A probléma: az informatikai biztonság mint az akkreditáció akadálya
Az ISO/IEC 17025:2018 szabvány szerinti akkreditációra törekvő vizsgálólaboratóriumok komoly kihívással néznek szembe: hogyan dokumentálják az informatikai rendszer biztonságát?
A PCA (Lengyel Akkreditációs Központ) auditorai ezt kérdezik:
- „Védettek-e az adatok az illetéktelen hozzáféréssel szemben?”
- „Hogyan biztosítják a vizsgálati eredmények sértetlenségét?”
- „Hol tárolják a biztonsági mentéseket?”
- „Ki fér hozzá a rendszerhez, és milyen alapon?”
- „Hogyan reagálnak a biztonsági incidensekre?”
A laboratóriumvezetők tipikus reakciója: „Ezek a szoftverszállítónak szóló kérdések, nem?”
A probléma:
Sok laboratórium úgy vezet be LIMS-rendszert, hogy nincs megfelelő, a biztonsági elveket rögzítő szolgáltatási szerződése. Ennek következtében az akkreditációs auditon nem tud olyan dokumentációt bemutatni, amely igazolja a szabvány követelményeinek való megfelelést.
A megoldás: a professzionális szolgáltatási szerződés mint a biztonság alapja
Kulcsfontosságú információ:
Egy jól előkészített, a LIMS-rendszer szállítójával kötött szolgáltatási szerződés automatikusan lefedi az ISO/IEC 17025 szabvány által támasztott biztonsági követelmények mintegy 70%-át.
Miért? Mert a biztonsági intézkedések többsége az infrastruktúra és a rendszerüzemeltetés oldalán van – azokon a területeken, amelyekért a szoftverszállító felel.
Nézzük meg, hogyan működik ez a gyakorlatban a CleverLAB rendszer példáján.
A szolgáltatási szerződés által lefedett 10 kulcsfontosságú biztonsági terület
1. ISO 27001 tanúsítvánnyal rendelkező szerverinfrastruktúra
Az auditor követelménye:
„Hol tárolják az adatainkat? Biztonságos az adatközpont?”
Mit biztosít a szolgáltató:
- ISO 27001 tanúsítvánnyal rendelkező professzionális adatközpont
- Tier III vagy magasabb szint (99,982%-os rendelkezésre állás)
- Fizikai biztonság: folyamatos (24/7) felügyelet, biometrikus beléptetés
- Tűzoltó rendszerek és precíziós klimatizálás
- Redundáns internetkapcsolatok
Előny a laboratórium számára: Nem kell saját szerverterembe beruháznia, és nem kell az infrastruktúra fizikai biztonsága miatt aggódnia. Elég dokumentálni, hogy a szolgáltató rendelkezik a megfelelő tanúsítványokkal.
2. Adattitkosítás minden szinten
Az auditor követelménye:
„Hogyan védik az adatokat továbbítás és tárolás közben?”
Mit biztosít a szolgáltató:
- Átviteli titkosítás: SSL/TLS tanúsítvány (HTTPS protokoll)
- Jelszótitkosítás: bcrypt vagy SHA-256 algoritmus
- A biztonsági mentések titkosítása: minden mentés titkosított
- Adatok az EU-ban: GDPR-megfelelés
3. Automatikus biztonsági mentések tesztelt helyreállítási eljárásokkal
Az auditor követelménye:
„Mi történik, ha a szerver meghibásodik? Biztonságban vannak az adatok?”
Mit biztosít a szolgáltató:
- Napi mentés az adatbázisról (automatikusan)
- Heti mentések 3 hónapos megőrzéssel
- Havi mentések 1 éves megőrzéssel
- Földrajzi elkülönítés: a mentések külön helyszínen vannak
- Rendszeres tesztek az adat-helyreállítási eljárásokra
- Titkosítás minden mentésnél
Előny: Nem kell a mentésekre emlékeznie, és nem kell adatvesztés miatt aggódnia. A rendszer vállalati szinten védett.
4. RBAC jogosultsági rendszer – ki mit lát?
Az auditor követelménye:
„Hogyan szabályozzák az érzékeny adatokhoz való hozzáférést?”
Mit biztosít a CleverLAB rendszer:
- Szerepköralapú hozzáférés-szabályozás (RBAC) – szerepkörökhöz kötött jogosultságok
- Egyedi jogosultságok (pl. „minta hozzáadása”, „eredmény szerkesztése”, „jegyzőkönyv jóváhagyása”)
- Jogosultsági csoportok (pl. „Laboratóriumi technikus”, „Vezető”, „Adminisztrátor”)
- Az ügyfelek adatainak elkülönítése
- Azonnali letiltás a munkatársak fiókjainál
Tipikus szerepkörök egy laboratóriumban:
- Adminisztrátor – teljes hozzáférés a rendszer konfigurációjához
- Laboratóriumvezető – irányítás, jelentések, jóváhagyások
- Analitikus – eredmények rögzítése és megtekintése
- Jóváhagyó – vizsgálati jegyzőkönyvek jóváhagyása
- Megtekintő – csak olvasási hozzáférés
5. Teljes auditnapló – ki, mikor, mit módosított
Az auditor követelménye:
„Meg tudják mutatni a vizsgálati eredmények módosításainak előzményeit?”
