Diese Richtlinie definiert den Prozess zur Erkennung, Reaktion und Behebung von Sicherheitsvorfällen und Serviceunterbrechungen bei mentalhealthGPT.ch und der zugehörigen Infrastruktur.
1. Geltungsbereich
Diese Richtlinie gilt für alle Sicherheitsvorfälle, Datenschutzverletzungen und Serviceunterbrechungen, die betreffen: Produktionsinfrastruktur, Nutzerdaten, klinische Inhalte, Drittanbieter-Integrationen (einschliesslich Zoom) sowie interne Systeme.
2. Vorfallklassifikation
P1 — Kritisch: Datenschutzverletzung, Kompromittierung von Verschlüsselungsschlüsseln, vollständiger Produktionsausfall.
P2 — Hoch: Vermuteter unbefugter Datenzugriff, Authentifizierungsumgehung, teilweiser Serviceausfall.
P3 — Mittel: Eingeschränkte Performance, fehlerhafte Integrationen, verdächtige Aktivitäten erkannt.
P4 — Niedrig: Geringfügige Anomalien, unkritische Servicedegradation, informative Warnmeldungen.
3. Erkennung & Monitoring
- Prometheus + Grafana: Echtzeit-Überwachung von Latenz, Fehlerquoten und Verfügbarkeit
- Vector + Loki: Zentralisierte Log-Aggregation mit Alarmierung bei anomalen Mustern
- Alarme bei abnormen Authentifizierungsfehlern und API-Fehlerspitzen
- Vault-Audit-Logs für alle Secret-Zugriffsereignisse
- Fehlgeschlagene Zoom-Webhook-Signaturverifizierungen lösen sofortige Alarme aus
4. Reaktionsprozess
- 1. Erkennen — Automatischer Alarm oder manuelle Meldung empfangen
- 2. Bewerten — Schweregrad klassifiziert (P1–P4), Umfang bestimmt
- 3. Eindämmen — Betroffene Systeme isoliert, Zugangsdaten rotiert wenn kompromittiert
- 4. Untersuchen — Ursachenanalyse, Zugriffslogs geprüft
- 5. Beheben — Fix über Standard- oder Notfall-Patch-Prozess deployed
- 6. Wiederherstellen — Services wiederhergestellt, Monitoring auf Normalzustand bestätigt
- 7. Auswerten — Post-Incident-Bericht, Prozessverbesserungen dokumentiert
5. Reaktion bei Datenschutzverletzungen
- Betroffene Nutzer innerhalb von 72 Stunden informiert gemäss DSGVO Art. 33 / nDSG
- Eidgenössischer Datenschutzbeauftragter (EDÖB) bei gesetzlicher Pflicht benachrichtigt
- EU-Aufsichtsbehörden für Daten von EU-Nutzern benachrichtigt wo zutreffend
- Benachrichtigung umfasst: Art der Verletzung, betroffene Datenkategorien, voraussichtliche Folgen, ergriffene Massnahmen
- Verletzungen klinischer Inhalte werden aufgrund der Berufsgeheimnisverpflichtungen (StGB Art. 321) mit höchster Priorität behandelt
6. Kommunikation
- Intern: Vorfallverantwortlicher wird sofort zugewiesen; alle Beteiligten bei P1/P2
- Extern (Nutzer): In-App-Mitteilung und/oder E-Mail bei P1/P2-Vorfällen die Nutzerdaten betreffen
- Drittanbieter (Zoom, Stripe): Benachrichtigung wenn deren Systeme oder Daten betroffen sind
- Keine öffentliche Kommunikation bevor betroffene Parteien informiert wurden
7. Nach dem Vorfall
- Ursache bei P1/P2-Vorfällen innerhalb von 5 Werktagen dokumentiert
- Korrektive Massnahmen verfolgt und im nächsten Deployment-Zyklus verifiziert
- Vorfallregister intern für Prüfzwecke geführt
8. Kontakt
Sicherheitsvorfälle melden:
security@aidx.ch
aidX AG
Bachtelstrasse 57, 8330 Pfäffikon ZH, Schweiz