2021 AHIME Digitalisierungsgrad Messung - Rubrik: (2) Security

Allgemeine Informationen zum Teilnehmer

Vorname

Nachname

Institution

E-Mail Adresse

Verifizierungs-Code

(PDF - 010) Wer ist in Ihrer Organisation für die Leitung der Informationssicherheit verantwortlich?

Dedizierter IT-Sicherheitsbeauftragter (ISB - CISO) in der Krankenhausorganisation / Organigramm

CIO, der gleichzeitig als IT-Sicherheitsbeauftragter fungiert

Ein externer IT-Sicherheitsbeauftragter

Ein nicht exekutiver Sicherheitsleiter (Director of Security)

Person, die die Rolle des IT-Sicherheitsbeauftragten ausfüllt, aber nicht als solche "bestellt" ist.

(PDF - 011) Bitte geben Sie an, wie oft Ihre Unternehmensführung oder Ihr Unternehmensleitungsgremium einen Informationssicherheitsbericht erhält (z.B. Bericht aus Information-Sicherheits-Management-System ISMS).

Der Informationssicherheitsbericht wird monatlich (oder öfter) aktualisiert.

Das Update des Informationssicherheitsberichts wird vierteljährlich bereitgestellt.

Das Update des Informationssicherheitsberichts wird halbjährlich bereitgestellt.

Der Informationssicherheitsbericht wird jährlich aktualisiert.

Nicht Regelmäßig, aber auf Anfrage der Unternehmensführung lieferbar

Niemals

(PDF -012) Wie oft kommt das Cybersecurity-, Governance-, Risiko- und Compliance Gremium Ihrer Klinik / Klinikverbund mit der Unternehmensführung zusammen? (Bitte eines auswählen.) *

Monatlich (oder öfter)

Quartalsmäßige Abstimmung / Berichterstattung

Halbjährlich

Jährlich

Niemals

Unsicher

Wir haben kein formales Cybersecurity-, Governance-, Risiko- und Compliance Gremium, dass sich mit der Unternehmensführung abstimmt.

(PDF - 013) Welche der folgenden Sicherheitsmaßnahmen verwendet Ihr Krankenhaus oder Klinikverbund derzeit zur Authentifizierung/Verwaltung autorisierter Benutzer? (Überprüfen Sie alle zutreffenden Maßnahmen)

Smartcard Zugangskontrolle (Biometrie, Schlüsselkarten, Annäherung, magnetisch)

Identitätsverwaltung/Governance (Erstellung eindeutiger Identitäten, die an Benutzerkonten gebunden sind)

Single-Sign-On

Multi-Faktor-Authentifizierung (weiche Token, harte Token, SMS, Biometrie usw.)

PKI/Digitale Signatur-Systeme

Adaptive/risikobasierte Authentifizierung für den Netzzugang

Föderale Zugriffsverwaltung (Beispiel; SAML)

Verwaltung des privilegierten Zugriffs

Keine

(PDF - 014) Welche der folgenden Sicherheitsmaßnahmen verwendet Ihr Krankenhaus oder Klinikverbund derzeit zur Authentifizierung/Verwaltung von Geräten? (Prüfen Sie alle zutreffenden Maßnahmen).

Inventar autorisierter Geräte (Bindung an Asset-Management-Systeme, Netzwerkzugangskontrolle oder andere Faktoren)

Inventar autorisierter medizinischer Geräte (Bindung an Asset-Management-Systeme, Netzwerkzugangskontrolle oder andere Faktoren)

Netzwerkzugangskontrolle, Überwachung von Geräten, die dem Netzwerk beitreten

Netzwerkzugangskontrolle, Freischatung von Geräten, die dem Netzwerk beitreten

Bring-Your-Own-Device (BYOD) Management - Bitte beschreiben Sie den BYOD - Managementprozess im unteren Feld

MDM- Mobile Device Management für krankenhauseigene Geräte

Keine

(PDF - 014.e) Beschreibung des BYOD-Managementprozess

(PDF - 017) Wie oft führt Ihr Krankenhaus / Klinikverbund jede der folgenden Sicherheitsübungen durch? Falls unangekündigt oder durch fremde Dritte durchgeführt, verfahren Sie genauso, d.h. wählen Sie vierteljährliche Phishing-Übungen, die unangekündigt durchgeführt werden.

Questions	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Risikobewertung zur Identifizierung von Konformitätslücken und Sicherheitslücken	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Cybersecurity Reifegrad Messung (Maturity Assessment)	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Penetrationstests zur Identifizierung von Sicherheitsschwachstellen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Penetrationstests über drahtlose Netzwerke	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Erprobung eines Wiederherstellungsplans (alle Ebenen)	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Erprobung eines Wiederherstellungsplans (nur für einige Ebenen/Schlüsselsysteme)	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Simulierte Phishing-Übungen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Sicherheitsbewertungen von Webanwendungen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Risikobewertung von Social Engineering	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Sicherheitsaudits für die Applikationen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Sicherheitsaudits für die IT-Systeme	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Scannen von Schwachstellen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Sicherheitsaudits für Medizinprodukte	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Ausbildung des Sicherheitsbewusstseins	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Bewertung der Sicherheit (oder des Risikos) des Anbieters	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
System-/ Datenzugriffprüfungen	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Angriffs- und Verteidigungssimulationen (Purple Exercises)	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht
Training zur Reaktion auf Vorfälle (Tabletop Exercise)	Unangekündigt	3rd Party	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Weniger als 2 Jahre/ Gar nicht

(PDF - 018) Wie oft werden die Ergebnisse von Sicherheitsbeurteilungen, Audits, Analysen, Übungen oder Tests an die Unternehmensführung berichtet: (Prüfen Sie eines pro Zeile).

