Rapid in-Depth Analysis für Telematikanwendungen im Gesundheitswesen - Identifizierung nicht erkannter Sicherheitslücken mit Threat Modeling und Fuzzing
نویسندگان
چکیده
Die Normen DIN EN 61508 und DIN EN 62304 beschreiben Sicherheitsanforderungen für die Entwicklung von Software im medizinischen Umfeld. Diese beinhalten u.a. Vorschriften zur Verifikation und Diagnose (Kapitel C5, DIN EN 61508-7 [Di09]), zur Beurteilung der funktionalen Sicherheit (Kapitel C6, DIN EN 61508-7 [Di09]), zur Implementierung und Verifikation von Software-Einheiten (Kapitel 5.5, DIN EN 62304 [Di07]) und zur Prüfung des Softwaresystems (Kapitel 5.7, DIN EN 62304 [Di07]). Durch die kosteneffektiven Verfahren Threat Modeling und Fuzzing wird diesen Forderungen entsprochen und insbesondere die Identifizierung unveröffentlichter Sicherheitslücken ermöglicht. In einem Forschungsprojekt werden Tools für beide Verfahren analysiert und bewertet. Im Projekt werden mit beiden Verfahren sehr erfolgreich bislang nicht identifizierte (unveröffentlichte) Sicherheitslücken in Individualund Standardsoftware identifiziert und auch behoben. Im Rahmen der Gesundheitstelematik können durch beide Verfahren die Anforderungen zur Softwareentwicklung und -verifizierung erfüllt und darüber hinaus kann ein weit höheres Sicherheitsniveau erreicht werden. 1 Förderung des Projektes SoftSCheck durch das Bundesministerium für Bildung und Forschung (Förderkennzeichen 01 IS 09030)
منابع مشابه
Bedrohungsmodellierung (Threat Modeling) in der Softwareentwicklung
Threat Modeling ermöglicht als heuristisches Verfahren die methodische Überprüfung eines Systementwurfs oder einer Softwarearchitektur, um Sicherheitslücken kostengünstig und frühzeitig idealerweise in der Design Phase im Software-Entwicklungsprozess zu identifizieren, einzugrenzen und zu beheben. Threat Modeling lässt sich aber auch noch erfolgreich in der Verifikationsphase oder noch später n...
متن کاملSoftware-Agenten zur Integration von Informationssystemen im Gesundheitswesen
Ausgehend von der Analyse der Spezifika im Gesundheitswesen wird das Ziel der integrierten Versorgung identifiziert und erläutert. Hiefür sind relevante Informationen nicht nur abteilungsoder institutionsbezogen, sondern patientenorientiert entlang des gesamten Behandlungsprozesses bereitzustellen. Die Darstellung unterschiedlicher Initiativen zur Informationsintegration verdeutlicht, dass kein...
متن کاملInnovative Architektur f ür sicheres Cloud Computing: Beispiel eines Cloud-Ecosystems im Gesundheitswesen
Der vorliegende Artikel stellt eine innovative Cloud Computing-Architektur vor, die eine Reihe von Herausforderungen im Einsatz von Cloud Computing adressiert: Datensicherheit, Konformität mit rechtlichen und organisatorischen Richtlinien sowie die Interoperabilität von Cloud-Lösungen. Diese ungelösten Herausforderungen bewirken, dass in vielen Branchen mit umfangreichen Anforderungen die Haupt...
متن کاملSoftwareagenten für die Überwindung von Medienbrüchen bei der Patientenversorgung - ein Fallbeispiel aus dem Klinikum rechts der Isar der Technischen Universität München
Das Gesundheitswesen und insbesondere auch Krankenhäuser zeichnen sich durch hohe Verteilung und Heterogenität entlang der Phasen Prävention, Früherkennung, Behandlung und Nachsorge aus. Damit verbunden ist der Einsatz unterschiedlicher Medien und heterogener Informationssysteme. Potenziell fehlerbehaftete Datentransfers sowie zusätzlich erforderlicher Arbeitsaufwand, welche zum Verlust von Beh...
متن کاملGemeinsam erfolgreich: Wissensmanagement und Mitarbeiterportal
Die Veränderungen im Gesundheitswesen erfordern nicht nur von den Unternehmen eine konsequente Ausrichtung an den Aspekten Kundenorientierung, Ergebnisqualität und Wirtschaftlichkeit, sondern auch von jedem Mitarbeiter den ständigen und professionellen Umgang mit Neuerungen und Innovationen. Der für eine effiziente Zusammenarbeit und kontinuierliche Weiterentwicklung erforderliche Wissensaufbau...
متن کامل