-
Die Erfindung betrifft die Wartung, Überwachung, Reparatur und/oder den Service eines zu wartenden, computergestützten Systems mit Hilfe eines weiteren, entfernt liegenden Systems, das in Kommunikationsverbindung mit dem zu wartenden System steht. Das zu wartende System ist u. a. zur Verarbeitung von zugriffsgeschützten Daten ausgelegt.
-
Hauptsächliches Anwendungsgebiet sind medizinische Systeme, die unter Datenschutz stehende Daten verarbeiten, wie beispielsweise Patientendaten. Es liegen jedoch auch anderen Anwendungsfelder im Rahmen der Erfindung, wie z. B. juristische Systeme, die zugriffsgeschützte Mandantendaten oder Software Systeme im Bankwesen, die datengeschützte Kundendaten verwalten bzw. verarbeiten.
-
Bei solchen Systemen besteht im allgemeinen das Problem darin, dass diese zwar innerhalb des Systems datensichernde Maßnahmen umfassen, die einen unerlaubten Zugriff auf diese Daten von außen sicher vermeiden, doch dass diese Systeme auch gewartet werden müssen. Bei der Wartung erfolgt notwendigerweise ein Zugriff auf das System von außen, der naturgemäß Zugriff auf das komplette System haben muß. Damit entsteht eine Sicherheitslücke, da z. B. der Servicetechniker im Rahmen seiner Wartungstätigkeit alle oder bestimmte Patientendaten abrufen könnte.
-
Bisher wurde das Problem dadurch gelöst, daß ein sogenanntes Vier-Augen-Prinzip angewendet wurde. Das Vier-Augen-Prinzip setzt voraus, daß sowohl ein autorisierter Mitarbeiter des zu wartenden Systems als auch ein Servicetechniker vor Ort anwesend sind. Alle Handlungen, insbesondere Zugriffe, des Servicetechnikers werden von dem Mitarbeiter kontrolliert. Dieser kann unerwünschte bzw. unerlaubte Zugriffe ggf. manuell und fallspezifisch eingrenzen bzw. unterbinden.
-
Mit diesem Vorgehen entsteht der Nachteil, dass stets die Anwesenheit von mindestens zwei Personen notwendig ist: Zum einen von dem autorisierten Mitarbeiter des zu wartenden Systems und zum anderen von dem Servicetechniker. Eine Fernwartung des Systems war bisher nicht oder nur durch deutliche und nicht tragbare Sicherheitseinbußen möglich.
-
Die
DE 103 13 271 A1 offenbart ein Fernwartungssystem, das nach diesem Vier-Augen-Prinzip funktioniert. Die Einbeziehung einer Bedienperson vor Ort ist erforderlich und das System ist mit dem Nachteil verbunden, dass der Ablauf sehr zeitintensiv ist.
-
Weiterhin war es bei dem bisherigen Vorgehen notwendig, dass jede Aktion des Servicetechnikers einzeln und damit fallspezifisch hinsichtlich ihres Sicherheitsrisikos bewertet werden mußte. Dieses manuelle Vorgehen birgt jedoch auch ein Gefahrenpotenzial, da ein Zugriff fälschlicherweise als unbeachtlich eingeschätzt werden kann, obwohl damit vielleicht indirekt doch ein Zugriff auf geschützte Daten erfolgt. Diese manuelle Bestimmung der Aktionen, die autorisierungsbedürftig sind und solcher die unproblematisch sind, ist fehleranfällig. Wünschenswert ist es deshalb, ein System zur Verfügung zu stellen, bei dem einerseits die Festlegung der autorisierungsbedürftigen Aktionen bereits im Vorfeld erfolgt bzw. erfolgen kann und bei dem andererseits die Bestimmung der autorisierungsbedürftigen Aktionen automatisch erfolgt.
