Die Unterscheidung zwischen internem Portal und Extranet in einem CHU beschränkt sich nicht nur auf eine Frage des Netzwerkumfangs. Sie betrifft architektonische Entscheidungen, die die Angriffsfläche, die Granularität der Berechtigungen und die Fähigkeit zur Nachverfolgung abnormaler Nutzungen bestimmen. Wir beobachten, dass die meisten Einrichtungen diese Frage weiterhin als einfache technische Abwägung behandeln, obwohl sie in erster Linie der Risikomanagement für Gesundheitsdaten unterliegt.
Segmentierung der Zugriffe für CHU-Mitarbeiter nach Risikoniveau
Ein internes Portal (Intranet) und ein Extranet schützen nicht die gleichen Ressourcen mit der gleichen Intensität. Das eigentliche Auswahlkriterium ist nicht der geografische Standort des Mitarbeiters, sondern die Sensibilität der Ressource, auf die er zugreift.
In einem klassischen Intranet hat der Mitarbeiter, der mit dem kabelgebundenen Netzwerk oder dem professionellen WLAN des CHU verbunden ist, ein erstes Vertrauensniveau, das mit der physischen Infrastruktur verbunden ist. Kritische Anwendungen (Patientendossier, Verschreibung, Identitätsüberwachung) bleiben auf diesen Bereich beschränkt. Das Extranet eröffnet einen zweiten Kanal, der für Verbindungen außerhalb des Standorts bestimmt ist, aber dieser Kanal erfordert Kompensationskontrollen, die viele Einrichtungen unterdimensionieren.
Wir empfehlen, jede Anwendung des SIH nach drei Ebenen zu kartografieren: eingeschränkter Zugang nur zum internen Netzwerk, Fernzugang mit verstärkter Authentifizierung, offener Zugang über ein Standard-Webportal. Diese Kartierung beeinflusst die Wahl der Architektur viel mehr als das Budget oder die Marke der gewählten Lösung. Ein detaillierter Artikel über den Zugang für CHU-Mitarbeiter auf Tranquilité Santé beschreibt präzise die funktionalen Unterschiede zwischen diesen beiden Modi.
Multifaktor-Authentifizierung und föderierte SSO: Was sich für das Krankenhaus-Extranet ändert
Die Multifaktor-Authentifizierung ist eine Voraussetzung, keine Option. In einem internen Portal stellt das Netzwerk selbst einen impliziten Vertrauensfaktor dar. In einem Extranet entfällt dieser Faktor. Der Mitarbeiter, der sich von zu Hause, einem entfernten Wachposten oder einem mobilen Terminal verbindet, muss seine Identität durch mindestens zwei unabhängige Mittel nachweisen.
Eine häufige Falle betrifft die MFA-Registrierung. In mehreren CHUs muss die Verbindung zwischen dem Mitarbeiterkonto und der Authentifizierungsanwendung (z. B. Microsoft Authenticator) unbedingt über das interne Netzwerk erfolgen. Der Versuch, dies über ein externes Netzwerk zu tun, blockiert den Vorgang ohne eine explizite Fehlermeldung. Dieser technische Punkt, der in Benutzerhandbüchern selten dokumentiert ist, führt zu einem signifikanten Volumen an Tickets beim IT-Support.
Die föderierte SSO-Architektur vereinfacht die Mitarbeitererfahrung, indem sie die Authentifizierung über alle Anwendungen hinweg einheitlich gestaltet (E-Mail, HR-Portal, Arbeitszeiterfassung, Dokumentationsintranet). Sie vervielfacht jedoch die Eingänge. Jeder Verbindungsweg muss durch dieselbe Sicherheitsrichtlinie abgedeckt sein, egal ob es sich um das Webportal, die mobile Anwendung oder den schweren VPN-Client handelt.
VPN oder Reverse Proxy: Zwei Philosophien des Fernzugriffs
Das VPN erstellt einen verschlüsselten Tunnel, der das entfernte Terminal virtuell mit dem internen Netzwerk verbindet. Der Reverse Proxy exponiert nur die veröffentlichten Anwendungen, ohne den Netzwerkbereich zu erweitern. Die Wahl hängt vom Nutzungsprofil ab:
- Das VPN eignet sich für Mitarbeiter, die schwere Anwendungen benötigen, die eine vollständige Netzwerkverbindung erfordern (Bildgebung, lokale Datenbanken).
