INFOKOMMUNIKÁCIÓ
ADATBIZTONSÁG
Általános irányelvek az egészségügyi intézmények információbiztonsági rendszerének kialakításához Baross Szabolcs, Baross Vezetési Tanácsadó Bt.
Az intézmények mûködésével és a kezelt betegekkel kapcsolatos információk kezelésére az egészségügy területén különbözô szakmai-etikai normák alakultak ki és meghatározott törvényi elôírások vonatkoznak. A markáns, ámbár kellôen általános szabályok megléte mellett örömmel üdvözlendô az információbiztonság megteremtésére és fenntartására vonatkozó, konkrét követelményeket rendszerbe foglaló – nemzetközi érvényességû – szabvány (MSZ ISO/IEC 1779: 2002) megjelenése. A cikk a szabvány elôírásaival, az információbiztonság hangsúlyának megnövekedését eredményezô változásokkal, a védelem eszközeivel foglalkozik, és összegzés formájában megadja az információbiztonság megteremtésének sikerkritériumait.
A TÉMA FONTOSSÁGA Információkezelési szempontból az egészségügyi intézmények speciális helyzetben vannak: tevékenységük végzéséhez személyre vonatkozó információkat vesznek át, állítanak elô, dolgoznak fel, továbbítanak elektronikusan, és ezek alapján határoznak meg a személyre vonatkozó információkat befolyásoló kezelési eljárásokat. E tevékenységeket a szakmai-etikai normák mellett a Polgári törvénykönyv személyhez fûzôdô jogok között szereplô – a nyilvántartott adatok kezelésére – és az Egészségügyi Törvény betegjogok között felsorolt • tájékoztatáshoz, • egészségügyi dokumentációk megismeréséhez, • orvosi titoktartáshoz való jogokra vonatkozó elôírások keretein belül kell, hogy végezzék.
kezelésére vonatkozó konkrét szabályok területeire és követelményeire vonatkozó – nemzetközi érvényességû – szabvány megjelenése (MSZ ISO/IEC 17799: 2002), mely a minôségbiztosításra és a környezetirányításra vonatkozó szabványokhoz hasonlóan • felkészülési követelményeket és • tanúsítási eljárást fogalmaz meg. Az elôbb említett kettô és az utóbbi – az információbiztonságra vonatkozó – szabvány között azonban lényeges különbség van. Míg a minôségbiztosítási szabvány elsôsorban az ügyfél, esetünkben a kezelt beteg – mint közvetlen vevô – szempontjából fogalmaz meg követelményeket, a környezetirányítás a jelen és a jövô társadalmának szempontjait tartja meghatározónak, addig az információbiztonság elsôsorban az adott intézmény érdekeit védi. Közvetlenül, amikor a saját információra, illetve közvetve, amikor a partneri körre, a betegekre vonatkozó információk kezelésére ad ajánlásokat, elôírásokat. Az intézményi célok elérését (pl. tervszerû mûködés, szakmai vonzás, igénybevevôi kör, kutatási megbízások alakulása), illetve azok sérelmének elkerülését, a törvényi elôírások betartását tekinti szem elôtt, amikor a veszélyforrásokat veszi számba és fogalmaz meg kezelési feladatokat és lehetôségeket. Veszélyforrások • • •
• Természetesen az egészségügyi intézményeknél foglalkoztatott vezetôkre és beosztott munkatársakra – a más egyéb intézményeknél foglalkoztatott vezetôkhöz és alkalmazottakhoz hasonlóan – vonatkoznak az intézmény érdekeinek védelmével, illetve az intézmények mûködésével kapcsolatos károkozás elkerülésére vonatkozó foglalkoztatási-magatartási, ezen belül az információ kezelésére vonatkozó szabályok is. Mindenesetre a markáns, ámbár kellôen általános szabályok megléte mellett örömmel üdvözlendô az információk
42
IME II. ÉVFOLYAM 6. SZÁM 2003. SZEPTEMBER
•
a szándékos cselekményekbôl fakadó fenyegetettségek, a csalás, kémkedés, szabotázs, vandalizmus, a havária események, a tûzesetek, a vízkár, a földrengés, a villámcsapás, a kapcsolati veszélyek mind az ügyfelek, mind a beszállítók, alvállalkozók, mind pedig az együttmûködô partnerek részérôl, az alkalmazott technikák, azon belül is kiemelten az információ feldolgozási és hírközlési technikák alkalmazásával együtt járó veszély lehetôségek, a belsô személyzet szándékos vagy vétlen veszély cselekedetei.