-
Des weiteren war mit dem Vorgehen nach dem Stand der Technik der Nachteil verbunden, dass eine sehr hohe Aufmerksamkeit sowohl seitens des Servicetechnikers aber vor allem auch seitens des Mitarbeiters verlangt wurde, da dieser nahezu jeden Schritt des Servicetechnikers mit verfolgen muß. Da Letzterer hinsichtlich seiner computer- bzw. systembezogenen Fähigkeiten jedoch meistens dem normalen Anwender des Systems überlegen ist, war diese Überwachung bzw. Kontrolle nur sehr eingeschränkt möglich. Es ist allgemein anerkannte Tatsache, daß das rein passive Mitdenken mit den Arbeitsschritten einer anderen Person eine sehr ermüdende Arbeit ist und ein hohes Maß an Konzentration erfordert. Dies birgt aber auch ein hohes Sicherheitsrisiko. Bereits ein kurzer unachtsamer Augenblick seitens des Mitarbeiters ist ausreichend, daß der Servicetechniker unbemerkt Daten auf ein Fremdsystem überspielen kann. Damit war bei bisherigen Systemen eine Sicherheitslucke gegeben.
-
Im Stand der Technik ist es insbesondere aus der
DE 102 53 676 A1 bekannt, ein Fernübertragungsverfahren bereitzustellen, bei dem geheimhaltungsbedürftige Daten bei der Übertragung an ein externes System oder umgekehrt anonymisiert (maskiert) werden. Der Zugriff auf diese geheimhaltungsbedürftigen Daten wird dann als „nicht-autorisiert” gekennzeichnet und insgesamt verweigert. Ein gezieltes und dezidiertes Zulassen von Zugriffen im Rahmen einer Wartung jeweils einzeln und separat für bestimmte Datenpakete wird in dieser Druckschrift nicht offenbart.
-
Die
DE 102 09 780 A1 zeigt ein Datenverarbeitungssystem zur Verarbeitung und Verwaltung von Patientendaten. Ein automatisierter Ablauf eines Wartungsvorganges unter Zugriff auf vertrauliche und nicht-vertrauliche Daten wird in dieser Druckschrift nicht offenbart.
-
Die
DE 198 02 931 C1 schlägt ein Verfahren zur manipulationsfreien Übertragung von Bilddaten (z. B. Röntgenbilder oder Ultraschallaufnahmen) von einer Vielzahl von dezentralen Bildakquisitionseinrichtungen vor. Dabei soll sichergestellt werden, dass die Bilder auf dem Übertragungsweg nicht manipuliert worden sind. Dies wird mit der Überprüfung einer sogenannten Originalitätskennzeichnung erreicht.
-
Zieht der Fachmann noch Schriften aus entfernteren Gebieten zu Rate, so kann er aus der
DE 699 25 482 T2 Hinweise entnehmen, wie Kommunikationsprozesse in einem Telekommunikationsnetzwerk authentifiziert werden können. Er kann jedoch keinen Lösungsvorschlag dahingehend entnehmen, wie autorisierungsbedürftige Daten bei einer Fernwartung eines medizinischen Systems mit einem automatischen Verfahren identifiziert werden.
-
Die Erfindung hat sich deshalb als Aufgabe gestellt, einen Weg aufzuzeigen, mit dem die vorstehend beschriebenen Sicherheitslücken vermieden werden können und mit dem eine Fernwartung ermöglicht wird und automatisiert werden kann.
-
Die Aufgabe wird durch die in den Patentansprüchen definierten Merkmale der Erfindung gelöst, insbesondere durch ein Verfahren, eine Vorrichtung und ein Fernwartungssystem.
-
Eine Aufgabenlösung sieht insbesondere ein Verfahren zur Fernwartung und/oder Überwachung eines zu wartenden Systems vor, das zumindest teilweise auf zugriffsgeschützte Daten zugreift, mit Hilfe eines Überwachungssystems, das in Datenaustausch mit dem zu wartenden System steht, bei dem das zu wartende System und das Überwachungssystem computergestützt sind, und bei dem zumindest ein Zugriff auf die zugriffsgeschützten Daten des zu wartenden Systems wenigstens seitens des Überwachungssystems ausschließlich nach Autorisierung durch eine Autorisierungsinstanz erfolgt und bei dem eine Bestimmung von autorisierungsbedürftigen Aktionen und nicht-autorisierungsbedürftigen Aktionen automatisch erfolgt, und bei dem die Autorisierung für jedes zu übertragende, zugriffsgeschützte Datenpaket separat erfolgt.
