Zdravstvene ustanove i Zakon o informacionoj bezbednosti — zašto je ovo sada prioritet

Prema dosad objavljenim informacijama o novom Zakonu o informacionoj bezbednosti (na snazi od 1. januara 2027), zdravstvo se svrstava u red prioritetnih sektora — uz energetiku, bankarstvo i digitalnu infrastrukturu. To znači da će zdravstvene ustanove biti pod najstrožim obavezama koje zakon propisuje.

Za nas u BDB-u ovo ne predstavlja iznenađenje. Do sada smo sproveli analizu rizika i izradili Akt o bezbednosti IKT sistema za 13 bolnica širom Srbije, i to iskustvo nam jasno pokazuje zašto je zdravstveni sektor poseban slučaj.

Zašto su bolnice specifičan izazov

• Osetljivost podataka — medicinski podaci pacijenata spadaju u posebno osetljive lične podatke, sa dodatnim zahtevima zaštite u odnosu na obične poslovne podatke;
• Neprekidnost rada — za razliku od većine firmi, zastoj IKT sistema u bolnici direktno ugrožava zdravlje i bezbednost pacijenata, ne samo poslovanje;
• Veliki broj korisnika sistema — bolnice imaju veliki broj zaposlenih sa pristupom informacionim sistemima, uz čestu fluktuaciju osoblja, što otežava kontrolu pristupa i povećava rizik od ljudske greške;
• Zastarela oprema i sistemi — zdravstvene ustanove često rade sa opremom i softverom koji se dugo koriste i teže se ažuriraju, što ih čini ranjivijim na poznate bezbednosne propuste.

Šta smo naučili radeći sa bolnicama

Analiza rizika u zdravstvenoj ustanovi mora da uzme u obzir ne samo IT infrastrukturu, već i medicinsku opremu povezanu na mrežu, procedure u hitnim slučajevima kada sistemi nisu dostupni, i obuku medicinskog i nemedicinskog osoblja koje često nema tehničko predznanje. Akt o bezbednosti IKT sistema za bolnicu zato izgleda drugačije od Akta za, recimo, proizvodnu firmu — fokus je podjednako na kontinuitetu rada koliko i na zaštiti podataka.

Šta zdravstvene ustanove treba da urade sada

S obzirom na to da zdravstvo ulazi u prioritetnu kategoriju, savetujemo zdravstvenim ustanovama koje još uvek nisu sprovele analizu rizika i izradile Akt o bezbednosti da to učine na vreme, pre nego što novi zakon stupi na snagu 2027. godine. Isto tako, obuka zaposlenih iz oblasti informacione bezbednosti je ključna mera koja se često potcenjuje, a upravo je osoblje najčešće prva linija odbrane od sajber napada (npr. phishing napada putem e-maila).