Mit biztosít a rendszer:
- Minden be- és kijelentkezés naplózása
- A sikertelen bejelentkezési kísérletek rögzítése
- A kritikus adatok módosításainak követése (vizsgálati eredmények, tanúsítványok)
- Az adminisztratív műveletek naplózása
- Metaadatok minden rekordhoz: created_by, created_date, verified_by, verified_date
A naplók megőrzése:
- Legalább 2 év (vagy az akkreditációs követelmények szerint)
- Módosítás ellen védett
- Jelentések készíthetők az auditorok számára
6. A bevált gyakorlatoknak megfelelő jelszószabályzat
Mit kényszerít ki a rendszer:
- Minimális hossz: 8 karakter
- Összetettség: betűk, számjegyek, speciális karakterek
- Ismétlés tilalma: a legutóbbi jelszavak nem használhatók újra
- Automatikus zárolás meghatározott számú sikertelen kísérlet után
- Automatikus kijelentkeztetés egy adott inaktív időszak után
7. Folyamatos (24/7) felügyelet és incidenskezelés
Mit biztosít a szolgáltató:
- Folyamatos (24/7) felügyelet a rendszer rendelkezésre állásáról
- Automatikus riasztások rendellenességek esetén
- Sebezhetőségvizsgálat
- Incidenskezelési eljárás 24 órán belüli értesítéssel
- Minden incidens dokumentálása a kiváltó ok elemzésével
8. GDPR-megfelelés és a személyes adatok védelme
Mit biztosít a szolgáltató:
- Adatfeldolgozási szerződés (a GDPR előírja)
- Az adatokat EU-beli szervereken tárolják
- Eljárások az érintetti jogok gyakorlására (törléshez, helyesbítéshez való jog stb.)
- Adatkezelési tevékenységek nyilvántartása
- Adatvédelmi incidensek bejelentési eljárásai
9. Rendszeres biztonsági frissítések
Mit biztosít a szolgáltató:
- Rendszeres frissítések az operációs rendszerhez és a szoftverekhez
- Kritikus javítások elsőbbséggel telepítve
- Tesztelés az éles telepítés előtt
- Az ügyfelek tájékoztatása a tervezett karbantartásokról
10. SLA és garantált rendelkezésre állás
Mit biztosít a szolgáltatási szerződés:
- Garantált rendelkezésre állás (SLA): jellemzően 99,5% vagy több
- Helyreállítási időcél (RTO): megállapodás szerint (pl. 4 óra)
- Helyreállítási pont célja (RPO): megállapodás szerint (pl. legfeljebb 24 órányi adatvesztés)
- Ügyfélszolgálat (helpdesk) munkaidőben elérhető
- Vészhelyzeti kapcsolat az SLA-megállapodás szerint
Mi marad a laboratórium feladata? (a követelmények 30%-a)
Bár a szolgáltatási szerződés a műszaki követelmények többségét lefedi, a laboratórium továbbra is felel a következőkért:
1. Felhasználókezelés
- A munkatársak fiókjainak létrehozása és letiltása
- A megfelelő szerepkörök és jogosultságok kiosztása
- Az aktív felhasználók listájának rendszeres ellenőrzése
2. Szervezeti szabályzatok
- A rendszerhez való hozzáférés megadásának eljárása
- A laboratórium biztonsági szabályzata
- A munkatársak képzése a rendszer használatára
3. Dokumentáció
- Felhasználói útmutatók
- Eljárások üzemzavarok esetére
- A felelős személyek kijelölése (rendszeradminisztrátor)
4. Helyi felügyelet
- A felhasználók szokatlan viselkedésének követése
- Incidensek bejelentése a szolgáltatónak
- Együttműködés a belső auditok során
Hogyan működik ez a gyakorlatban – esettanulmány
Mikrobiológiai laboratórium, 15 munkatárs, PCA-akkreditációra pályázik
| Szempont | A CleverLAB előtt | A CleverLAB után |
|---|---|---|
| Rendszer | Excel + papíralapú dokumentáció | LIMS-rendszer teljes dokumentációval |
| Változásnaplók | Nincs | Teljes auditnapló |
| Hozzáférés-szabályozás | Mindenki mindenhez hozzáfér | RBAC jogosultsági rendszer |
| Biztonsági mentések | Kézi, rendszertelen | Automatikus, napi |
| A dokumentáció elkészítésének ideje | 2–3 hónap | 2 nap |
| A biztonsági dokumentáció költsége | 15 000–30 000 PLN | 0 PLN (benne van) |
| A PCA auditorának értékelése | „A rendszer elfogadhatatlan” | „Minden követelménynek megfelel” |
A szolgáltatási szerződés mint versenyelőny
A professzionális szolgáltatási szerződés nem csupán akkreditációs követelmény – hanem a laboratórium üzletmenet-folytonosságának garanciája.
