Problém: IT bezpečnost jako překážka akreditace
Zkušební laboratoře, které usilují o akreditaci podle normy ISO/IEC 17025:2018, stojí před vážným úkolem: jak zdokumentovat zabezpečení informačního systému?
Posuzovatelé PCA (polského akreditačního orgánu) se ptají:
- „Jsou data chráněna před neoprávněným přístupem?“
- „Jak zajišťujete integritu výsledků zkoušek?“
- „Kde jsou uložené zálohy?“
- „Kdo má přístup do systému a na jakém základě?“
- „Jak reagujete na bezpečnostní incidenty?“
Typická reakce vedoucích laboratoří: „To jsou přece otázky na dodavatele softwaru, ne?“
Problém:
Mnoho laboratoří zavádí systém LIMS bez odpovídající servisní smlouvy, která stanoví zásady zabezpečení. Při akreditačním auditu pak nedokážou předložit dokumentaci potvrzující splnění požadavků normy.
Řešení: profesionální servisní smlouva jako základ zabezpečení
Klíčová informace:
Dobře připravená servisní smlouva s dodavatelem systému LIMS automaticky pokrývá přibližně 70 % bezpečnostních požadavků normy ISO/IEC 17025.
Proč? Protože většina bezpečnostních opatření leží na straně infrastruktury a správy systému – v oblastech, za které odpovídá dodavatel softwaru.
Podívejme se, jak to funguje v praxi, na příkladu systému CleverLAB.
10 klíčových oblastí zabezpečení pokrytých servisní smlouvou
1. Serverová infrastruktura s certifikací ISO 27001
Požadavek posuzovatele:
„Kde jsou uložena naše data? Je datové centrum bezpečné?“
Co zajišťuje dodavatel:
- Profesionální datové centrum s certifikátem ISO 27001
- Standard Tier III nebo vyšší (dostupnost 99,982 %)
- Fyzická bezpečnost: nepřetržitý dohled, biometrická kontrola vstupu
- Hasicí systémy a přesná klimatizace
- Redundantní internetová připojení
Přínos pro laboratoř: Nemusíte investovat do vlastní serverovny ani se starat o fyzickou bezpečnost infrastruktury. Stačí doložit, že dodavatel má odpovídající certifikáty.
2. Šifrování dat na všech úrovních
Požadavek posuzovatele:
„Jak jsou data chráněna při přenosu a uložení?“
Co zajišťuje dodavatel:
- Šifrování přenosu: certifikát SSL/TLS (protokol HTTPS)
- Šifrování hesel: algoritmy bcrypt nebo SHA-256
- Šifrování záloh: Všechny zálohy jsou šifrované
- Data v EU: soulad s GDPR
3. Automatické zálohy s otestovanými postupy obnovy
Požadavek posuzovatele:
„Co se stane, když server selže? Jsou data v bezpečí?“
Co zajišťuje dodavatel:
- Denní zálohy databáze (automatické)
- Týdenní zálohy uchovávané 3 měsíce
- Měsíční zálohy uchovávané 1 rok
- Geografické oddělení: Zálohy na samostatném místě
- Pravidelné testy postupů obnovy dat
- Šifrování všech záloh
Přínos: Nemusíte myslet na zálohování ani se bát ztráty dat. Systém je zabezpečen na firemní úrovni.
