Ziel der Informationssicherheit bei den SALK ist es, Vertraulichkeit, Integrität und Verfügbarkeit wichtiger Informationen zweckmäßig und mit angemessenen Aufwand zu gewährleisten. Dadurch soll das der SALK entgegengebrachte Vertrauen unserer Patienten*innen, der Mitarbeiter*innen, der zuweisenden Ärzte*innen, der sonstigen Kunden und Lieferanten sowie der Öffentlichkeit nicht enttäuscht werden.
Dies erfordert:
Die SALK streben ein Sicherheitsniveau entsprechend ISO/IEC 27001 an. Zur Umsetzung ihrer Informationssicherheits-Richtlinie betreibt die SALK ein entsprechendes Informationssicherheits-Managementsystem.
Die SALK verlangen daher von allen ihren Mitarbeiter*innen und Partnern ein hohes ethisches Niveau im Umgang mit Patient*innen, Angehörigen, Besuchern, sonstigen Kunden und Lieferanten sowie untereinander.
Die Einhaltung der relevanten Gesetze und Unternehmensrichtlinien zur Informationssicherheit ist für uns nicht nur Verpflichtung, sondern hat für die SALK höchste Priorität.
Die Informationssicherheit beruht nicht ausschließlich auf technischen Lösungen, organisatorische und personelle Maßnahmen sind von gleicher Bedeutung. Die besten technischen Sicherheitsmaßnahmen bleiben wirkungslos, wenn die organisatorischen und personellen Voraussetzungen nicht erfüllt sind. Alle in Entwicklung, Betrieb, Wartung und Nutzung von IT-Systemen involvierten Personen müssen durch adäquates sicherheitsbewusstes Verhalten zum Schutz der IT-Systeme und der verarbeiteten Informationen beitragen.
Management
Das Erhalten der Informationssicherheit ist eine Managementaufgabe. Die Leitungsebenen der SALK leben die Ziele und Aktivitäten der Informationssicherheits-Richtlinie. Das Management der SALK übernimmt eine Vorbildfunktion im Bereich des Schutzes von vertraulichen Daten und verlangt gleichermaßen von allen Mitarbeiter*innen sicherheitsbewusstes Handeln.
Informationssicherheits-Organisation
Eine Informationssicherheits-Organisation ist Teil des ISMS der SALK und dafür verantwortlich, die Informationssicherheits-Richtlinie sowie die erforderlichen Standards und Richtlinien zu entwickeln, sie zu kommunizieren und für deren Einhaltung zu sorgen. Zu diesem Zweck sind notwendige Rollen und Gremien zu definieren und die dafür benötigten Ressourcen sicherzustellen.
Mitarbeiter
Zum Schutz von vertraulichen Daten (insbesondere Patientendaten, Mitarbeiterdaten, Betriebs- und Geschäftsgeheimnissen) übernimmt jeder einzelne Mitarbeiter*in der SALK die dafür notwendige hohe persönliche Verantwortung und wirkt aktiv in der Umsetzung mit. Grundsätzlich ist jede Mitarbeiter*in für die ordnungsgemäße Behandlung (Vertraulichkeit, Integrität und Verfügbarkeit) aller im Rahmen der Aufgabenerfüllung zur Verfügung gestellten Daten verantwortlich.
Die SALK ergreifen im Rahmen des unternehmensweiten Risiko-Management-Prozesses die notwendigen Maßnahmen, um Informationssicherheitsrisiken soweit wie möglich zu minimieren. Trotz des Zieles der höchsten Sicherheit haben die Maßnahmen zur Risikobehandlung den Prinzipien von Angemessenheit, Ausgewogenheit und Durchgängigkeit zu genügen.
Im Bereich der Informationssicherheit werden – abgeleitet aus dieser Informationssicherheits-Richtlinie – die erforderlichen Maßnahmen erarbeitet, geplant und umgesetzt. Die einzelnen Maßnahmen sind nicht Bestandteil dieses Grundsatzdokumentes, sondern werden in eigenen Informationssicherheitsdokumenten beschrieben.
Verständnis, Motivation der Mitarbeiter*innen und das Schaffen von Bewusstsein sind Voraussetzung, dass Sicherheitsvorgaben in der täglichen Praxis verlässlich eingehalten und gelebt werden. Mitarbeiter*innen aller Organisationsebenen sind daher regelmäßig in Belangen der Informationssicherheit zu schulen und zu sensibilisieren.
Um die Informationssicherheit aufrechtzuerhalten und kontinuierlich zu verbessern, werden im Auftrag des Managements regelmäßig Sicherheitsaudits durchgeführt, die von allen Abteilungen und Standorten unterstützt werden. Damit wird die Wirksamkeit der Informationssicherheitsmaßnahmen sowie die Übereinstimmung aller Maßnahmen mit der Informationssicherheits-Richtlinie kontrolliert. Bei Änderungen und Abweichungen werden entsprechende Korrekturmaßnahmen durchgeführt.
Quelle: ISMS, Auszug aus der Informationssicherheits-Richtlinie, v1.1.
