Problem: IT bezbednost kao prepreka akreditaciji
Laboratorije za ispitivanje koje traže akreditaciju prema standardu ISO/IEC 17025:2018 suočavaju se sa ozbiljnim izazovom: kako dokumentovati bezbednost informacionog sistema?
Ocenjivači PCA (Poljskog centra za akreditaciju) pitaju:
- „Da li su podaci zaštićeni od neovlašćenog pristupa?”
- „Kako obezbeđujete integritet rezultata ispitivanja?”
- „Gde se čuvaju rezervne kopije?”
- „Ko ima pristup sistemu i po kom osnovu?”
- „Kako reagujete na bezbednosne incidente?”
Tipična reakcija rukovodilaca laboratorija: „To su pitanja za dobavljača softvera, zar ne?”
Problem:
Mnoge laboratorije uvode sistem LIMS bez odgovarajućeg ugovora o održavanju koji utvrđuje bezbednosna pravila. Zbog toga na akreditacionoj proveri ne mogu da predoče dokumentaciju koja potvrđuje usaglašenost sa zahtevima standarda.
Rešenje: profesionalni ugovor o održavanju kao temelj bezbednosti
Ključna informacija:
Dobro pripremljen ugovor o održavanju sa dobavljačem sistema LIMS automatski pokriva oko 70% bezbednosnih zahteva koje postavlja standard ISO/IEC 17025.
Zašto? Zato što je većina bezbednosnih mera na strani infrastrukture i upravljanja sistemom – oblasti za koje odgovara dobavljač softvera.
Pogledajmo kako to izgleda u praksi na primeru sistema CleverLAB.
10 ključnih bezbednosnih oblasti koje pokriva ugovor o održavanju
1. Serverska infrastruktura sa sertifikatom ISO 27001
Zahtev ocenjivača:
„Gde se čuvaju naši podaci? Da li je data centar bezbedan?”
Šta obezbeđuje dobavljač:
- Profesionalni data centar sa sertifikatom ISO 27001
- Standard Tier III ili viši (dostupnost 99,982%)
- Fizička zaštita: nadzor 24/7, biometrijska kontrola pristupa
- Sistemi za gašenje požara i precizna klimatizacija
- Redundantne internet veze
Korist za laboratoriju: ne morate da ulažete u sopstvenu serversku prostoriju niti da brinete o fizičkoj bezbednosti infrastrukture. Dovoljno je dokumentovati da dobavljač ima odgovarajuće sertifikate.
2. Šifrovanje podataka na svakom nivou
Zahtev ocenjivača:
„Kako su podaci zaštićeni tokom prenosa i čuvanja?”
Šta obezbeđuje dobavljač:
- Šifrovanje prenosa: sertifikat SSL/TLS (protokol HTTPS)
- Šifrovanje lozinki: algoritmi bcrypt ili SHA-256
- Šifrovanje rezervnih kopija: sve kopije su šifrovane
- Podaci u EU: usklađenost sa GDPR
3. Automatske rezervne kopije sa proverenim procedurama vraćanja
Zahtev ocenjivača:
„Šta se dešava ako server otkaže? Da li su podaci bezbedni?”
Šta obezbeđuje dobavljač:
- Dnevne kopije baze podataka (automatske)
- Nedeljne kopije čuvaju se 3 meseca
- Mesečne kopije čuvaju se 1 godinu
- Geografsko razdvajanje: kopije na posebnoj lokaciji
- Redovna testiranja procedura vraćanja podataka
- Šifrovanje svih rezervnih kopija
Korist: ne morate da pamtite izradu kopija niti da brinete o gubitku podataka. Sistem je zaštićen na korporativnom nivou.
4. Sistem dozvola RBAC – ko šta vidi?
Zahtev ocenjivača:
„Kako kontrolišete pristup osetljivim podacima?”
Šta obezbeđuje sistem CleverLAB:
- Role-Based Access Control (RBAC) – dozvole prema ulogama
- Pojedinačne dozvole (npr. „dodaj uzorak”, „izmeni rezultat”, „autorizuj izveštaj”)
- Grupe dozvola (npr. „Laborant”, „Rukovodilac”, „Administrator”)
- Razdvajanje podataka između klijenata
- Trenutno deaktiviranje naloga zaposlenih
Tipične uloge u laboratoriji:
- Administrator – pun pristup konfiguraciji sistema
- Rukovodilac laboratorije – upravljanje, izveštaji, odobrenja
- Analitičar – unos i pregled rezultata
- Lice koje autorizuje – autorizacija izveštaja o ispitivanju
- Posmatrač – pristup samo za čitanje
5. Potpun revizijski trag – ko je, kada i šta izmenio
Zahtev ocenjivača:
„Možete li da pokažete istoriju izmena rezultata ispitivanja?”
