D OBRE PRAKSE

Sedaj, ko smo bili seznanjeni z najpogostejšimi napadi, ki prizadenejo zdravstveni sektor, bomo pogledali še dobre prakse, ki jih zdravstveni sektor uporablja, da se zaščiti pred napadi. Poznamo določene splošne dobre prakse, ki jih uporabljajo zdravstvene organizacije, pa tudi dobre prakse, ki se delijo glede na vrste javnih naročil. Sem spadajo:

• sistemi oskrbe na daljavo,

• sistemi za upravljanje stavb,

• klinični informacijski sistemi,

• storitve v oblaku,

• identifikacijski sistemi,

• industrijski nadzorni sistemi,

• medicinski pripomočki,

• mobilne odjemalske naprave,

• strokovne storitve,

• omrežna oprema [77].

V naslednjih podpoglavjih bodo opisana tri največja in najpomembnejša področja, saj so v ostalih dobre prakse zelo podobne in jih lahko apliciramo iz glavnih.

33 4.2.1. Sistemi za upravljanje stavb

Sistem za upravljanje stavb (angl. Building Management System) je računalniško podprt nadzorni sistem, ki nadzoruje in spremlja mehansko in električno opremo stavbe, v našem primeru zdravstvene ustanove, kot so električni sistemi, voda, plini in varnostni sistemi [78].

Dobre prakse, ki jih zdravstvene ustanove uporabljajo, so vzpostavitev posebnih mehanizmov za nadzor dostopa za objekte za medicinske pripomočke. Dostop do posebnih medicinskih pripomočkov, kot so kirurški roboti ali razni skenerji, mora biti dovoljen le specializiranemu osebju in vsak mora imeti svoj lasten račun. Izvesti je treba oceno tveganja kot del postopka javnega naročanja. Dobra praksa je tudi načrtovanje vzdrževalnih del za vso opremo. Vzdrževanje mora zagotoviti ustrezno raven funkcionalnosti opreme in potrebno se je odločiti za morebitne posodobitve ali popravke.

Vzpostaviti je potrebno tudi politiko testiranja. Zdravstvena organizacija je dolžna določiti minimalen nabor varnostnih testov, ki jih je potrebno opraviti na novopridobljenih izdelkih ali sistemu. Dobro je omogočiti tudi testiranje vseh sestavnih delov. Informacijske sisteme je treba temeljito preizkusiti, da se zagotovi, da delajo to, kar je obljubljeno. Preveriti je priporočljivo varnostne pomanjkljivosti, enostavnost uporabe, pravilnost rezultatov in obremenitev. Testiranje mora biti usklajeno s politikami testiranja [21]–[23], [77].

4.2.2. Klinični informacijski sistemi

Klinični informacijski sistem (angl. Clinical Information System) je informacijski sistem, ki se uporablja pri nudenju zdravstvene pomoči. Povezuje se s številnimi sistemi v sodobnih zdravstvenih organizacijah. Informacije iz vseh teh sistemov zbira v elektronski zapis o pacientu, ki ga lahko zdravniki vidijo ob bolnikovi postelji [79].

Med dobre prakse sodi izvedba popisa sredstev in upravljanje konfiguracije, pa tudi zahtevanje certifikacije kibernetske varnosti. Zelo priporočljivo za zdravstvene organizacije bi bilo, da bi prednostno naročala sredstva, ki so certificirana na podlagi shem/standardov kibernetske varnosti, kot je na primer HIPPA. Organizacije bi morale tudi vnaprej načrtovati zahteve glede omrežja, strojne opreme in licenc. Pomembno je uskladiti zahteve glede strojne in programske opreme. K dobrim praksam sodi tudi določitev omrežnih zahtev. Po oblikovanju topologije omrežja in komponent morajo bolnišnični strokovnjaki navesti varnostne zahteve za vsako posamezno komponento, da se zagotovi interoperabilnost in se preprečijo vrzeli. Ključnega pomena je tudi poznavanje varnostnih funkcij, ki jih želi imeti omrežna oprema. Pomemben vidik varnosti je razvoj načrtov za

