Es wird ein hohes Maß an Privatsphäre und Sicherheit erwartet und gefordert. Ein ganzheitliches Identity- und Access Management im Gesundheitswesen ist hier Hilfe und deutliche Entlastung. Ein IAM-Projekt ist ein komplexes Digitalisierungsthema. 

Mit IAM können die Mitarbeiter sicher sein, dass gesetzliche Bestimmungen eingehalten werden, weil es dem Unternehmen die Werkzeuge zur Implementierung umfassender Sicherheits-, Audit- und Zugriffsrichtlinien zur Verfügung stellt. Im Gesundheitswesen spielt das Identity and Access Management (IAM) eine zunehmend wichtige Rolle, da es nicht nur die Sicherheit, sondern auch den reibungslosen Ablauf von Prozessen in Krankenhäusern gewährleistet.

IAM regelt sämtliche Prozesse und Anwendungen, die bei der Identitäts-, Rollen- und Zugriffsverwaltung einer Organisation zum Einsatz kommen – und zwar zentral.

Die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) bietet Unternehmen Tools zur Steuerung des Zugriffs der Benutzer auf ihre technische Infrastruktur. IAM implementiert effektiv eine Sicherheitsebene zwischen Benutzern und lokalen oder Cloud-basierten Servern, Anwendungen und Daten
 

Grundlagen, Anforderungen, Implementierung 

Die Grundlagen von IAM in Krankenhäusern beinhalten die Verwaltung von Benutzeridentitäten, Zugriffsrechten und Authentifizierungsmethoden. Ein effektives IAM-System ermöglicht es, den Zugriff auf Patientendaten auf autorisierte Mitarbeiter zu beschränken, was die Sicherheitsrisiken erheblich reduziert.

Allerdings stehen Krankenhäuser vor verschiedenen Herausforderungen bei der Implementierung von IAM. Dazu gehören komplexe Organisationsstrukturen, die Vielfalt der genutzten Systeme und die Notwendigkeit, gleichzeitig einen reibungslosen und schnellen Zugriff für medizinisches Personal zu gewährleisten. Eine sorgfältige Planung und Anpassung an die spezifischen Anforderungen eines Krankenhauses sind daher unerlässlich.

Die Anforderungen an IAM im Bereich  "Branchenspezifischer Sicherheitsstandards" ( B3S )  (Bildgebung, Biobanken und Biomolekulare Ressourcen, und Systemmedizin) stellen eine zusätzliche Dimension dar. Hierbei geht es nicht nur um den Schutz von Patientendaten, sondern auch um die Verwaltung von hochspezialisierten Ressourcen und die Sicherstellung ihrer Integrität für Forschungszwecke.

Die Implementierung einer Identity- und Access Management Lösung (IAM) hat für Unternehmen im Gesundheitsbereich direkte Erfolge:

Fehler werden durch eine Automatisierung des Zugriffs- und Berechtigungsmanagements vermieden. Kosten werden durch die Automatisierung deutlich gesenkt. Die Datensicherheit erhöht sich und, dass bei gleichzeitiger Optimierung der gesamten Effizienz der Mitarbeitenden.  Das Personal hat wieder mehr Zeit für den Patienten.

Hinsichtlich des Einsatzes von künstlicher Intelligenz (KI) ergeben sich für das Identity & Accessmanagement, aber auch zur operativen Unterstützung als Entscheidungshelfer durch Plausibilisierungen (z. B. als Rezertifizierungs- „Advisor“), gleich mehrere Anwendungspotenziale.
 

KI im Identity and Access Management 

Die effektive Nutzung von Künstlicher Intelligenz (KI) im Identity and Access Management (IAM) erfordert eine klare Datenstruktur, umfassende Schulungen für das KI-Modell und eine Integration in bestehende IAM-Systeme. Voraussetzungen sind qualitativ hochwertige Daten, Datenschutzrichtlinien und eine robuste Infrastruktur. Die Ergebnisse umfassen verbesserte Sicherheit durch präzise Identitätsverifizierung, automatisierte Zugriffssteuerung und schnellere Reaktion auf Bedrohungen, was zu einer effizienteren IAM-Strategie führt.

Von der automatisierten Plausibilitätskontrolle von Berechtigungskombinationen bis hin zur Anomalieerkennung bei Zugriffen kann KI von großer Hilfe sein, Prozesse zu optimieren und die Sicherheit zu erhöhen. Über Automatisierung und Machine Learning lassen sich, mithilfe von KI, IAM-Prozesse deutlich effizienter gestalten. Dadurch können effektiv Kosten gesenkt werden.

Effektive Kosteneinsparungen kommen durch präzise Zugriffskontrolle auf sensible Daten zustande, indem IAM das Risiko von Fehlern und Missbrauch reduziert. Dadurch werden Ressourcen effizienter genutzt und Compliance-Anforderungen erfüllt, was langfristig zu Kosteneinsparungen führt.
 

