Težava: informacijska varnost kot ovira za akreditacijo
Preskuševalni laboratoriji, ki si prizadevajo za akreditacijo po standardu ISO/IEC 17025:2018, se soočajo z resnim izzivom: kako dokumentirati varnost informacijskega sistema?
Ocenjevalci PCA (Poljskega centra za akreditacijo) sprašujejo:
- „Ali so podatki zaščiteni pred nepooblaščenim dostopom?“
- „Kako zagotavljate celovitost rezultatov preskusov?“
- „Kje so shranjene varnostne kopije?“
- „Kdo ima dostop do sistema in na kakšni podlagi?“
- „Kako se odzivate na varnostne incidente?“
Tipičen odziv vodij laboratorijev: „To so vprašanja za dobavitelja programske opreme, kajne?“
Težava:
Mnogi laboratoriji uvedejo sistem LIMS brez ustrezne pogodbe o vzdrževanju, ki določa varnostna pravila. Zato pri akreditacijski presoji ne morejo predložiti dokumentacije, ki bi potrjevala skladnost z zahtevami standarda.
Rešitev: profesionalna pogodba o vzdrževanju kot temelj varnosti
Ključna informacija:
Dobro pripravljena pogodba o vzdrževanju z dobaviteljem sistema LIMS samodejno pokrije približno 70 % varnostnih zahtev standarda ISO/IEC 17025.
Zakaj? Ker je večina varnostnih ukrepov na strani infrastrukture in upravljanja sistema – področij, za katera je odgovoren dobavitelj programske opreme.
Poglejmo, kako je to videti v praksi na primeru sistema CleverLAB.
10 ključnih varnostnih področij, ki jih pokrije pogodba o vzdrževanju
1. Strežniška infrastruktura s certifikatom ISO 27001
Zahteva ocenjevalca:
„Kje so shranjeni naši podatki? Je podatkovni center varen?“
Kaj zagotovi dobavitelj:
- Profesionalni podatkovni center s certifikatom ISO 27001
- Standard Tier III ali višji (razpoložljivost 99,982 %)
- Fizično varovanje: nadzor 24/7, biometrični nadzor dostopa
- Sistemi za gašenje požara in precizna klimatizacija
- Redundantne internetne povezave
Korist za laboratorij: ni vam treba vlagati v lastno strežniško sobo ali skrbeti za fizično varnost infrastrukture. Dovolj je dokumentirati, da ima dobavitelj ustrezne certifikate.
2. Šifriranje podatkov na vsaki ravni
Zahteva ocenjevalca:
„Kako so podatki zaščiteni med prenosom in hrambo?“
Kaj zagotovi dobavitelj:
- Šifriranje prenosa: certifikat SSL/TLS (protokol HTTPS)
- Šifriranje gesel: algoritma bcrypt ali SHA-256
- Šifriranje varnostnih kopij: vse kopije so šifrirane
- Podatki v EU: skladnost z GDPR
3. Samodejne varnostne kopije s preverjenimi postopki obnove
Zahteva ocenjevalca:
„Kaj se zgodi, če strežnik odpove? So podatki varni?“
Kaj zagotovi dobavitelj:
- Dnevne kopije podatkovne baze (samodejne)
- Tedenske kopije se hranijo 3 mesece
- Mesečne kopije se hranijo 1 leto
- Geografska ločitev: kopije na ločeni lokaciji
- Redni preskusi postopkov obnove podatkov
- Šifriranje vseh varnostnih kopij
Korist: ni vam treba misliti na izdelavo kopij ali skrbeti zaradi izgube podatkov. Sistem je zavarovan na korporativni ravni.
