Kybernetická a informační bezpečnost
Kybernetická a informační bezpečnost
Politika bezpečnosti informací
Bezpečnost informací je součástí bezpečného a spolehlivého provozu Nemocnice Nové Město na Moravě. Informace, informační systémy a technologie chráníme přiměřeně jejich významu, citlivosti a rizikům tak, aby podporovaly poskytování zdravotních služeb a každodenní chod nemocnice.
01 / NÁŠ PŘÍSTUP
Bezpečnost je součástí každodenního provozu
Ochranu informací nestavíme pouze na technologiích. Propojujeme pravidla, odpovědnosti, vzdělávání, řízení rizik a technická opatření tak, aby bezpečnost podporovala zdravotní péči a provoz nemocnice.
Bezpečnostní požadavky vycházejí ze systému řízení bezpečnosti informací (ISMS), řízení rizik a platných právních povinností. Jejich konkrétní rozsah se stanovuje podle charakteru systému a jeho významu pro provoz nemocnice.
02 / BEZPEČNOSTNÍ CÍLE
Čeho chceme dosáhnout
Bezpečnostní cíle NNM směřují k tomu, aby informace a technologie zůstaly důvěryhodné, použitelné a chráněné během celého jejich životního cyklu.
Chránit informace přiměřeně jejich významu
Úroveň zabezpečení přizpůsobujeme hodnotě informací, jejich citlivosti, účelu a možným následkům narušení.
Budovat bezpečné procesy a pracovní prostředí
Bezpečnost začleňujeme do běžných provozních postupů, změnového řízení a způsobu práce s informacemi uvnitř i mimo nemocnici.
Provozovat odolnou ICT infrastrukturu
Technologie navrhujeme a spravujeme tak, aby obsahovaly odpovídající bezpečnostní funkce a podporovaly spolehlivý provoz služeb.
Rozvíjet bezpečnostní povědomí
Zaměstnance i relevantní externí osoby průběžně seznamujeme s bezpečnostními pravidly a riziky, která se týkají jejich práce.
Včas zvládat incidenty a mimořádné situace
Bezpečnostní události a incidenty řešíme řízeným způsobem s cílem omezit jejich dopad na informace, technologie a provoz nemocnice a předcházet jejich opakování.
03 / ZÁKLADNÍ PRINCIPY
Důvěrnost, integrita a dostupnost
Bezpečnost informací stavíme na třech vzájemně propojených principech. Každý informační systém a každá informace vyžadují taková opatření, která odpovídají jejich významu a rizikům.
Důvěrnost
Informace jsou zpřístupněny pouze osobám a systémům, které k nim mají oprávněný a schválený přístup.
Integrita
Dbáme na správnost, úplnost a neporušenost informací i procesů, které s nimi pracují.
Dostupnost
Oprávnění uživatelé mají mít informace a služby k dispozici v době a rozsahu potřebném pro svou činnost.
04 / DODAVATELÉ A TŘETÍ STRANY
Bezpečnostní pravidla platí i pro externí spolupráci
Dodavatelé a další třetí strany, které pracují s ICT prostředím NNM nebo se k němu připojují, musí respektovat bezpečnostní a technické požadavky nemocnice v rozsahu odpovídajícím poskytované službě.
Řízené a personifikované přístupy
Přístup musí být schválený, omezený na nezbytný rozsah a jednoznačně přiřaditelný konkrétní osobě.
Řízené změny a integrace
Zásahy do infrastruktury, změny konfigurace a integrační kroky podléhají předchozímu posouzení a schválení NNM.
Dokumentace a auditovatelnost
Relevantní činnosti, přístupy a změny musí být dohledatelné a doložitelné v rozsahu požadovaném nemocnicí.
Součinnost při bezpečnostních incidentech
Třetí strany musí bezpečnostní události bez zbytečného odkladu oznámit a poskytnout potřebnou součinnost při jejich řešení.
Kontrolovaný vzdálený přístup
Vzdálené připojení je povolováno pouze pro konkrétní účel, na nezbytnou dobu a způsobem určeným nemocnicí.
05 / RIZIKA A INCIDENTY
Rizika průběžně vyhodnocujeme a incidenty řešíme řízeně
Bezpečnostní opatření se stanovují s ohledem na charakter systému, zpracovávané informace, vazby na další služby a možné dopady narušení. Součástí řízení bezpečnosti je také průběžné sledování zranitelností, kontrola přístupů, logování, obnova provozu a vyhodnocování bezpečnostních událostí.
Cílem není pouze incident zaznamenat. Důležité je omezit jeho dopad, obnovit bezpečný provoz, zjistit příčinu a přijmout opatření, která sníží pravděpodobnost opakování.
06 / ZÁVAZNÝ DOKUMENT
Bezpečnostní a technické standardy ICT NNM
Konkrétní minimální požadavky pro návrh, implementaci, provoz, podporu a správu ICT systémů jsou stanoveny v Příloze č. 5 systému řízení bezpečnosti informací NNM. Dokument je určen zejména dodavatelům ICT řešení, interním útvarům zapojeným do pořizování a provozu technologií a dalším subjektům, které se podílejí na správě nebo integraci ICT systémů.
Bezpečnostní a technické standardy ICT NNM
Dokument stanovuje minimální technické, bezpečnostní a provozní standardy a navazuje na systém řízení bezpečnosti informací nemocnice.
Pro dodavatele: před návrhem nebo připojením řešení do ICT prostředí NNM je nutné vycházet z aktuálních bezpečnostních požadavků nemocnice a případné odchylky řešit předem s příslušným ICT útvarem.