Republika Srpska IZIS zarazena masina - curenje podataka

[Vesna.Simikić]

Pozdrav. Uočila sam prisutnost konfuzije oko naloga u IZIS-u i principa funkcionisanja, pa smatram da mogu dati adekvatno pojašnjenje.
Naime, IZIS posjeduje dvije platforme: razvojnu (testauth.izisrs.org) i produkcijsku (auth.izisrs.org). Funkcioniše na nekoliko modula koji su grupisani u zavisnosti od nivoa primjene (primarni nivo zdravstvene zaštite, sekundarni nivo zdravstvene zaštite, adminsitracija i obračun FZO RS).
Za svaku zdravstvenu ustanovu superaministrator iz FZO RS kreira nalog delegiranom administratoru (na nivou doma zdravlja, bolnice, kliničkog centra) koji potom kreira naloge za svakog radnika svoje ustanove ponaosob. Ne postoji mogućnost kreiranja duplih (identičnih) naloga, čak i za radnike različitih zdravstvenih ustanova, jer sistem sam prepoznaje to kao grešku i sugeriše ispravku. Princip kreiranja korisničkih naloga definisan je Uredbom o delegiranoj administraciji IZIS-a (Službeni Glasnik Republike Srpske 65/18) u kojoj je naglašeno da se korisničko ime kreira tako što se dodaju velika prva slova imena i prezimena i dan i mjesec rođenja. U slučaju poklapanja, dodaje se sledeće slovo u imenu (otuda ponavljanja naloga koji su izazvali konfuziju: AS1306, AMS1306 i sl.). Što se tiče šifre u praksi je sugerisano da ista mora sadržati minimalno 8 karaktera od kojih najmanje jedan mora biti: jedno malo slovo, jedno veliko slovo, jedan specijalni znak i jedan broj. Time je zadovoljen minimalan kriterijum kompleksnosti. Svaki kreiran nalog posjeduje odgovarajuće role za pristup medicinskim podacima. Svakoj zdravstvenoj ustanovi omogućen je pristup samo medicinskim podacima svojih pacijenata. Pristup medicinskim podacima pacijenata iz drugih zdravstvenih ustanova nije bio omogućen.
Smatram da je korisno skrenuti pažnju na problem koji je Branko djelimično pomenuo, a to je nedostatak svijesti o sajber sigurnosti na nivou kako ustanova tako samih korisnika sistema. Nepostojanje funkcionalne i dobro kontrolisane lokalne mreže je najveći problem sa kojim se suočava većina zdravstvenih ustanova u Republici Srpskoj. Vladimir je dobro pomenuo primjer nesegregiranih wifi-jeva domova zdravlja (a ja bih dodala ,,i drugih zdravstvenih ustanova"). Složićete se da je lako sprovesti pravila dobre IT prakse, kao i bezbjedonosnih standarda ako imate ljudstvo (sa IT znanjem) i infrastrukturu na kojoj to možete primijeniti. Ako sajber sigurnost nije implementirana na lokalnom nivou ustanove koja koristi sistem, bezbjednost jedne aplikacije poput IZIS-a može biti kompromitovana na veliki broj načina.

Sifre i useri su isti. Mozete li mi to objasniti?
I nije postojao MFA?

Hvala na informacijama

Pozdrav, Vlado. Hvala na pitanjima. Nisu šifre i korisnički nalozi isti. Naprotiv. Korisnički nalozi se kreiraju po definisanom šablonu (inicijali + dan i mjesec rođenja). Šifra može biti bilo koji niz karaktera pod uslovom da ispunjava sugerisanu težinu (minimalno 8 karaktera uz obavezno jedno malo slovo, jedno veliko, jedan specijalni znak i jednu cifru).
Vezano za sigurnost oko logovanja na sistem mogu samo reći da je predviđena upotreba smart kartica (Pravilnik o izgledu i sadržaju identifikacione elektronske kartice zdravstvenih radnika (SG RS 99/19)) sa digitalnim sertifikatom za dokazivanje identiteta. Pitanje je da li je to pravilo ispoštovano kod svih ustanova.