Problema: IT saugumas kaip kliūtis akreditacijai
Tyrimų laboratorijos, siekiančios akreditacijos pagal standartą ISO/IEC 17025:2018, susiduria su rimtu iššūkiu: kaip dokumentuoti informacinės sistemos saugumą?
PCA (Lenkijos akreditacijos centro) auditoriai klausia:
- „Ar duomenys apsaugoti nuo neteisėtos prieigos?“
- „Kaip užtikrinate tyrimų rezultatų vientisumą?“
- „Kur saugomos atsarginės kopijos?“
- „Kas turi prieigą prie sistemos ir kokiu pagrindu?“
- „Kaip reaguojate į saugumo incidentus?“
Tipinė laboratorijų vadovų reakcija: „Tai juk klausimai programinės įrangos tiekėjui, ar ne?“
Problema:
Daugelis laboratorijų diegia LIMS sistemą neturėdamos tinkamos paslaugų sutarties, kurioje būtų apibrėžti saugumo principai. Todėl akreditavimo audito metu jos negali pateikti dokumentacijos, patvirtinančios atitiktį standarto reikalavimams.
Sprendimas: profesionali paslaugų sutartis kaip saugumo pagrindas
Svarbiausia informacija:
Gerai parengta paslaugų sutartis su LIMS sistemos tiekėju automatiškai apima maždaug 70 % saugumo reikalavimų, nustatytų standarte ISO/IEC 17025.
Kodėl? Todėl, kad dauguma saugumo priemonių priklauso infrastruktūros ir sistemos valdymo sričiai – už jas atsako programinės įrangos tiekėjas.
Pažiūrėkime, kaip tai veikia praktikoje, remdamiesi CleverLAB sistemos pavyzdžiu.
10 svarbiausių saugumo sričių, kurias apima paslaugų sutartis
1. Serverių infrastruktūra su ISO 27001 sertifikatu
Auditoriaus reikalavimas:
„Kur saugomi mūsų duomenys? Ar duomenų centras saugus?“
Ką užtikrina tiekėjas:
- Profesionalus duomenų centras su ISO 27001 sertifikatu
- Tier III ar aukštesnis standartas (99,982 % prieinamumas)
- Fizinė apsauga: stebėsena visą parą, biometrinė prieigos kontrolė
- Gaisro gesinimo sistemos ir tikslioji oro kondicionavimo sistema
- Dubliuotos interneto jungtys
Nauda laboratorijai: nereikia investuoti į savo serverinę ar rūpintis fizine infrastruktūros apsauga. Pakanka dokumentuoti, kad tiekėjas turi atitinkamus sertifikatus.
2. Duomenų šifravimas kiekviename lygmenyje
Auditoriaus reikalavimas:
„Kaip duomenys apsaugomi perduodant ir saugant?“
Ką užtikrina tiekėjas:
- Perdavimo šifravimas: SSL/TLS sertifikatas (HTTPS protokolas)
- Slaptažodžių šifravimas: bcrypt arba SHA-256 algoritmai
- Atsarginių kopijų šifravimas: visos atsarginės kopijos šifruojamos
- Duomenys ES: atitiktis BDAR
3. Automatinės atsarginės kopijos su išbandytomis atkūrimo procedūromis
Auditoriaus reikalavimas:
„Kas nutiks, jei serveris suges? Ar duomenys saugūs?“
Ką užtikrina tiekėjas:
- Kasdienės duomenų bazės atsarginės kopijos (automatinės)
- Savaitinės atsarginės kopijos, saugomos 3 mėnesius
- Mėnesinės atsarginės kopijos, saugomos 1 metus
- Geografinis atskyrimas: atsarginės kopijos atskiroje vietoje
- Reguliarūs duomenų atkūrimo procedūrų bandymai
- Visų atsarginių kopijų šifravimas
Nauda: nereikia prisiminti, kad reikia daryti atsargines kopijas, ar baimintis prarasti duomenis. Sistema apsaugota įmonių lygiu.
