Cyberbezpieczeństwo

Specjalistyczny Szpital im. Dra A. Sokołowskiego w Wałbrzychu zgodnie z decyzją Ministra Zdrowia został ustanowiony operatorem usługi kluczowej, o którym mowa w art. 5 ustawy z dnia 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa (Dz.U. poz. 1560), w zakresie:

• udzielanie świadczenia opieki zdrowotnej przez podmiot leczniczy,
• obrót i dystrybucja produktów leczniczych.

Usługa kluczowa to udzielenie świadczenia opieki zdrowotnej przez podmiot leczniczy.

Za operatora usługi kluczowej uznaje się podmiot, jeżeli:

1. świadczy usługę kluczową,
2. świadczenie tej usługi zależy od systemów informacyjnych,
3. incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.

Operator usługi kluczowej ma podejmować odpowiednie i proporcjonalne środki techniczne i organizacyjne w celu zarządzania ryzykami, na jakie narażone są wykorzystywane przez niego sieci i systemy informatyczne oraz odpowiednie środki zapobiegające i minimalizujące wpływ incydentów dotyczących bezpieczeństwa sieci i systemów informatycznych wykorzystywanych w celu świadczenia takich usług kluczowych, z myślą o zapewnieniu ciągłości tych usług.

W Jednostce egzekwowane jest stosowanie wewnętrznych procedur i instrukcji. Każda osoba (pracownik/procesor) mająca dostęp do informacji zobowiązana jest, zgodnie z posiadanymi uprawnieniami, do zapoznania się z Polityką Bezpieczeństwa Informacyjnego oraz przestrzegania jej zapisów.

Szpital im. Dra A. Sokołowskiego w Wałbrzychu zobowiązany jest do szacowania ryzyka dla swoich usług kluczowych, zbierania informacji o zagrożeniach i podatnościach, stosowania środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego oraz zgłaszania incydentów poważnych do Centrum Nadzoru CSIRT NASK.

Podstawę do identyfikacji ryzyka stanowią procesy i aktywa szpitala, których realizacja ma bezpośredni wpływ na świadczenie usługi cyfrowej w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, a tym samym na określenie poziomu akceptowalności ryzyka.

Reakcja na niepożądane zdarzenia (incydenty) lub podatności

1. Każdy pacjent, osoba odwiedzająca pacjentów, pracownik, współpracownik Szpitala:
   • w przypadku zauważenia:
     • próby przełamania zabezpieczeń, próby nieautoryzowanego wejścia na chroniony obszar,
     • powzięcia wątpliwości co do stanu technicznego urządzeń informatycznych, na których przetwarzane są dane osobowe,
     • innych budzących wątpliwości w zakresie przestrzegania bezpieczeństwa informacji, a mogących wpłynąć na świadczenie usług, proszony jest o zgłoszenia niezwłocznie zaobserwowanej sytuacji do Pełnomocnika ds. Cyberbezpieczeństwa i IT, tel. 74 6489696  w godzinach od 7:30 do 15:05 lub przesłanie jej opisu na adres e-mail: csirt@zdrowie.walbrzych.pl
   • w przypadku zauważenia próby pozyskania w sposób nielegalny danych o innej osobie, proszony jest o zgłoszenie zaobserwowanej sytuacji do Inspektora ds. Ochrony Danych, tel. 74 6489 916, e-mail: iod@zdrowie.walbrzych.pl
2. Każdy użytkownik (pracownik lub osoba z firmy zewnętrznej współpracującej z naszym Szpitalem) ma obowiązek zgłaszania zauważonych przez siebie incydentów oraz notować wszystkie szczegóły związane z incydentem.

Ponadto dostrzegający:

• zdarzenie, incydent bezpieczeństwa informacji,
• nieprawidłowe działanie systemów w aspekcie bezpieczeństwa informacji,
• próby podszywania się pod pacjenta, nieautoryzowane próby podłączeń do infrastruktury Szpitala, fałszywe wiadomości mailowe wysyłane do personelu Szpitala,
• inne zdarzenie mogące mieć wpływ na bezpieczeństwo informacji, jest zobowiązany zaobserwowaną sytuację niezwłocznie zgłosić do adres e-mail: csirt@zdrowie.walbrzych.pl.

Zabrania się użytkownikowi zgłaszającemu problem lub naruszenie bezpieczeństwa wykonywania jakichkolwiek działań „na własną rękę” rozwiązujących problem, za wyjątkiem działań niezbędnych dla zapewnienia bezpieczeństwa osobom i mieniu.

