Interoperacyjność i bezpieczeństwo danych w związku z analizą danych medycznych

Transkrypt

1 XI Konferencja Naukowa Bezpieczeostwo w Internecie. Analityka danych Interoperacyjność i bezpieczeństwo danych w związku z analizą danych medycznych Dr inż. Krzysztof Świtała

2 Plan prezentacji Rola interoperacyjności w kontekście zapewniania odpowiedniego poziomu bezpieczeostwa przetwarzanych zasobów informacyjnych Interoperacyjnośd i bezpieczeostwo przetwarzanych zasobów informacyjnych w ochronie zdrowia a ochrona danych osobowych Przykłady problemów bezpieczeostwa związanych z przetwarzaniem danych w ochronie zdrowia Dobre praktyki w zakresie stosowania zabezpieczeo technicznych 2

3 Rola interoperacyjności w kontekście zapewniania odpowiedniego poziomu bezpieczeństwa przetwarzanych zasobów informacyjnych 3

4 Interoperacyjność Art. 3 pkt 18 USTAWY z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne Jest to zdolnośd różnych podmiotów oraz używanych przez nie systemów teleinformatycznych i rejestrów publicznych do współdziałania na rzecz osiągnięcia wzajemnie korzystnych i uzgodnionych celów, z uwzględnieniem współdzielenia informacji i wiedzy przez wspierane przez nie procesy biznesowe realizowane za pomocą wymiany danych za pośrednictwem wykorzystywanych przez te podmioty systemów teleinformatycznych. 4

5 Porównanie definicji normatywnych pojęcia interoperacyjności występujących w prawie polskim Akt prawny Art. 3 pkt 18 UoInf Art. 2 pkt 13 PrTelekom Art. 3 pkt 3 InfoPrzestrzU Definicja normatywna Zdolność różnych podmiotów oraz używanych przez nie systemów teleinformatycznych i rejestrów publicznych do współdziałania na rzecz osiągnięcia wzajemnie korzystnych i uzgodnionych celów, z uwzględnieniem współdzielenia informacji i wiedzy przez wspierane przez nie procesy biznesowe realizowane za pomocą wymiany danych za pośrednictwem wykorzystywanych przez te podmioty systemów teleinformatycznych. Zdolność sieci telekomunikacyjnych do efektywnej współpracy w celu zapewnienia wzajemnego dostępu użytkowników do usług świadczonych w tych sieciach. Rozumie się przez to możliwość łączenia zbiorów danych przestrzennych oraz współdziałania usług danych przestrzennych, bez powtarzalnej interwencji manualnej, w taki sposób, aby wynik był spójny, a wartość dodana zbiorów i usług danych przestrzennych została zwiększona. Art. 4 pkt 29 TrKolejU Zdolność systemu kolei do zapewnienia bezpiecznego i nieprzerwanego ruchu pociągów, spełniającego warunki techniczne, ruchowe, eksploatacyjne i prawne, których zachowanie zapewnia dotrzymanie zasadniczych wymagań dotyczących interoperacyjności systemu kolei i umożliwia efektywne poruszanie się po transeuropejskiej sieci kolejowej. Art. 4 pkt 34 DrPublU Zdolność systemów oraz będących ich podstawą procesów gospodarczych do wymiany danych, informacji i wiedzy. 5

6 Poziomy interoperacyjności Organizacyjna zakłada on ujednolicenie standardów zarządczych, struktur organizacyjnych, polityk i procesów biznesowych związanych z przetwarzaniem informacji, Semantyczna rozumiana jest jako ustanowienie uzgodnionych, spójnych i jednoznacznych struktur danych na wszystkich etapach procesów przetwarzania informacji, Technologiczna zapewnienie kompatybilności rozwiązao technicznych (m.in. protokołów komunikacyjnych) i oprogramowania służącego do przetwarzania informacji (m.in. poprzez sformułowanie minimalnych wymagao dla takich rozwiązao w przepisach prawa, czy wskazanie stosownych norm technicznych, które powinny byd przestrzegane, aby zapewnid efektywną wymianę danych). 6

