Problem: informatička sigurnost kao prepreka akreditaciji
Ispitni laboratoriji koji traže akreditaciju prema normi ISO/IEC 17025:2018 suočavaju se s ozbiljnim izazovom: kako dokumentirati sigurnost informacijskog sustava?
Ocjenitelji PCA (Poljskog centra za akreditaciju) pitaju:
- „Jesu li podaci zaštićeni od neovlaštenog pristupa?”
- „Kako osiguravate cjelovitost rezultata ispitivanja?”
- „Gdje se čuvaju sigurnosne kopije?”
- „Tko ima pristup sustavu i na kojoj osnovi?”
- „Kako reagirate na sigurnosne incidente?”
Tipična reakcija voditelja laboratorija: „To su pitanja za dobavljača softvera, zar ne?”
Problem:
Mnogi laboratoriji uvode sustav LIMS bez odgovarajućeg ugovora o održavanju koji utvrđuje sigurnosna pravila. Zbog toga na akreditacijskom auditu ne mogu predočiti dokumentaciju koja potvrđuje sukladnost sa zahtjevima norme.
Rješenje: profesionalni ugovor o održavanju kao temelj sigurnosti
Ključna informacija:
Dobro pripremljen ugovor o održavanju s dobavljačem sustava LIMS automatski pokriva oko 70 % sigurnosnih zahtjeva koje postavlja norma ISO/IEC 17025.
Zašto? Zato što je većina sigurnosnih mjera na strani infrastrukture i upravljanja sustavom – područja za koja odgovara dobavljač softvera.
Pogledajmo kako to izgleda u praksi na primjeru sustava CleverLAB.
10 ključnih sigurnosnih područja koja pokriva ugovor o održavanju
1. Poslužiteljska infrastruktura s certifikatom ISO 27001
Zahtjev ocjenitelja:
„Gdje se čuvaju naši podaci? Je li podatkovni centar siguran?”
Što osigurava dobavljač:
- Profesionalni podatkovni centar s certifikatom ISO 27001
- Standard Tier III ili viši (dostupnost 99,982 %)
- Fizička zaštita: nadzor 24/7, biometrijska kontrola pristupa
- Sustavi za gašenje požara i precizna klimatizacija
- Redundantne internetske veze
Korist za laboratorij: ne morate ulagati u vlastitu poslužiteljsku sobu ni brinuti o fizičkoj sigurnosti infrastrukture. Dovoljno je dokumentirati da dobavljač ima odgovarajuće certifikate.
2. Šifriranje podataka na svakoj razini
Zahtjev ocjenitelja:
„Kako su podaci zaštićeni tijekom prijenosa i pohrane?”
Što osigurava dobavljač:
- Šifriranje prijenosa: certifikat SSL/TLS (protokol HTTPS)
- Šifriranje lozinki: algoritmi bcrypt ili SHA-256
- Šifriranje sigurnosnih kopija: sve kopije su šifrirane
- Podaci u EU: usklađenost s GDPR-om
3. Automatske sigurnosne kopije s ispitanim postupcima obnove
Zahtjev ocjenitelja:
„Što se događa ako poslužitelj zakaže? Jesu li podaci sigurni?”
Što osigurava dobavljač:
- Dnevne kopije baze podataka (automatske)
- Tjedne kopije čuvaju se 3 mjeseca
- Mjesečne kopije čuvaju se 1 godinu
- Zemljopisno odvajanje: kopije na zasebnoj lokaciji
- Redovita ispitivanja postupaka obnove podataka
- Šifriranje svih sigurnosnih kopija
Korist: ne morate pamtiti izradu kopija ni brinuti o gubitku podataka. Sustav je zaštićen na korporativnoj razini.
4. Sustav dopuštenja RBAC – tko što vidi?
Zahtjev ocjenitelja:
„Kako kontrolirate pristup osjetljivim podacima?”
Što osigurava sustav CleverLAB:
- Role-Based Access Control (RBAC) – dopuštenja prema ulogama
- Pojedinačna dopuštenja (npr. „dodaj uzorak”, „uredi rezultat”, „autoriziraj izvještaj”)
- Skupine dopuštenja (npr. „Laborant”, „Voditelj”, „Administrator”)
- Odvajanje podataka između klijenata
- Trenutačno deaktiviranje korisničkih računa zaposlenika
Tipične uloge u laboratoriju:
- Administrator – puni pristup konfiguraciji sustava
- Voditelj laboratorija – upravljanje, izvješća, odobrenja
- Analitičar – unos i pregled rezultata
- Osoba koja autorizira – autorizacija izvještaja o ispitivanju
- Pregledavatelj – pristup samo za čitanje
5. Potpun revizijski trag – tko je, kada i što promijenio
Zahtjev ocjenitelja:
„Možete li pokazati povijest promjena rezultata ispitivanja?”