Do jednych z wielu obowiązków nałożonych na Operatora Usługi Kluczowej, jest obowiązek opublikowania na stronie internetowej Szpitala podstawowych informacji związanych z zagrożeniami cyberbezpieczeństwa. Ma to na celu umożliwienie pacjentom oraz podmiotom współpracującym, zrozumienia zagrożeń cyberbezpieczeństwa i zastosowanych skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową.

Cyberbezpieczeństwo zgodnie z obowiązującymi przepisami to „odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność
i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy” (art. 2 pkt 4) Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2018 r. poz. 1560).

Główne zagrożenia spowodowane przez ataki zewnętrzne i wewnętrzne

• Emisja ujawniająca
• Luki w zabezpieczeniach (np. słabe hasła, nieaktualne oprogramowanie)
• Maskarada (spoofing)
• Nieautoryzowany dostęp
• Odmowa świadczenia usługi (DoS)
• Podszywanie się, wprowadzanie w błąd
• Tylne wejście (backdoor)
• Wirusy komputerowe ( bomby czasowe, trojany, ransomware, spyware itd.)
• Włamanie do sieci
• Działania hakerskie (wykorzystywanie błędów, socjotechnika, ataki podszywające)
• Ataki mające na celu wyłudzanie danych lub zniszczenie danych
• Niechciana poczta (SPAM)
• Socjotechnika
• Phising

Podstawowe pojęcia

• Bezpieczeństwo – stan niezagrożenia, spokoju i pewności.
• Bezpieczeństwo informacyjne – ochrona wszelkich form wymiany, przechowywania i przetwarzania informacji.
• Cyberatak – działanie ofensywne w cyberprzestrzeni.
• Cyberbezpieczeństwo – proces zapewnienia poufności, integralności i dostępności danych.
• Cyberprzestępca, cyberterrorysta, haker, haktywista – różne role i motywacje atakujących.
• Incydent – zdarzenie mające wpływ na bezpieczeństwo.
• Podatność – słabość systemu.
• Zagrożenie – potencjalna przyczyna incydentu.

W celu ochrony przed zagrożeniami należy stosować zabezpieczenia:

• nie udostępniaj nikomu swojego loginu i hasła do systemu.
• Unikaj stosowania haseł które można łatwo  z Tobą powiązać.
• Unikaj logowania się do systemów z cudzych urządzeń i publicznych nieznanych sieci.
• Używaj aktualnego oprogramowania antywirusowego.
• Skanuj systemem AV wszystkie urządzenia podłączone do komputera.
• Aktualizuj system operacyjny i posiadane oprogramowanie.
• Nie otwieraj plików nieznanego pochodzenia, a w szczególności plików wykonywalnych.
• Wszystkie pobrane pliki skanuj programem AV.
• Nie korzystaj ze stron www banków, poczty elektronicznej i innych które nie mają ważnego certyfikatu bezpieczeństwa (tzw. Zielona kłódka w adresie strony)
• Nie odwiedzaj stron oferujących darmowe filmy, muzykę albo „łatwe pieniądze”- najczęściej na tych stronach znajduje się złośliwe oprogramoąwanie.
• Nie podawaj swoich danych osobowych na stronach internetowych, co do których nie masz pewności, że nie są one widoczne dla osób trzecich.
• Zawsze weryfikuj adres nadawcy wiadomości e-mail.
• Zawsze zabezpieczaj hasłem lub szyfruj wiadomości e-mail zawierające poufne dane- hasło przekazuj innym sposobem komunikacji.
• Cyklicznie wykonuj kopie zapasowe ważnych danych.
• Zawsze miej włączoną- zaporę sieciową tzw.”firewall”
• Nie uruchamiaj linków w wiadomościach SMS lub e-mail, jeżeli nie masz pewności, że pochodzą z bezpiecznego źródła.
• Zwracaj uwagę na komunikaty wyświetlane na ekranie monitora.

Więcej porad w zakresie cyberbezpieczeństwa:

https://cert.pl/ouch/

Prawna ochrona bezpieczeństwa informacji (Kodeks karny)

• Art. 267 – hacking, podsłuch komputerowy, sniffing
• Art. 268 – naruszenie integralności danych
• Art. 269 – niszczenie danych informatycznych
• Art. 269a – sabotaż komputerowy
• Art. 269b – narzędzia hakerskie
• Art. 269c – wyjątek dla działań w celu zabezpieczenia systemu