A teljes biztonság érdekében az összes veszélyforrás kiszûrése volna a cél. Azonban annak szervezési, eljárásbeli és szervezeti megoldásai gyakorlatilag blokkolnák az intézmények mûködését. Így valószínûségi megfontolások és ezzel együtt kockázatok vállalása, a lényeges veszélyforrásokra való fókuszálás a javasolt megoldás.
INFOKOMMUNIKÁCIÓ
ADATBIZTONSÁG
A SZABVÁNY ELÔÍRÁSAI Az információbiztonsági szabvány a minôségbiztosítási és a környezetirányítási szabványokkal analóg módon határoz meg feladatokat. íÍgy kiemelten hangsúlyos • a vezetés felelôssége, deklarációk megtétele, • információbiztonság menedzselési fórumainak létrehozása és mûködtetése, • biztonsági szabályzat kibocsátása, alkalmazásra vétele, karbantartása, • rendszeres felülvizsgálatok és ezek alapján intézkedések meghozatala. A szabályzatok az intézményi élet különbözô területeire (szervezetre, személyzetre, eszközök használatára, üzemeltetésre, fejlesztésre stb.) vonatkoznak. • A személyzeten belül például a munkaköri felelôsség pontos meghatározására, a személyzetrôl való informálódásra, a titoktartási megállapodásra, az alkalmazási megállapodásra. • A biztonsági eseményekre való reagálásokon belül például a jelentések, dokumentálások kérdésére, az öntanulásra, a fegyelmezés folyamatára. • A fizikai és környezeti biztonságon belül például a védôsávra, a beléptetésre, a munkaszobák és -eszközök biztonságba helyezésére, a munkavégzés biztonságára, az eszközök, anyagok, adatok kiszállítására. • A berendezések biztonságára, a hálózatok hozzáférési lehetôségeinek ellenôrzésére, a távmunkára. • A rendszerfejlesztések és karbantartások információbiztonsági követelményeire. Valamennyi elôírás három fô követelmény köré csoportosítható. Ezek • a titkosság (megvédeni az információt, hogy csak az férhessen hozzá, aki erre jogosult), • a sértetlenség (megvédeni az információnak és a feldolgozás módszerének a pontosságát és teljességét), • a rendelkezésre állás (gondoskodni arról, hogy amikor a jogosult használónak szükséges, valóban hozzá tudjon férni a kívánt információhoz, és rendelkezésére álljanak az ezzel kapcsolatos eszközök).
A MEGVÁLTOZOTT KÖRÜLMÉNYEK Miért kapott nagyobb hangsúlyt az információbiztonság az utóbbi években? Nézzük meg melyek azok a – elsôsorban a titkosság és a sértetlenség kérdéseivel összefüggô – változások, amelyek indokolttá tették az információbiztonság hangsúlyos, komplex feladat csomagként való kezelését! Változott a kritikus információk köre • Korábban az eljárások, a munkavégzési módok, a felhasznált anyagok, a norma jellegû elôírások képezték az
•
intézményeknek azokat a „drága kincseit”, amelyeket védeni kellett, amelyek munkájuk eredményességét, minôségét meghatározták. Jelenleg az ügyfélkör, a beszállítók, a különbözô partnerekkel történt megállapodások, a tervezett fejlesztési irányok, új tevékenységek, szolgáltatások beindítására irányuló akciók is nagyobb hangsúlyt kaptak a védendô információk körébôl. Ezek azonban nehezebben védhetôk, mert nem egy-egy személy tudásához vagy elzárható, elkülöníthetô dokumentációkhoz kötöttek, hanem intézményen belül többszörösen kinyilvánított vezetôi szándékok, meghirdetett megoldások, több személy, esetenként szakma bevonásával elôkészített cselekvési programok.