4. Sistem pravic RBAC – kdo vidi kaj?
Zahteva ocenjevalca:
„Kako nadzorujete dostop do občutljivih podatkov?“
Kaj zagotovi sistem CleverLAB:
- Role-Based Access Control (RBAC) – pravice glede na vloge
- Posamezne pravice (npr. „dodaj vzorec“, „uredi rezultat“, „avtoriziraj poročilo“)
- Skupine pravic (npr. „Laborant“, „Vodja“, „Skrbnik“)
- Ločitev podatkov med strankami
- Takojšnja deaktivacija računov zaposlenih
Tipične vloge v laboratoriju:
- Skrbnik – poln dostop do konfiguracije sistema
- Vodja laboratorija – upravljanje, poročila, odobritve
- Analitik – vnos in pregled rezultatov
- Oseba, ki avtorizira – avtorizacija poročil o preskusih
- Pregledovalec – dostop samo za branje
5. Popolna revizijska sled – kdo je kdaj kaj spremenil
Zahteva ocenjevalca:
„Ali lahko pokažete zgodovino sprememb rezultatov preskusov?“
Kaj zagotovi sistem:
- Beleženje vseh prijav in odjav
- Beleženje neuspešnih poskusov prijave
- Sledenje spremembam ključnih podatkov (rezultati preskusov, certifikati)
- Beleženje administrativnih operacij
- Metapodatki vsakega zapisa: created_by, created_date, verified_by, verified_date
Hramba dnevnikov:
- Najmanj 2 leti (ali po zahtevah akreditacije)
- Zaščiteni pred spreminjanjem
- Možnost priprave poročil za ocenjevalce
6. Politika gesel po dobrih praksah
Kaj sistem uveljavlja:
- Najmanjša dolžina: 8 znakov
- Kompleksnost: črke, številke, posebni znaki
- Brez ponavljanja: nedavnih gesel ni mogoče znova uporabiti
- Samodejno zaklepanje po določenem številu neuspešnih poskusov
- Samodejna odjava po obdobju nedejavnosti
7. Nadzor 24/7 in odzivanje na incidente
Kaj zagotovi dobavitelj:
- Nadzor razpoložljivosti sistema 24/7
- Samodejna opozorila o anomalijah
- Pregledovanje ranljivosti
- Postopek za incidente z obveščanjem v 24 urah
- Dokumentiranje vsakega incidenta z analizo vzrokov
8. Skladnost z GDPR in varstvo osebnih podatkov
Kaj zagotovi dobavitelj:
- Pogodba o obdelavi podatkov (zahteva GDPR)
- Podatki shranjeni na strežnikih v EU
- Postopki za uresničevanje pravic posameznikov (pravica do izbrisa, popravka itd.)
- Evidenca dejavnosti obdelave
- Postopki obveščanja o kršitvi varnosti podatkov
9. Redne varnostne posodobitve
Kaj zagotovi dobavitelj:
- Redne posodobitve operacijskega sistema in programske opreme
- Kritični popravki se uvedejo prednostno
- Preskušanje pred uvedbo v produkcijo
- Obveščanje strank o načrtovanih vzdrževalnih delih
10. SLA in zajamčena razpoložljivost
Kaj zagotovi pogodba o vzdrževanju:
- Zajamčena razpoložljivost (SLA): običajno 99,5 % ali več
- Ciljni čas obnovitve (RTO): po dogovoru (npr. 4 ure)
- Ciljna točka obnovitve (RPO): po dogovoru (npr. največ 24 ur izgube podatkov)
- Služba za pomoč na voljo v delovnem času
- Nujni stik v skladu s pogodbo SLA
Kaj ostane na strani laboratorija? (30 % zahtev)
Čeprav pogodba o vzdrževanju pokrije večino tehničnih zahtev, je laboratorij še vedno odgovoren za:
1. Upravljanje uporabnikov
- Odpiranje in deaktivacijo računov zaposlenih
- Dodeljevanje ustreznih vlog in pravic
- Redno preverjanje seznama dejavnih uporabnikov
2. Organizacijske politike
- Postopek dodeljevanja dostopa do sistema
- Varnostno politiko laboratorija
- Usposabljanje zaposlenih za delo s sistemom
3. Dokumentacijo
- Navodila za uporabnike
- Postopke ob okvarah
- Določitev odgovornih oseb (skrbnik sistema)
4. Lokalni nadzor
- Spremljanje neobičajnega vedenja uporabnikov
- Prijavljanje incidentov dobavitelju
- Sodelovanje pri notranjih presojah
Kako je to videti v praksi – študija primera
Mikrobiološki laboratorij, 15 zaposlenih, v postopku akreditacije PCA
| Vidik | Pred CleverLAB | Po CleverLAB |
|---|---|---|
| Sistem | Excel + papirna dokumentacija | Sistem LIMS s popolno dokumentacijo |
| Dnevniki sprememb | Jih ni | Popolna revizijska sled |
| Nadzor dostopa | Vsi imajo dostop do vsega | Sistem pravic RBAC |
| Varnostne kopije | Ročne, neredne | Samodejne, dnevne |
| Čas priprave dokumentacije | 2–3 mesece | 2 dni |
| Strošek varnostne dokumentacije | 15.000 – 30.000 PLN | 0 PLN (vključeno) |
| Ocena ocenjevalca PCA | „Sistem nesprejemljiv“ | „Izpolnjuje vse zahteve“ |
Pogodba o vzdrževanju kot konkurenčna prednost
Profesionalna pogodba o vzdrževanju ni le akreditacijska zahteva – je jamstvo neprekinjenega poslovanja laboratorija.