- Der Reverse Proxy reicht für Webanwendungen (E-Mail, Terminplanung, HR-Portal) aus und reduziert die Angriffsfläche, indem nur die unbedingt notwendigen Dienste veröffentlicht werden.
- Ein hybrides Modell, bei dem das VPN für technische Profile reserviert ist und der Reverse Proxy für funktionale Mitarbeiter, stellt den häufigsten Kompromiss in mittelgroßen CHUs dar.
Berechtigungen externer Mitarbeiter: das schwächste Glied im SIH
Die Zugangsrichtlinien für CHU-Mitarbeiter konzentrieren sich auf das festangestellte Personal. Externe Mitarbeiter (freiberufliche Ärzte, Aushilfen, Anbieter von biomedizinischer Wartung, Forschungspartner) stellen jedoch ein spezifisches Risiko dar, das weder das interne Portal noch das Standard-Extranet ohne spezielle Konfiguration angemessen behandelt.
Ein generisches Konto, das zwischen mehreren externen Mitarbeitern geteilt wird, ist ein Sicherheitsfehler. Die aktuellen Empfehlungen verlangen individuelle Konten, eine schnelle Widerrufung der Berechtigungen am Ende des Auftrags und die strikte Anwendung des Prinzips des Need-to-Know. Ein Aushilfsmitarbeiter, der drei Tage im Monat in der Kardiologie arbeitet, hat keinen Grund, auf das Verschreibungsmodul der Psychiatrie zuzugreifen.
Das Extranet bietet hier einen strukturellen Vorteil gegenüber dem internen Portal: Es ermöglicht die Schaffung von abgeschotteten Zugriffsbereichen mit konfigurierbaren Gültigkeitsdauern und vollständiger Nachverfolgbarkeit der Verbindungen. Das interne Portal, das für festangestellte Mitarbeiter konzipiert ist, hat mehr Schwierigkeiten, diese variablen Profile zu verwalten.
Protokollierung und Erkennung abnormaler Nutzungen im Mitarbeiterportal
Eine anfängliche Zugangskontrolle, so robust sie auch sein mag, schützt nicht vor einer Kompromittierung des Kontos. Der Unterschied zwischen einem gut dimensionierten Portal und einem anfälligen Portal liegt darin, was nach der Authentifizierung passiert.
Das Portal muss jede Verbindung protokollieren und atypisches Verhalten erkennen: ungewöhnliche Extraktionsvolumina, Verbindungen zu Zeiten, die nicht mit dem Zeitplan des Mitarbeiters übereinstimmen, gleichzeitige Zugriffe von zwei unterschiedlichen geografischen Standorten. Diese schwachen Signale sind die ersten Indikatoren für ein kompromittiertes Konto.
In einem Intranet basiert die Protokollierung oft auf den Logs des Domänencontrollers und der Anwendungsserver. In einem Extranet muss sie auf der Ebene des Portals selbst zentralisiert werden, da die Verbindungen über heterogene Wege erfolgen. Wir beobachten, dass Einrichtungen, die Sicherheitsvorfälle hatten, in der Regel eine teilweise Protokollierung hatten, die die Authentifizierung, aber nicht die Aktionen nach der Verbindung abdeckte.
- Überprüfen Sie, ob das Portal den Zugriff auf individuelle Patientendossiers protokolliert, nicht nur die Anwendungszugriffe.
- Konfigurieren Sie automatische Warnungen für massive Datenextraktionen (CSV-Exporte, Serienausdruck).
- Führen Sie eine vierteljährliche Überprüfung der aktiven Konten durch, um veraltete Berechtigungen zu deaktivieren, insbesondere für externe Mitarbeiter.
Die Wahl zwischen internem Portal und Extranet beschränkt sich nicht auf eine Netzwerkarchitektur. Sie betrifft die Fähigkeit des CHU, differenzierte Sicherheitsrichtlinien je nach Profil, Verbindungsort und Sensibilität der konsultierten Daten anzuwenden. Ein gut konfiguriertes Extranet schützt besser als ein schlecht überwachtetes Intranet. Die relevante Frage ist nicht, welches Portal bereitgestellt werden soll, sondern welches Maß an Kontrolle die Einrichtung bereit ist, langfristig aufrechtzuerhalten.
