Cybersecurity Measures in Healthcare: Responsibilities and Procedures

CYBERBEZPIECZESTWO W SZPITALU W PUSZCZYKOWIE DR N MED. EL BIETA PRUSSAK PE NOMOCNIK DS. CYBERBEZPIECZE STWA SZPITAL W PUSZCZYKOWIE 21 LIPCA 2022

OPERATOR USUGI KLUCZOWEJ Decyzj Ministra Zdrowia z 9 maja 2022r znak DIWP.550.83.2022.IW Szpital w Puszczykowie im prof. S.T. D browskiego S.A. zosta uznany za operatora us ugi kluczowej w sektorze ochrony zdrowa w zakresie: - udzielania wiadcze opieki zdrowotnej przez podmiot leczniczy; - obrocie i dystrybucji produkt w leczniczych

TERMINY WYMOGI - PO 3 MIESICACH dokonuje szacowania ryzyka dla swoich us ug kluczowych zarz dza incydentami Wyznacza osob do kontaktu z CSIRT Prowadzi dzia ania edukacyjne wobec u ytkownik w Obs uguje incydenty we w asnych systemach Zg asza incydenty powa ne Usuwa wskazane podatno ci

PO 6 MIESICACH Wdra a odpowiednie i adekwatne do oszacowanego rycyka rodki techniczne i organizacyjne Zbiera informacje o zagro eniach i podatno ciach Stosuje rodki zabiegaj ce i ograniczaj ce wp yw incydent w na bezpiecze stwo systemu informatycznego Stosuje wymagan dokumenetacj

PO 12 MIESICACH Przygotowuje pierwszy audyt Przekazuje sprawozdanie z audytu, wskazanym w ustawie podmiotom - MZ

SCHEMAT PRZEKAZYWANIA INFORMACJI O INCYDENCIE PRZEZ OPERATORA US UGI KLUCZOWEJ : 1.Operator zg asza incydent niezw ocznie, nie p niej ni w ci gu 24H od momentu wykrycia, do w a ciwego CSIRT MON, CSIRT NASK lub CSIRT GOV 2: Operator wsp dzia a podczas obs ugi incydentu powa nego i incydentu krytycznego z w a ciwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazuj c niezb dne dane 3: Operator usuwa wskazane podatno ci oraz informuje o ich usuni ciu organ w a ciwy

PODMIOT WIADCZCY USUGI Z ZAKRESU CYBERBEZPIECZE STWA JEST OBOWI ZANY SPE NI WARUNKI ORGANIZACYJNE ROZPORZ DZENIE MINISTRA CYFRYZACJI 1) z dnia 4 grudnia 2019 r. w sprawie warunk w organizacyjnych i technicznych dla podmiot w wiadcz cych us ugi z zakresu cyberbezpiecze stwa oraz wewn trznych struktur organizacyjnych operator w us ug kluczowych odpowiedzialnych za cyberbezpiecze stwo

PENOMOCNIK DS. CYBERBEZPIECZESTWA ZADANIA: wsp praca z Zespo em ds. cyberbezpiecze stwa powo anym w szpitalu; prowadzenie systematycznego szacowania ryzyka wyst pienia incydentu oraz zarz dzanie tym ryzykiem; wdra anie, dokumentowanie i utrzymywanie zatwierdzonych przez Zarz d szpitala plan w dzia ania umo liwiaj cych ci g e i niezak cone wiadczenie us ugi kluczowej oraz zapewniaj cych poufno , integralno , dost pno i autentyczno informacji,

zapewnienie dostpu do informacji o rejestrowanych incydentach waciwemu CSIRT MON, CSIRT NASK lub CSIRT GOV w zakresie niezb dnym do realizacji jego zada ; wsp dzia anie z Zespo em ds. cyberbezpecze twa w sprawie zg oszenia incydentu powa nego niezw ocznie, nie p niej ni w ci gu 24 godzin od momentu jego wykrycia, do w a ciwego CSIRT MON, CSIRT NASK lub CSIRT GOV; wsp dzia anie podczas obs ugi incydentu powa nego i incydentu krytycznego z w a ciwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazuj c niezb dne dane, w tym dane osobowe;

