Rodina produktů OmniPass

Případová studie - zdravotnictví

Úvod

Zabezpečení a ochrana osobních údajů po celém světě vedly k přijetí mnoha zákonů a předpisů, například Healt Insurance & Accountability Act (HIPAA). HIPAA je americký zákon týkající se soukromí pacientů a zodpovědnosti zdravotníků. Je jedním z nejdiskutovanějších témat současného zdravotnictví v USA, jehož prvky se v brzké době budou týkat také zdravotníků v Evropě a dalších oblastech, kde usilují o zkvalitnění zdravotní péče.

Nařízení HIPAA obsahuje dvě části, které se přímo týkají IT systémů a software implementovaných ve zdravotnickém zařízení:

1. Zásady ochrany soukromí.
2. Zásady bezpečnosti.

Ad 1. Zásady ochrany soukromí

Účelem těchto zásad je stanovit minimální požadavky na ochranu soukromí osob ve vztahu k osobním údajům a informacím o jejich zdravotním stavu. Tato zásada přiznává jednotlivcům některá práva, včetně práva na přístup a doplňování informací o svém zdravotním stavu a práva na výpis obsahující informace kdy a proč byly chráněné informace o zdravotním stavu sdílené s ostatními pro určitý účel.

Ad 2. Zásada bezpečnosti

HIPAA rovněž vyžaduje od dotčených zařízení, aby podnikly určité kroky směřující k ochraně elektronických informací týkajících se zdravotního stavu. Všechny bezpečnostní požadavky lze zahrnout do jedné ze tří základních druhů zabezpečení:

1. Administrativní
2. Fyzické
3. Technické

Některé ze základních níže uvedených požadavků zahrnují, ale nejsou omezeny na:

• Přijetí principů a postupů pro ochranu elektronických informací týkajících se zdravotního stavu

• Přijetí principů a postupů pro ochranu pacienta a informací zaregistrovaných, včetně principů pro využití pracovišť či pracovních stanic

• Vývoj a implementaci postupů pro řízení přístupu k datům

• Implementací technických mechanismů předcházet neoprávněným přístupům

• Zřídit záznamový systém s odezvou pro případy, kdy dojde k neoprávněné manipulaci s chráněnými daty

Požadované zásady HIPAA na ochranu soukromí a bezpečnosti jsou vytvářeny tak, aby byly aplikovatelné všude, byly technologicky neutrální a stupňovatelné ve zdravotnictví počínaje od privátních praxí až po největší zdravotnická zařízení. Protože velká část požadavků se týká principů a postupů, mnoho zdravotnických zařízení nebude aplikovat přesně stanovené procesy, ale požadavkům vyhoví implementací různorodých komplexních činitelů, které budou jedinečné pro každou společnost. To znamená, že implementované IT systémy a software musí být flexibilní, konfigurovatelné, přizpůsobitelné a stupňovatelné tak, aby byly pro organizace využitelné v existujících procesech a byly v souladu s požadavky.

Splnění základních bezpečnostních požadavků

• Administrativní zabezpečení

Jedná se o činnosti, principy a postupy řízení výběru, vývoje, implementace a podpory bezpečnostních opatření směřujících k ochraně elektronických informací týkajících se zdravotního stavu. Zároveň je třeba zajistit, aby bylo možné řídit zaměstnance zdravotnických zařízení v souvislosti s ochranou dat.

Fyzická ochrana

Každé dotčené zařízení je povinno zavést taková opatření, které zahrnují fyzickou ochranu datových systémů proti jejich narušení a proti vnějším a přírodním rizikům.

Technická ochrana

Opatření týkající se zabezpečení IT, principy a postupy používané k ochraně informací týkajících se zdravotního stavu a řízení přístupu k těmto datům.

• Autentifikace zařízení nebo osoby - dotčená zařízení musí zavést taková opatření, díky nimž lze jednoznačně garantovat identitu osob nebo zařízení, které požadují přístup k elektronickým informacím o zdravotním stavu. Na příklad se může jednat o elektronický podpis, biometriku a softwarové tokeny, které lze použít pro splnění požadavku.

• Řízení přístupu - dotčená zařízení musí technicky zabezpečit, aby do elektronických informačních systémů (nejčastěji prostřednictvím PC), měli přístup pouze a jenom osoby/softwarové aplikace k tomu oprávněné dle stanovených bezpečnostních pravidel. Požaduje se udělení jedinečných jmen a/nebo čísel uživatelů pro jednoznačnou identifikaci a sledování identity uživatele a zároveň zajistit přístup k chráněným datům v případě nouze. Některá zařízení budou chtít využít šifrování jako prostředek zamítnutí přístupu k datům v souborech a složkách.

