Lehrveranstaltung „IT-Sicherheit & IT-Risikomanagement im Gesundheitswesen“ (Masterstudium Medizininformatik, UMIT TIROL)

Ziele/Motive/Ausgangslage/Problemstellung

Die Digitalisierung und Vernetzung im Gesundheitswesen schreitet stetig voran und ermöglicht dadurch effiziente und effektive (medizinische) Prozesse. Neben den zahlreichen Vorteilen für die moderne medizinische Diagnostik und Therapie kann die Digitalisierung und Vernetzung aber auch zahlreiche neue IT-Risiken (Cyber-Risiken) hervorrufen. So hat beispielsweise der Hackerangriff auf das Universitätsklinikum Düsseldorf im Jahr 2020 zum Tod einer Patientin geführt. Auch die Zahl der Datenschutzvorfälle im Gesundheitswesen steigt stetig.

Für medizinische Informatiker*innen ist daher ein grundlegendes Verständnis von IT-Sicherheit essentiell. Von besonderer Bedeutung ist dabei die Fähigkeit im Rahmen eines IT-Risikomanagements, potenzielle IT-Bedrohungen zu erkennen, zu analysieren und diesen mit geeigneten technischen oder organisatorischen Schutzmaßnahmen zu begegnen.

In der Lehrveranstaltung „IT-Sicherheits- und Risikomanagement“ lernen die Studierenden daher die grundlegenden Begriffe der IT-Sicherheit kennen und mit welchen technischen und organisatorischen IT-Schutzmaßnahmen sich Einrichtungen des Gesundheitswesens vor IT-Bedrohungen schützen können. Die Studierenden lernen dabei welche besonderen Herausforderungen das Gesundheitswesen im Bereich „IT-Sicherheit“ bereithält (z.B. IT-Sicherheit in der Medizintechnik, Datenschutz, NIS-Gesetz, etc.). Im Zuge eines Praktikums in einer Einrichtung des Gesundheitswesens (z.B. Arztpraxis) lernen die Studierenden die Durchführung einer professionellen IT-Risikoanalyse.

Nach dem Modul können die Studierenden:

… die Grundbegriffe zur IT-Sicherheit und zum Datenschutz korrekt verwenden und mit Expert*innen professionell kommunizieren.
… Herausforderungen, die bei der Umsetzung von IT-Sicherheitsmaßnahmen im Gesundheitswesen existieren, erkennen und damit umgehen.
… an IT-Sicherheitsprojekten und IT-Risikoanalysen effektiv mitarbeiten.
… selbstständig professionelle IT-Risikoanalysen durchführen.

Kurzzusammenfassung des Projekts

Die Digitalisierung und Vernetzung im Gesundheitswesen ermöglicht eine moderne medizinische Versorgung von Patient*innen, kann aber auch zahlreiche neue IT-Risiken (Cyber-Risiken) hervorrufen. Für medizinische Informatiker*innen ist daher ein grundlegendes Verständnis von IT-Sicherheit von großer Bedeutung. In der Lehrveranstaltung „IT-Sicherheits- und Risikomanagement“ lernen die Studierenden daher die grundlegenden Begriffe der IT-Sicherheit kennen und mit welchen technischen und organisatorischen IT-Schutzmaßnahmen sich Einrichtungen des Gesundheitswesens vor IT-Bedrohungen schützen können. Die Studierenden lernen auch welche besonderen Herausforderungen das Gesundheitswesen im Bereich „IT-Sicherheit“ bereithält (z.B. IT-Sicherheit in der Medizintechnik). Die Lehrveranstaltung besteht aus Präsenz-Lehreinheiten, die v.a. für ein Praktikum, den Austausch und das Diskutieren von Erfahrungs- und Praxiswissen gedacht sind. Die Zeiteinheiten zwischen den Präsenzeinheiten sind begleitete Online-Lernphasen zum Erlernen und gemeinsamen Diskutieren von Theoriewissen (z.B. Kryptographie, Netzwerk - und Endgerätesicherheit). Im Zentrum der Lehrveranstaltung steht die praktische Durchführung einer IT-Risikoanalyse. Im Sommersemester 2022 wurden von den Studierenden IT-Risikoanalysen für drei niedergelassene Ärzt*innen durchgeführt. Aufgrund der Ergebnisse der IT-Risikoanalysen konnten die betroffenen Ärzt*innen etwaige Verbesserungsmaßnahmen zur Erhöhung der IT-Sicherheit einleiten.