4. Systém oprávnění RBAC – kdo vidí co?
Požadavek posuzovatele:
„Jak řídíte přístup k citlivým datům?“
Co zajišťuje systém CleverLAB:
- Řízení přístupu podle rolí (RBAC) – oprávnění podle rolí
- Jednotlivá oprávnění (např. „přidat vzorek“, „upravit výsledek“, „autorizovat protokol“)
- Skupiny oprávnění (např. „Laborant“, „Vedoucí“, „Správce“)
- Oddělení dat mezi zákazníky
- Okamžitá deaktivace účtů zaměstnanců
Typické role v laboratoři:
- Správce – plný přístup ke konfiguraci systému
- Vedoucí laboratoře – řízení, přehledy, schvalování
- Analytik – zadávání a prohlížení výsledků
- Autorizující – autorizace protokolů o zkouškách
- Čtenář – přístup jen pro čtení
5. Úplná auditní stopa – kdo, kdy, co změnil
Požadavek posuzovatele:
„Můžete ukázat historii změn výsledků zkoušek?“
Co systém zajišťuje:
- Záznam všech přihlášení a odhlášení
- Zaznamenávání neúspěšných pokusů o přihlášení
- Sledování změn kritických dat (výsledky zkoušek, certifikáty)
- Záznam administrativních operací
- Metadata u každého záznamu: created_by, created_date, verified_by, verified_date
Uchovávání záznamů:
- Minimálně 2 roky (nebo podle požadavků akreditace)
- Chráněné proti úpravám
- Možnost vytvářet přehledy pro posuzovatele
6. Politika hesel podle osvědčených postupů
Co systém vynucuje:
- Minimální délka: 8 znaků
- Složitost: písmena, číslice, speciální znaky
- Bez opakování: Nelze použít nedávná hesla
- Automatické zablokování po stanoveném počtu neúspěšných pokusů
- Automatické odhlášení po době nečinnosti
7. Nepřetržitý monitoring a reakce na incidenty
Co zajišťuje dodavatel:
- Nepřetržitý monitoring dostupnosti systému
- Automatická upozornění na anomálie
- Skenování zranitelností
- Postup řešení incidentů s oznámením do 24 hodin
- Dokumentace každého incidentu s analýzou příčin
8. Soulad s GDPR a ochrana osobních údajů
Co zajišťuje dodavatel:
- Smlouva o zpracování osobních údajů (vyžadovaná GDPR)
- Data uložená na serverech v EU
- Postupy pro uplatnění práv subjektů údajů (právo na výmaz, opravu atd.)
- Záznamy o činnostech zpracování
- Postupy oznamování porušení zabezpečení osobních údajů
9. Pravidelné bezpečnostní aktualizace
Co zajišťuje dodavatel:
- Pravidelné aktualizace operačního systému a softwaru
- Kritické opravy nasazované přednostně
- Testování před nasazením do provozu
- Informování zákazníků o plánované údržbě
10. SLA a garantovaná dostupnost
Co zajišťuje servisní smlouva:
- Garantovaná dostupnost (SLA): obvykle 99,5 % nebo více
- Cílová doba obnovy (RTO): podle dohody (např. 4 hodiny)
- Cílový bod obnovy (RPO): podle dohody (např. ztráta nejvýše 24 hodin dat)
- Helpdesk dostupný v pracovní době
- Nouzový kontakt podle smlouvy SLA
Co zbývá udělat na straně laboratoře? (30 % požadavků)
Přestože servisní smlouva pokrývá většinu technických požadavků, laboratoř stále odpovídá za:
1. Správa uživatelů
- Zakládání a deaktivace účtů zaměstnanců
- Přidělování odpovídajících rolí a oprávnění
- Pravidelná kontrola seznamu aktivních uživatelů
2. Organizační pravidla
- Postup pro udělení přístupu do systému
- Bezpečnostní politika laboratoře
- Školení zaměstnanců v obsluze systému
3. Dokumentace
- Uživatelské návody
- Postupy při poruchách
- Určení odpovědných osob (správce systému)
4. Místní monitoring
- Sledování neobvyklého chování uživatelů
- Hlášení incidentů dodavateli
- Spolupráce při interních auditech
Jak to funguje v praxi – případová studie
Mikrobiologická laboratoř, 15 zaměstnanců, žádá o akreditaci PCA
| Hledisko | Před CleverLAB | Po CleverLAB |
|---|---|---|
| Systém | Excel + papírová dokumentace | Systém LIMS s úplnou dokumentací |
| Záznamy změn | Žádné | Úplná auditní stopa |
| Řízení přístupu | Každý má přístup ke všemu | Systém oprávnění RBAC |
| Zálohy | Ruční, nepravidelné | Automatické, denní |
| Doba přípravy dokumentace | 2–3 měsíce | 2 dny |
| Náklady na bezpečnostní dokumentaci | 15 000–30 000 PLN | 0 PLN (v ceně) |
| Hodnocení posuzovatele PCA | „Systém je nepřijatelný“ | „Splňuje všechny požadavky“ |
Servisní smlouva jako konkurenční výhoda
Profesionální servisní smlouva není jen požadavkem akreditace – je to záruka kontinuity činnosti laboratoře.
