Prioritetni operator IKT sistema — zdravstvena delatnost
Ilustrativan, potpuno fiktivan primer. Organizacija iz ovog profila ne postoji — nijedno stvarno ime firme, lice ili podatak nije korišćen. Dokumenti ispod nisu maketa: to su stvarni dokumenti koje je InstantAkt generisao za ovaj fiktivni test-nalog, nepromenjeni. Ovako, tačno u ovom formatu i obimu, izgleda ono što dobija pravi klijent sa sličnim profilom.
Fiktivan profil: „Dr Tijana“ — fiktivna privatna poliklinika sa oko 20 zaposlenih na dve lokacije, koja vodi elektronsku medicinsku dokumentaciju pacijenata i zakazivanje pregleda putem internog sistema. Ovo je naš interni test-nalog, kreiran isključivo da bismo proverili ceo InstantAkt proces od upitnika do gotovog dokumenta — nijedna stvarna osoba, firma ili podatak nije korišćen.
Ispod su dva stvarna izvoda iz Akta o bezbednosti IKT sistema koji je InstantAkt pripremio za ovaj profil — svaka mera iz člana 10. stav 4. Zakona dobija svoj član, sa objašnjenjem obaveze i posebnim komentarom o stepenu usklađenosti. Zagrade poput [NAZIV FIRME] i [KLIJENT DA DOPUNI] nisu greška — to su mesta koja sistem svesno ostavlja vidljivim da klijent pre usvajanja pregleda i popuni tačnim podacima.
Odgovornost za svaki sistem i proces u okviru [NAZIV FIRME] formalno se utvrđuje i dokumentuje, čime se obezbeđuje jasna linija odgovornosti za ključne poslovne procese, uključujući zakazivanje i vođenje medicinske dokumentacije pacijenata. Za nadzor nad informacionom bezbednošću na nivou organizacije zadužen je [IME ODGOVORNOG LICA], direktor i osnivač ordinacije, koji je ujedno odgovoran i za praćenje usklađenosti sa propisima o informacionoj bezbednosti.
Formalno telo ili osoba posebno zadužena za informacionu bezbednost u ovom trenutku nije uspostavljena, dok je odgovornost za nadzor nad informacionom bezbednošću trenutno koncentrisana kod direktora, uz odsustvo posebne organizacione jedinice koja bi se posvećeno bavila ovom oblašću. Imajući u vidu da ključni poslovni proces zavisi od kontinuiranog funkcionisanja IKT sistema i poverljivosti osetljivih zdravstvenih podataka pacijenata, odsustvo formalno uspostavljene funkcije informacione bezbednosti povećava rizik od neblagovremenog prepoznavanja i reagovanja na bezbednosne pretnje.
Pristup ključnim sistemima [NAZIV FIRME], uključujući sisteme u kojima se obrađuju zdravstveni podaci pacijenata i podaci neophodni za zakazivanje i vođenje medicinske dokumentacije, obezbeđuje se primenom višefaktorske autentifikacije (MFA) kao obaveznog mehanizma kontrole pristupa. Za primenu ove mere odgovoran je direktor ordinacije, [IME ODGOVORNOG LICA].
Status primene ove mere je, na osnovu sprovedene procene rizika, ocenjen kao nejasan, s obzirom na to da odgovor dobijen u okviru procene rizika na pitanje o korišćenju višefaktorske autentikacije za pristup ključnim sistemima glasi „nedefinisano“, čime nije utvrđeno da li je MFA tehnički implementirana na svim relevantnim sistemima niti u kom obimu. [KLIJENT DA DOPUNI: tačan status primene MFA po sistemima, obim primene i rok do kada će stanje biti usaglašeno i dokumentovano].
Akt se ovako nastavlja kroz svih 37 mera iz člana 10. stav 4. Zakona, prilagođenih profilu konkretne organizacije, i zaključuje standardnim poljem za mesto, datum, pečat i potpis ovlašćenog lica. Uz Akt, InstantAkt iz istog ciklusa obrade priprema i Analizu rizika — povezanu sa Aktom tako da svaki nalaz iz jednog dokumenta ima odgovarajuću napomenu u drugom.
Isti, nepromenjen izlaz InstantAkt alata za ovaj fiktivni nalog — Akt, Analiza rizika i sve prateće politike i planovi. Dokumenti se preuzimaju i isporučuju klijentu u Word formatu (radi lakše dalje izmene); ovde su, radi lepšeg prikaza, konvertovani u PDF.
Pročitajte i: naš tekst o informacionoj bezbednosti u ovoj oblasti.
InstantAkt priprema ovakvu dokumentaciju prilagođenu baš vašoj organizaciji, na osnovu stvarnih odgovora iz upitnika.
Saznajte više o InstantAkt-u