cdaefa Diskussion:EFA Sicherheitsanforderungen

Kommentare

ID	Author	Status	Section	Vote	Existing	Proposed	Comment	Comment Editor	Discussion
141	iw	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern		Stabilität des Vertrauensverhältnis zum ausstellenden Dienst		Was bedeutet hier konkret Stabilität?	Gemeint ist das Vorhandensein des Vertrauensverhältnisses zum ausstellenden Dienst. Technisch bedeutet das: Das Zertifikat des Dienstes muss valide und nicht zurückgezogen sein, der Zertifikataussteller muss vertrauenswürdig sein.
142	sh	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern		bereitstellung	Bereitstellung
143	sh	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern		bennennen	benennen
144	sh	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern		identifikation	Identifikation
145	sh	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern		Athentisierung	Authentisierung
146	ti	included	Eierf.01 : Identifizierung und Authentifizierung von EFA-Teilnehmern				Ich würde empfehlen das Thema Haftung hier nicht zu erwähnen. Die Haftungsregelung zwischen Identity Provider und EFA Provider sind ein eigenes Thema, das an dieser Stelle nicht ausgiebig behandelt werden kann. Ich würde daher nur vom "ausstellendem Dienst" sprechen, nicht vom "ausstellenden (und haftenden)". (ti, 29.05.2013)	OK, insbesondere da ja auch der Besitzer der zur Authentisierung genutzten Objekte in bestimmten Fällen haftet (und die Spannbreite hier recht groß sein kann, wenn man sich hier auf der einen Seite die Gepflogeheiten im Onine-Banking und auf der anderen Seite die weitgehende Haftung des Bürgers bei der schweizerischen SuisseID anschaut).
147	iw	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		Unvollständige oder fehlende Informationen über qualifizierte Rolle und/oder Zugriffskontext SOLLTEN eine eventuelle Datenanfrage unterbinden.		Wer soll was und wie unterbinden?	Die dem Fachdienstes vorgelagerte Komponente zur Sicherheitsprüfung (Policy Enforcement Point) darf nicht solche Datenanfragen verarbeiten. Stattdessen muss schon bei der Sicherheitsprüfung der Vorgang abgebrochen und eine Fehlernachricht an den Aufrufer übermittelt werden. Da dies aber durch die Verzahnung der Anwendungs- und Sicherheitsdienste implizit gewährleistet ist, kann der Satz entfallen.
148	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		berechtig	berechtigt
149	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		Patienteinwilligung	Patienteneinwilligung
150	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		muster	Muster
151	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		legetime	legitime
152	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		fallbezogen und und zum Ziel	fallbezogen und zum Ziel
153	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		qualifizierter	qualifizierten
154	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		obiegt	obliegt
155	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		Sichehreitsrichtlinie	Sicherheitsrichtlinie
156	sh	included	Eierf.02 : Autorisierung von EFA-Teilnehmern		datenverarebitende	datenverarbeitende
157	ti	included	Eierf.02 : Autorisierung von EFA-Teilnehmern				Falls deny-biased im Sinne von XACML (d.h. ein "deny-biased PEP") gemeint ist, ist die Definition nicht korrekt. Jeder PEP führt bei eventuellen Negativindikatoren zu einer Negativentscheidung (nicht zum Abbruch der Entscheidungsfindung!). Nur ein "deny-biased PEP" führt auch ohne Negativindikatoren, sondern einzig durch das Ausbleiben von "Positivindikatoren" zu einer Negativentscheidung. Wenn es hier um die Kombination unterschiedlicher Regeln geht, sprechen wir eher von einem "deny-override". Ggf. wären hier ein paar Beispiele für Negativindikatoren sinnvoll, um den Text verständlicher zu machen. (ti, 29.05.2013)	Satz wurde eim Sinne des Kommentars klargestellt.
158	iw	included	Eierf.03 : Vertraulichkeit		Eventuelle Metadaten sind idealerweise semantikfrei zu gestalten		Inhalte / Werte so ablegen, dass keine Rückschlüsse …,. Ist das damit gemeint?	Satz wurde umformuliert, um deutlich zu machen, dass es hier lediglich darum geht, dass in Bezug zu einem identifizierbaren Patienten stehende Metadaten keine für Unberechtigte zugänglichen medizinischen oder sozialen Informationen enthalten sollen.
159	sh	included	Eierf.03 : Vertraulichkeit		korrete	korrekte
160	sh	included	Eierf.03 : Vertraulichkeit		muss	müssen
