Die Cloud-Skepsis schwindet – und das aus gutem Grund

Bernd Sadlo, Kapsch BusinessCom AG

VOM PROVIDER ZUM PARTNER

Die IT-Landschaften der medizinischen Dienstleister befinden sich im Umbruch. Historisch begründet dominieren zwar nach wie vor lokale und gemischte (hybride) IT-Systeme die medizintechnischen Landschaften, die aber nun spürbar von Cloud-Betreibermodellen und zentralen Services abgelöst werden. Was sind die treibenden Kräfte für diese Entwicklung?

Nach einer Statistik der Schweizer Netzwoche machen heute klassische und hybride Umgebungen zu nahezu gleichen Teilen den IT-Betrieb in vielen Unternehmen (auch ausserhalb des medizinischen Umfelds) aus. Laut aktueller Befragungen nutzt damit bereits etwa die Hälfte aller Unternehmen neben lokalen Anwendungen die Services von zwei oder mehr Cloud-Providern. Tendenz steigend, obwohl die Anforderungen bezüglich des Managements dieser gemischten und komplexen Umgebungen hoch sind. In erster Linie geht es dabei um die Gewährleistung der Interoperabilität zwischen Cloud und on-premise, Datenschutz und -sicherheit und auch um Compliance-Fragen.

Die vor mehreren Jahren noch spürbaren emotionalen Hürden, die einem Einsatz von Cloud-Services entgegenstanden, sind deutlich niedriger geworden und haben an Bedeutung verloren. Eine pragmatischere Sichtweise hat die Emotionen abgelöst. Im Folgenden wird der Begriff Cloud als Synonym sowohl für Konzepte wie Amazon (AWS) oder Microsoft (Azure) Cloud verwendet, als auch für aus dedizierten Rechenzentren heraus angebotene Services.

Verantwortung und Datensicherheit

Die Anforderungen an die Cloud-Provider steigen: ein CloudAngebot, das sich nur auf die Bereitstellung entsprechender Server-, Storage- und Anwendungsdienste beschränkt, erfüllt die Erwartungen vieler Unternehmen längst nicht mehr. Heute werden nicht nur die oben genannten Basis-Services, sondern weitreichende Security- und Managed Services sowie fertige Lösungen vom Provider gefordert. Teilweise – zumeist in den größeren forschungsorientierten Institutionen – darüber hinaus auch gut ausgebaute Entwicklungsplattformen.

Die notwendige Vertrauensbasis schafft der Anbieter mit Standards, Zertifikaten und nachvollziehbaren Audits. Die digitale Transformation ist ein Prozess mit hohem strategischem Gewicht, da dadurch die Kernfunktionen des Unternehmens betroffen sind. Die Bandbreite der heute verfügbaren Cloud-Services (XaaS) lässt den potentiellen Anwendern einen grossen Spielraum für die Verteilung seiner Verantwortung für Daten und mehr. Die Basis heute verfügbarer Services ist das Infrastructure-as-a-Service-Modell, das im Wesentlichen als Ersatz für eigene HardwareKomponenten dient und den Themenblock der stetigen Erneuerung und Aktualisierung in die Verantwortung eines externen Providers legt – und damit auch einen Teil des Datenschutz- und Sicherheitskonzeptes, das an späterer Stelle nochmals aufgegriffen wird.

Darauf baut das Platform-as-a-Service-Modell auf, das dem Anwender noch die Verantwortung für die (eigenen) Applikationen überlässt. Der nächste Level, der Software-as-a-Service, zeichnet verantwortlich für die sichere Verfügbarkeit der Applikationen, überlässt dem Kunden aber die Verantwortung für seine Daten. Die Gartner Inc. geht davon aus, dass bis 2020 rund 95 Prozent der Sicherheitsvorfälle in der Cloud Fehler der Kunden sein werden: eine Klärung, wer bei einem Vorfall für was verantwortlich ist, sollte grundsätzlich Teil der Vertragswerke sein.

Der in radiologischen Instituten und Kliniken übliche Mischbetrieb zwischen anwendungsspezifischen Applikationen und den typischen Office-Anwendungen macht das Modell des „Desktop-as-a-Service“ interessant, das je nach Ausprägung ein internes IT-Management nahezu obsolet macht: das PatchManagement und Software-Aktualisierung übernimmt der Provider, der auch die Mechanismen für das User-Management bereitstellt. Bereiche mit hoher Fluktuation (zum Beispiel Abteilungsdurchläufe von Assistenzärzten) und schnell wachsende Bereiche profitieren davon. Die Verantwortung für ein Disaster Recovery liegt in diesem Fall auch beim Provider selbst, zusammen mit der Verantwortung für die Daten, die in diesem Fall nicht mehr On-premise liegen. Der Endanwender selbst profitiert, da sein persönliches Arbeitsprofil überall im Netzwerk verfügbar ist und – je nach Policy – auch auf zur Verfügung gestellten oder eigenen Mobilgeräten (BYOD).

Medizinische Kommunikation, Cyberkriminalität und Datenschutz

Die Behandlung dieses Themas verdient einen eigenen und längeren Artikel, an dieser Stelle werden nur drei Segmente herausgegriffen, die unbestritten grosse Einfallstore für kriminelle Aktivitäten bieten:

Patching: Softwareentwickler und Cyberkriminelle liefern sich ein Kopf-an-Kopf-Rennen. Es ist davon auszugehen, dass Cyberkriminelle sich weiter jeden Sicherheits-Patch anschauen und auf Lecks prüfen werden. Die Zyklen für die Bereitstellung neuer Patches wird zwar immer kürzer – allerdings auch bei leidender Qualität – dennoch brauchen Unternehmen zum Teil mehrere Wochen, um diese zu installieren. >>

Die Gartner Inc. geht davon aus, dass bis 2020 rund 95 Prozent der Sicherheitsvorfälle in der Cloud Fehler der Kunden sein werden: eine Klärung, wer bei einem Vorfall für was verantwortlich ist, sollte grundsätzlich Teil der Vertragswerke sein.

