Приоритетни оператор ИКТ система — здравствена делатност
Илустративан, потпуно фиктиван пример. Организација из овог профила не постоји — ниједно стварно име фирме, лице или податак није коришћен. Документи испод нису макета: то су стварни документи које је ИнстантАкт генерисао за овај фиктивни тест-налог, непромењени. Овако, тачно у овом формату и обиму, изгледа оно што добија прави клијент са сличним профилом.
Фиктиван профил: „Др Тијана“ — фиктивна приватна поликлиника са око 20 запослених на две локације, која води електронску медицинску документацију пацијената и заказивање прегледа путем интерног система. Ово је наш интерни тест-налог, креиран искључиво да бисмо проверили цео ИнстантАкт процес од упитника до готовог документа — ниједна стварна особа, фирма или податак није коришћен.
Испод су два стварна извода из Акта о безбедности ИКТ система који је ИнстантАкт припремио за овај профил — свака мера из члана 10. став 4. Закона добија свој члан, са објашњењем обавезе и посебним коментаром о степену усклађености. Заграде попут [NAZIV FIRME] и [KLIJENT DA DOPUNI] нису грешка — то су места која систем свесно оставља видљивим да клијент пре усвајања прегледа и попуни тачним подацима.
Одговорност за сваки систем и процес у оквиру [НАЗИВ ФИРМЕ] формално се утврђује и документује, чиме се обезбеђује јасна линија одговорности за кључне пословне процесе, укључујући заказивање и вођење медицинске документације пацијената. За надзор над информационом безбедношћу на нивоу организације задужен је [ИМЕ ОДГОВОРНОГ ЛИЦА], директор и оснивач ординације, који је уједно одговоран и за праћење усклађености са прописима о информационој безбедности.
Формално тело или особа посебно задужена за информациону безбедност у овом тренутку није успостављена, док је одговорност за надзор над информационом безбедношћу тренутно концентрисана код директора, уз одсуство посебне организационе јединице која би се посвећено бавила овом облашћу. Имајући у виду да кључни пословни процес зависи од континуираног функционисања ИКТ система и поверљивости осетљивих здравствених података пацијената, одсуство формално успостављене функције информационе безбедности повећава ризик од неблаговременог препознавања и реаговања на безбедносне претње.
Приступ кључним системима [НАЗИВ ФИРМЕ], укључујући системе у којима се обрађују здравствени подаци пацијената и подаци неопходни за заказивање и вођење медицинске документације, обезбеђује се применом вишефакторске аутентификације (MFA) као обавезног механизма контроле приступа. За примену ове мере одговоран је директор ординације, [ИМЕ ОДГОВОРНОГ ЛИЦА].
Статус примене ове мере је, на основу спроведене процене ризика, оцењен као нејасан, с обзиром на то да одговор добијен у оквиру процене ризика на питање о коришћењу вишефакторске аутентикације за приступ кључним системима гласи „недефинисано“, чиме није утврђено да ли је MFA технички имплементирана на свим релевантним системима нити у ком обиму. [КЛИЈЕНТ ДА ДОПУНИ: тачан статус примене MFA по системима, обим примене и рок до када ће стање бити усаглашено и документовано].
Акт се овако наставља кроз свих 37 мера из члана 10. став 4. Закона, прилагођених профилу конкретне организације, и закључује стандардним пољем за место, датум, печат и потпис овлашћеног лица. Уз Акт, ИнстантАкт из истог циклуса обраде припрема и Анализу ризика — повезану са Актом тако да сваки налаз из једног документа има одговарајућу напомену у другом.
Исти, непромењен излаз ИнстантАкт алата за овај фиктивни налог — Акт, Анализа ризика и све пратеће политике и планови. Документи се преузимају и испоручују клијенту у Word формату (ради лакше даље измене); овде су, ради лепшег приказа, конвертовани у PDF.
Прочитајте и: наш текст о информационој безбедности у овој области.
ИнстантАкт припрема овакву документацију прилагођену баш вашој организацији, на основу стварних одговора из упитника.
Сазнајте више о ИнстантАкт-у