Változott az informatikai eszközök köre és használata • A dokumentálás, irattározás egyre inkább nemcsak hagyományos módon – elzárható szekrényben, irattári rend szerint lerakott dossziékban, tasakokban, kartonokon – történik, hanem laptopokon, egyedi és hálózatba kötött asztali gépeken, szervereken, hazavitt lemezeken, otthoni gépeken. Sokszor nyomon követhetetlen változatokban, módosításokkal is találhatók olyan információk, amelyek azelôtt számozott példányban egy iratszekrény zárásával védetté váltak. • A kommunikálás különidejûségének lehetôségét teremtette meg az e-mail segítségével történô levelezés, az egyes résztvevôk „ráérésétôl” függô idôpontban születhetnek irományok, juthatnak el tájékoztatások, kérdések és történhetnek reagálások. Talán ez is hozzájárult e forgalmazási forma gyors és széles körû elterjedéséhez. A levelek könyvtárba rendezésére a hozzájuk csatolt fileok elkülönített és védett tárolására a legtöbb felhasználó nem fordít gondot, az intézmény hálózatára rákapcsolt gépeknél gyakorlatilag a teljes levelezéshez és mellékleteihez hozzá lehet férni, az egyedi gépeknél a karbantartások, javítások, szoftver cserék ugyanezt a lehetôséget adják meg. Valójában átgondolt védelem helyett sokszor emberi jóindulatra hagyatkozunk. • A belsô hálózatok a távoktatásra, a szakmai konzultációkra, a különbözô belsô iratanyagok terjesztésére (pl. szabályzatok, aktuális hírek, intézményi tervek, célok, tényadatok, teljesítmények és elszámolások, beteg adatok stb.) és további alkalmazásokra új perspektívákat nyitottak meg. A belsô hozzáférési szabályok a nagyobb intézményeknél többnyire elfogadható szinten kialakultak. Ugyanakkor a belsô hálózatok a legjobb célpontjai a külsô betöréseknek, illetéktelen hozzáféréseknek, rongálásoknak. • Az internetrôl történô lekérdezések ugyancsak kitágították a rövid idôn belül hozzáférhetô információk körét, és lehetôvé tették a pontatlanul, vagy kevés információval megfogalmazott kérdések esetén is a pontos válaszok megtalálását. A böngészés azonban nyomon követhetô, meghatározható a rendszeresen felhasznált információ kör, az esetenkénti érdeklôdés területei
IME II. ÉVFOLYAM 6. SZÁM 2003. SZEPTEMBER
43
INFOKOMMUNIKÁCIÓ
•
ADATBIZTONSÁG
stb. Ez is eredményezhet nem kívánatos információ kikerülést. Az értekezletek elôkészítésében, a helyszíni prezentációban, a határozatok rögzítésében (pl. projektorral, kivetítôvel összekötve), vagy feladatkiadásnál, feladatvégzés nyomon követésénél, beszámoltatásnál a számítógép és számos alapszoftver mind-mind ma már szinte nélkülözhetetlen hatékonyság növelô eszköz. Az így rögzített, forgalmazott és tárolt információk sérthetôségénél, illetéktelenek által történô hozzáféréseknél azonban ugyan azokkal a problémákkal kell számolnunk, mint az elôbbi esetekben.