Eine weitere altbekannte Hürde für die Sicherheit ist das Budget. In der Regel wird dieses durch fixe Ressourcen vorgegeben, anstatt die Sicherheitsziele zu definieren und dann Zeit und Ressourcen entsprechend anzupassen. Kritische Infrastrukturen: neben der Möglichkeit, Trojaner oder Viren durch Email-Anhänge in die Strukturen der Unternehmen einzuschleusen, sind auch schlecht abgesicherte Wartungszugänge von Zulieferern potentielle Zugänge zu der vernetzten Infrastruktur. Mehrere Unternehmen operieren noch nach Jahren mit demselben User-/PasswortDuett, so dass selbst ehemalige Mitarbeiter sich auf relativ einfache Weise Zugang verschaffen könnten.

Richtiggehende Gefahrenherde sind „Medical Devices“ und „Medical Software“, welche aufgrund der aufwendigen Vorschriften für Dokumentation und Nachführung meist nur in längeren Zyklen direkt von den Herstellern upgedatet werden. Hier verdienen die Service- und Supportzugänge eine besondere Beachtung, da über diese eine grosse Anzahl an Kunden direkt und sofort betroffen sind. MikroSegmentierungen der Netzwerke und Methoden für gezielte temporäre Erlaubnis für Zugang auf die „Medical Devices“ sind sorgfältig zu planen und mittels (Cloud-)Security-Lösungen wie zum Beispiel von Paloalto Networks zu managen. Dadurch ist nicht nur grösstmögliche Prävention gegeben, sondern wird im Schadenfall auch Nachverfolgbarkeit gesichert und die Schädigung präzise sichtbar gemacht. Diese Informationen erlauben dann, gezielt die wirklich betroffenen Personen (nach DSGVO) zu informieren.

Cyberkriminelle suchen nach skalierbaren Geschäftsmodellen und das Gesundheitswesen mit seinen kritischen Daten ist im Fokus, so dass dieses Thema auch bei Betreibermodellen grösste Bedeutung besitzt.In diesem Zusammenhang kommt einer sicheren und vor allem schnellen Abstimmung in der medizinischen Zusammenarbeit besondere Bedeutung zu. Die Menge an professionellen Nutzern von Messengern wie WhatsApp, die trotz offizieller Verbote der Kliniken darüber sensible Patientendaten austauschen, ist erschreckend. Dass es dafür zertifizierte Lösungen gibt, die über den Gruppenchat hinaus noch Schnittstellen zu medizinischen Systemen wie PACS und PDMS besitzen (als Beispiel die Plattform JOIN von ALLM), ist selbst vielen CIOs in Spitälern nicht bewusst. Professionell eingesetzt, spart die Plattform nicht nur in Spezialgebieten wie Schlaganfall und Rettungsdienst bares Geld ohne jegliches Risiko.

Der Schritt zur Digitalen Transformation

In der Regel werden Transformationsprozesse durch akute Mangelerscheinungen angestossen: eine komplexer werdende On-premise-IT-Landschaft verlangt nach kontinuierlicher Betreuung durch ITSpezialisten, die auf dem Markt schon seit länger Zeit rar sind. Software-Weiterentwicklungen und die damit verbundene Notwendigkeit immer leistungsfähigerer Hardware gehen in der Regel mit steigenden Budgetanforderungen einher, allerdings sind IT-Budgets in den meisten Institutionen nach wie vor eher statisch angesetzt.

Betriebswirtschaftlich gesehen verschieben sich die Kosten von Investitionen für eigene Hard- und Software hin zu Betriebsausgaben, die Dank der zugrundeliegenden Pay-per-Use oder analoger Modelle einfach kalkulierbar sind. Preismodelle orientieren sich direkt an den bezogenen Leistungen und laufen damit parallel zu den Businessmodellen medizinischer Einrichtungen. Es greifen dieselben Skalierungsmechanismen mit dem zusätzlichen Vorteil, dass unerwartet auftretende Investitionsspitzen beim technischen Ausfall elektronischer Komponenten vermieden werden.

Eine komplexer werdende On-premise-ITLandschaft verlangt nach kontinuierlicher Betreuung durch IT-Spezialisten.

3-Punkte-Strategie

Vertrauen allein genügt nicht: in dem datentechnisch filigranen Umfeld des Gesundheits- und Sozialwesens ist die Partnerschaft mit einem externen Provider ohnehin langfristig angesetzt, so dass neben dem unabdingbaren Vertrauen in die Kompetenz des Anbieters bezüglich medizinischer Prozesse und seiner Leistungsfähigkeit sowie Innovationskraft zwei weitere Aspekte zum Tragen kommen: ein Qualitätsvergleich mit dem Status Quo und die ökonomische Komponente.

Im Wettbewerb oder zumindest Vergleich mit anderen medizinischen Leistungserbringern wird es immer wichtiger, die digitale Strategie mit der eigenen Entwicklungs- und Innovationsstrategie abzugleichen, so dass die Digitalisierung kein Nadelöhr darstellen darf, sondern vielmehr die Kundennähe des strategischen IT-Partners Impulse für zukünftige Weichenstellungen geben sollte. ◾

www.kapsch.net/ch