-
Mit dem Merkmal, dass entweder beide Systeme direkt computergestützt sind und/oder daß eines der beiden oder beide indirekt computergestützt sind, indem sie eine Schnittstelle aufweisen, um an einem Computer angeschlossen zu werden, entsteht der wesentliche Vorteil, daß das Überwachungssystem räumlich getrennt von dem zu wartenden System angeordnet sein kann, so daß eine Fernwartung ermöglicht wird, jedoch nicht zwingend ist.
-
Bei der Wartung von Systemen, die auf zugriffsgeschützte Daten zugreifen und/oder diese verarbeiten besteht im allgemeinen die Schwierigkeit, fehlerfrei zu bestimmen, welche Aktionen seitens des Überwachungssystems autorisierungsbedürftig sind und welche nicht. Grundsätzlich sind all die Aktionen autorisierungsbedürftig, die direkt oder indirekt auf zugriffsgeschützte Daten des zu wartenden Systems zugreifen. Aktionen, die z. B. nur eine neue Release eines Software-Moduls aufspielen, sind hingegen nicht autorisierungsbedürftig und können damit schneller, ohne eine zusätzliche Kontrolle erfolgen. Damit liegt ein wesentliches Know-How in der Bestimmung bzw. Festlegung der autorisierungsbedürftigen Aktionen und der nicht-autorisierungsbedürftigen Aktionen. Vorteilhafterweise erfolgt diese Bestimmung gemäß einer vorteilhaften, alternativen Ausführungsform der Erfindung automatisch. Damit wird die Sicherheit bei der Wartung deutlich gesteigert, indem Fehler durch Fehlzuordnung vermeiden werden.
-
In der alternativen Ausführungsform der Erfindung ist es vorgesehen, diese Bestimmung nicht automatisch auszuführen, sondern fallspezifisch. Ein autorisierter Mitarbeiter des zu wartenden Systems wird erfindungsgemäß in die Lage versetzt, alle Aktionen des Servicetechnikers auf der Seite des Überwachungssystems zu verfolgen. Damit hat er Kontrolle über alle Handlungen, die an dem zu überwachenden System vorgenommen werden und kann diese gegebenenfalls einschränken oder ganz unterbinden.
-
Diese manuelle Kontrolle wird erfindungsgemaß bevorzugterweise über eine Synchronisierung der Bildschirmanzeigen des zu wartenden Systems einerseits und des Überwachungssystems andererseits erreicht. Damit können alle Handlungen des Servicetechnikers am Überwachungssystem für den Mitarbeiter am zu wartenden System nachvollzogen und autorisiert werden. Falls eine intensivere Mitarbeit des Mitarbeiters seitens des zu wartenden Systems gewünscht ist, so daß dieser starker in den Prozeß des Servicetechnikers bzw. des Überwachungssystems eingebunden ist, kann es wünschenswert sein, daß nicht nur die Bildschirminhalte synchronisiert werden, sondern, daß auch eine Synchronisierung von zugehörigen Prozessen erfolgt. Soll die Erfindung z. B. zur Fehler Recovery eines Datenbanksystems eingesetzt werden, dessen Daten zumindest zum Teil unter Zugriffsschutz stehen, dann kann es vorgesehen sein, daß die vom Servicetechniker auszuführenden Fehler Recovery Maßnahmen parallel auf dem Überwachungssystem und auf dem zu wartenden System ausgeführt werden. Dabei müssen dann insbesondere solche Maßnahmen die sogenannte side effects auf das System haben vom Mitarbeiter autorisiert werden. In einer alternativen Lösung gemäß der Erfindung ist deshalb sowohl die Synchronisierung von Bildschirminhalten als auch von zugehörigen Prozessen zwischen dem zu wartenden System und dem Uberwachungssystem vorgesehen. Meistens wird letztere Lösung bei komplexen Systemen der Fall sein, bei denen die Wartung eines Systems die Interaktion zwischen Mitarbeiter (oder Systemingenieur) und Servicetechniker erfordert. In reinen Anwendungssystemen hingegen, die einen üblichen Wartungsaufwand erfordern, werden lediglich die Bildschirminhalte auf beiden Seiten synchronisiert. Damit kann die Schnelligkeit des Fernwartungssystems gesteigert werden.