161	sh	included	Eierf.03 : Vertraulichkeit		Die zur Übertragung benötigten personenbezogenen und/oder medizinische Informationen und deren potenzielle Offenbarung außerhalb der Fallakte (wie beispielsweise durch Metadaten) sind auf das zwingend notwendige Minimum zu beschränken. Eventuelle Metadaten sind idealerweise semantikfrei zu gestalten und sollten keine Rückschlüsse auf die innerhalb der Fallakte gekapselten personenbezogenen und/oder medizinische Informationen zulassen.		Semantikfrei? Würde ja auch den Informationstypen ausschließen, der als Metadatum am Informationsobjekt hängt.	Satz wurde umformuliert, um deutlich zu machen, dass es hier lediglich darum geht, dass in Bezug zu einem identifizierbaren Patienten stehende Metadaten keine für Unberechtigte zugänglichen medizinischen oder sozialen Informationen enthalten sollen.
162	sh	included	Eierf.03 : Vertraulichkeit		ausgetauschet	ausgetauscht
163	ti	included	Eierf.03 : Vertraulichkeit				"außerhalb der Fallakte (wie beispielsweise durch Metadaten)" Dies würde andeuten dass die Dokumentenmetadaten in der Registry nicht als Teil der Fallakte zu verstehen sind. Dies entspricht aber nicht der vorherigen Definition einer Fallakte (z.B. beim Einstellen von Daten werden sowohl das Dokument als auch die Metadaten einer Partition zugeordnet, die Teil der Fallakte ist. Wenn es hier um eine abgestufte Handhabe von Dokumenten und deren Metadaten geht, um z.B. eine Verschlüsselung der Dokumente ohne eine Verschlüsselung der Metadaten zu begründen, verstehe ich den Beweggrund, würde aber eine andere Darstellung bevorzugen (d.h. Metadaten sind - ähnlich wie demografische Daten des Patienten - ein weniger schützenswerter Teil der Fallakte als die Dokumenteninhalte). (ti, 29.05.2013)	Satz wurde umformuliert, um deutlich zu machen, dass es hier lediglich darum geht, dass in Bezug zu einem identifizierbaren Patienten stehende Metadaten keine für Unberechtigte zugänglichen medizinischen oder sozialen Informationen enthalten sollen.
164	iw	included	Eierf.03.01 : EFA Secure Channels		Die datenhaltende Stelle muss ... authentisieren (Mutual Node Authentication)		Auch mit mehreren Vertrauensräumen möglich?	Ja. Secure Channels kommen jeweils zwischen Kommunikationspartnern zum Einsatz. Es wird eine Punkt-zu-Punkt, allerdings keine Ende-zu-Ende-Sicherheit gefordert. Satz klarer formuliert.
165	iw	included	Eierf.03.01 : EFA Secure Channels		durchgängig unbelauschbar, durchgängig isoliert, davor bewahrt werden, Rückschlüsse zu ermöglichen		Erläuterung der Motivation, Zielgruppe?	Motivation: Transportverschlüsselung, Zielgruppe: alle Kommunikationspartner. Satz wurde klarer formuliert.
166	iw	included	Eierf.04 : Authentizität und Integrität von EFA Daten		gesicherte Informationen über Identität der datenvermittelten Stelle (beispielsweise ein Zwischenspeicher-Szenario)		Welche Szenarien gibt es konkret?	XCA-Gateway im P2P-Szenario. Ausführungen wurden entsprechend konkretisiert.
167	iw	included	Eierf.05 : Nicht-Abstreitbarkeit, Dokumentation und Audit-Trail		nachträgliche lückenlose Rekonstruktion der Kommunikation und des Kontexts möglich		Was bedeutet nachträglich und lückenlos im Kontext?	Nachträglich: nach erfolgtem Zugriff auf einen Fachdienst, Lückenlos: alle Transaktionen auf der EFA-Anwendungsebene
168	iw	included	Eierf.05 : Nicht-Abstreitbarkeit, Dokumentation und Audit-Trail		Sollten lediglich Minimalaufbewahrungsfristen gewahrt werden, so sind alle direkt Betroffenen über diesen Umstand geeignet zu unterrichten.		Zu welchem Zweck? Wer ist direkt betroffen? Der Patient, die Ärzte…?	Konkretisiert: Patienten und Ärzte sind zu unterrichten.
169	iw	included	Eierf.05 : Nicht-Abstreitbarkeit, Dokumentation und Audit-Trail		medizinischen Daten vor Zugriffen unberechtigter Dritter zu schützen und verfügen prinzipiell über den gleichen Schutzbedarf wie die darin enthaltenen Daten		Prinzipiell?	"Prinzipiell" gestrichen
170	iw	included	Eierf.06 : Verfügbarkeit von EFA-Teilnehmern und EFA-Daten		Eventuelle Providencefehler und/oder Unvollständigkeiten bezüglich der in der Datenübertragung kommunizierten Daten sind stets zu Nachweiszwecken unfänglich von allen beteiligten Kommunikationspartnern zu eigenständig dokumentieren.		Genauer Formulieren	Hinweis auf die zusätzlich zu protokolliernenden Informationen eingefügt.
171	mk	reconcile	Eierf.06 : Verfügbarkeit von EFA-Teilnehmern und EFA-Daten		Die Entscheidung über die medizinische Nutzbarkeit der unvollständigen Daten kann der datenverarbeitenden Stelle übertragen werden.		Hier kann bestenfalls eine bidimensionale Entscheidung getroffen werden - was ist bei P2P? (15.08.2014)	Klärung des Kommentars ist nötig. (bk, 22.08.2014)

Authors

Kürzel	Name	Organisation	E-Mail
fh	Frank Oemig	Agfa Healthcare
ti	Tarik Idris	InterComponentWare AG
mr	Michael Rübener	X-tension
sh	Salima Houta	Fraunhofer ISST
jc	Jörg Caumanns	Fraunhofer FOKUS
bk	Ben Kraufmann	Fraunhofer FOKUS
iw	Ingo Wolf	gematik
mk	Marcel Klötgen	CompuGroup Medical