dnes je 3.12.2021

Input:

Budování kybernetické bezpečnosti ve zdravotnictví, 3. díl

21.10.2021, , Zdroj: Verlag Dashöfer

6.5.8.3
Budování kybernetické bezpečnosti ve zdravotnictví, 3. díl

RNDr. Dagmar Brechlerová, Ph.D.

V prvních dvou dílech seriálu o budování kybernetické bezpečnosti byly shrnuty některé důležité zákony, které se tomuto tématu věnují, a krátce nastíněny některé obecné otázky. V tomto dílu se budeme věnovat tomu, jak postupovat dále. Nyní přistoupíme k popisu činnosti, která se může zdát nudná, ale je zcela zásadní, a to je analýza rizik.

Základem budování kybernetické bezpečnosti je dobře provedená analýza rizik. Ta může být různé úrovně a kvality, velmi podrobná či jen povrchní, orientační. Něco jiného představuje analýza rizik ve velkém průmyslovém zařízení či fakultní nemocnici, něco jiného u praktického lékaře v ordinaci typu jeden lékař, jedna sestra. Navíc, jak již zmiňuji v druhém dílu, musíme rozlišit, zda máme data u sebe pod svojí kontrolou, nebo se nám o ně stará někdo jiný a jsou i jinde umístěna. Opět připomínám, že toto by mělo být také ošetřeno vhodnou smlouvou.

Analýza rizik by měla přinést odpověď na otázku, jaké hrozby na danou organizaci působí, jak moc jsou její aktiva těmito hrozbami ohrožena, jak vysoká je pravděpodobnost, že hrozba zneužije určitou zranitelnost, a jaký dopad by to na organizaci mohlo mít.

V analýze rizik se používají následující pojmy (pojmy jsou převzaty z publikací uvedených v bodech 3 a 4):

  • aktivum (asset) je vše, co má pro společnost (organizaci) nějakou hodnotu a mělo by být odpovídajícím způsobem chráněno. Cokoliv, co má hodnotu pro jednotlivce, organizaci nebo veřejnou správu. Aktiva mohou být jak fyzická, tak informační;

  • hrozba (threat) je jakákoliv událost, která může způsobit narušení důvěrnosti, integrity a dostupnosti aktiva (což jsou základní požadavky bezpečnosti). Potenciální příčina nežádoucí události může mít za následek poškození systému a jeho aktiv, např. zničení, nežádoucí zpřístupnění (kompromitaci), modifikaci dat nebo nedostupnost služeb;

  • zranitelnost (vulnerability) je vlastnost aktiva nebo slabina na úrovni fyzické, logické nebo administrativní bezpečnosti, která může být zneužita hrozbou;

  • bezpečnostní zranitelnost je úmyslná chyba nebo neúmyslný nedostatek či závada v softwaru obecně nebo ve firmwaru zařízení komunikační infrastruktury, která může být zneužita potenciálním útočníkem pro škodlivou činnost. Tyto zranitelnosti jsou buď známé a publikované, ale výrobcem ještě neošetřené, nebo skryté a neobjevené. V případě skrytých zranitelností je důležité, zda je objeví dříve útočník, výrobce, bezpečnostní analytik či uživatel. Bezpečnostní zranitelnosti jsou proto potenciálními bezpečnostními hrozbami. Bezpečnostní zranitelnosti lze eliminovat důsledným bezpečnostním záplatováním systémů;

  • riziko je pravděpodobnost, že hrozba zneužije zranitelnost a způsobí narušení důvěrnosti, integrity nebo dostupnosti. Jde o souhrn možností, že hrozba využije zranitelnost aktiva nebo skupiny aktiv a tím způsobí organizaci škodu;

  • opatření (countermeasure) je opatření na úrovni fyzické, logické nebo administrativní bezpečnosti, které snižuje zranitelnost a chrání aktivum před danou hrozbou.

Musíme rozlišit hrozby a rizika, což řada lidí zaměňuje. Hrozba může být zdrojem pro jedno nebo více rizik, hrozba sama o sobě ale riziko nepředstavuje. Riziko popisuje pravděpodobnost a praktický následek negativní události. Hrozby pouze zneužívají zranitelnosti vedoucí k ohrožení, což je riziko, které lze snížit prostřednictvím opatření chránících aktiva před působením těchto hrozeb. Riziko popisuje pravděpodobnost a praktický důsledek negativní události. Způsobená škoda může být různé velikosti a může být někdy i více či méně snesitelná. Ale ve zdravotnictví se opět musíme mít na pozoru a nemůžeme přijmout myšlenku, že únik některých informací by mohl být tolerován, že jde o snesitelnou událost. Aby organizace mohla posoudit, co je přijatelné a co není, a aby mohla přijímat správná rozhodnutí a uplatňovat účinná opatření v oblasti bezpečnosti, musí co nejvíce znát prostředí, potenciální hrozby a vlastní zranitelnost.