Risikobereich KRITIS-Verordnung 

IAM ist bei Kliniken ein integraler Bestandteil der IT-Sicherheitsstrategie und spielt eine entscheidende Rolle bei der Verwaltung von Identitäten, Ressourcen und Zugriffsrechten in einem Krankenhaus. Richtungsweiser: Im Zuge eines konzernweiten Vorgehens werden Prozesse und Arbeitsweisen harmonisiert, ohne auf individuelle Notwendigkeiten und Spezifika einzelner Häuser verzichten zu müssen. Eine große Rolle spielen dabei etwa die Erreichung einer erhöhten Sicherheit und Risikominimierung durch kontrollierte und jederzeit nachvollziehbare Zugriffsrechte sowie einer impliziten Erfüllung der Nachweispflichten und prozessualen Vorgaben aus relevanten Gesetzen und Verordnungen wie KRITIS, B3S, §75c SGB V und damit einer verbesserten Compliance. 

Das BSI definiert in ihrer KRITIS-Verordnung Risikobereiche, wie ein möglicher Datenmissbrauch von Innentätern, menschliche Fehlhandlungen oder fehlende Rollen- oder Funktionstrennungen. Damit benennt das BSI Bedrohungskriterien, die die Einführung eines professionellen Identity- und Access-Managements (IAM) fordern.

Vom BSI genannte Risiken können minimiert werden. So bietet IAM der Organisation Kontrolle, Sicherheit und Effizienz beim Zugriff auf IT-Systeme und Daten – beispielsweise durch ein Access Governance im IAM-Komplettsystem. (1)

Auf der Basis klarer Rollen- und Funktionstrennungen wird gewährleistet, dass Benutzer nur Zugriff auf Anwendungen und Ressourcen erhalten, die sie für ihre Arbeit benötigen. IAM gilt als digitaler Schlüssel und öffnet Türen, wenn der Zutritt erlaubt und gewünscht ist, etwa für den Arzt beim Zugriff auf die elektronischen Patientenakten.

Gleichzeitig liefert IAM eine Übersicht über die Rechtevergabe: Welcher Nutzer Zugang zu welchen Systemen beziehungsweise Daten hat, ist klar ersichtlich und dokumentiert. Diese Informationen können wiederum genutzt werden, um Ex-Mitarbeitern den Zugriff mit dem Ausscheiden aus der Organisation zu entziehen. Auf diese Weise wird das Risiko, durch Insiderwissen Opfer von Datendiebstahl oder -manipulation zu werden, reduziert.

Sicherheitsrisiken durch generische, zu einfache oder Gruppen-Passwörter lassen sich durch IAM ausschließen. Die Organisationsregeln für die Erstellung sicherer Passwörter werden eingehalten, Anmeldeinformationen bleiben geheim. Mit einem integrierten Self-Service-Tool haben Nutzer die Kontrolle über Passwörter.

IAM hilft auch beim geforderten Reporting an die zuständigen Behörden wie das BSI. Jede Abweichung und Anomalie wird vom System überprüft und gemeldet. Diese Informationen helfen den Verantwortlichen unter anderem, ihrer Pflicht zur Meldung von IT-Störungen nachzukommen.
 

IAM-Projekt - Wegbereiter für weitere Digitalprojekte 

Vor Beginn der Implementierung eines IAM müssen technische und organisatorische Grundlagen geschaffen werden. Zum einen muss die Qualität und Beschaffenheit der Daten ausreichend sein, um Prozesse automatisiert arbeiten zu lassen. Zum anderen müssen mindestens die zentralen Applikationen integriert werden, was bei der Applikationslandschaft in Krankenhäusern häufig nicht ganz einfach ist, um auch hier einen größtmöglichen Nutzen aus den Möglichkeiten eines IAM zu ziehen.

Ein IAM-Projekt ist ein komplexes Digitalisierungsthema und kann Wegbereiter für weitere Digitalprojekte sein. Neben den technischen Herausforderungen ist die Einführung eines IAM ein umfangreiches Organisations- und Changeprojekt, welches sich auf viele Unternehmensbereiche auswirkt. Die Implementierung eines solchen zentralen Systems erfordert die Zusammenarbeit vieler Abteilungen und mündet häufig in Veränderungen von Arbeitsweisen, Prozessen sowie Datenhaltung und -pflege.

Konzeption, Entwicklung und Umsetzung des IAM im Gesundheitswesen machen eine ganzheitliche Herangehensweise erforderlich, um die Balance zwischen Sicherheit, Effizienz und Datenschutz zu gewährleisten. 

1      (1) Bundesamt für Sicherheit in der Informationstechnik. (2021). "Leitfaden Identity and Access Management im Gesundheitswesen."

Autor: Wolf-Dietrich Lorenz
Foto: Adobe Stock / ArternisDiana