Co by měla obsahovat dobrá servisní smlouva?
- Podrobný popis infrastruktury (hosting, certifikáty, zálohování)
- Garantovanou dostupnost (SLA)
- Bezpečnostní postupy (šifrování, řízení přístupu, monitoring)
- Řízení incidentů (doba reakce, eskalace)
- Soulad s GDPR (smlouva o zpracování osobních údajů)
- Technickou podporu (helpdesk, doba reakce)
- Bezpečnostní aktualizace (harmonogram, testování)
- Strukturu odpovědností (kdo za co odpovídá)
CleverLAB a komplexní zabezpečení
Systém CleverLAB byl navržen s ohledem na požadavky normy ISO/IEC 17025:2018. Už ve standardní smlouvě o zavedení dostanete:
To znamená, že posuzovateli můžete předložit úplnou dokumentaci zabezpečení systému hned první den po zavedení.
Doplňkové služby: audity IT bezpečnosti v laboratořích
Kromě standardní servisní smlouvy nabízíme také:
🔍 Audit IT bezpečnosti laboratoře
- Posouzení současného stavu zabezpečení
- Odhalení mezer a hrozeb
- Doporučení přizpůsobená požadavkům akreditace
- Zpráva pro posuzovatele PCA
🔍 Příprava na akreditační audit
- Ověření bezpečnostní dokumentace
- Simulace otázek posuzovatele
- Školení personálu v zabezpečení systému
🔍 Penetrační testy (volitelně)
- Testování odolnosti systému proti útokům
- Zpráva o zjištěných zranitelnostech
- Plán nápravných opatření
Shrnutí: zabezpečení nemusí být drahé ani složité
Klíčové závěry:
- 70 % bezpečnostních požadavků akreditace splní profesionální servisní smlouva s dodavatelem LIMS
- Nemusíte být odborníkem na IT, abyste zavedli bezpečný systém – dodavatel poskytne hotovou infrastrukturu i dokumentaci
- Náklady na bezpečnostní dokumentaci: 0 PLN (v ceně) oproti 15 000–30 000 PLN (externí expertiza)
- Doba přípravy: 2 dny (ověření) oproti 2–3 měsícům (tvorba od nuly)
- Servisní smlouva je investice, ne náklad – zajišťuje kontinuitu činnosti a shodu s normou
Chcete se dozvědět víc?
Každou z 10 oblastí zabezpečení můžeme podrobně probrat na schůzce nebo v samostatném dokumentu PDF
Jednotlivá témata vyžadují podrobné vysvětlení a dohody. Nabízíme také audity IT bezpečnosti laboratorních systémů.
Související články
O autorovi
Článek vznikl na základě mnohaletých zkušeností s navrhováním systémů LIMS pro akreditované laboratoře. Náš tým spojuje odbornost v IT bezpečnosti s praktickou znalostí požadavků normy ISO/IEC 17025.
Provedli jsme desítky auditů IT bezpečnosti v laboratořích a podpořili mnoho laboratoří při získávání a udržování akreditace PCA.
Hlavní poučení
Nemusíte být odborníkem na kybernetickou bezpečnost, abyste splnili požadavky akreditace. Dobře připravená servisní smlouva s dodavatelem systému LIMS automaticky zajistí profesionální zabezpečení na firemní úrovni – za zlomek nákladů na zaměstnání IT specialisty nebo vybudování vlastní infrastruktury.