Questions	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Niemals
Sicherheitsfortschritte werden verfolgt und der Führung berichtet	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Niemals
Der Führung gemeldete Lücken oder anhaltende Mängel	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Niemals
Die Geschäftseinheiten helfen bei der Erstellung von Sanierungsplänen nach Durchführung der Arbeiten (siehe oben)	Vierteljährlich oder öfter	jährlich	Alle 2 Jahre	Niemals

(PDF - 019) Verfügt Ihr Krankenhaus über einen Versicherungsschutz für Cybersicherheit der folgende Bereiche abdeckt ? (Prüfen Sie alle zutreffenden Angaben.)

Cyber-Haftung

Verletzung Datensicherheit

Versicherungsschutz gegen Kriminalität

Finanzielle Folgen, z.B. entgangene Erlöse oder Mittelabfluß

Netzwerksicherheit und Datenschutz

Folgen aus negativer Presse, z.B. geringeres Leistungsgeschehen

Höhere Gewalt

Keine

(PDF - 021) Wenn Sie ein dokumentiertes Risiko Management System haben, welches ist die höchste Ebene, auf der die Ergebnisse gemeldet werden? (eins ankreuzen)

Aufsichts- oder Verwaltungsrat

Lenkungskreis Governance aus Unternehmensleitung /-führung

IT-Leitung

Ergebnisse werden nicht formal gemeldet

Wir haben kein dokumentiertes Risiko Management System

(PDF - 023) Wie werden Ihre Geschäftsbeziehungen zu ordentlichen Lieferanten oder dedizierten Geschäftspartnern in Ihrem Risiko Management System abgebildet? (Alles zutreffende ankreuzen)

Sie haben und pflegen ein Verzeichnis aller Geschäftspartner

Sie haben ein Verzeichnis aller Geschäftspartner, priorisiert nach den Abhängigkeiten, Risiko, Schaden, etc. für die eigene Organisation

Wir haben ein Vorgehen um Lieferanten zu beurteilen und um solche mit hoher Abhängigkeit, Risiko, etc. zu ermitteln.

Unsere Geschäftspartner haben Ihre Subunternehmer Risikobeurteilungen und Verträge handelsüblich angepasst, siehe EVB-IT und Deutscher Corporate Covernance Kodex.

Wir haben kein Vorgehen um die Abhängigkeiten bzw. das Risiko was von der Zusammenarbeit mit ordentlichen Lieferanten, als auch dedizierten Geschäftspartner ausgeht, in unserem Risiko Management System abzubilden.

(PDF - 025) Bitte schätzen Sie ein, wie schnell Ihr Krankenhaus / Klinikverbund den Betrieb wiederherstellen kann (Anwendungen, die als "kritisch für die Patientenversorgung" gelten), wenn eine Katastrophe den vollständigen Verlust Ihres primären Rechenzentrums verursacht. (Prüfen Sie eine pro Operation.)

Questions	0 – 4 Stunden	5 – 8 Stunden	9 – 24 Stunden	2 – 3 Tage	4 – 7 Tage	8 Tage – 1 monat	1 monat +	Keine Angabe
Klinische Informationssysteme (EHR, Labor, Radiologie)	0 – 4 Stunden	5 – 8 Stunden	9 – 24 Stunden	2 – 3 Tage	4 – 7 Tage	8 Tage – 1 monat	1 monat +	Keine Angabe
Finanzsysteme (Lohn- und Gehaltsabrechnung, Patientenabrechnung)	0 – 4 Stunden	5 – 8 Stunden	9 – 24 Stunden	2 – 3 Tage	4 – 7 Tage	8 Tage – 1 monat	1 monat +	Keine Angabe
Personalsysteme / Dienstplanungssysteme	0 – 4 Stunden	5 – 8 Stunden	9 – 24 Stunden	2 – 3 Tage	4 – 7 Tage	8 Tage – 1 monat	1 monat +	Keine Angabe
Ressourcen Management Systeme - Beschaffung / Materialwirtschaft / Supply Chain	0 – 4 Stunden	5 – 8 Stunden	9 – 24 Stunden	2 – 3 Tage	4 – 7 Tage	8 Tage – 1 monat	1 monat +	Keine Angabe

(PDF - 026) Welche Kommunikationsgeräte und -dienste nutzt Ihr Personal in einem Notfall? (Prüfen Sie alle zutreffenden Angaben).

Festnetz

Ersthelfer-Netzwerk

Satellitentelefon, VSAT, MSAT und andere Satellitenkommunikation

Behördenfunk von Feuerwehr und Polizei - TETRA

Drahtloser Prioritätsdienst - Zweiwege-Funk-/Sicherheitssysteme

Priorität für Telekommunikationsdienste

Krisen-Kommunikationsplattform

Keine