Problém: IT bezpečnosť ako prekážka akreditácie
Skúšobné laboratóriá, ktoré sa uchádzajú o akreditáciu podľa normy ISO/IEC 17025:2018, stoja pred vážnou výzvou: ako zdokumentovať bezpečnosť informačného systému?
Posudzovatelia PCA (poľského akreditačného orgánu) sa pýtajú:
- „Sú údaje chránené pred neoprávneným prístupom?“
- „Ako zabezpečujete integritu výsledkov skúšok?“
- „Kde sú uložené zálohy?“
- „Kto má prístup do systému a na akom základe?“
- „Ako reagujete na bezpečnostné incidenty?“
Typická reakcia vedúcich laboratórií: „To sú predsa otázky na dodávateľa softvéru, nie?“
Problém:
Mnohé laboratóriá zavádzajú systém LIMS bez príslušnej servisnej zmluvy, ktorá by stanovovala zásady bezpečnosti. Pri akreditačnom audite potom nedokážu predložiť dokumentáciu, ktorá by potvrdzovala splnenie požiadaviek normy.
Riešenie: profesionálna servisná zmluva ako základ bezpečnosti
Kľúčová informácia:
Dobre pripravená servisná zmluva s dodávateľom systému LIMS automaticky pokrýva približne 70 % bezpečnostných požiadaviek normy ISO/IEC 17025.
Prečo? Pretože väčšina bezpečnostných opatrení leží na strane infraštruktúry a správy systému – v oblastiach, za ktoré zodpovedá dodávateľ softvéru.
Pozrime sa, ako to funguje v praxi na príklade systému CleverLAB.
10 kľúčových oblastí bezpečnosti pokrytých servisnou zmluvou
1. Serverová infraštruktúra s certifikáciou ISO 27001
Požiadavka posudzovateľa:
„Kde sú uložené naše údaje? Je dátové centrum bezpečné?“
Čo zabezpečuje dodávateľ:
- Profesionálne dátové centrum s certifikátom ISO 27001
- Štandard Tier III alebo vyšší (dostupnosť 99,982 %)
- Fyzická ochrana: monitorovanie 24/7, biometrická kontrola vstupu
- Hasiace systémy a presná klimatizácia
- Redundantné internetové pripojenia
Prínos pre laboratórium: Nemusíte investovať do vlastnej serverovne ani sa starať o fyzickú ochranu infraštruktúry. Stačí zdokumentovať, že dodávateľ má príslušné certifikáty.
2. Šifrovanie údajov na každej úrovni
Požiadavka posudzovateľa:
„Ako sú údaje chránené počas prenosu a uloženia?“
Čo zabezpečuje dodávateľ:
- Šifrovanie prenosu: certifikát SSL/TLS (protokol HTTPS)
- Šifrovanie hesiel: algoritmy bcrypt alebo SHA-256
- Šifrovanie záloh: všetky zálohy sú šifrované
- Údaje v EÚ: súlad s GDPR
3. Automatické zálohy s otestovanými postupmi obnovy
Požiadavka posudzovateľa:
„Čo sa stane, keď server zlyhá? Sú údaje v bezpečí?“
Čo zabezpečuje dodávateľ:
- Denné zálohy databázy (automatické)
- Týždenné zálohy uchovávané 3 mesiace
- Mesačné zálohy uchovávané 1 rok
- Geografické oddelenie: zálohy na samostatnom mieste
- Pravidelné testy postupov obnovy údajov
- Šifrovanie všetkých záloh
Prínos: Nemusíte myslieť na vytváranie záloh ani sa obávať straty údajov. Systém je zabezpečený na podnikovej úrovni.