7 Bezpieczeństwo a interoperacyjność Zapewnienie odpowiedniego standardu ochrony informacji, gwarantującego realizację interesów i uprawnieo osób naturalnie ogranicza bariery w swobodnym przepływie takich zasobów. Współdziałanie różnych podmiotów na rzecz osiągnięcia celów związanych z bezpieczeostwem przetwarzanych przez nie zasobów informacyjnych stanowid może praktykę związaną z zapewnianiem interoperacyjności na wszystkich poziomach. 7

8 Interoperacyjność i bezpieczeństwo przetwarzanych zasobów informacyjnych w ochronie zdrowia a ochrona danych osobowych 8

9 Definicja danych dotyczących zdrowia Art. 4 pkt 15 RODO. Oznaczają one dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej w tym o korzystaniu z usług opieki zdrowotnej ujawniające informacje o stanie jej zdrowia; Motyw 35. Do danych osobowych dotyczących zdrowia należy zaliczyd wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, ( ) numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badao laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych; oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może byd na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro. 9

10 Obowiązki administratora (art. 24 RODO) 1. Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieostwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazad. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. 2. Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których mowa w ust. 1, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych. 3. Stosowanie zatwierdzonych kodeksów postępowania, o których mowa wart. 40, lub zatwierdzonego mechanizmu certyfikacji, o którym mowa wart. 42, może byd wykorzystane jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków. 10

11 Kodeksy postępowania KODEKS POSTĘPOWANIA DLA SEKTORA OCHRONY ZDROWIA WYDANY ZGODNIE Z ART. 40 RODO DOTYCZĄCY PODMIOTÓW WYKONUJĄCYCH DZIAŁALNOŚD LECZNICZĄ I PODMIOTÓW PRZETWARZAJĄCYCH (data przygotowania ) Załącznik nr 4. Przykładowa metodyka analizy ryzyka, której wdrożenie i stosowanie zapewnia realizację podejścia opartego na ryzyku niepełna, koncentruje się tylko na etapie szacowania ryzyka. Załącznik nr 5. Wykaz zabezpieczeo systemów IT matryca składająca się z niespójnych elementów (zabezpieczenia pomieszane z podatnościami i zagrożeniami, brak związku z opisaną wcześniej metodyką analizy ryzyka) pozbawiona jakiegokolwiek komentarza dotyczącego jej stosowania. Załącznik nr 7. Rekomendacje w zakresie bezpieczeostwa oraz rozwiązao technologicznych stosowanych podczas przetwarzania danych w podmiotach wykonujących działalnośd leczniczą, w których przetwarzanie danych nie jest uznane za przetwarzanie na dużą skalę koncentracja na zabezpieczeniach organizacyjnych i fizycznych. Techniczne środki bezpieczeostwa ograniczono do mechanizmów kontroli dostępu, tworzenia kopii zapasowych i oprogramowania antywirusowego. 11

12 Przykłady problemów bezpieczeństwa związanych z przetwarzaniem danych w ochronie zdrowia 12

13 Nieszyfrowany formularz logowania do zasobów wewnętrznych podmiotu leczniczego 13

14 Nieszyfrowany formularz kontaktowy 14

15 Nieszyfrowany formularz logowania do interfejsu administracyjnego strony WWW podmiotu leczniczego 15

16 Niezaufane certyfikaty systemów obsługi pacjenta online 16

17 Nieprawidłowo ukrywane nagłówki HTTP dotyczące konfiguracji serwera 17

18 Nieprawidłowo ukrywane nagłówki HTTP dotyczące konfiguracji serwera 18

19 Dobre praktyki w zakresie stosowania zabezpieczeń technicznych Systematyczne utwardzanie konfiguracji (ang. hardening); Stosowanie skutecznych algorytmów kryptograficznych i odpowiednio długich kluczy, którymi należy również prawidłowo zarządzad; Zarządzanie zapisami zdarzeo w systemach teleinformatycznych (tzw. logami) i cykliczne ich analizowanie; Stosowanie sprzętu i oprogramowania Intrusion Detection System/Intrusion Prevention System (np. Snort, OSSEC, Suricata); Odpowiednia konfiguracja zapór sieciowych i portów TCP/UDP; Stosowanie wirtualnych sieci prywatnych (ang. Virtual Private Network) do wewnętrznej komunikacji w podmiocie (np. dostęp do poczty elektronicznej, systemu obiegu dokumentów); Testy penetracyjne (np. przy wykorzystaniu Kali Linux). 19

20 Dziękuję za uwagę