Što osigurava sustav:
- Bilježenje svih prijava i odjava
- Bilježenje neuspjelih pokušaja prijave
- Praćenje promjena ključnih podataka (rezultati ispitivanja, potvrde)
- Bilježenje administrativnih radnji
- Metapodaci svakog zapisa: created_by, created_date, verified_by, verified_date
Čuvanje zapisnika:
- Najmanje 2 godine (ili prema akreditacijskim zahtjevima)
- Zaštićeni od izmjena
- Mogućnost izrade izvješća za ocjenitelje
6. Politika lozinki prema najboljoj praksi
Što sustav provodi:
- Minimalna duljina: 8 znakova
- Složenost: slova, brojke, posebni znakovi
- Bez ponavljanja: nedavne lozinke ne mogu se ponovno koristiti
- Automatsko zaključavanje nakon određenog broja neuspjelih pokušaja
- Automatska odjava nakon razdoblja neaktivnosti
7. Nadzor 24/7 i reagiranje na incidente
Što osigurava dobavljač:
- Nadzor dostupnosti sustava 24/7
- Automatska upozorenja o anomalijama
- Skeniranje ranjivosti
- Postupak za incidente s obavješćivanjem u roku od 24 sata
- Dokumentiranje svakog incidenta s analizom uzroka
8. Usklađenost s GDPR-om i zaštita osobnih podataka
Što osigurava dobavljač:
- Ugovor o obradi podataka (zahtijeva GDPR)
- Podaci pohranjeni na poslužiteljima u EU
- Postupci za ostvarivanje prava pojedinaca (pravo na brisanje, ispravak itd.)
- Evidencija aktivnosti obrade
- Postupci obavješćivanja o povredi podataka
9. Redovita sigurnosna ažuriranja
Što osigurava dobavljač:
- Redovita ažuriranja operacijskog sustava i softvera
- Kritične zakrpe uvode se prioritetno
- Testiranje prije uvođenja u produkciju
- Obavješćivanje klijenata o planiranim radovima održavanja
10. SLA i zajamčena dostupnost
Što osigurava ugovor o održavanju:
- Zajamčena dostupnost (SLA): obično 99,5 % ili više
- Ciljano vrijeme oporavka (RTO): po dogovoru (npr. 4 sata)
- Ciljana točka oporavka (RPO): po dogovoru (npr. najviše 24 sata gubitka podataka)
- Služba za podršku dostupna u radnom vremenu
- Hitni kontakt u skladu s ugovorom SLA
Što ostaje na strani laboratorija? (30 % zahtjeva)
Iako ugovor o održavanju pokriva većinu tehničkih zahtjeva, laboratorij i dalje odgovara za:
1. Upravljanje korisnicima
- Otvaranje i deaktiviranje korisničkih računa zaposlenika
- Dodjelu odgovarajućih uloga i dopuštenja
- Redovitu provjeru popisa aktivnih korisnika
2. Organizacijske politike
- Postupak dodjele pristupa sustavu
- Sigurnosnu politiku laboratorija
- Obuku zaposlenika za rad sa sustavom
3. Dokumentaciju
- Upute za korisnike
- Postupke za postupanje pri kvarovima
- Određivanje odgovornih osoba (administrator sustava)
4. Lokalni nadzor
- Praćenje neuobičajenog ponašanja korisnika
- Prijavu incidenata dobavljaču
- Suradnju tijekom unutarnjih audita
Kako to izgleda u praksi – studija slučaja
Mikrobiološki laboratorij, 15 zaposlenika, u postupku akreditacije PCA
| Aspekt | Prije CleverLAB-a | Nakon CleverLAB-a |
|---|---|---|
| Sustav | Excel + papirnata dokumentacija | Sustav LIMS s potpunom dokumentacijom |
| Zapisnici promjena | Nema ih | Potpun revizijski trag |
| Kontrola pristupa | Svi imaju pristup svemu | Sustav dopuštenja RBAC |
| Sigurnosne kopije | Ručne, neredovite | Automatske, dnevne |
| Vrijeme pripreme dokumentacije | 2–3 mjeseca | 2 dana |
| Trošak sigurnosne dokumentacije | 15.000 – 30.000 PLN | 0 PLN (uključeno) |
| Ocjena ocjenitelja PCA | „Sustav neprihvatljiv” | „Ispunjava sve zahtjeve” |
Ugovor o održavanju kao konkurentska prednost
Profesionalni ugovor o održavanju nije samo akreditacijski zahtjev – on je jamstvo kontinuiteta poslovanja laboratorija.