Kurzzusammenfassung des Projekts in englischer Sprache

Digitalization in the healthcare sector enables modern medical patient care but can also raise numerous cyber risks. Therefore, a basic understanding of IT security is crucial for medical IT experts. In the course "IT Security and Risk Management", students learn the basic concepts of IT security and about technical and organizational IT security measures which healthcare institutions can use to protect themselves against IT threats. The students also learn the healthcare sector's unique challenges in the context of "IT security" (e.g. IT security in medical technology). The course consists of presence teaching units, which are mainly intended for practical training, exchange and discussion of experience and practical knowledge. The time units between the presence units are guided online learning phases for learning and discussing theoretical knowledge together (e.g. cryptography, network security). The course focuses on the practical implementation of an IT risk analysis. In the summer semester of 2022, students conducted IT risk analyses for three practising physicians. Based on the results of the IT risk analyses, the physicians concerned were able to initiate possible improvement measures to increase IT security.

Nähere Beschreibung des Projekts

Die Lehrveranstaltung „IT-Sicherheits- und Risikomanagement“ besteht aus vier Präsenz-Lehreinheiten. Die drei Zeiteinheiten zwischen den Präsenzeinheiten sind begleitete Online-Lernphasen. Die Online-Lernphase werden zum Erlernen und gemeinsamen Diskutieren von Theoriewissen genutzt (z.B. Kryptographie, Netzwerk - und Endgerätesicherheit). Die Präsenztermine sind primär für das Praktikum, die Reflexion, den Austausch und das Diskutieren (Peer Review) von Erfahrungs- und Praxiswissen gedacht (z.B. Anwendung von Risikomanagementsoftware, Durchführung von Befragungen im Rahmen einer Risikoanalyse, etc.).

Im Zentrum der Lehrveranstaltung steht die praktische Durchführung einer IT-Risikoanalyse. Im Sommersemester 2022 wurden im Rahmen dieses Praktikums IT-Risikoanalysen für drei niedergelassene Ärzt*innen durchgeführt. Die 7 Studierenden wurden hierfür in 3 Gruppen eingeteilt. Zu Beginn der Risikoanalyse wurden Vorort-Termine (Befragung der Ärzt:innen, IST-Analyse der IT-Infrastruktur) bei den niedergelassenen Ärzt:innen durchgeführt, welche allesamt von der Lehrperson begleitet und moderiert wurden. Im Laufe des Semesters wurden – parallel zu den vermittelten Lehrinhalten – die im Rahmen der Vorort-Termine erhobenen Daten und Informationen schrittweise in die Risikoanalyse eingearbeitet. Hierfür wurde den Studierenden eine professionelle IT-Risikomanagement-Software (R2C_SECURITY der Schleupen GmbH) zur Verfügung gestellt. Sämtliche Schritte der Risikoanalyse wurden in den Präsenzveranstaltungen gemeinsam besprochen und während der Onlinephasen von der Lehrperson moderiert und begleitet.

Nutzen und Mehrwert

Der zentrale Mehrwert der Lehrveranstaltung ergibt sich aus dem Praktikum, nämlich der IT-Risikoanalyse bei den niedergelassenen Ärzt*innen. Die Studierenden lernen die ansonsten recht theoretischen Lehrinhalte im Bereich IT-Sicherheit und IT-Risikomanagement anhand einer realen Situation. Dies bereitet die Studierenden einerseits auf jene Anforderungen vor, welche im Berufsalltag auf eine Medizininformatikerin / einen Medizininformatiker warten. Andererseits wird dadurch das Vertrauen in die eigenen Fähigkeiten und das Selbstbewusstsein gefördert (Stichwort: Empowerment). Die niedergelassenen Ärzt*innen erhalten durch das Praktikum eine professionelle Analyse der IT-Sicherheitssituation in den Ordinationen und können damit etwaige Verbesserungsmaßnahmen einleiten.