-
Alternativ oder kumulativ zu der eben beschriebenen Synchronisierung kann die Autorisierung erfindungsgemäß auch mit Hilfe eines Online-Protokolls erfolgen. Das Online-Protokoll zeigt erfindungsgemäß jeden Prozeß des Überwachungssystems an oder zeigt zumindest die Prozesse an, die in Bezug auf die zugriffsgeschützten Daten des zu wartenden Systems ausgeführt werden oder werden sollen. Damit wird zweierlei erreicht: zum einen kann der Mitarbeiter im Voraus den geplanten Zugriff des Servicetechnikers kontrollieren und bewerten; zum anderen können alle Operationen des Servicetechnikers, die im Rahmen der Fernwartung ausgeführt worden sind, im Nachhinein nachvollzogen werden. Dies kann für die Einschätzung der Qualität der Fernwartung herangezogen werden, als auch fur spätere Fernwartungen dienlich sein, bei denen sich der Servicetechniker zusätzliche Information über einen der vorhergehenden Wartungsprozesse verschaffen möchte.
-
Die Autorisierung erfolgt vorzugsweise manuell über eine Mausklick oder die Bedienung einer Taste eines Computers. Es liegt aber ebenso im Rahmen der Erfindung, daß die Autorisierung über ein spezielles Gerät erfolgt, indem ein Schalter dieses Gerätes von einem autorisierten Mitarbeiter des zu wartenden Systems aktiviert bzw. bedient wird. Mit der manuellen Autorisierung ist der Vorteil verbunden, daß eine zusatzliche Überwachung erreicht wird, da wirklich über jeden Schritt bzw. Zugriff des Servicetechnikers entschieden werden muß.
-
In einer vorteilhaften, alternativen Ausführungsform der Erfindung ist die Autorisierung zumindest teilweise automatisiert. Dabei werden nach einer Einteilung aller Daten des zu überwachenden Systems in autorisierungsbedürftige Daten und in nicht-autorisierungsbedürftige Daten, alle autorisierungsbedürftigen Daten, beispielsweise mit einem Flag gekennzeichnet. Die gekennzeichneten Daten werden in Klassen bzw. Datenstrukturen unterteilt. Wird nun innerhalb eines Wartungsprozesses eine Klasse von autorisierungsbedürftigen, gekennzeichneten Daten einmal autorisiert, so wird dies innerhalb des Systems vermerkt. Ein späterer Zugriff des Überwachungssystems auf diese Datenklasse muß deshalb in ein und demselben Wartungsprozess nicht noch einmal erfolgen. Die Verarbeitungszeit des Systems und die Bedienungsfreundlichkeit können auf diese Weise gesteigert werden. Dieses Merkmal ist als Voreinstellung in der hier beschriebenen Ausführungsform bereitgestellt, so daß die Halbautomatisierung der Autorisierung wahlweise einstellbar ist.
-
Gemäß einem Aspekt der Erfindung erfolgt die Autorisierung separat für jedes zu übertragende, zugriffsgeschützte Datenpaket einzeln und unabhängig voneinander. Damit wird die Sicherheit des Fernwartungssystem erhöht. Ist es allerdings notwendig, daß das Wartungssystem Änderungen an einem Paket von zugriffsgeschützten Datensätzen oder in einer bestimmten Datenstruktur des zu wartenden Systems vornimmt, ist es in einer weiteren, alternativen Ausführungsform der Erfindung vorgesehen, daß die Autorisierung nicht für jeden einzelnen Zugriff separat erfolgt, sondern für mehrere zu übertragende, zugriffsgeschützte Datenpakete zusammengefaßt ist. Damit kann die Verarbeitungszeit des Fernwartungssystems erhöht werden.
-
Um zu vermeiden, daß ein Servicetechniker unerlaubterweise Zugriff auf geschützte Daten des zu wartenden Systems erhält, ist es erfindungsgemäß vorteilhafterweise vorgesehen, daß die Wartung bei fehlender Autorisierung nach einer vorbestimmbaren Anzahl von Zugriffsversuchen abgebrochen oder zumindest wahlweise eingeschränkt wird. Damit wird erreicht, daß dem Mitarbeiter des zu wartenden Systems eine zusätzliche Kontrollmöglichkeit gegeben wird.