ZADANIA ZESPOU DS. CYBERBEZPIECZESTWA Celem Zespo u jest realizacja zada zwi zanych z zapewnieniem odporno ci system w informatycznych na dzia ania naruszaj ce poufno , integralno , dost pno i autentyczno przetwarzanych danych oraz wdra aniem systemu zarz dzania bezpiecze stwem w systemie informacyjnym wykorzystywanym do wiadczenia us ugi kluczowej.

ZADANIEM ZESPOU JEST REALIZACJA OBOWIZKW OPERATORA US UGI KLUCZOWEJ TAKICH JAK: przed o enie Zarz dowi szpitala propozycji wdro enia odpowiednich i proporcjonalnych do oszacowanego ryzyka rodk w technicznych i organizacyjnych, uwzgl dniaj cych najnowszy stan wiedzy, w tym: utrzymanie i bezpiecznej eksploatacji systemu informacyjnego, bezpiecze stwo fizyczne i rodowiskowe, uwzgl dniaj ce kontrol dost pu, bezpiecze stwo i ci g o dostaw us ug, od kt rych zale y wiadczenie us ugi kluczowej,

objcie systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej systemem monitorowania w trybie ci g ym zbieranie informacji o zagro eniach cyberbezpiecze stwa i podatno ciach na incydenty systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej; zarz dzanie incydentami;

stosowanie rodkw zapobiegajcych i ograniczajcych wpyw incydentw na bezpiecze stwo systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej, w tym: stosowanie mechanizm w zapewniaj cych poufno , integralno , dost pno i autentyczno danych przetwarzanych w systemie informacyjnym, dba o o aktualizacj oprogramowania, ochron przed nieuprawnion modyfikacj w systemie informacyjnym, niezw oczne podejmowanie dzia a po dostrze eniu podatno ci lub zagro e cyberbezpiecze stwa;

stosowanie rodkw cznoci umoliwiajcych prawidow i bezpieczn komunikacj w ramach krajowego systemu cyberbezpiecze stwa. klasyfikacja incydentu jako powa ny na podstawie prog w uznawania incydentu za powa ny; usuwanie podatno ci oraz informowanie o ich usuni ciu organ w a ciwy do spraw cyberbezpiecze stwa. zg oszenie incydentu powa nego i incydentu krytycznego w postaci elektronicznej, a w przypadku braku mo liwo ci przekazania go w postaci elektronicznej przy u yciu innych dost pnych rodk w komunikacji. nie p niej ni w ci gu 24 godzin od momentu jego wykrycia, do w a ciwego CSIRT MON, CSIRT NASK lub CSIRT GOV.

Lp Funkcja Stanowisko 1 Przewodnicz cy Administrator System w Informatycznych (ASI) 2 Cz onek Informatyk - osoba wskazana przez ASI 3 Cz onek Informatyk - osoba wskazana przez ASI 4 Cz onek Dyrektor ds. Administracyjno-Technicznych 5 Cz onek Inspektor Ochrony Danych (IOD) Pe nomocnik ds. cyberbezpiecze stwa 6 Cz onek Kierownik Dzia u Utrzymania Ruchu (DUR) 7 Cz onek Z-ca Dyr. ds. Medycznych 8 Cz onek Naczelny Piel gniarz szpitala

Prac Zespou kieruje Przewodniczcy, ktry wyznacza Sekretarza Zespou. Sekretarz przygotowuje sprawozdania z posiedze Zespo u. Zesp przygotowuje opinie oraz wypracowuje wnioski organizacyjne z uwzgl dnieniem obowi zuj cych przepis w prawnych. Z prowadzonej dzia alno ci Zespo u sprawozdania roczne Przewodnicz cy Zespo u przedk ada Zarz dowi do 31 stycznia.