Változott a számítógép használatának üzemmódja • Az autonóm üzemmódú asztali gépek az elôzôekben felsorolt elônyök jelentôs részének kihasználását nem teszik lehetôvé. A mai kornak megfelelô munkahelyeken • a hálózatba kötés, • a különbözô helyen dolgozó és ott számítógépet használó személyek számára a laptop, • a „24 órás” munkát végzô emberek (pl. szellemi munkások, vállalkozók, magasabb beosztású vezetôk) számára a máshonnan – pl. otthonról, nyaralóból, külföldrôl stb. – történô betárcsázás az intézmény belsô hálózatába szinte nélkülözhetetlen. Ezek azonban mind-mind önállóan kezelendô veszélyforrások. • Az állandósult rendszer felügyelet, a folytonos informatikai fejlesztés, a távjavítás személyi megbízhatóság szempontjából az egyik legkritikusabb munkakörré tette a rendszergazdai munkakört. Változtak az információ szerzés módjai, a potenciális kiáramlási pontok • Számtalan szakterületen az egy intézmény által végzett kutatás és fejlesztés nem járható út. A különbözô intézményekkel történô közös fejlesztések meggyorsíthatják a fejlesztési eredmények elérését, alkalmazásba vételét. • Ugyanígy, a minden fô-, kapcsolódó- és kiszolgáló tevékenység végzésére való berendezkedés sem követhetô megoldás. Az outsourcing, a beszállítói rendszerek számtalan gondtól szabadították meg az intézmények vezetôit, jó lehetôséget teremtve arra, hogy a fô tevékenységre koncentráljanak. Ugyanakkor az együttmûködések mind-mind információ kiáramlási pontok. • Az elmúlt idôszakban, hazánkban is különbözô mozgalmak, szervezetek, szakmák mozdultak meg abban az irányban, hogy – különösen a közösségi szolgáltatásokat nyújtó – intézmények a mûködésének minél nagyobb része a nyilvánosság elôtt történjen. Az információ átadás szabályozása, tartalmi kérdések, felhatalmazások, szûrôk beiktatása tekintetében még nem rendelkezünk kiforrott gyakorlattal. • „Add a neved a munkádhoz” – jelenjen meg a név az intézmény falán, a tájékoztató anyagban, a honlapon, a konferenciákon, a szaklapokon – gyorsan elterjedt, sok
44
IME II. ÉVFOLYAM 6. SZÁM 2003. SZEPTEMBER
•
szempontból helyeselhetô irányzat. Ezek figyelése, rendezett gyûjtése azonban megadja más intézmények számára a szakember és az információ szerzés célpontjait. A korábbiakban, ha egy ismeretlen intézményrôl összefüggéseiben lényeges információ halmazt kívántunk megtudni, akkor kiindulásként célszerû volt feldolgozni (visszamenôleg vagy folyamatos figyeléssel) a sajtó megnyilvánulásokat, cikkeket, közölt adatokat, nyilatkozatokat. Ma ezeken túl adattárak és információgyûjtésre szakosodott cégek állnak rendelkezésünkre a konkurens, a beszállító cég, az együttmûködô partner adatainak megismeréséhez. Ezek jól felhasználhatók a „másik” megismeréséhez, illetve a védelem oldaláról fogalmazva jó szabályozás szükséges, hogy a különbözô megnyilvánulások, adatközlések ne legyenek az ellenünk fordítható információk forrásai.
A VÉDELEM ESZKÖZEI A veszélyforrások után tekintsük át a védelem eszközeit. Ezek egy része nem több és nem más, mint a klasszikus munka-, folyamat- és ügyvitel szervezési elvek precíz és következetes alkalmazása az információkezelésnél, döntéstelepítésnél. Más részük új megoldási elemeket is tartalmaz, így pl. átgondolt szûrôk alkalmazását, technikai korlátok használatát, használatdokumentálást és annak ellenôrzését. A védelem eszközei között különös hangsúlyt kapnak a személy kiválasztási és ellenôrzési feladatok mind a felhasználóknál, mind pedig az informatikai munkakörbe kerülô személyek alkalmazásánál. Szervezési megoldások Az információbiztonság alapjainak megteremtéséhez pontos munkaköri leírások, annak részeként döntési hatáskörök rögzítése, feladathoz és döntéshez rendelt információ hozzáférés meghatározások szükségesek. Ezek kialakításánál, alapszabály: információ felhasználások, döntéshozatal nem történhet a szervezetben az ellenôrzés lehetôségének megteremtése nélkül. •
Fontosnak tartjuk a biztonsági szempontból kritikusnak tekintett információk felhasználása esetén a feladatvégzéshez, vagy döntéshez szükséges információk tételes meghatározását is. Az ilyen jellegû szabályozás akkor hozza meg a kívánt eredményt, ha alulról – a szükséges minimális informáltság mértékének megadásával – és felülrôl – a maximálisan figyelembeveendô információk körének meghatározásával – egyaránt állít korlátokat. Az alsó korlát az információ hiányos döntéseket segít elkerülni a felsô korlát az illetéktelen hozzáférést teszi kézben tarthatóvá. Kísérletek bizonyították, hogy az információ telítettség érzete az információ mennyiségi skála elején gyorsabban nô, mint a telítettség tényleges értéke.