Mit kell tartalmaznia egy jó szolgáltatási szerződésnek?
- Az infrastruktúra részletes leírása (tárhely, tanúsítványok, biztonsági mentés)
- Garantált rendelkezésre állás (SLA)
- Biztonsági eljárások (titkosítás, hozzáférés-szabályozás, felügyelet)
- Incidenskezelés (reakcióidő, eszkaláció)
- GDPR-megfelelés (adatfeldolgozási szerződés)
- Műszaki támogatás (helpdesk, reakcióidő)
- Biztonsági frissítések (ütemezés, tesztelés)
- Felelősségi struktúra (ki miért felel)
A CleverLAB és az átfogó biztonság
A CleverLAB rendszert az ISO/IEC 17025:2018 szabvány követelményeinek figyelembevételével terveztük. Már a szokásos bevezetési szerződés keretében megkapja:
Ez azt jelenti, hogy a bevezetés utáni első napon bemutathatja az auditornak a rendszerbiztonság teljes dokumentációját.
Kiegészítő szolgáltatások: informatikai biztonsági auditok laboratóriumokban
A szokásos szolgáltatási szerződésen túl a következőket is kínáljuk:
🔍 Laboratóriumi informatikai biztonsági audit
- A jelenlegi biztonsági helyzet felmérése
- A hiányosságok és fenyegetések azonosítása
- Az akkreditációs követelményekhez igazított ajánlások
- Jelentés a PCA auditora számára
🔍 Felkészülés az akkreditációs auditra
- A biztonsági dokumentáció ellenőrzése
- Az auditori kérdések szimulációja
- A személyzet képzése a rendszerbiztonságról
🔍 Behatolásteszt (opcionális)
- A rendszer támadásokkal szembeni ellenálló képességének tesztelése
- Jelentés a feltárt sebezhetőségekről
- Helyesbítő intézkedési terv
Összefoglalás: a biztonságnak nem kell drágának vagy bonyolultnak lennie
A legfontosabb következtetések:
- Az akkreditációhoz szükséges biztonsági követelmények 70%-át egy LIMS-szállítóval kötött professzionális szolgáltatási szerződés teljesíti
- Nem kell informatikai szakértőnek lennie ahhoz, hogy biztonságos rendszert vezessen be – a szolgáltató kész infrastruktúrát és dokumentációt biztosít
- A biztonsági dokumentáció költsége: 0 PLN (benne van) szemben a 15 000–30 000 PLN-nel (külső szakértő)
- Az előkészítés ideje: 2 nap (ellenőrzés) szemben a 2–3 hónappal (elkészítés a nulláról)
- A szolgáltatási szerződés befektetés, nem költség – biztosítja az üzletmenet folytonosságát és a szabványnak való megfelelést
Szeretne többet megtudni?
A 10 biztonsági terület mindegyikét részletesen megbeszélhetjük egy találkozón vagy egy erre szolgáló PDF-dokumentumban
Az egyes témák részletes magyarázatot és egyeztetést igényelnek. Kínálunk informatikai biztonsági auditot is laboratóriumi rendszerekhez.
Kapcsolódó cikkek
A LIMS megfelelése az ISO/IEC 17025 szabványnak
Átfogó útmutató a szabvány követelményeihez és ahhoz, hogyan teljesítik azokat a LIMS-rendszerek
Adatbiztonság a LIMS-ben
Hogyan védhetők az érzékeny laboratóriumi adatok a kiberfenyegetésekkel szemben
A LIMS-rendszer bevezetése
Gyakorlati útmutató a laboratóriumirányítási rendszer bevezetésének folyamatához
A szerzőről
A cikk a LIMS-rendszerek akkreditált laboratóriumok számára történő tervezésében szerzett sokéves tapasztalatunkra épül. Csapatunk az informatikai biztonsági szakértelmet ötvözi az ISO/IEC 17025 szabvány követelményeinek gyakorlati ismeretével.
Több tucat informatikai biztonsági auditot végeztünk laboratóriumokban, és számos laboratóriumot támogattunk a PCA-akkreditáció megszerzésében és fenntartásában.
A legfontosabb tanulság
Nem kell kiberbiztonsági szakértőnek lennie ahhoz, hogy teljesítse az akkreditációs követelményeket. Egy jól előkészített, a LIMS-rendszer szállítójával kötött szolgáltatási szerződés automatikusan vállalati szintű, professzionális biztonságot nyújt – töredékáron ahhoz képest, mintha informatikai szakembert alkalmazna vagy saját infrastruktúrát építene ki.