Systematický přístup k posuzování hrozeb a odhalování zranitelnosti je pravidelným prováděním analýzy rizik. Jedná se o základní nástroj systému řízení bezpečnosti informací, který poskytuje účinné prostředky pro stanovení priorit kvalifikací v oblasti bezpečnosti informací na strategické provozní úrovni. To, zda je dané riziko eliminováno, nebo akceptováno, závisí na stupni závažnosti a na nezbytných nákladech na jeho řešení. Opět ve zdravotnictví nemohu akceptovat riziko úniku informací. Způsobené škody se mohou lišit svojí velikostí a být jinde více či méně tolerovatelné.

Vztahy mezi riziky, hrozbami, aktivy a zranitelnostmi ilustruje následující obrázek.

Obrázek je převzat z https://www.cleverandsmart.cz/analyza-rizik-jemny-uvod-do-analyzy-rizik/ , odkud jsou přejaty i některé informace.

Cíl analýzy rizik

Cílem analýzy rizik je zjistit, co je pro organizaci důležité a cenné, co je pro ni přijatelné a co již není, a připravit základ pro strategické, manažerské a kontrolní procesy v oblasti bezpečnosti informací. Analýza rizik tedy odhaluje, co všechno se může stát, proč se to může stát, jak se to může stát, kde se to může stát a koho se to bude týkat.

Analýza rizik – kroky

Analýza rizik probíhá ve dvou krocích. V prvním kroku jsou aktiva identifikována a klasifikována podle nutnosti utajení, přístupnosti, integrity. Výsledkem prvního kroku je soupis aktiv a jejich ohodnocení. Každé aktivum je opatřeno požadavky na jeho ochranu a bezpečnost. Ve druhém kroku se identifikují zranitelná místa a vyhodnocují hrozby ovlivňující aktiva. Hodnota (závažnost) jednotlivých rizik se stanoví na základě těchto informací. Výsledkem druhé části je seznam identifikovaných rizik s jejich popisem, popisem závažnosti a návrhem na odstranění rizika nebo jeho minimalizaci. Je jasné, že prostředí zdravotnictví má speciální požadavky a že aktiva, která je nutno nejvíce chránit, jsou data pacientů.

Pokud jde o vlastní přístup k provedení analýzy, tak např. ISO/IEC 13335 uvádí čtyři různé přístupy:

https://www.enisa.europa.eu/topics/threat-risk-management/risk-management/current-risk/laws-regulation/rm-ra-standards/iso-iec-standard-13335 .

1. Základní přístup – žádná analýza rizik se neprovádí, pouze je vybrána a implementována základní sada opatření z nějakého katalogu.

2. Neformální přístup – jedná se o pragmatický přístup k analýze rizik, kdy se provádí rychlá, orientační analýza rizik, založená na zkušenostech expertů a vyhodnocení možných scénářů.

3. Formální přístup – jedná se o detailní analýzu rizik, kdy se provádí hodnocení aktiv, hrozeb a zranitelností, nejčastěji za použití matematického aparátu. Toto je samozřejmě finančně náročné.

4. Kombinovaný přístup – na základě provedené orientační analýzy rizik, kdy byla pro organizaci identifikována kritická aktiva nebo procesy, se provede detailní analýza rizik.

Od určité velikosti a komplexnosti informačního systému, který je předmětem analýzy, je vhodné analýzu rizik pojmout jako projekt. Vlastní analýza rizik se skládá z několika fází: identifikace a kvantifikace aktiv, hrozeb, zranitelností a stanovení výsledného rizika. Samotná analýza rizik může být provedena interně nebo externě. Výsledek analýzy rizik musí být v organizaci utajován, může ho znát pouze nezbytný počet lidí. Jde o nalezení slabin organizace, takže není možné s ním seznámit širší okruh lidí, než je nezbytně nutné.

Dále jsou stručně popsány jednotlivé kroky, plný popis je dostupný např. ve zdroji uvedeném v bodě 5.

Analýza aktiv

V rámci analýzy rizik musíme identifikovat pro společnost kritická aktiva a určit jejich hodnotu. Tento krok se někdy označuje jako

Nahrávám...
Nahrávám...