INFOKOMMUNIKÁCIÓ
ADATBIZTONSÁG
•
A híráramlás átfutási ideje csökkenthetô mind az adó, mind pedig a vevô oldalánál. Minden gyorsítást azonban az ellenôrzési lehetôség megtartásával, vagy más módon történô megteremtésével kell egybekötni. Erre lehet megoldási példa, amikor az ellenôrzési pont számára idôtartammal korlátozott tiltási lehetôség biztosítunk. Így az információáramlásban – normál esetben – nem lép fel a megállás veszélye, ugyanakkor a hagyományos kiadványozás (adó függelmi felettese dönt a kiadványozásról) szerinti egyedi ellenôrzés lehetôsége megmaradt.
1. ábra Információtelítettség
•
Célszerû a szervezetben elhelyezni információszûrôket. Ez érzékelhetô azonnali hasznot többnyire a csúcsvezetés (ábránkban Vezetés I.) és a nagyobb önálló egységek vezetése (ábránkban Vezetés II.) közé történô beiktatás esetén hoz. A szûrô egység e két szint számára a bejövô és kimenô információkat kezeli, továbbá szabályozások és szinteket átlépô döntések tekintetében közvetlen és folyamatos kapcsolatot teremt a két vezetôi szint között.
3. ábra Ellenôrzési lehetôségek
2. ábra Információ szûrô alkalmazása
•
Az információ áramlások szabályozásánál mind az adó, mind pedig a vevô oldaláról különbözô meghatározási és ellenôrzési pontokat kell beiktatni. Így pl. az adó oldalán • az elkészítésért való felelôsség, • a tartalmi helyesség ellenôrzéséért való felelôsség, • a kibocsáthatóság megállapítása, • a szervezeti érdek kontrollja kérdéseit kell tartalmilag tisztázni és meghatározott személyhez, vagy testülethez, fórumhoz kötni. Ugyanígy a vevô oldalán is szükséges tisztázni az alapvetô felelôsségeket, ezek • a megbízhatóság mértékének megállapítása, • a terítés meghatározása, címzettek kijelölése, • a felhasználási útvonal, hozzáférések kijelölése, • a felhasználás körülményeinek, kontrolljának, algoritmusainak meghatározása.
Technikai megoldások • A technikai megoldások közül a használatdokumentálást és az automatikus ellenôrzéseket emeljük ki. Az adatbázis lekérdezés, a használt szoftverek, az adatfelvitel, a forgalmazás, az illetékességi körön kívüli próbálkozások jól regisztrálhatók akár a hálózatra kötött gépeknél, akár az autonóm üzemmódúaknál. Ezek idôszakos áttekintése jó ellenôrzési lehetôség a szervezet számára. Személyzet kiválasztás és ellenôrzés • Az IT területén foglalkoztatottak esetében a szakmai szempontokon túl a személyi kiválasztás egyik legfontosabb szempontja az erkölcsi megbízhatóság, az általános, a szakmából fakadó és az intézmény által elôírt normák betartása. Ennek megismerése, különösen pedig jövôbeni helyzetekre történô vetítése a legnehezebb feladatok közé tartozik. Hiszen a valós viselkedés nemcsak az etikai normák ismeretén múlik, hanem a helyzet kihívó erejéhez mért akaraterôn és a legkülönbözôbb hatások eredôjeként jelentkezô emberi szándékokon is. Az információtechnológián foglalkoztatottak esetében célszerû törekedni a személyes garanciák szerzésére is. Az elôzôekben tárgyalt eszközök felsorolása korántsem teljes, a kapcsolódó feladatok sora még kevésbé. Az infor-
IME II. ÉVFOLYAM 6. SZÁM 2003. SZEPTEMBER
45
INFOKOMMUNIKÁCIÓ
ADATBIZTONSÁG
mációbiztonsági szabvány szerinti felkészülés és tanúsítás várhatóan hasonló pályát fog befutni, mint a minôségbiztosítási és környezetirányítási szabványok szerinti felkészülések és tanúsítások. Túlzott és elnagyolt alkalmazások, auditálások után az intézmények, a felkészítôk és a tanúsítók megtalálják a fókuszterületeket és megoldásokat. Ezt a folyamatot gyorsíthatja, ha intézménycsoportonként pilot programok keretében kidolgozásra és bevezetésre kerülnek az adekvát megoldások, gyakorlatok.
