Národné centrum zdravotníckych informácií (NCZI) spravuje množstvo zdravotníckych údajov, ktoré sú často veľmi citlivé a ich odhalenie by ohrozilo bezpečnosť pacientov. „Vysoká úroveň bezpečnosti a ochrany zdravotných záznamov je kľúčovou požiadavkou v budovaní elektronického zdravotníctva,“ vysvetľuje pre Zdravotnícky denník Alena Krčová, hovorkyňa NCZI. Ako dodáva, v poslednom období nezaznamenali žiadne vážne útoky, ktorých súčasťou by bolo aj vydieranie.
NCZI implementovalo komplexné bezpečnostné protokoly, ktoré reagujú na charakter a dôsledky kybernetických útokov. „Naša obranná stratégia je však primárne zameraná na predikciu a prevenciu hrozieb. Neustále investujeme do inovatívnych bezpečnostných riešení, aby sme minimalizovali zraniteľnosti a proaktívne odvrátili potenciálne útoky,“ približuje Krčová.
Najlepšou ochranou dát je ich zálohovanie
„Ochrana dát je prioritou. NCZI striktne dodržiava všetky platné legislatívne požiadavky v oblasti ochrany dát a kybernetickej bezpečnosti,“ konštatuje hovorkyňa národného centra. Bezpečnostná infraštruktúra je preto navrhnutá tak, aby bola v súlade s aktuálnymi medzinárodnými bezpečnostnými štandardami. „Zriadenie a nedávna akreditácia internej jednotky CSIRT na pôde NCZI podľa medzinárodných štandardov je ďalším krokom v našom úsilí o dosiahnutie maximálnej úrovne kybernetickej bezpečnosti. Navyše v NCZI pracuje niekoľko certifikovaných manažérov kybernetickej bezpečnosti,“ dodáva Krčová.
Zálohovanie dát v NCZI je vykonávané štandardne v zmysle zálohovacej politiky tak, aby boli dáta dostupné v prípade potreby. „Aj v tejto oblasti sa snažíme čo najlepšie nastaviť a spravovať zálohovanie,“ hovorí Krčová.
Aj podľa softvérovej firmy Eset je najlepšou ochranou dát ich zálohovanie a to systémom 3-2-1. Sú to tri kópie – dve u seba, ale na iných nosičoch, a jedna mimo fyzickej lokality danej organizácie alebo infraštruktúry ako takej. „Samotné zálohovanie ale nie je všeliek. Dáta môžu byť poškodené, alebo zle zálohované a potom ani obnova neprinesie želaný efekt v prípade obnovy. V skratke by sa to dalo nazvať ako plán zálohovania a obnovy. Samozrejme, nezabúdajme na šifrovanie, ktoré je nápomocné pri tom, aby ste dokázali ochrániť citlivé informácie v prípade úniku dát. K správne šifrovaným údajom by sa zatiaľ žiadny z útočníkov nemal vedieť dostať. Zámerne hovorím zatiaľ, lebo s dobou kvantových PC sa to môže otočiť a niektoré dáta si útočníci môžu odložiť a počkať na „lepšie časy“, keď to budú vedieť dešifrovať,“ pripomína pre Zdravotnícky denník Ondrej Krajč, Senior Technical Pre-Sales Representative spoločnosti Eset.
Vzdelávanie na všetkých úrovniach
Softvérová firma upozorňuje, že sa nesmie zabúdať ani na antivírusové riešenie a aktualizáciu systémov, pretože je to nutný základ, na ktorý by každá organizácia či jedinec mali myslieť. „K celému by sme mohli pripočítať nové technológie ako XDR a podobne, ktoré dávajú slovu bezpečnosť úplne iný rozmer. V dnešnej dobe to teda je skôr taký sumár opatrení a nie je to úplne jediná vec, ktorá pomôže. Celkovo kybernetická bezpečnosť je smer viacerých prúdov ako je napríklad hardvér, softvér a ľudia,“ konštatuje Krajč.
Zabezpečenie hardvéru nie je len fyzická bezpečnosť, patria sem napríklad redundancie rôznych serverov a kritických zariadení, ako aj nákup overených komponentov, ktoré majú dobré reakčné časy v rámci reklamácie. „Celé je to však podčiarknuté ľudským kapitálom, teda personálom, ktorý treba vzdelávať na všetkých úrovniach a to bez výnimky,“ dodáva odborník z Esetu.
Mohlo by vás zaujímať
Na vzdelávanie zamestnancov v oblasti prevencie myslí aj NCZI, navyše organizuje edukačné kampane. „V oblasti kybernetickej bezpečnosti je efektívna spolupráca kľúčovým predpokladom úspechu. Preto aktívne budujeme sieť spolupráce nielen na národnej, ale aj na medzinárodnej úrovni. Prostredníctvom výmeny a zdieľania informácií s medzinárodnými partnermi neustále zvyšujeme našu odolnosť voči kybernetickým hrozbám,“ hovorí Alena Krčová z NCZI.
Pomáha pravidelný audit bezpečnosti
Ondrej Krajč upozorňuje, že sa stáva, že spoločnosti sa obracajú na ich firmu až po incidente, a to je chybné zmýšľanie. „Tak, ako sa hovorí v lekárskom žargóne, prevencia je najlepší liek a zároveň najlacnejší. Je jednoduchšie investovať trochu viac námahy, peňazí a času pred útokom, ako hasiť škody, ktoré nastali. Preto sa snažíme robiť osvetu a dávať do popredia proaktivitu v rámci bezpečnosti,“ prízvukuje odborník.
Čo sa týka „post mortem“ analýz a pomoci, sú rôzne scenáre, ako je možné pomôcť. Individuálne závisia prípadu od prípadu, preto je zložité sa k nim vyjadriť. „Všeobecne sa však dá povedať, že vieme robiť analýzy škodlivého kódu, odhaľovanie vektorov útoku, prípadne dešifrovanie, ak útočník spravil chybu a je v našich silách ju využiť. Znovu sa však vrátim k proaktivite a spomeniem aj pomoc napríklad v podobe rôznych auditov bezpečnosti a penetračného testovania. Výstupom sú špecifické kroky zamedzujúce situáciám, pre ktoré nás kontaktujú firmy až po napadnutí,“ dodáva Krajč.
Národné centrum zdravotníckych informácií je podľa platnej legislatívy tzv. povinným subjektom, v ktorom sa robí audit každé dva roky, vykonáva ho nezávislá certifikovaná audítorská spoločnosť. „Okrem toho však v pravidelných intervaloch realizujeme aj interný audit, ktorý nám dáva aktuálnejší obraz o stave a možnostiach, v ktorých sa môžeme zlepšovať,“ uzatvára hovorkyňa NCZI.