KARZE PIENINEJ PODLEGA OPERATOR USUGI KLUCZOWEJ, KTRY: 1) nie przeprowadza systematycznego szacowania ryzyka lub nie zarz dza ryzykiem wyst pienia incydentu 150 000z , 2) nie wdro y rodk w technicznych i organizacyjnych uwzgl dniaj cych wymagania (a) utrzymanie i bezpieczn eksploatacj systemu informacyjnego, b) bezpiecze stwo fizyczne i rodowiskowe, uwzgl dniaj ce kontrol dost pu, c) bezpiecze stwo i ci g o dostaw us ug, od kt rych zale y wiadczenie us ugi kluczowej, d) wdra anie, dokumentowanie i utrzymywanie plan w dzia ania umo liwiaj cych ci g e i niezak cone wiadczenie us ugi kluczowej oraz zapewniaj cych poufno , integralno , dost pno i autentyczno informacji, e) obj cie systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej systemem monitorowania w trybie ci g ym; ) 100 000z

3) nie stosuje rodkw (stosowanie rodkw zapobiegajcych i ograniczaj cych wp yw incydent w na bezpiecze stwo systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej, w tym: a) stosowanie mechanizm w zapewniaj cych poufno , integralno , dost pno i autentyczno danych przetwarzanych w systemie informacyjnym, b) dba o o aktualizacj oprogramowania, c) ochron przed nieuprawnion modyfikacj w systemie informacyjnym, d) niezw oczne podejmowanie dzia a po dostrze eniu podatno ci lub zagro e cyberbezpiecze stwa;) 50 000z

4) nie wyznaczy osoby do kontaktw, 15 000z 5) nie wykonuje obowi zk w (Operator us ugi kluczowej opracowuje, stosuje i aktualizuje dokumentacj dotycz c cyberbezpiecze stwa systemu informacyjnego wykorzystywanego do wiadczenia us ugi kluczowej) 50 000z 6) nie wykonuje obowi zku (zapewnia obs ug incydentu) 15 000z za ka dy 7) nie wykonuje obowi zku (zg asza incydent powa ny niezw ocznie, nie p niej ni w ci gu 24 godzin od momentu jego wykrycia, do w a ciwego CSIRT MON, CSIRT NASK lub CSIRT GOV; ) do 20 000z za ka dy

8) nie wykonuje obowizku (wspdziaa podczas obsugi incydentu powanego i incydentu krytycznego z w a ciwym CSIRT MON, CSIRT NASK) do 20 000z 9) nie usuwa podatno ci (w wyznaczonym terminie usun podatno ci, kt re doprowadzi y lub mog yby doprowadzi do incydentu powa nego, incydentu istotnego lub krytycznego) 100 000z 10) nie wykonuje obowi zku (powo uje wewn trzne struktury odpowiedzialne za cyberbezpiecze stwo lub zawiera umow z podmiotem wiadcz cym us ugi z zakresu cyberbezpiecze stwa) do 200 000z 11) nie przeprowadza audytu; do 50 000z 12) uniemo liwia lub utrudnia wykonywanie kontroli, do 20 000z 13) nie wykona w wyznaczonym terminie zalece pokontrolnych do 20 000z

Art. 75. Organ waciwy do spraw cyberbezpieczestwa moe naoy kar pieni n na kierownika operatora us ugi kluczowej w przypadku, gdy nie dochowa nale ytej staranno ci celem spe nienia obowi zk w, o kt rych mowa w art. 8 pkt 1,art. 9 ust. 1 pkt 1 oraz art. 15 ust. 1, z tym e kara ta mo e by wymierzona w kwocie nie wi kszej ni 200% jego miesi cznego wynagrodzenia. Art. 76. Kara, o kt rej mowa w art. 73, mo e zosta na o ona r wnie w przypadku, gdy podmiot zaprzesta naruszania prawa lub naprawi wyrz dzon szkod , je eli organ w a ciwy do spraw cyberbezpiecze stwa uzna, e przemawiaj za tym czas trwania, zakres lub skutki naruszenia.

DZIKUJ