4. Datenschutz, Datensicherheit und digitale Arbeitsmittel

Reglement zum Umgang mit Daten

Internes Reglement für Mitarbeitende

RADIX Schweizerische Gesundheitsstiftung verarbeitet schützenswerte und besonders schützenswerte Personendaten nach schweizerischem Recht. Als Gesundheitsstiftung ist der Schutz dieser Daten von grosser Wichtigkeit. Dieses Reglement gilt für alle Mitarbeitenden, Praktikantinnen und Praktikanten, Freiwillige sowie freischaffende Mitarbeiter.

4. Arbeitsumgebung

• Der Arbeitsplatz muss beim Verlassen aufgeräumt werden (Clear Desk Policy).

• Es ist jederzeit sichergestellt, dass unbefugte Dritte nicht unbemerkt Zugang zu den Räumlichkeiten erhalten können.

• Beim Bildschirm muss die automatische Bildschirmsperre aktiviert sein oder der Bildschirm, beim Verlassen des Arbeitsplatzes manuell gesperrt werden («Strg+Alt+Entf»).

• Gedruckte Dokumente dürfen nicht unbeaufsichtigt beim Drucker liegen.

5. Passwörter und Zugangsdaten

• Jede Person erhält individuelle Zugangsdaten.

• Mobile Geräte müssen mit einem Passwort, Fingerprint oder Face-ID geschützt werden.

• Codes und Passwörter dürfen nicht unverschlüsselt gespeichert werden. Für die sichere Speicherung ist ausschliesslich das von RADIX freigegebene Passwortmanagement-Tool zu verwenden.

• Mindestanforderungen an Passwörter, falls kein Face-ID oder Fingerprint:

               o Mindestens 12 Zeichen
               o Zahlencode
               o Gross- und Kleinbuchstaben
               o Zahlen und Sonderzeichen
               o Keine persönlichen Informationen

• Browser dürfen Passwörter nicht speichern.Bei Verdacht auf Kompromittierung ist die Leitung des Kompetenzzentrums, resp. die Geschäftsleitung zu informieren.

• Besondere Zugriffskontrollen für:

               o Externe Personen: Zeitliche Begrenzung der Zugriffsrechte, Dokumentation der Berechtigungsfreigaben, regelmässige                                Überprüfung der Zugriffsrechte, Zugriff auf medizinische Daten ausschliesslich durch medizinisches Personal. Schriftlich                              begründete und von der Geschäftsleitung bewilligte Ausnahmen sind möglich.

               o Auftraggebende: Datenaustausch über festgelegte, verschlüsselte Kanäle

6. Verschlüsselte Kommunikation

• Besonders schützenswerte Personendaten müssen verschlüsselt übermittelt werden.

• Für die Kommunikation im Gesundheitsbereich ist HIN oder ein nachweislich vergleichbarer Kanal zu verwenden. Falls der Auftraggeber nicht einverstanden ist, muss er eine Alternative bereitstellen, resp. die Verantwortlichkeit muss geklärt werden (ABV).

• E-Mails mit besonders schützenswerten Personendaten müssen verschlüsselt versendet werden.

• Unverschlüsselte E-Mail-Kommunikation ist nur für allgemeine Informationen zulässig.

• Als Software für Online-Videokonferenzen, Meetings, Webinare oder Bildschirm-Sharing wird Microsoft Teams verwendet. Alternative Software bedarf einer Genehmigung der Geschäftsleitung.

7. Dokumente und Datenträger

• Dokumente oder Speichergeräte mit besonders schützenswerten Personendaten müssen in verschliessbaren Schränken aufbewahrt werden.

• Externe Datenträger mit Personendaten müssen verschlüsselt werden.

• Die Vernichtung von Datenträgern erfolgt durch Schreddern oder zertifizierte Entsorgung.

• Die Übergabe von Datenträgern an Dritte muss protokolliert werden.

8. Speicherung von Daten

• Die Speicherung von Daten erfolgt nur in freigegebenen Systemen (z. B. R-Laufwerk).

• Die Nutzung nicht genehmigter Cloud-Dienste ist untersagt.

• Lokale Speicherungen auf Geräten sind zu vermeiden.

• Zugelassene Cloud-Lösungen:

               o Besonders schützenswerte Personendaten: HIN, Software der Ärztekasse
               o Schützenswerte Personendaten: RADIX SharePoint (OneDrive), Teams
               o Nicht schützenswerte Daten: Andere genehmigte Cloud-Anbieter (z. B. Dropbox)

9. Informatikaktivität

• Die Internetnutzung auf Geschäfts-Laptops ist auf berufliche Zwecke beschränkt.