Šta obezbeđuje sistem:
- Beleženje svih prijava i odjava
- Beleženje neuspelih pokušaja prijave
- Praćenje izmena ključnih podataka (rezultati ispitivanja, sertifikati)
- Beleženje administrativnih radnji
- Metapodaci svakog zapisa: created_by, created_date, verified_by, verified_date
Čuvanje logova:
- Najmanje 2 godine (ili prema zahtevima akreditacije)
- Zaštićeni od izmena
- Mogućnost izrade izveštaja za ocenjivače
6. Politika lozinki prema najboljoj praksi
Šta sistem sprovodi:
- Minimalna dužina: 8 znakova
- Složenost: slova, brojevi, specijalni znakovi
- Bez ponavljanja: skorašnje lozinke ne mogu ponovo da se koriste
- Automatsko zaključavanje posle određenog broja neuspelih pokušaja
- Automatska odjava posle perioda neaktivnosti
7. Nadzor 24/7 i reagovanje na incidente
Šta obezbeđuje dobavljač:
- Nadzor dostupnosti sistema 24/7
- Automatska upozorenja o anomalijama
- Skeniranje ranjivosti
- Procedura za incidente sa obaveštavanjem u roku od 24 sata
- Dokumentovanje svakog incidenta sa analizom uzroka
8. Usklađenost sa GDPR i zaštita podataka o ličnosti
Šta obezbeđuje dobavljač:
- Ugovor o obradi podataka (zahteva GDPR)
- Podaci čuvani na serverima u EU
- Procedure za ostvarivanje prava lica (pravo na brisanje, ispravku itd.)
- Evidencija radnji obrade
- Procedure obaveštavanja o povredi podataka
9. Redovna bezbednosna ažuriranja
Šta obezbeđuje dobavljač:
- Redovna ažuriranja operativnog sistema i softvera
- Kritične zakrpe uvode se prioritetno
- Testiranje pre uvođenja u produkciju
- Obaveštavanje klijenata o planiranim radovima održavanja
10. SLA i garantovana dostupnost
Šta obezbeđuje ugovor o održavanju:
- Garantovana dostupnost (SLA): obično 99,5% ili više
- Ciljno vreme oporavka (RTO): po dogovoru (npr. 4 sata)
- Ciljna tačka oporavka (RPO): po dogovoru (npr. najviše 24 sata gubitka podataka)
- Služba podrške dostupna u radno vreme
- Hitan kontakt u skladu sa ugovorom SLA
Šta ostaje na strani laboratorije? (30% zahteva)
Iako ugovor o održavanju pokriva većinu tehničkih zahteva, laboratorija i dalje odgovara za:
1. Upravljanje korisnicima
- Otvaranje i deaktiviranje naloga zaposlenih
- Dodelu odgovarajućih uloga i dozvola
- Redovnu proveru spiska aktivnih korisnika
2. Organizacione politike
- Proceduru dodele pristupa sistemu
- Bezbednosnu politiku laboratorije
- Obuku zaposlenih za rad sa sistemom
3. Dokumentaciju
- Uputstva za korisnike
- Procedure za postupanje pri kvarovima
- Određivanje odgovornih lica (administrator sistema)
4. Lokalni nadzor
- Praćenje neuobičajenog ponašanja korisnika
- Prijavljivanje incidenata dobavljaču
- Saradnju tokom internih provera
Kako to izgleda u praksi – studija slučaja
Mikrobiološka laboratorija, 15 zaposlenih, u postupku akreditacije PCA
| Aspekt | Pre CleverLAB-a | Posle CleverLAB-a |
|---|---|---|
| Sistem | Excel + papirna dokumentacija | Sistem LIMS sa potpunom dokumentacijom |
| Logovi izmena | Nema ih | Potpun revizijski trag |
| Kontrola pristupa | Svi imaju pristup svemu | Sistem dozvola RBAC |
| Rezervne kopije | Ručne, neredovne | Automatske, dnevne |
| Vreme pripreme dokumentacije | 2–3 meseca | 2 dana |
| Trošak bezbednosne dokumentacije | 15.000 – 30.000 PLN | 0 PLN (uključeno) |
| Ocena ocenjivača PCA | „Sistem neprihvatljiv” | „Ispunjava sve zahteve” |
Ugovor o održavanju kao konkurentska prednost
Profesionalni ugovor o održavanju nije samo zahtev akreditacije – on je garancija kontinuiteta poslovanja laboratorije.