-
Weiterhin ist es vorgesehen, dass die Autorisierungsinstanz dem zu wartenden System zugeordnet ist. Damit wird vorteilhafterweise erreicht, daß die Kriterien für die Autorisierung adaptiv und situativ von Wartungsprozeß zu Wartungsprozeß veränderbar sind und innerhalb des zu wartenden Systems festgelegt werden können.
-
Bevorzugterweise umfaßt das erfindungsgemäße Verfahren noch den zusätzlichen Verfahrensschritt einer Identifikation der Autorisierungsinstanz innerhalb des zu wartenden Systems. Die Identifikation kann mit einer Identifikationseinheit erzielt werden, die bevorzugterweise aus einem System aus Speicherchipkarten und zugehörigem Lesegerät besteht. Der Mitarbeiter kann sich selbst über das Einlesen seiner Kartendaten identifizieren und nachfolgend bestimmte Zugriffe auf Daten autorisieren. Damit wird eine zusätzliche Sicherheit geschaffen, so daß es ausgeschlossen wird, daß sich der Servicetechniker seitens des Überwachungssystems selbst autorisiert. Somit ist sichergestellt, daß die Autorisierungsinstanz stets vor Beginn des Wartungsprozesses von einem Mitarbeiter seitens des zu überwachenden bzw. zu wartenden Systems identifiziert wird.
-
Die bevorzugte Ausführungsform der Erfindung umfaßt zwei computergestützte Systeme. Hier kann vorgesehen sein, daß eine Bestimmung von autorisierungsbedürftigen Aktionen automatisch erfolgt. Es wird hierbei überprüft, ob die jeweilige Aktion des Überwachungssystems ein Zugriff auf zugriffsgeschützte Daten des zu wartenden Systems erfordert. Bejahendenfalls wird die Aktion als autorisierungsbedürftig bestimmt, andernfalls als nicht-autorisierungsbedürftig. Diese Bestimmung erfolgt gemäß einer vorteilhaften Ausführungsform der Erfindung seitens des zu wartenden Systems automatisch. Damit entsteht der Vorteil, daß eine Fehler durch menschliches Übersehen ausgeschlossen werden kann.
-
Die vorstehend beschriebenen, erfindungsgemäßen Ausführungsformen des Verfahren können auch als Computerprogrammprodukt ausgebildet sein, mit einem von einem Computer lesbaren Medium und mit Computerprogramm-Code-Mitteln und bei dem der Computer nach Laden des Computerprogramms zur Durchführung des oben beschriebenen, erfindungsgemäßen Verfahrens veranlaßt wird.
-
Eine alternative Aufgabenlösung sieht ein Speichermedium vor, das zur Speicherung des vorstehend beschriebenen, computerimplementierten Verfahrens bestimmt ist und von einem Computer lesbar ist.
-
Zusätzliche, vorteilhafte Ausführungsformen ergeben sich aus den Unteransprüchen.
-
In der folgenden detaillierten Figurenbeschreibung werden nicht einschränkend zu verstehende Ausführungsbeispiele mit deren Merkmalen und weiteren Vorteilen anhand der Zeichnung besprochen. In dieser zeigt:
-
1 eine schematische Übersicht über wesentliche Bestandteile eines erfindungsgemäßen Fernwartungssystems.
-
1 zeigt überblickartig wesentliche Elemente der vorliegenden Erfindung. Ein zu wartendes System 10 ist zur Interaktion mit einem Überwachungssystem 12 ausgelegt. Das Überwachungssystem 12 ist dabei zur Wartung, Systempflege und/oder zur Überwachung des zu wartenden Systems 10 ausgelegt.
-
Das zu wartende System 10 verarbeitet unter anderem unter Zugriffsschutz stehende Daten. Diese zugriffsgeschützten Daten sollen vor einem unberechtigten Zugriff seitens des Uberwachungssystems 12 im Rahmen einer Wartung geschützt werden. Das zu wartende System 10 umfaßt deshalb eine Autorisierungsinstanz 14, die zur Kontrolle und Autorisierung der Zugriffe des Überwachungssystems 12 ausgelegt ist.
-
Weiterhin umfaßt das zu wartende System 10 eine Identifikationseinheit 16. Diese ist dazu bestimmt, die Autorisierungsinstanz 14 zu identifizieren, um einen unberechtigten Zugriff durch eine unberechtigte Autorisierung zu vermeiden.