Što treba sadržavati dobar ugovor o održavanju?
- Podroban opis infrastrukture (hosting, certifikati, sigurnosne kopije)
- Zajamčenu dostupnost (SLA)
- Sigurnosne postupke (šifriranje, kontrola pristupa, nadzor)
- Upravljanje incidentima (vrijeme odziva, eskalacija)
- Usklađenost s GDPR-om (ugovor o obradi podataka)
- Tehničku podršku (služba za podršku, vrijeme odziva)
- Sigurnosna ažuriranja (raspored, testiranje)
- Strukturu odgovornosti (tko za što odgovara)
CleverLAB i cjelovita sigurnost
Sustav CleverLAB osmišljen je imajući na umu zahtjeve norme ISO/IEC 17025:2018. Već u standardnom ugovoru o uvođenju dobivate:
To znači da ocjenitelju već prvog dana nakon uvođenja možete predočiti potpunu dokumentaciju o sigurnosti sustava.
Dodatne usluge: informatički sigurnosni auditi u laboratorijima
Osim standardnog ugovora o održavanju nudimo i:
🔍 Informatički sigurnosni audit laboratorija
- Ocjena trenutačnog stanja sigurnosti
- Prepoznavanje nedostataka i prijetnji
- Preporuke prilagođene akreditacijskim zahtjevima
- Izvješće za ocjenitelja PCA
🔍 Priprema za akreditacijski audit
- Provjera sigurnosne dokumentacije
- Simulacija pitanja ocjenitelja
- Obuka osoblja o sigurnosti sustava
🔍 Penetracijsko testiranje (neobavezno)
- Ispitivanje otpornosti sustava na napade
- Izvješće o otkrivenim ranjivostima
- Plan korektivnih radnji
Sažetak: sigurnost ne mora biti skupa ni komplicirana
Ključni zaključci:
- 70 % sigurnosnih zahtjeva za akreditaciju ispunjava profesionalni ugovor o održavanju s dobavljačem LIMS-a
- Ne morate biti informatički stručnjak da biste uveli siguran sustav – dobavljač isporučuje gotovu infrastrukturu i dokumentaciju
- Trošak sigurnosne dokumentacije: 0 PLN (uključeno) naspram 15.000 – 30.000 PLN (vanjska ekspertiza)
- Vrijeme pripreme: 2 dana (provjera) naspram 2–3 mjeseca (izrada od nule)
- Ugovor o održavanju je ulaganje, a ne trošak – osigurava kontinuitet poslovanja i sukladnost s normom
Želite saznati više?
Svako od 10 sigurnosnih područja možemo podrobno proći na sastanku ili u zasebnom PDF dokumentu
Pojedine teme zahtijevaju podrobna objašnjenja i dogovore. Nudimo i informatičke sigurnosne audite laboratorijskih sustava.
Povezani članci
Usklađenost LIMS-a s ISO/IEC 17025
Sveobuhvatan vodič kroz zahtjeve norme i načine na koje ih sustavi LIMS ispunjavaju
Sigurnost podataka u LIMS-u
Kako zaštititi osjetljive laboratorijske podatke od kibernetičkih prijetnji
Uvođenje sustava LIMS
Praktičan vodič kroz postupak uvođenja sustava za upravljanje laboratorijem
O autoru
Ovaj je članak nastao na temelju dugogodišnjeg iskustva u projektiranju sustava LIMS za akreditirane laboratorije. Naš tim spaja stručnost u informatičkoj sigurnosti s praktičnim poznavanjem zahtjeva norme ISO/IEC 17025.
Proveli smo desetke informatičkih sigurnosnih audita u laboratorijima i podržali mnoge laboratorije u postupku stjecanja i održavanja akreditacije PCA.
Ključna poruka
Ne morate biti stručnjak za kibernetičku sigurnost da biste ispunili akreditacijske zahtjeve. Dobro pripremljen ugovor o održavanju s dobavljačem sustava LIMS automatski osigurava profesionalnu zaštitu na korporativnoj razini – za djelić troška zapošljavanja informatičara ili izgradnje vlastite infrastrukture.