4. RBAC teisių sistema – kas ką mato?
Auditoriaus reikalavimas:
„Kaip kontroliuojate prieigą prie jautrių duomenų?“
Ką užtikrina CleverLAB sistema:
- Role-Based Access Control (RBAC) – vaidmenimis grindžiamos teisės
- Individualios teisės (pvz., „pridėti mėginį“, „redaguoti rezultatą“, „patvirtinti protokolą“)
- Teisių grupės (pvz., „Laborantas“, „Vadovas“, „Administratorius“)
- Klientų duomenų atskyrimas
- Neatidėliotinas darbuotojų paskyrų išjungimas
Tipiniai vaidmenys laboratorijoje:
- Administratorius – visiška prieiga prie sistemos konfigūracijos
- Laboratorijos vadovas – valdymas, ataskaitos, patvirtinimai
- Analitikas – rezultatų įvedimas ir peržiūra
- Tvirtintojas – tyrimų protokolų patvirtinimas
- Stebėtojas – prieiga tik skaityti
5. Visa audito seka – kas, kada, ką pakeitė
Auditoriaus reikalavimas:
„Ar galite parodyti tyrimų rezultatų pakeitimų istoriją?“
Ką užtikrina sistema:
- Visų prisijungimų ir atsijungimų registravimas
- Nesėkmingų prisijungimo bandymų fiksavimas
- Kritinių duomenų pakeitimų sekimas (tyrimų rezultatai, sertifikatai)
- Administravimo operacijų registravimas
- Kiekvieno įrašo metaduomenys: created_by, created_date, verified_by, verified_date
Žurnalų saugojimas:
- Ne mažiau kaip 2 metus (arba pagal akreditavimo reikalavimus)
- Apsaugoti nuo pakeitimo
- Galimybė generuoti ataskaitas auditoriams
6. Slaptažodžių politika pagal gerąją praktiką
Ko reikalauja sistema:
- Mažiausias ilgis: 8 simboliai
- Sudėtingumas: raidės, skaičiai, specialieji simboliai
- Be pasikartojimų: negalima naudoti neseniai naudotų slaptažodžių
- Automatinis užblokavimas po nustatyto nesėkmingų bandymų skaičiaus
- Automatinis atjungimas po neveiklumo laikotarpio
7. Stebėsena visą parą ir reagavimas į incidentus
Ką užtikrina tiekėjas:
- Sistemos prieinamumo stebėsena visą parą, 7 dienas per savaitę
- Automatiniai įspėjimai apie anomalijas
- Pažeidžiamumų skenavimas
- Incidentų valdymo procedūra su pranešimu per 24 valandas
- Kiekvieno incidento dokumentavimas su pagrindinės priežasties analize
8. Atitiktis BDAR ir asmens duomenų apsauga
Ką užtikrina tiekėjas:
- Duomenų tvarkymo sutartis (reikalaujama pagal BDAR)
- Duomenys saugomi serveriuose ES
- Duomenų subjektų teisių įgyvendinimo procedūros (teisė reikalauti ištrinti, ištaisyti ir kt.)
- Duomenų tvarkymo veiklos įrašai
- Pranešimo apie duomenų saugumo pažeidimus procedūros
9. Reguliarūs saugumo atnaujinimai
Ką užtikrina tiekėjas:
- Reguliarūs operacinės sistemos ir programinės įrangos atnaujinimai
- Kritinės pataisos diegiamos pirmiausia
- Bandymai prieš diegimą į gamybinę aplinką
- Klientų informavimas apie planuojamus priežiūros darbus
10. SLA ir garantuotas prieinamumas
Ką užtikrina paslaugų sutartis:
- Garantuotas prieinamumas (SLA): paprastai 99,5 % ar daugiau
- Recovery Time Objective (RTO): sutariama (pvz., 4 valandos)
- Recovery Point Objective (RPO): sutariama (pvz., ne daugiau kaip 24 valandų duomenų praradimas)
- Pagalbos tarnyba darbo valandomis
- Skubus kontaktas pagal SLA sutartį
Ką lieka padaryti laboratorijai? (30 % reikalavimų)
Nors paslaugų sutartis apima daugumą techninių reikalavimų, laboratorija vis tiek atsako už:
1. Naudotojų valdymas
- Darbuotojų paskyrų kūrimas ir išjungimas
- Tinkamų vaidmenų ir teisių suteikimas
- Reguliarus aktyvių naudotojų sąrašo tikrinimas
2. Organizacinė politika
- Prieigos prie sistemos suteikimo procedūra
- Laboratorijos saugumo politika
- Darbuotojų mokymas dirbti su sistema
3. Dokumentacija
- Naudotojo instrukcijos
- Gedimų valdymo procedūros
- Atsakingų asmenų paskyrimas (sistemos administratorius)
4. Vietinė stebėsena
- Neįprasto naudotojų elgesio stebėjimas
- Pranešimas tiekėjui apie incidentus
- Bendradarbiavimas atliekant vidaus auditus
Kaip tai veikia praktikoje – atvejo analizė
Mikrobiologijos laboratorija, 15 darbuotojų, siekianti PCA akreditacijos
| Aspektas | Prieš CleverLAB | Su CleverLAB |
|---|---|---|
| Sistema | „Excel“ + popierinė dokumentacija | LIMS sistema su visa dokumentacija |
| Pakeitimų žurnalai | Nėra | Visa audito seka |
| Prieigos kontrolė | Visi turi prieigą prie visko | RBAC teisių sistema |
| Atsarginės kopijos | Rankinės, nereguliarios | Automatinės, kasdienės |
| Dokumentacijos parengimo laikas | 2–3 mėnesiai | 2 dienos |
| Saugumo dokumentacijos kaina | 15 000–30 000 PLN | 0 PLN (įskaičiuota) |
| PCA auditoriaus vertinimas | „Sistema nepriimtina“ | „Atitinka visus reikalavimus“ |
Paslaugų sutartis kaip konkurencinis pranašumas
Profesionali paslaugų sutartis yra ne tik akreditavimo reikalavimas – tai laboratorijos veiklos tęstinumo garantas.
