Cyberbezpieczeństwo jednostek ochrony zdrowia

W związku z ogłoszeniem stanu alarmowego CHARLIE-CRP Centrum e-Zdrowie opublikowało stosowne rekomendacje.

Obowiązujący w Polsce od połowy lutego stopień alarmowy ALFA-CRP został podwyższony do stopnia CHARLIE-CRP. Stopnie te wprowadza się w sytuacji zagrożenia dotyczącego systemów teleinformatycznych administracji publicznej lub systemów wchodzącychj w skład infrastruktury krytycznej. ALFA to pierwszy stopień alarmu, BRAVO - drugi, CHARLIE - trzeci, a DELTA - czwarty, najwyższy.

Centrum e-Zdrowia zwraca uwagę, że każda jednostka ochrony zdrowia powinna posiadać linię telefoniczną typu PSTN doprowadzonądo centrum zarządzania, dyrektora jednostki lub innych osób koordynujących działania w sytuacjach kryzysowych. Linia musi być odporna na brak zasilania w jednostce.

Centrum rekomenduje także przygotowanie procedur i zespołów odpowiedzialnych za ciągłość pracy systemów informatycznych oraz procedur dotyczących awaryjnego gaszenia i uruchamiania systemów informatycznych.

Centrum e-Zdrowia zaleca także wykonanie przeglądu stosowanych polityk wykonywania kopii zapasowych obejmujących system obsługi "części białej", w którym są gromadzone dane medyczne, system kadrowo-płacowy i finansowo-księgowy i inne, krytyczne dla jednostki ochrony zdrowia systemy z punktu widzenia ciągłości działania.

- Ze względu na możliwość cyberataku kopie zapasowe systemów medycznych i danych medycznych muszą być wykonywane na bieżąco. Po wykonaniu kopii nośniki należy separować od sieci teleinformatycznej. Kopie muszą być wykonywane w trybie dobowym, jako kopie pełne lub przyrostowe z zachowaniem ostatniej pełnej kopii danych – wskazano.

W odniesieniu do rekomendacji dotyczących zabezpieczenia transmisji danych centrum zaleca ograniczenie dostępów zdalnych za pomocą protokołu RDP, SSH - w szczególności z zewnątrz organizacji, szyfrowanie ruchu protokołem SSL oraz wykorzystywanie sieci VPN do połączeń zdalnych.