Aus Sicht der Lehrperson ist die Lehrveranstaltung in dieser Form sehr aufwändig, da die Organisation, Vorbereitung und Begleitung des Praktikums sehr zeitintensiv ist. Die begleiteten Online-Lernphasen sind idR ebenfalls aufwändiger als traditionelle Vorlesungen. In Anbetracht der zuvor erwähnten Vorteile/Mehrwerte für Studierende und Ärzt*innen lohnt sich dieser Aufwand zweifelsohne.

Nachhaltigkeit

Die Lehrveranstaltung/das Projekt wurde im Sommersemester 2022 zum ersten Mal in dieser Form angeboten, da der zugrundeliegende Masterstudiengang im Jahr zuvor neu konzipiert und akkreditiert wurde.

Aufgrund des positiven Feedbacks der Studierenden, der Hochschule und der am Projekt beteiligten Ärzt*innen ist geplant, dass die Lehrveranstaltung weitergeführt wird. Hierfür wird bereits mit weiteren Ärzt*innen eine Kooperation für den nächsten Studiengang geplant.

Der Studiengang „Master Medizininformatik“ (in welchem die Lehrveranstaltung eingebettet ist) soll zukünftig verstärkt online unterrichtet werden. Für die hier beschriebene Lehrveranstaltung würde dies bedeutet, dass für die Vorort-Besuche bei den Ärzt:innen, welche eine bedeutsame Grundlage für die praktischen IT-Risikoanalysen darstellen, vielleicht weniger Zeit zur Verfügung steht. Diesbezüglich wird gerade geprüft, ob Teile dieser Vorort-Besuche auch virtuell abgehandelt werden könnten (z.B. Online-Befragung der Ärzt:innen, virtuelle Begehung der Ordinationsräumlichkeiten, etc.). Außerdem soll sich der Studiengang dann verstärkt an dem didaktischen Konzept des Universitätslehrgangs Health Information Management (ULG HIM) orientieren. Das innovative und preisgekrönte Konzept des ULG HIM gilt an der UMIT TIROL als Vorbild für kooperative und kollaborative Distanzlehre.

Dissemination/Transfer

Das Konzept ist prinzipiell auf alle Lehrveranstaltungen, bei denen theoretische Inhalte in Form eines Praktikums und mittels begleitetem Online-Studium gelehrt werden könnten, übertragbar (z.B. Qualitätsmanagement, Risikomanagement, Projektmanagement).

Neben dem Masterstudiengang Medizinische Informatik bietet die UMIT TIROL auch den Universitätslehrgang Health Information Management (ULG HIM) an. Im ULG HIM wird ebenfalls das Fach "IT-Sicherheit und Riskmanagement" gelehrt, hat aber im Gegensatz zum Master Medizininformatik eine weniger technische Ausrichtung. Der ULG HIM ist 100% online. Aktuell werden Überlegungen angestrengt, ob das Praktikum aus der hier dargelegten Lehrveranstaltung (IT-Risikoanalyse bei niedergelassenen Ärzt*innen) online für den ULG HIM adaptiert werden kann (z.B. Online-Befragung der Ärzt:innen, virtuelle Begehung der Ordinationsräumlichkeiten, etc.).

Institutionelle Unterstützung

Die UMIT TIROL hat die Lizenzkosten für die in der Lehrveranstaltung verwendete Risikomanagement-Software übernommen. Für die Präsenzlehrveranstaltungen und für Abschlusspräsentationen des Praxisprojekts standen modern ausgerüstete Seminarräume zur Verfügung (z.B. interaktive Touchscreens). Bei der Abschlusspräsentationen des Praxisprojekts, bei dem die Studierenden die Ergebnisse der IT-Risikoanalysen bei den niedergelassenen Ärzt*innen präsentierten, nahmen zahlreiche Mitglieder des Instituts für Medizinische Informatik (Professor*innen, Wissenschaftliche Mitarbeiter*innen) teil. Die Studierenden hatten dadurch u.a. die Gelegenheit das wertschätzende Diskutieren einer akademischen Präsentation zu üben.