• Bezpečný přenos dat - dotčená zařízení musí přijat taková technická opatření, aby zajistily data proti neoprávněnému přístupu při jejich přenosu prostřednictvím komunikačních sítí. Ke splnění těchto požadavků je doporučeno použít kontrolu integrity, silnou autentifikaci a šifrování.

• Integrita - dotčená zařízení musí zavést taková opatření, aby ochránily citlivé data před neoprávněnou záměnou či zničením. Paměť s opravou chyb a ukládání dat na magnetické disky jsou příklady zabudovaných mechanismů k autentifikaci dat, které jsou v dnešním hardware a operačních systémech běžné. Pomoci vyhovět požadavkům může také vysoká míra autentifikace uživatelů, kteří mohou upravovat elektronické informace o zdravotním stavu.

• Kontrola - dotčená zařízení musí prostřednictvím hardware, software a/nebo procesními postupy implementovat mechanismus, který zaznamenává a prověřuje aktivitu v informačním systému, který obsahuje nebo využívá elektronické informace o zdravotním stavu.

Přehled rodiny produktů OmniPass

Produkty rodiny OmniPass, což zahrnuje OmniPass Client Edition a OmniPass Enterprise Edition, lze využít ve zdravotnických zařízeních k ochraně informací týkajících se zdravotního stavu, jak vyžaduje HIPAA.

Skupina produktů OmniPass je jediným dostupným komplexním bezpečnostním řešením pro bezpečné přihlašování k počítačům, aplikacím a přístupu k datům. Podporuje množství autorizačních zařízení, multifaktorovou autorizaci pro bezpečné přihlašování do Windows, single sing-on, šifrování souborů, e-mail, bezpečnost VPN a vše je navíc spojeno s LDAP servery se schopností IT správy.

OmniPass klient podporuje množství autorizačních zařízení a může být nastaven na multifaktorovou autorizaci s použitím jakékoliv kombinace autorizačních zařízení připojených k počítači.

Produkty rodiny OmniPass lze využít v jakémkoli prostředí, od klientské verze pro jednoho uživatele (např. malá ordinace praktického lékaře), přes klient/server až po prostředí s mnoha uživateli (velká nemocniční zařízení). Produkty rodiny OmniPass sestávají ze dvou základních částí - OmniPass Client Edition Edition, který běží na PC uživatele s OS Windows a OmniPass Enterprise Edition server software, který integruje OmniPass Client s podnikovým Aktive Directory nebo LDAP serverem a umožňuje IT personálu centrální správu (back-end management).

Uživatelské rozhraní OmniPass Client Edition je pro uživatele velmi příjemné a intuitivní, čímž podnikovému uživateli usnadňuje bezpečnou práci s počítačem. Tím může výrazně snížit zatížení podnikového IT oddělení během počátečního umístění, zprovoznění a používání produktů rodiny OmniPass. Zaměstnanci IT oddělení mohou spravovat uživatele zabezpečené produktem OmniPass jednoduše pomocí řídící konzoly, která je založena na standardu MMC.

Následující schéma (Obr. 1) zobrazuje hlavní rysy širokých možností rodiny produktů OmniPass. Obrázek je souhrnem hlavních vlastností, pro případ, kdy je OmniPass Client Edition použit ve spojení s OmniPass Enterprise Edition.

Obrázek 1: Přehledové schéma rodiny produktů OmniPass

V následujícím přehledu jsou uvedeny příklady specifických požadavků na vysoký stupeň zabezpečení v prostředí velkých společností a způsoby jejich řešení prostřednictvím využití produktu OmniPass.

Shrnutí

Skupina produktů OmniPass je jediným komplexním bezpečnostním řešením, které je dostupné na trhu, podporuje množství autorizačních zařízení a multifaktorovou autorizaci při přihlašování do systému Windows, centrálním přihlášení do systému a šifrování souborů. To vše je spojeno se servery LDAP s možností administrací IT. Žádný jiný z produktů v odvětví nespojuje všechny rozhodující funkce zabezpečeného přihlášení, správy hesel a šifrování souborů s bezpečnými autorizačními zařízeními.

OmniPass Enterprise Edition poskytuje společnostem stupňovatelnou a pružnou možnost zavést a podporovat jakýkoliv typ autorizační technologie, spravovat uživatelskou politiku a nastavení, hesla, informace o šifrování a to vše soustředěno kolem podnikových serverů LDAP.

O společnosti Comfis

Kontakt pro informace o prodeji v ČR:

Comfis s.r.o.
Hradišťská 817
Buchlovice
68709
Česká Republika