34 4. Napadi in dobre prakse obrambe

odzivanje na incidente. Veliko število zdravstvenih organizacij prakticira tudi penetracijsko testiranje. Na novo pridobljen ali konfiguriran izdelek je dobro preizkusiti v dejanskem okolju, v katerem je nameščen. Dobavitelj mora tudi obvezno priznati pravico ustanovi, da v okviru svojih pristojnosti izvaja potrebne varnostne preglede (penetracijske teste). Še ena osnovna zahteva za dobavitelje je zahteva za popravke za vse komponente.

Zdravstvene ustanove se morajo zavedati, da popravljanja ni mogoče izvesti kadar koli, ampak je potrebno upoštevati določen postopek. Pri kliničnih informacijskih sistemih je zelo ključno, da v upravljanje incidentov vključimo tudi prodajalca ali proizvajalca. Zaradi obrabe ali nepravilnega ravnanja sistemi in naprave sčasoma odpovejo. Jasno mora biti, kakšne storitve lahko v teh primerih ponudijo proizvajalci/prodajalci, kakšni so stroški storitve in pričakovani odzivni čas. Dobra praksa na tem področju je tudi, da je potrebno oddaljen dostop do sistema čim bolj zmanjšati in ga upravljati. Dostop mora biti vnaprej določen, odobren in nadzorovan. Oddaljeni dostop je dovoljen samo za namene vzdrževanja. Med tem postopkom se ne smejo pridobiti nobeni osebni podatki. Zelo pomembno za zaščito sistema je tudi načrtovanje in spremljanje vzdrževalnih del za vso opremo. V skladu s politiko je potrebno vzdrževati različne vrste opreme. S tem se mora zagotoviti ustrezno raven funkcionalnosti opreme in sprejeti odločitev za morebitne posodobitve ali popravke [21], [22], [77].

4.2.3. Storitve v oblaku

Storitve v oblaku so infrastruktura, platforme ali programska oprema, ki jih gostijo tretji ponudniki in so uporabnikom na voljo prek interneta. Storitve v oblaku omogočajo pretok uporabniških podatkov od »front-end odjemalcev« (npr. uporabnikovih strežnikov, tabličnih računalnikov, namiznih računalnikov, prenosnih računalnikov) prek interneta do sistemov ponudnika in nazaj [80].

Dobre prakse na tem področju so izvajanje ocene tveganja kot del postopka javnega naročanja. Dobra praksa je tudi določitev omrežnih zahtev in razvoj načrtov za odziv na incidente. Ti načrti morajo zajemati na novo pridobljene izdelke ali sisteme. Po spremembi sistema ali arhitekture le-tega je dobro načrtovati penetracijske teste.

Zahtevati je treba popravke za vse komponente in pri tem v upravljanje vključiti prodajalca ali proizvajalca. Do oblačnih sistemov je potrebno zelo omejiti dostop, do njih imajo lahko dostop le določeni zaposleni. Zelo pomembno je tudi, da zdravstvene organizacije segmentirajo svoje omrežje. Ker starejših naprav mogoče ni več možno nadgraditi na novejši operacijski sistem, ni možno ublažiti ranljivosti teh naprav, zato je potrebno uvesti nadomestne kontrole. Ključnega pomena je, da so naprave, povezane z omrežjem,

35 izolirane od preostalega omrežja. V ta namen je potrebno izvesti segmentacijo omrežja. S segmentacijo omrežja je mogoče omrežni promet izolirati in/ali filtrirati ter tako omejiti in/ali preprečiti dostop med omrežnimi območji. Dobro za organizacije je tudi, da šifrirajo občutljive osebne podatke v mirovanju in pri prenosu. Vse informacije, ki spadajo v kategorije osebnih podatkov 9. člena GDPR je potrebno vedno šifrirati. To pomeni, kadar koli se prenašajo ali mirujejo. Za vse druge podatke je priporočljivo zagotoviti šifriranje le, kadar zapustijo organizacijo. Zelo dobra praksa, ki jo uporabljajo moderne bolnišnice, je tudi izvajanje postopka prepoznavanja in upravljanja ranljivosti [22], [23], [77].