Ką turėtų apimti gera paslaugų sutartis?
- Išsamų infrastruktūros aprašymą (prieglobą, sertifikatus, atsargines kopijas)
- Garantuotą prieinamumą (SLA)
- Saugumo procedūras (šifravimą, prieigos kontrolę, stebėseną)
- Incidentų valdymą (reagavimo laiką, eskalavimą)
- Atitiktį BDAR (duomenų tvarkymo sutartį)
- Techninę pagalbą (pagalbos tarnybą, atsakymo laiką)
- Saugumo atnaujinimus (grafiką, bandymus)
- Atsakomybės paskirstymą (kas už ką atsako)
CleverLAB ir visapusiškas saugumas
CleverLAB sistema suprojektuota atsižvelgiant į standarto ISO/IEC 17025:2018 reikalavimus. Jau pagal standartinę diegimo sutartį gaunate:
Tai reiškia, kad jau pirmąją dieną po diegimo galite pateikti auditoriui visą sistemos saugumo dokumentaciją.
Papildomos paslaugos: IT saugumo auditai laboratorijose
Be standartinės paslaugų sutarties, siūlome ir:
🔍 Laboratorijos IT saugumo auditas
- Dabartinės saugumo būklės įvertinimas
- Spragų ir grėsmių nustatymas
- Rekomendacijos, pritaikytos akreditavimo reikalavimams
- Ataskaita PCA auditoriui
🔍 Pasirengimas akreditavimo auditui
- Saugumo dokumentacijos patikra
- Auditoriaus klausimų imitavimas
- Personalo mokymas sistemos saugumo klausimais
🔍 Įsiskverbimo bandymai (pasirinktinai)
- Sistemos atsparumo atakoms bandymai
- Aptiktų pažeidžiamumų ataskaita
- Korekcinių veiksmų planas
Apibendrinimas: saugumas neturi būti brangus ar sudėtingas
Svarbiausios išvados:
- 70 % saugumo reikalavimų akreditavimui įvykdo profesionali paslaugų sutartis su LIMS tiekėju
- Nereikia būti IT ekspertu, kad įdiegtumėte saugią sistemą – tiekėjas pateikia paruoštą infrastruktūrą ir dokumentaciją
- Saugumo dokumentacijos kaina: 0 PLN (įskaičiuota), palyginti su 15 000–30 000 PLN (išorės ekspertizė)
- Parengimo laikas: 2 dienos (patikra), palyginti su 2–3 mėnesiais (rengimas nuo nulio)
- Paslaugų sutartis yra investicija, o ne išlaidos – ji užtikrina veiklos tęstinumą ir atitiktį standartui
Norite sužinoti daugiau?
Kiekvieną iš 10 saugumo sričių galime išsamiai aptarti susitikime arba atskirame PDF dokumente
Atskiroms temoms reikia išsamių paaiškinimų ir susitarimų. Taip pat siūlome laboratorijų sistemų IT saugumo auditus.
Susiję straipsniai
Apie autorių
Šis straipsnis parengtas remiantis ilgamete LIMS sistemų akredituotoms laboratorijoms projektavimo patirtimi. Mūsų komanda derina IT saugumo kompetenciją su praktiniu standarto ISO/IEC 17025 reikalavimų išmanymu.
Laboratorijose atlikome dešimtis IT saugumo auditų ir padėjome daugeliui laboratorijų gauti ir išlaikyti PCA akreditaciją.
Svarbiausia mintis
Nereikia būti kibernetinio saugumo ekspertu, kad įvykdytumėte akreditavimo reikalavimus. Gerai parengta paslaugų sutartis su LIMS sistemos tiekėju automatiškai užtikrina profesionalų saugumą įmonių lygiu – už mažą dalį IT specialisto įdarbinimo kainos ar savos infrastruktūros kūrimo išlaidų.