-
Das zu wartende System 10 und das Überwachungssystem 12 kommunizieren über eine Datenleitung 18.
-
Die Datenleitung 18 kann in einer Leitungs- bzw. Festnetzverbindung, sowie in einer drahtlosen Übertragungstechnik, wie in einer Funkverbindung, z. B. einer Bluetoothschnittstelle, oder in anderen Arten für die Datenübertragung bestehen. Weiterhin ist – je nach Ausführungsform – vorgesehen, daß es sich um eine dauerhafte oder um eine sporadisch zu aktivierende Kommunikationsverbindung bzw. Schnittstelle handelt. Besonders vorteilhaft hat sich die Kommunikationsverbindung über das Internet erwiesen, da damit der Ort des Servicetechnikers bzw. des Überwachungssystems 12 völlig unerheblich für die Wartung wird. Damit kann ein weiterer Freiheitsgrad bei der Wartung erreicht werden.
-
Die Identifikationseinheit 16 besteht vorteilhafterweise aus einer Chipkarte mit zugehörigem Lesegerat. Ein Mitarbeiter des zu wartenden Systems 10 kann sich mit seiner Chipkarte in dem zu wartenden System 10 einloggen und kann sich über die gespeicherten Kartendaten identifizieren. Ist die Identifikation erfolgreich abgeschlossen, kann dieser Mitarbeiter indirekt die Schritte des Servicetechnikers auf der Seite des Überwachungssystems 12 verfolgen. Die Schritte werden ihm von der Autorisierungsinstanz 14 angezeigt und die Zugriffe, die auf zugriffsgeschützte Datensätze erfolgen sollen, erfordern die Autorisierung durch den identifizierten Mitarbeiter des zu wartenden Systems 10. Die Autorisierung kann durch Anzeigen des geplanten Zugriffs oder der geplanten Zugriffe und durch ein anschließendes Betätigen der Return-Taste oder durch einen Mausklick erfolgen.
-
Ein nicht überwachter bzw. nicht kontrollierter Zugriff auf unter Zugriffsschutz stehende Daten des zu wartenden Systems 10 durch das Überwachungssystem 12 ist dadurch ausgeschlossen. Der Zugriff auf diese Daten erfolgt lediglich über die zwischengeschaltete Autorisierungsinstanz 14.
-
Durch das Bereitstellen der Datenleitung 18 und das Vorsehen eines Software Moduls, das die Aktivitäten seitens des Überwachungssystems 12 durch den Servicetechniker auch an dem zu wartenden System transparent und nachvollziehbar macht, ist eine Fernwartung möglich. Damit kann die Notwendigkeit entfallen, die bisher bei Systemen nach dem Stand der Technik gegeben war, daß nämlich der Servicetechniker vor Ort und zugleich anwesend mit einem Mitarbeiter des zu wartenden Systems 10 war.
-
In einer vorteilhaften, alternativen Ausführungsform ist es vorgesehen, daß die Identifikationseinheit 16 nicht direkt bzw. unmittelbar dem zu wartenden System zugeordnet ist, sondern einer hierarchisch übergeordneten Instanz. Dies ermöglicht es, daß ein und derselbe Mitarbeiter verschiedene, parallel stattfindende Wartungsprozesse in einer Organisation, z. B. in einem Unternehmen, überwachen kann, was insgesamt den personellen Aufwand verringert und daher zur Kosteneinsparung beiträgt.
-
Bei komplexen Systemen, die datentechnisch in mehreren Einheiten und über ein Netzwerk organisiert sind, kann es notwendig sein, daß für mindestens ein zu wartendes System 10 mehrere Überwachungssysteme 12 vorgesehen sind und/oder mehrere zu wartende Systeme 10 innerhalb einer übergeordneten Einheit existieren. Eine bevorzugte Ausführungsform weist auch in diesen Fällen nur eine Autorisierungsinstanz 14 und eine Identifikationseiheit 16 auf, um datentechnische Redundanzen zu vermeiden. In alternativen Ausführungsformen kann es jedoch auch vorgesehen sein, zumindest für jede zu wartende Einheit eines zu wartenden Systems 10 eine Autorisierungsinstanz 14 und/oder eine Identifikationseinheit 16 zu bestimmen.