4.2.4. Splošne dobre prakse

Kibernetske grožnje zdravstvenim ustanovam ogrožajo zdravje pacientov, neprekinjeno poslovanje in sisteme IKT. Da bi zdravstvene organizacije povečale kibernetsko varnost in uskladile pristope industrije z razvojem skupnega sklopa prostovoljnih smernic, praks, metodologij, postopkov in procesov, ki temeljijo na soglasju in jih vodi industrija ter jih lahko zdravstvene organizacije uporabljajo za povečanje kibernetske varnosti, so bile ustvarjene številne delne skupine in organizacije, kot na primer CSA 405(d) in HICP [81], [82]. Te vsebujejo smernice o stroškovno učinkovitih metodah, ki jih lahko za zmanjšanje tveganj kibernetske varnosti uporabljajo različne zdravstvene organizacije vseh velikosti in ravni sredstev [83].

Izbira in izvajanje varnostnih protokolov, ki bodo najbolje delovali v zdravstveni organizaciji, zahteva temeljito analizo tekočih politik in postopkov, ne da bi pri tem ogrozili učinkovitost storitve oskrbe. Najboljše splošne prakse, ki se priporočajo pri varovanju podatkov, so zagotovo zagotavljanje upoštevanja pravila HIPPA na vseh stopnjah.

Pomembni pravili na tem področju sta pravilo o zasebnosti HIPPA in varnostno pravilo HIPPA. Pravilo o zasebnosti zahteva zaščitne ukrepe za zaščito zasebnosti zdravstvenih podatkov pacientov, vključno s podatki o zavarovanju, zdravstveno dokumentacijo, zdravili in drugimi zasebnimi podatki. Varnostno pravilo pa poudarja varovanje uporabe, ustvarjanja, prejemanja in vzdrževanja elektronsko zaščitenih zdravstvenih podatkov pacientov s strani subjektov, ki jih pokriva HIPAA [39], [84]. Poleg upoštevanja pravil je za varstvo podatkov dobra praksa tudi vzdrževanje varnostne kopije na lokaciji zunaj kraja.

Predvsem zato, ker morajo zdravstveni ponudniki biti v pripravljenosti, če se podatki uničijo, postanejo nedostopni ali izgubijo. Vzpostaviti je treba tudi ustrezne kontrole, t. i.

belo listo, kjer je dostop dovoljen le tistim napravam, ki so na tej listi, vsem ostalim pa je strogo prepovedan. Kot že večkrat prej omenjeno, je za varstvo podatkov ključno tudi šifriranje podatkov – tako v mirovanju kot pri prenosu –, pa tudi redno izvajanje ocene

36 4. Napadi in dobre prakse obrambe

tveganja. Z rednim izvajanjem se zelo hitro odkrijejo točke, ki lahko predstavljajo šibek člen v verigi [83], [85], [86].

Dobrih praks, ki jih uporabljajo različne zdravstvene ustanove, je veliko, prav tako je veliko priporočil s strani številnih organizacij, vlad in drugih ustanov, ki želijo narediti zdravstveni sektor čim bolj varen. Dobre prakse ne bodo delovale v vseh zdravstvenih organizacijah enako dobro. Vsaka izmed teh organizacij mora na prvem mestu narediti dober pregled svojega sistema, pregledati, kje imajo največje težave v njihovi verigi varnosti, in tja nameniti največ sredstev ter se ustrezno zaščititi. Na začetku morajo dodobra spoznati, kaj želijo, šele nato predstaviti dobre prakse in jih uvesti v sistemu.

37