Kaj naj vsebuje dobra pogodba o vzdrževanju?
- Podroben opis infrastrukture (gostovanje, certifikati, varnostne kopije)
- Zajamčeno razpoložljivost (SLA)
- Varnostne postopke (šifriranje, nadzor dostopa, nadzor delovanja)
- Upravljanje incidentov (odzivni čas, eskalacija)
- Skladnost z GDPR (pogodba o obdelavi podatkov)
- Tehnično podporo (služba za pomoč, odzivni čas)
- Varnostne posodobitve (razpored, preskušanje)
- Strukturo odgovornosti (kdo je odgovoren za kaj)
CleverLAB in celovita varnost
Sistem CleverLAB je zasnovan ob upoštevanju zahtev standarda ISO/IEC 17025:2018. Že v standardni pogodbi o uvedbi prejmete:
To pomeni, da lahko ocenjevalcu že prvi dan po uvedbi predložite popolno dokumentacijo o varnosti sistema.
Dodatne storitve: revizije informacijske varnosti v laboratorijih
Poleg standardne pogodbe o vzdrževanju ponujamo tudi:
🔍 Revizija informacijske varnosti laboratorija
- Ocena trenutnega stanja varnosti
- Prepoznavanje vrzeli in groženj
- Priporočila, prilagojena akreditacijskim zahtevam
- Poročilo za ocenjevalca PCA
🔍 Priprava na akreditacijsko presojo
- Preverjanje varnostne dokumentacije
- Simulacija vprašanj ocenjevalca
- Usposabljanje osebja o varnosti sistema
🔍 Penetracijsko testiranje (neobvezno)
- Preskušanje odpornosti sistema na napade
- Poročilo o odkritih ranljivostih
- Načrt korektivnih ukrepov
Povzetek: varnost ni nujno draga ali zapletena
Ključni sklepi:
- 70 % varnostnih zahtev za akreditacijo izpolni profesionalna pogodba o vzdrževanju z dobaviteljem LIMS
- Ni vam treba biti strokovnjak za IT, da uvedete varen sistem – dobavitelj zagotovi pripravljeno infrastrukturo in dokumentacijo
- Strošek varnostne dokumentacije: 0 PLN (vključeno) v primerjavi s 15.000 – 30.000 PLN (zunanja ekspertiza)
- Čas priprave: 2 dni (preverjanje) v primerjavi z 2–3 meseci (izdelava od začetka)
- Pogodba o vzdrževanju je naložba, ne strošek – zagotavlja neprekinjeno poslovanje in skladnost s standardom
Želite izvedeti več?
Vsako od 10 varnostnih področij lahko podrobno obravnavamo na sestanku ali v posebnem dokumentu PDF
Posamezne teme zahtevajo podrobna pojasnila in dogovore. Ponujamo tudi revizije informacijske varnosti laboratorijskih sistemov.
Sorodni članki
Skladnost LIMS z ISO/IEC 17025
Celovit vodnik po zahtevah standarda in o tem, kako jih sistemi LIMS izpolnjujejo
Varnost podatkov v LIMS
Kako zaščititi občutljive laboratorijske podatke pred kibernetskimi grožnjami
Uvedba sistema LIMS
Praktični vodnik po postopku uvedbe sistema za upravljanje laboratorija
O avtorju
Članek je nastal na podlagi dolgoletnih izkušenj pri načrtovanju sistemov LIMS za akreditirane laboratorije. Naša ekipa združuje strokovno znanje o informacijski varnosti s praktičnim poznavanjem zahtev standarda ISO/IEC 17025.
Izvedli smo več deset revizij informacijske varnosti v laboratorijih in številnim laboratorijem pomagali pri pridobivanju in ohranjanju akreditacije PCA.
Ključno sporočilo
Ni vam treba biti strokovnjak za kibernetsko varnost, da izpolnite akreditacijske zahteve. Dobro pripravljena pogodba o vzdrževanju z dobaviteljem sistema LIMS samodejno zagotovi profesionalno zaščito na korporativni ravni – za delček stroška zaposlitve strokovnjaka za IT ali izgradnje lastne infrastrukture.