4. Systém oprávnení RBAC – kto vidí čo?
Požiadavka posudzovateľa:
„Ako riadite prístup k citlivým údajom?“
Čo zabezpečuje systém CleverLAB:
- Role-Based Access Control (RBAC) – oprávnenia založené na rolách
- Jednotlivé oprávnenia (napr. „pridať vzorku“, „upraviť výsledok“, „autorizovať protokol“)
- Skupiny oprávnení (napr. „Laborant“, „Vedúci“, „Administrátor“)
- Oddelenie údajov jednotlivých zákazníkov
- Okamžitá deaktivácia účtov zamestnancov
Typické roly v laboratóriu:
- Administrátor – plný prístup ku konfigurácii systému
- Vedúci laboratória – riadenie, prehľady, schvaľovanie
- Analytik – zadávanie a prezeranie výsledkov
- Autorizujúca osoba – autorizácia protokolov o skúške
- Čitateľ – prístup iba na čítanie
5. Úplná auditná stopa – kto, kedy, čo zmenil
Požiadavka posudzovateľa:
„Môžete ukázať históriu zmien výsledkov skúšok?“
Čo zabezpečuje systém:
- Zaznamenávanie všetkých prihlásení a odhlásení
- Evidencia neúspešných pokusov o prihlásenie
- Sledovanie zmien kritických údajov (výsledky skúšok, certifikáty)
- Zaznamenávanie administrátorských operácií
- Metaúdaje každého záznamu: created_by, created_date, verified_by, verified_date
Uchovávanie záznamov:
- Minimálne 2 roky (alebo podľa požiadaviek akreditácie)
- Chránené pred úpravou
- Možnosť generovať prehľady pre posudzovateľov
6. Politika hesiel podľa osvedčených postupov
Čo systém vynucuje:
- Minimálna dĺžka: 8 znakov
- Zložitosť: písmená, číslice, špeciálne znaky
- Bez opakovania: nemožno použiť nedávne heslá
- Automatické zablokovanie po určenom počte neúspešných pokusov
- Automatické odhlásenie po určitom čase nečinnosti
7. Monitorovanie 24/7 a reakcia na incidenty
Čo zabezpečuje dodávateľ:
- Monitorovanie dostupnosti systému 24/7
- Automatické upozornenia na anomálie
- Skenovanie zraniteľností
- Postup riešenia incidentov s oznámením do 24 hodín
- Dokumentácia každého incidentu s analýzou základnej príčiny
8. Súlad s GDPR a ochrana osobných údajov
Čo zabezpečuje dodávateľ:
- Zmluva o spracúvaní osobných údajov (vyžaduje ju GDPR)
- Údaje uložené na serveroch v EÚ
- Postupy uplatňovania práv dotknutých osôb (právo na vymazanie, opravu atď.)
- Záznamy o spracovateľských činnostiach
- Postupy oznamovania porušenia ochrany údajov
9. Pravidelné bezpečnostné aktualizácie
Čo zabezpečuje dodávateľ:
- Pravidelné aktualizácie operačného systému a softvéru
- Kritické opravy nasadzované prednostne
- Testovanie pred nasadením do prevádzky
- Informovanie zákazníkov o plánovaných údržbových prácach
10. SLA a garantovaná dostupnosť
Čo zabezpečuje servisná zmluva:
- Garantovaná dostupnosť (SLA): zvyčajne 99,5 % alebo viac
- Cieľový čas obnovy (RTO): podľa dohody (napr. 4 hodiny)
- Cieľový bod obnovy (RPO): podľa dohody (napr. strata údajov najviac za 24 hodín)
- Helpdesk dostupný v pracovnom čase
- Núdzový kontakt podľa dohody SLA
Čo zostáva na strane laboratória? (30 % požiadaviek)
Hoci servisná zmluva pokrýva väčšinu technických požiadaviek, laboratórium naďalej zodpovedá za:
1. Správa používateľov
- Vytváranie a deaktivácia účtov zamestnancov
- Prideľovanie vhodných rolí a oprávnení
- Pravidelné overovanie zoznamu aktívnych používateľov
2. Organizačné politiky
- Postup udeľovania prístupu do systému
- Bezpečnostná politika laboratória
- Školenie zamestnancov v obsluhe systému
3. Dokumentácia
- Návody pre používateľov
- Postupy pri poruchách
- Určenie zodpovedných osôb (administrátor systému)
4. Lokálne monitorovanie
- Sledovanie neobvyklého správania používateľov
- Hlásenie incidentov dodávateľovi
- Spolupráca pri interných auditoch
Ako to funguje v praxi – prípadová štúdia
Mikrobiologické laboratórium, 15 zamestnancov, uchádza sa o akreditáciu PCA
| Oblasť | Pred CleverLAB | Po CleverLAB |
|---|---|---|
| Systém | Excel + papierová dokumentácia | Systém LIMS s úplnou dokumentáciou |
| Záznamy zmien | Žiadne | Úplná auditná stopa |
| Riadenie prístupu | Každý má prístup ku všetkému | Systém oprávnení RBAC |
| Zálohy | Ručné, nepravidelné | Automatické, denné |
| Čas prípravy dokumentácie | 2 – 3 mesiace | 2 dni |
| Náklady na bezpečnostnú dokumentáciu | 15 000 – 30 000 PLN | 0 PLN (v cene) |
| Hodnotenie posudzovateľa PCA | „Systém neprijateľný“ | „Spĺňa všetky požiadavky“ |
Servisná zmluva ako konkurenčná výhoda
Profesionálna servisná zmluva nie je len požiadavkou akreditácie – je zárukou kontinuity činnosti laboratória.
