1. Bezpieczeństwo informacji w
ochronie zdrowia
Michał Tabor, CISSP
Dyrektor ds. Operacyjnych
Trusted Information Consulting Sp. z
o.o.
Warszawa, 20 marca 2013

2. Agenda
• Czym jest bezpieczeństwo informacji
• Czy wymagania ochrony danych osobowych
wystarczą?
• Znaczenie zarządzania ryzkiem
• Czy ISO 27001 da się wdrażać w służbie zdrowia?
• Wymagania Krajowych Ram Interoperacyjności

3. BEZPIECZEŃSTWO INFORMACJI

4. Spojrzenie na bezpieczeństwo
4

5. Spojrzenie na bezpieczeństwo
5

6. Spojrzenie na bezpieczeństwo
6

7. Spojrzenie na bezpieczeństwo
7

8. Spojrzenie na bezpieczeństwo
8

9. Spojrzenie na bezpieczeństwo
9

10. Spojrzenie na bezpieczeństwo
10

11. Spojrzenie na bezpieczeństwo
11

12. Spojrzenie na bezpieczeństwo
12

13. Definicja bezpieczeństwa
Koszty zabezpieczeń Wartość aktywów
Prawdopodobieństwo ich
utraty
13

14. Definicja bezpieczeństwa
• Poufność (ang. Confidentiality)
• Integralność (ang. Integrity)
• Dostępność (ang. Availability)
14

15. CZY OCHRONA DANYCH
OSOBOWYCH WYSTARCZA?

16. Co wynika z Rozporządzeń ODO
• Stosowanie środków kryptograficznej ochrony.
• Dane zabezpiecza się w sposób zapewniający
poufność i integralność tych danych.
• Monitoruje się wdrożone zabezpieczenia systemu
informatycznego.
• System chroni się przed nieuprawnionym dostępem.
• Stosuje się mechanizmy kontroli dostępu do danych.
16

17. Co wynika z Rozporządzeń ODO
• Brak zdefiniowanych mechanizmów ochrony,
przez co zastosowanie nawet najbardziej
prymitywnych i słabych spełnia wymagania
• Ostatnia zmiana w rozporządzeniu o
warunkach technicznych Dz.U. 2004.100.1024
• Brak odniesienia do szczególnej ochrony
danych wrażliwych
17

18. ZNACZENIE ZARZĄDZANIA
RYZYKIEM

19. RYZYKO
• Definicja 1:
Skutek niepewności w odniesieniu do
ustalonych celów (ISO 31000:2009).
• Definicja 2:
Wpływ niepewności na cele (ISO/IEC Guide
73:2009).
19

20. Cele zarządzania ryzykiem
• Identyfikacja szans i zagrożeń.
• Uodpornienie na niespodziewane zagrożenia.
• Zwiększenie prawdopodobieństwa powodzenia.
• Skuteczny nadzór.
• Zapobieganie stratom.
• Minimalizacja strat.
• Budowa pozytywnego wizerunku i zaufania.
20

21. Ryzyko w zarządzaniu bezpieczeństwem
informacji
Źródło: PN-EN ISO 27799:2008
21

22. 22

23. Mity
• W sektorze publicznym nie ma ryzyka jest
tylko przepis.
• W podmiotach publicznych nie ma możliwości
zarządzania ryzykiem.
• Prawo nie zobowiązuje do zarządzania
ryzykiem, nakazuje tylko stosowanie
zabezpieczeń.
23

24. CZY ISO 27001 DA SIĘ WDROŻYĆ W
SŁUŻBIE ZDROWIA?

25. Normy
• ISO 27000 – Słownik i wstęp do zarządzania
bezpieczeństwem informacji
• ISO 27001 – Wymagania SZBI
• ISO 27002 – Najlepsze praktyki
• ISO 27005 – Zarządzanie ryzykiem
• ISO 27799 – Najlepsze praktyki dla służby zdrowia
25

26. Cykl życia systemu zarządzania
bezpieczeństwem informacji
Źródło: PN-EN ISO 27799:2008
26

27. Cele bezpieczeństwa w ochronie zdrowia
a) honorowanie zobowiązań prawnych
b) zachowanie, ugruntowanych w informatyce ochrony zdrowia, najlepszych praktyk w
zakresie prywatności i bezpieczeństwa;
c) zachowanie indywidualnej i organizacyjnej rozliczalności
d) wspomaganie wdrożenia systematycznego zarządzania ryzykiem w obrębie
organizacji ochrony zdrowia;
e) spełnianie potrzeb w zakresie bezpieczeństwa, rozpoznanych w codziennych
sytuacjach w opiece zdrowotnej;
f) redukowanie kosztów operacyjnych …;
g) zachowanie społecznego zaufania do organizacji ochrony zdrowia …;
h) zachowanie standardów i etyki zawodowej, ….;
i) użytkowanie elektronicznych systemów informacyjnych ochrony zdrowia w
środowisku właściwie zabezpieczonym przed zagrożeniami;
j) ułatwianie interoperacyjności wśród systemów związanych z ochroną zdrowia
Źródło: PN-EN ISO 27799:2008
27

28. Informacje, które należy chronić
a) informacje o stanie zdrowia indywidualnych osób;
b) dane uzyskane z informacji o stanie zdrowia indywidualnych osób;
c) dane statystyczne i badawcze;
d) wiedza kliniczna i/lub medyczna, (np. dane na temat reakcji na leki);
e) dane dotyczące pracowników opieki zdrowotnej, personelu i
wolontariuszy;
f) informacje związane ze społecznym nadzorem ochrony zdrowia;
g) dane dotyczące śladów audytowych…;
h) dane związane z bezpieczeństwem systemowym systemów
informacyjnych ochrony zdrowia, …. .
28

29. KRAJOWE RAMY
INTEROPERACYJNOŚCI

30. Rozporządzenie KRI
• § 20. 1. Podmiot realizujący zadania publiczne
opracowuje i ustanawia, wdraża i eksploatuje,
monitoruje
i przegląda oraz utrzymuje i doskonali system
zarządzania bezpieczeństwem informacji
zapewniający poufność, dostępność i integralność
informacji z uwzględnieniem takich atrybutów jak
autentyczność, rozliczalność, niezaprzeczalność
i niezawodność.
30

31. Rozporządzenie KRI
• 2. Zarządzanie bezpieczeństwem informacji
realizowane jest w szczególności przez
zapewnienie przez kierownictwo podmiotu
3. Wymagania określone w
publicznego warunków umożliwiających
realizację i egzekwowanie następujących ust. 1 i 2 uznaje się za
działań: spełnione, jeżeli system
• zapewnienia aktualizacji regulacji wewnętrznych w zarządzania
zakresie dotyczącym zmieniającego się otoczenia;
•
bezpieczeństwem informacji
utrzymywania aktualności inwentaryzacji sprzętu i
oprogramowania służącego do przetwarzania został opracowany na
informacji obejmującej ich rodzaj i konfigurację; podstawie Polskiej Normy
• przeprowadzania okresowych analiz ryzyka utraty
integralności, dostępności lub poufności informacji
PN-ISO/IEC 27001, …
oraz podejmowania działań minimalizujących to
ryzyko, stosownie do wyników przeprowadzonej
analizy;
• podejmowania działań zapewniających …
31

32. Zdrowie informacji – dobór narzędzi
• Analiza ryzyka
• Świadomość ryzyka
• Zarządzanie ryzykiem
32

33. Zamiast slajdu Q&A
ZAPLANUJ
Michał Tabor
michal.tabor@pki2.eu
501557094