Audit zur Informationssicherheit & Governance-Stärkung
Sichere IT-Governance und nachhaltige Governance-Praktiken
Da die Spitex Rechtes Limmattal einen öffentlichen Leistungsauftrag hat, werden ihre Massnahmen zur Cybersicherheit und zum Datenschutz regelmässig vom Datenschutzbeauftragten des Kantons Zürich kontrolliert. Sie beauftragte deshalb SPIE ICS, potenzielle Sicherheitsrisiken in ihrer IT-Governance zu identifizieren und die organisatorischen Governance-Praktiken zu stärken, um den steigenden regulatorischen Anforderungen auch weiterhin zu entsprechen.
Die Herausforderung
Als Dienstleister im Gesundheitswesen mit öffentlichem Leistungsauftrag unterliegt die Spitex Rechtes Limmattal strengen gesetzlichen Vorgaben des Kantons Zürich bezüglich Cybersicherheit und dem Schutz von Patientendaten. Die genaue Vertragslage mit IT-Dienstleistern, die Identifikation von potenziellen Sicherheitslücken sowie die Sicherheit der Patientendaten sind deshalb zentrale Herausforderungen. Ziel war es, Klarheit über IT-Dienstleisterverträge zu schaffen, Sicherheitsrisiken zu minimieren und die Einhaltung datenschutzrechtlicher Vorgaben transparent nachzuweisen, damit sie vom Datenschutzbeauftragten des Kantons Zürich anerkannt werden. Im Vordergrund stand dabei auch die nachhaltige Stärkung der Governance-Praktiken des Kunden.
Eine Lösung auf organisatorischer und technischer Ebene
SPIE ICS unterstützte die Spitex Rechtes Limmattal mit einem umfassenden Audit zur Informationssicherheit sowie einem Security Check und Awareness Training. Um die Nachhaltigkeit der Massnahmen zu sichern, wurden zudem die Rollen des Informationssicherheitsbeauftragten (ISO) und des Datenschutzbeauftragten (DPO) präzisiert.
Die Lösung umfasste neben den organisatorischen Massnahmen auch technische Aspekte: Im Bereich der Cloudsicherheit wurden Lücken geschlossen und Fehlkonfigurationen bei der technischen Authentifizierung durch einen IT-Dienstleister korrigiert. Im Zuge dessen wurden wesentliche Sicherheitsrichtlinien entwickelt und implementiert.
«Die Zusammenarbeit mit SPIE ICS hat uns geholfen, Risiken klar zu erkennen, Verantwortlichkeiten zu schärfen und nachhaltige Verbesserungen in unserer IT-Governance umzusetzen. Entscheidend war für uns die praxisnahe und verlässliche Begleitung.»
Emina Patokovic
Geschäftsleiterin Spitex Rechtes Limmattal
Der Projektablauf
- Initialanalyse: Bestandsaufnahme der bestehenden IT-Prozesse und IT-Dienstleisterverträge
- Lücken- und Risikoanalyse: Identifikation von Schwachstellen in der Zusammenarbeit mit IT-Dienstleistern und Prüfung der Einhaltung datenschutzrechtlicher Vorgaben
- Massnahmenplanung: Entwicklung spezifischer Sicherheitsrichtlinien und Lösungen zur Schliessung identifizierter Lücken
- Umsetzung: Unterstützung bei der Implementierung der organisatorischen Massnahmen und Präzisierung der ISO- und DPO-Rollen
- Validierung: Überprüfung der umgesetzten Massnahmen durch den Datenschutzbeauftragten des Kantons Zürich
Messbare Ergebnisse
- Schliessung von Sicherheitsrisiken, die in der IT-Governance identifiziert wurden
- Nachhaltige Stärkung der organisatorischen Governance-Praktiken
- Anerkennung der umgesetzten Massnahmen durch den Datenschutzbeauftragten des Kantons Zürich
Über Spitex Rechtes Limmattal
Die Spitex Rechtes Limmattal ist eine Non-Profit-Organisation im Gesundheitswesen. Als Dienstleisterin mit einem öffentlichen Leistungsauftrag der Gemeinden im rechten Limmattal, von Oberengstringen bis nach Oetwil an der Limmat, bietet sie qualitativ hochwertige ambulante Krankenpflege, palliative Pflege sowie hauswirtschaftliche Leistungen an.
Ihr Fokus liegt dabei stets auf dem Erhalt der Lebensqualität und Selbstbestimmtheit der Patientinnen und Patienten in ihrer gewohnten Lebensumgebung.
Bild: Spitex Rechtes Limmattal