Internet aus dem Intranet, ...wie sicher kann sowas sein? Einstellungen

[hypnosekroete]

Hallo Allemann, hier eine Frage für Netzwerk-Ahnung-Haber:

ich hospitiere zZt in einer kleinen Klinik. Die Klinik gehört einem Verbund an (insgesamt vier Kliniken der näheren Umgebung) in dem ziemlich viel Kooperation läuft, sodaß ua. gemeinsame Dienstpläne und die Großgerätenutzung (CT,MR, Herzkatheter) über das NW geplant wird. Es ist auch möglich (mit entsprechenden Rechten) die Dienstpläne und Belegung der anderen Häuser einzusehen.
Mir kommt irgendwie spanisch vor, das von allen Rechnern aus auf denen das KIS (klin. Informationssystem: s.oben+Patientenstammdaten+klinische Daten=hochsensibles Zeug!) läuft auch aufs Internet zugegriffen werden kann...
Es kommt also durchaus vor, das mit im Hintergrund offenem KIS im Inet gesurft wird.
IMHO irgendwie bedenklich, oder gibt es Mittel und Wege, das vernünftig abzusichern? (WinXP Clients an Win2003 Servern)

Aus der Uniklinik kenn ich das so, das es zwei getrennte Netze gab: ein KIS- und ein Forschungsnetz. Das KIS war dabei gegenüber dem Inet völlig abgeschirmt (physikalisch voneinander getrennte Netze; jeder Arbeitsplatz hatte 2 Rechner einer für KIS, einer fürs Forschungsnw) auch das uniklinikeigene Intranet (Mitarbeiteremail, Bibliothekszugriff blabla) war nur über das Forschungsnetz zu erreichen.

Wenn ihr noch Infos braucht: Frägen. Hab leider wenig Netzwer-Plan
hypno

Der Beitrag wurde von hypnosekroete bearbeitet: 25.01.2007, 21:03

[Gast_Jens1962_*]

Google spuckt da sehr viel Interessantes aus, für den Anfang...

[hypnosekroete]

Schon klar...
Aber inwieweit ist Bedrohung durch einen Einbruch in das Intranet von aussen gegeben bzw. real?
Die meisten Kliniken, die ich kenne trennen die Netze tatsächlich physikalisch, eben weil die Daten so sensibel sind und die dichtmachen können, wenn da irgendwo ein Leck sein sollte, dh bin ich auch so verwundert...
Oder ist das Risiko bei vernünftiger Adminisration vertretbar?

IMHO wärs ziemlich häßlich, wenn durch einen technischen Fehler/kriminelle Machenschaften plötzlich die OP-Pläne, Labordaten, RöBilder usw einer kompletten Klinik (bzw der Patienten!) im Internet verfügbar wären...

[floman]

Nun, die Trennung ist eigentlich ganz einfach. Wenn du zwischen den Kliniken ein MPLS-Netz hast, so hast du für jeden Standort private IP-Adressen. Diese sind von außen nicht sichtbar und ansprechbar. Noch dazu ist es bei MPLS ja so, dass die Labels bestimmen, welche Pakete in dem Netz des Providers weitergeswitcht werden. Ich nehme an, dass ihr einen zentralen Internet Breakout (Gateway) habt, über den der einzige Zugriff ins Internet erfolgt, somit nur eine Adresse ins public Internet. Und wenn genau dieses Gateway dann mit einem (mehreren?) Firewalls geschützt ist, kann ohne Probleme im Internet gesurft werden, während in der anderen Applikation auf Patientendaten zugegriffen wird. Hat schon alles seine Richtigkeit. Wenns richtig konfiguriert ist, besteht kein Risiko!

F.

Der Beitrag wurde von floman bearbeitet: 26.01.2007, 08:32

[Örx]

Was die an deiner Uniklinik gemacht haben ist tatsächlich die beste Methode - wird auch bei Geheimdiensten so gemacht.
In deinem Fall würde ich anregen die üblichen Ports komplett zu sperren (also 80, 443) und diese nur über einen Proxy (der mit entsprechender Software filtert) nach außen zu lassen. Auch könnte man sonstige "übliche Verdächtige" sperren, Instant Messenger, File Sharing, etc pp.

[Krond]

Normalerweise wird nicht nur Port 80 und 443 gesperrt, sondern tatsächlich alle relevanten Ports. Die Kommunikation läuft NUR über einen Proxy - und dort mit entsprechend scharfen Einstellungen und Prüfungen. Auch ein Datenverkehr per Mail wird vorher geprüft, sodass Mails mit Anhängen erst nach Freigabe durch den Admin zum entsprechenden User weitergeleitet werden.

Aber das sind Architekturen, wofür die Anstalten meistens Unmengen an Geld ausgeben und Sicherheitsfirmen beauftragen diese Strukturen einzuführen. Da liegt mehr dahinter als eine einfache Firewall und ein Virenscanner.

Da ich selbst in dieser Branche arbeite, habe ich hier schon extrem gute und extrem schlechte Beispiele gesehen. Eine komplette Trennung von 2 Netzwerken ist oft einfach nicht praktikabel, somit muss mit großem Aufwand eine (sichere) Integration geschaffen werden.

Das Auslesen von Patientendaten würde ich in vielen Fällen nicht überbewerten, da man auch die entsprechenden Datenstrukturen der Datenbank kennen muss. Was hilft es dir, wenn du die Stammdaten eines Patienten auslesen kannst, aber nicht weißt, in welcher Tabelle nun die entsprechenden Befunde (noch dazu in welcher Form) suchen musst, und wie der Join auf die entsprechende Tabelle aussieht. Noch dazu sind die Datenbanken sowieso auch extra per Passwörtern abgesichert. Also so einfach reinstelzen in ein Netzwerk und gleich einmal ein paar Befunde online stellen, geht nicht so einfach.

Und wenn ein "Insider" unbedingt etwas haben will, dann bekommt er es auch. Da hilft eine Trennung der Netzwerke auch nichts. Ich hab schon Fälle gehabt, wo auf einmal wildfremde Personen sich mit einem Notebook im Haus auf einen freien Netzwerkanschluss gehängt haben (ich wollte ja nur ein bissl surfen, während ich warte....). Oder es gehen irgendwelche Personen in ein Zimmer und stehlen dort Geräte, die herumstehen und gehen einfach wieder aus dem Haus, ohne aufgehalten zu werden. Alles schon dagewesen......

PS: welche Uniklinik war das? Nur aus Interesse, weil eine Uniklinik auch mein Kunde ist und die dort auch so eine Trennung haben....

Der Beitrag wurde von Krond bearbeitet: 26.01.2007, 12:41

[hypnosekroete]

@alle
Vielen Dank für die Antworten, das beruhigt mich ja einigermaßen!

Wenns richtig konfiguriert ist, besteht kein Risiko!

...ob das so ist, weiß ich natürlich nicht genau, denn ich hospititere in der Anästhesie - nicht in der IT
Bin aber guter Hoffnung das die Jungs da wissen, was sie tun!

[floman]

Na, so lange die Jungs aus der IT sich nicht ständig in der Anästhesie aufhalten (schnüffel....), dann ist ja auch für das Netz ok!