Jak zajistit bezpečné IT zázemí v ordinaci

Na co by si měl dát každý lékař pozor, pokud nechce, aby se jeho IT stalo slabým článkem provozu. Podíváme se na pět klíčových oblastí, které by měl mít každý lékař nebo fyzioterapeut pod kontrolou, pokud chce chránit svou praxi i pacienty.

1. Zálohování: základní, ale často opomíjené

Zálohování je jedna ze základních věcí, které by neměl podcenit žádný majitel lékařské ordinace. Bezpečné řešení dnes představují cloudové zálohy s dvoufázovým ověřením a přístupem chráněným heslem. Nejčastější chyba? Spoléhání se na jednu kopii dat – obvykle přímo v počítači nebo na USB disku. Správné zálohování tedy znamená mít data:

• uložená na více místech (ideálně i mimo ordinaci),
   
• automaticky a pravidelně zálohovaná,
   
• šifrovaná, aby je nikdo cizí nemohl zneužít.
   

2. Antiviry a firewall nejsou přežitek

Antivirový program je důležitý, ale zdaleka není všemocný, zvlášť v prostředí ordinace, kde se pracuje s citlivými osobními údaji. I při běžné práci může dojít k napadení systému, útočníci dnes využívají i jiné cesty – například podvodné e-maily, infikované weby nebo dokonce připojení přes zranitelné Wi-Fi sítě.

Dobrý antivirový program je základ, ale měl by být jen jedním z více vrstev ochrany.

Bez pravidelných aktualizací, bezpečnostních návyků a správného nastavení zařízení jeho účinnost výrazně klesá. Kromě kvalitního antiviru je klíčové mít:

• aktualizovaný operační systém (včetně bezpečnostních záplat),
   
• správně nastavený firewall (např. na úrovni routeru),
   
• omezit administrátorská práva, aby například ostatní zaměstnanci nemohli měnit klíčová nastavení.
   

3. Přístup k počítači a hesla

Jedno heslo pro všechno? Velké riziko. Zvlášť pokud je heslo slabé, sdílené více lidmi nebo dokonce napsané na papírku pod klávesnicí. Je běžné, že se v ordinaci přihlašují ke stejnému účtu lékař, sestra i brigádník. Takové sdílení je však bezpečnostní riziko.

Je naprosto klíčové mít jasně nastavený systém přístupových práv a hesel.

Každý by měl mít svůj vlastní přístup a být odpovědný za to, co v systému dělá. Také je důležité pravidelně hesla měnit, nepoužívat stejná hesla do více systémů a ideálně využívat dvoufaktorové ověření, pokud to daná služba umožňuje.

Doporučení:

• Každý uživatel by měl mít vlastní přihlašovací účet.
   
• Počítač by se měl automaticky zamknout po několika minutách nečinnosti.
   
• Hesla by měla být dostatečně silná, unikátní a měněná alespoň jednou ročně.
   
• Dvoufázové ověření je dnes standardem u e-mailu i přístupu do cloudu.
   

4. IT podpora: levná vs. bezpečná

Řada lékařů řeší IT „na koleni“ nebo s pomocí známého, realita je ale taková, že dobrý záměr nemusí vždy znamenat bezpečné řešení. IT bezpečnost je dnes komplexní obor, nestačí „umět nainstalovat Windows“ nebo připojit tiskárnu. Správné nastavení sítě, šifrování, aktualizace, přístupová práva nebo řešení záloh vyžadují znalosti a praxi.

Dobrý IT správce problémy jen neřeší, ale hlavně jim předchází.

Navíc v případě problému potřebujete spolehlivého partnera, který vám pomůže ihned. Proto se vyplatí mít smluvního IT specialistu, který zná vaše prostředí a reaguje rychle. Proč se vyplatí profesionální IT podpora?

• zajistí rychlou reakci při problému,
   
• pravidelně provádí údržbu a aktualizace,
   
• pomůže vyhovět legislativním požadavkům – například v oblasti GDPR.
   

5. GDPR, dokumentace a odpovědnost

Lékař pracuje s citlivými osobními údaji. I když máte IT podporu, podepsané smlouvy a zálohování, zodpovědnost za data vašich pacientů máte vy jako provozovatel ordinace. A to nejen etickou, ale i právní. Podle GDPR a dalších zákonů musí být osobní údaje zabezpečené tak, aby nedošlo k jejich zneužití, ztrátě nebo zpřístupnění nepovolaným osobám. V případě problému úřady nebudou řešit, kdo vám spravoval počítač – ale jaká opatření jste měli nastavena vy. Proto se vyplatí nepodceňovat prevenci. I jednoduché kroky, jako pravidelné kontroly, školení personálu nebo správně nastavené zálohování, mohou předejít velkým potížím. Co je potřeba mít vyřešeno?

• sepsané interní postupy (např. jak se nakládá s hesly, zálohami, přístupy),
   
• smlouvu s IT firmou o odpovědnosti a servisu,
   
• přehled o tom, kdo má přístup k jakým datům.

Tento článek tematicky vychází z odborného semináře na téma Bezpečné a moderní IT v ordinaci s IT specialistou Tomášem Symonem ze společnosti AVe-comp s.r.o., který se dlouhodobě věnuje správě a zabezpečení IT v lékařských a fyzioterapeutických praxích.

seminář Bezpečnost a moderní IT