Šta treba da sadrži dobar ugovor o održavanju?
- Detaljan opis infrastrukture (hosting, sertifikati, rezervne kopije)
- Garantovanu dostupnost (SLA)
- Bezbednosne procedure (šifrovanje, kontrola pristupa, nadzor)
- Upravljanje incidentima (vreme odziva, eskalacija)
- Usklađenost sa GDPR (ugovor o obradi podataka)
- Tehničku podršku (služba podrške, vreme odziva)
- Bezbednosna ažuriranja (raspored, testiranje)
- Strukturu odgovornosti (ko za šta odgovara)
CleverLAB i celovita bezbednost
Sistem CleverLAB osmišljen je imajući u vidu zahteve standarda ISO/IEC 17025:2018. Već u standardnom ugovoru o uvođenju dobijate:
To znači da ocenjivaču već prvog dana posle uvođenja možete da predočite potpunu dokumentaciju o bezbednosti sistema.
Dodatne usluge: IT bezbednosne provere u laboratorijama
Pored standardnog ugovora o održavanju nudimo i:
🔍 IT bezbednosna provera laboratorije
- Ocena trenutnog stanja bezbednosti
- Prepoznavanje nedostataka i pretnji
- Preporuke prilagođene zahtevima akreditacije
- Izveštaj za ocenjivača PCA
🔍 Priprema za akreditacionu proveru
- Provera bezbednosne dokumentacije
- Simulacija pitanja ocenjivača
- Obuka osoblja o bezbednosti sistema
🔍 Penetraciono testiranje (opciono)
- Ispitivanje otpornosti sistema na napade
- Izveštaj o otkrivenim ranjivostima
- Plan korektivnih mera
Rezime: bezbednost ne mora da bude skupa ni komplikovana
Ključni zaključci:
- 70% bezbednosnih zahteva za akreditaciju ispunjava profesionalni ugovor o održavanju sa dobavljačem LIMS-a
- Ne morate da budete IT stručnjak da biste uveli bezbedan sistem – dobavljač isporučuje gotovu infrastrukturu i dokumentaciju
- Trošak bezbednosne dokumentacije: 0 PLN (uključeno) naspram 15.000 – 30.000 PLN (spoljna ekspertiza)
- Vreme pripreme: 2 dana (provera) naspram 2–3 meseca (izrada od nule)
- Ugovor o održavanju je investicija, a ne trošak – obezbeđuje kontinuitet poslovanja i usaglašenost sa standardom
Želite da saznate više?
Svaku od 10 bezbednosnih oblasti možemo detaljno da prođemo na sastanku ili u posebnom PDF dokumentu
Pojedine teme zahtevaju detaljna objašnjenja i dogovore. Nudimo i IT bezbednosne provere laboratorijskih sistema.
Povezani članci
Usklađenost LIMS-a sa ISO/IEC 17025
Sveobuhvatan vodič kroz zahteve standarda i načine na koje ih sistemi LIMS ispunjavaju
Bezbednost podataka u LIMS-u
Kako zaštititi osetljive laboratorijske podatke od sajber pretnji
Uvođenje sistema LIMS
Praktičan vodič kroz proces uvođenja sistema za upravljanje laboratorijom
O autoru
Ovaj članak je nastao na osnovu dugogodišnjeg iskustva u projektovanju sistema LIMS za akreditovane laboratorije. Naš tim spaja stručnost u IT bezbednosti sa praktičnim poznavanjem zahteva standarda ISO/IEC 17025.
Sproveli smo desetine IT bezbednosnih provera u laboratorijama i podržali mnoge laboratorije u postupku sticanja i održavanja akreditacije PCA.
Ključna poruka
Ne morate da budete stručnjak za sajber bezbednost da biste ispunili zahteve akreditacije. Dobro pripremljen ugovor o održavanju sa dobavljačem sistema LIMS automatski obezbeđuje profesionalnu zaštitu na korporativnom nivou – za delić troška zapošljavanja IT stručnjaka ili izgradnje sopstvene infrastrukture.