Čo by mala obsahovať dobrá servisná zmluva?
- Podrobný opis infraštruktúry (hosting, certifikáty, zálohovanie)
- Garantovanú dostupnosť (SLA)
- Bezpečnostné postupy (šifrovanie, riadenie prístupu, monitorovanie)
- Riadenie incidentov (čas reakcie, eskalácia)
- Súlad s GDPR (zmluva o spracúvaní osobných údajov)
- Technickú podporu (helpdesk, čas reakcie)
- Bezpečnostné aktualizácie (harmonogram, testovanie)
- Rozdelenie zodpovednosti (kto za čo zodpovedá)
CleverLAB a komplexné zabezpečenie
Systém CleverLAB bol navrhnutý s ohľadom na požiadavky normy ISO/IEC 17025:2018. Už v štandardnej zmluve o zavedení dostanete:
To znamená, že kompletnú dokumentáciu zabezpečenia systému môžete posudzovateľovi predložiť hneď na druhý deň po zavedení.
Doplnkové služby: audity IT bezpečnosti v laboratóriách
Okrem štandardnej servisnej zmluvy ponúkame aj:
🔍 Audit IT bezpečnosti laboratória
- Posúdenie aktuálneho stavu zabezpečenia
- Identifikácia medzier a hrozieb
- Odporúčania prispôsobené požiadavkám akreditácie
- Správa pre posudzovateľa PCA
🔍 Príprava na akreditačný audit
- Overenie bezpečnostnej dokumentácie
- Simulácia otázok posudzovateľa
- Školenie personálu v oblasti bezpečnosti systému
🔍 Penetračné testy (voliteľne)
- Testovanie odolnosti systému voči útokom
- Správa o zistených zraniteľnostiach
- Plán nápravných opatrení
Zhrnutie: bezpečnosť nemusí byť drahá ani zložitá
Hlavné závery:
- 70 % bezpečnostných požiadaviek akreditácie splní profesionálna servisná zmluva s dodávateľom LIMS
- Nemusíte byť IT expertom, aby ste zaviedli bezpečný systém – dodávateľ poskytne hotovú infraštruktúru aj dokumentáciu
- Náklady na bezpečnostnú dokumentáciu: 0 PLN (v cene) oproti 15 000 – 30 000 PLN (externá expertíza)
- Čas prípravy: 2 dni (overenie) oproti 2 – 3 mesiacom (tvorba od nuly)
- Servisná zmluva je investícia, nie náklad – zabezpečuje kontinuitu činnosti a súlad s normou
Chcete sa dozvedieť viac?
Každú z 10 oblastí bezpečnosti môžeme podrobne prebrať na stretnutí alebo v samostatnom dokumente PDF
Jednotlivé témy si vyžadujú podrobné vysvetlenie a dohodu. Ponúkame aj audity IT bezpečnosti laboratórnych systémov.
Súvisiace články
O autorovi
Tento článok vznikol na základe dlhoročných skúseností s navrhovaním systémov LIMS pre akreditované laboratóriá. Náš tím spája odborné znalosti v oblasti IT bezpečnosti s praktickou znalosťou požiadaviek normy ISO/IEC 17025.
Vykonali sme desiatky auditov IT bezpečnosti v laboratóriách a mnohé laboratóriá sme podporili pri získavaní a udržiavaní akreditácie PCA.
Hlavné posolstvo
Na splnenie požiadaviek akreditácie nemusíte byť odborníkom na kybernetickú bezpečnosť. Dobre pripravená servisná zmluva s dodávateľom systému LIMS automaticky zabezpečí profesionálnu ochranu na podnikovej úrovni – za zlomok nákladov na zamestnanie IT špecialistu alebo vybudovanie vlastnej infraštruktúry.