• Der Besuch von nicht beruflichen Websites ist nicht gestattet.

• Das Herunterladen sowie die Installation von nicht genehmigter Software sind untersagt.

• Warnungen vor unsicheren Websites sind ernst zu nehmen und verdächtige Websites sind zu meiden.

9.1 Protokollierung

• Die Informatikaktivität wird zu Sicherheitszwecken protokolliert.

• Protokolle werden für mindestens ein Jahr aufbewahrt.

• Eine Auswertung findet nur dann statt, wenn ein Sicherheitsvorfall vorliegt oder ein entsprechender Verdacht besteht.

9.2 SSL Interception

• Die Stiftung setzt SSL Interception zur Netzwerksicherheit ein. SSL ist die Standardtechnologie für die Absicherung von Internetverbindungen durch die Verschlüsselung der Daten, die zwischen einer Website und einem Browser (oder zwischen zwei Servern) übertragen werden.

• Verschlüsselte Verbindungen werden zur Überprüfung entschlüsselt.

• Dies dient dem Schutz vor Schadsoftware und Datenverlust.

10. Meldepflichten

• Sicherheitsrelevante Probleme, Vorfälle oder Mängel (auch beim Einsatz von KI-Anwendungen) sind den vorgesetzten Personen und der IT mit den nötigen Unterlagen rasch möglichst mitzuteilen.

• Schadens- und Verlustmeldungen von Hard- und Software (auch nur von Teilen) sind umgehend auszuführen.

11. Geschäftliche E-Mail-Nutzung

• E-Mails dürfen nur über die bereitgestellten E-Mail-Konten versendet werden.

• Weiter-/Umleitungen von E-Mails sind ausschliesslich im geschäftlichen Kontext erlaubt. Automatische Weiter-/Umleitungen an private E-Mail-Accounts bzw. von privaten E-Mail-Accounts an den RADIX-Account sind nicht gestattet.

• Begründete Ausnahmen bedürfen der Genehmigung durch die Geschäftsleitung.

• Links sowie Anhänge von verdächtigen E-Mails dürfen nicht geöffnet werden.

• Anhänge von unbekanntem Absender müssen geprüft werden (z. B. Virenscanner).

• Besteht ein Sicherheitsvorfall oder der Verdacht darauf, kann die Geschäftsleitung in diesem Fall Massnahmen ergreifen, um Sicherheit und Nachvollziehbarkeit zu gewährleisten. Dazu gehören beispielsweise der Zugriff auf den E-Mail-Account, eine Analyse durch den IT-Support oder die Sperrung des Accounts.

12. Social Engineering

• Social Engineering bezeichnet Manipulationstechniken zur Erlangung vertraulicher Informationen.

• Misstrauisch sein bei unerwarteten Anfragen nach Zugangsdaten oder sensiblen Informationen.

• Telefonische oder schriftliche Anfragen müssen überprüft werden.

• Verdächtige Vorfälle sind sofort zu melden.

• Niemals Passwörter oder Zugangsdaten preisgeben.

13. Private Nutzung der IT

• Die private Nutzung geschäftlicher IT-Systeme ist nicht gestattet.

• Dienstliche Geräte dürfen nicht für private Zwecke verwendet werden.

• Ausnahmen müssen schriftlich bei der Leitung des Kompetenzzentrums, resp. der Geschäftsleitung beantragt werden.

14. Wechselmedien

• USB-Sticks und andere Wechselmedien müssen von der Geschäftsleitung freigegeben werden.

• Private USB-Sticks dürfen nicht an geschäftlichen Geräten verwendet werden.

• Gefundene USB-Sticks oder Speichermedien von externen Personen/Organisationen dürfen nicht angeschlossen werden.

• Wechselmedien mit Personendaten müssen verschlüsselt werden.

• Die Nutzung muss protokolliert werden.

15. Installation von Software

• Software darf nur durch IT-Support installiert werden.

• Eine Whitelist genehmigter Software ist verfügbar.

• Nicht genehmigte Software muss umgehend deinstalliert werden.

• Anfragen für neue Software erfolgen bei der Geschäftsleitung mit dem offiziellen Formular für SoftwareBeschaffungsanträge

               o Antrag bei der Leitung des Kompetenzzentrums.
               o Begründung und Einsatzzweck angeben.
               o Sicherheitsprüfung durch IT-Verantwortliche abwarten.
               o Installation erfolgt nach Freigabe durch IT-Verantwortliche.