ÖSSZEGZÉS Az eddigi tapasztalataink szerint felsorolás jelleggel megadjuk az információbiztonság megteremtésére vonatkozó legfontosabb feladatokat, sikerkritériumokat: • Az intézmény egészét átlátni képes biztonsági menedzser kiválasztása és megbízása. • Megfelelô összetételû informatikai menedzselési fórum létrehozása és hatékony mûködési feltételek megteremtése. • Az alaprend megteremtése munkakörök, feladatok, döntési hatáskörök írásbeli és egyértelmû szabályozásával. • Valószínûségen és kockázat számításon alapuló szelek-
tivitás az információk kezelésében, szervezési és technikai megoldások alkalmazásában. • Egyértelmû szabályok az információkezeléssel kapcsolatban, ezek betanítása, tudatosítása, ellenôrzése és folyamatos felülvizsgálata • Technikai megoldások, korlátok, nyomon követhetôség, azonosíthatóság biztosítása a teljes információáramlási folyamatban. • Az intézményt védô foglalkoztatási szabályok és munkaszerzôdések kialakítása, alkalmazása, következetes eljárás a szabályok megsértése esetén. • Információ technológiai munkakörben leinformált személy alkalmazása a szükséges felvilágosításokkal, kiképzésekkel. •. Partneri információs kapcsolatok intézményt védô szabályozása, érvényesítése a különbözô megállapodásokban él. • Részletes biztonsági elôírások és megállapodások erôforrás kihelyezéseknél, outsourcing-nál, beszállítói rendszerek kialakításánál. • Felkészülés és felkészítés váratlan helyzetekben való reagálásokra. • Hardver és szoftver elemek, szolgáltatók kiválasztásánál kapjon prioritást a megfizetett biztonság.
A SZERZÔ BEMUTATÁSA Dr. Baross Szabolcs A Miskolci Egyetem Gépészmérnöki Karán végzett. Elsô munkahelye az Ipargazdaságtani Tanszék volt, ahol munkaszervezéssel és költségtannal foglalkozott. Ezt követôen a Hungalu Rt-ben a csoporthoz tartozó cégek szervezését fogta össze, irányította a mûködésfejlesztési munkákat. 1982-tôl vezetési tanácsadóként dolgozik, vezeti saját tanácsadó cégét. Fôbb szakmai területei a stratégiakészítés, szervezetfejlesztés, cégcsoporti modellek
46
IME II. ÉVFOLYAM 6. SZÁM 2003. SZEPTEMBER
kialakítása, szervezetszabályozás, vezetésszervezés, projekt menedzsment. Az egészségügy területén részt vett: a háziorvosok vállalkozóvá válásának elôkészítô munkáiban, a gyógyszerészek vállalkozóvá válásának felkészítô képzésében, vezetett több intézményátvilágítást, részt vett egyházi intézmény visszaadásának elôkészítésében. Oktatási tevékenységet végzett, illetve végez több hazai egyetemen, fôiskolán, vezetôképzô intézetben. A CEU, illetve a jogelôd IMC menedzser képzési programjaiban oktatóként 10 éve vesz részt.