16. Homeoffice und mobiles Arbeiten

• Beim Arbeiten im Homeoffice und unterwegs gelten dieselben Datenschutzregeln.

• RADIX arbeitet nach dem Zero-Trust-Prinzip. Dies bedeutet: Jeder Standort gilt als ungesichert.

• Der Zugriff erfolgt immer über gesicherte Verbindungen, mit RADIX-Laptop und RADIX-Kennung.

• Ein VPN ist dafür notwendig. Das VPN muss manuell gestartet werden für Zugriff auf Unternehmensdaten.

• Jede Kombination aus Gerät und Person hat feste Zugriffsregeln.

• Die Multi-Faktoren-Authentifizierung (MFA) ist verpflichtend.

• Arbeitsplatz im Homeoffice:

               o Informationen auf dem Bildschirm dürfen für Dritte nicht einsehbar sein.
               o Der Arbeitsbereich muss abschliessbar sein, damit geschäftliche Geräte und vor allem Dokumente eingeschlossen werden                          können.
               o Dokumente müssen sicher aufbewahrt werden.
               o Bildschirmsperre muss bei Abwesenheit aktiv sein.
               o Ausgedruckte Dokumente müssen sicher aufbewahrt werden.
               o Die Vernichtung von ausgedruckten Dokumenten erfolgt durch Schreddern oder Rückgabe ins Büro.

• Mobiles Arbeiten unterwegs:

               o Öffentliche WLAN-Netze dürfen nicht genutzt werden. WLAN-Zugriff von unterwegs hat ausschliesslich über den Hotspot                         des Mobiltelefons zu erfolgen.
               o Geräte müssen stets beaufsichtigt werden.
               o Gespräche über sensible Themen sind zu vermeiden.

• Transport von Datenträgern:

               o Geräte müssen in verschlossenen Taschen transportiert werden.
               o Handys und Laptops dürfen nicht z. B. im Auto, Zug, Bus, Tram, Café oder Restaurant sichtbar liegen gelassen werden.
               o Physische Datenträger müssen verschlüsselt sein.

• Bei Verstössen gegen diese Regeln kann das Privileg für das mobile Arbeiten und für Home-Office entzogen werden.

• Technische Probleme sind der IT-Verantwortlichen zu melden.

• Bei Verlust oder Diebstahl ist sofort die Leitung des Kompetenzzentrums, resp. die Geschäftsleitung zu informieren.

17. Private Geräte

• Der Anschluss von privaten externen Geräten an das RADIX-Netzwerk ist nicht erlaubt.

• «Bring-Your-Own-Device» (Einsatz von privaten Endgeräten für geschäftliche Zwecke) ist nicht erlaubt.

• Die Benützung von privaten Geräten für geschäftliche Zwecke, insbesondere wenn diese an das Netzwerk oder an bestehende Infrastruktur angeschlossen werden, ist durch die IT bewilligungspflichtig.

• Ausgenommen sind mobile Telefone mit entsprechender Sicherung durch RADIX.

18. Austritt aus der Stiftung

• Bei Austritt müssen alle IT-Geräte zurückgegeben werden.

• Alle Zugangsdaten werden deaktiviert.

• Persönliche Daten müssen vor Rückgabe gelöscht werden.

• Zurückzugebende Gegenstände:

               o Laptop
               o USB-Sticks und/oder externe Festplatten
               o Zugangskarten und/oder Schlüssel (vgl. Passwort-Manager)
               o Alle anderen dienstlichen IT-Geräte

• Die Verantwortung zur Einhaltung der Richtlinien bei Austritt obliegt der Leitung des Kompetenzzentrums.

19. Datenschutzfragen

• Bei Fragensteht die datenschutzberatende Person von RADIX als Ansprechperson zur Verfügung.

20. Änderung des Reglements

• Das vorliegende Reglement kann den sich ändernden Verhältnissen angepasst werden. Änderungen werden in geeigneter Form bekannt gegeben. Das geänderte Reglement wird den Mitarbeitenden durch die vorgesetzten Personen abgegeben oder zugestellt.

• Kann sich ein Mitarbeitender mit einer geänderten Bestimmung nicht einverstanden erklären, so ist dies der vorgesetzten Person innert Monatsfrist, vom Tage der Bekanntmachung angerechnet, schriftlich mitzuteilen. Andernfalls gilt das aktuelle Reglement als angenommen.

21. Inkrafttreten

Das Reglement tritt am XX.XX.XXXX in Kraft. Es wurde vom Stiftungsrat genehmigt am XX.XX.XXXX