Hastane BT: “hala çalışıyor” olmak yeterli olmadığında

AdBlue olmayan bir araba belirli koşullar altında hala sürüş yapabilir ancak gerçekte araç artık yolda gidemez. Datatree AG'den Prof. Thomas Jäschke, Federal Hastane BT Yöneticileri Birliği'nin kulüp gecesinde verdiği konferansta, Alman hastanelerindeki büyük bir sorunu anlatmak için bu görseli kullandı. Donanım ve yazılım yaşlandıkça aynı soru sıklıkla ortaya çıkıyor: Bir sistemi sırf teknik olarak hala işlevsel olduğu için çalıştırmak güvenli mi yoksa yasal mı?

Günlük hastane yaşamında bu genellikle şu şekilde olur: bodrumda eski bir sunucu vızıldar, arşiv sistemi hasta dosyalarını özenle dağıtır ve ultrason makinesi işini yapar. Güncellemeler mi? Hiç kimse. BT departmanı henüz fişi çekemez. Mali açıdan saklama süresi on yıldır; tıbbi kayıtlara göre 15-30 yıldan bahsediyoruz. Bu nedenle verilerin erişilebilir kalması gerekir.

Tıbbi teknolojinin devreye girmesiyle durum karmaşıklaşıyor. Bu durumda donanım genellikle çok spesifik, bazen çok eski yazılım veya işletim sistemi sürümlerine bağlıdır. Bir güncellemeyi kendiniz yüklerseniz, çoğu zaman cihazınızın tamamının onaylanması riskiyle karşı karşıya kalırsınız.

Liste risk yönetimi değildir

Etkinlik katılımcıları, eski sistemlerin ortak bir listesinin gerekli olduğu ancak yeterli olmadığı konusunda hemfikirdi. Veritabanları ve varlık envanterleri şeffaflık sağlar ancak asıl iş daha sonra başlar. Hangi süreçler bir sisteme bağlıdır? Hangi veriler işleniyor? Hangi arayüzler mevcut? Başarısızlığın ne gibi sonuçları olur? Bir sistemin çalışmaya devam edeceğine, izole edileceğine, değiştirileceğine veya kapatılacağına kim karar veriyor?

Özellikle hastanelerde bir sistemin kritikliğini belirleyen sadece yaşı değildir. Daha eski bir sunucu, uygun şekilde izole edilmişse ve yalnızca arşivleme amacıyla gerekliyse kabul edilebilir. Başka bir sistem son derece kritik olabilir çünkü teşhis, iletişim, tıbbi teknoloji veya merkezi altyapı buna bağlıdır. Riskler sadece teknolojiden değil aynı zamanda teknolojinin kullanıldığı süreçten de kaynaklanmaktadır.

NIS2 ve B3S basıncı artırıyor

Ancak merkezi sistemler veya iletişim kanalları eski teknolojiye bağlıysa saldırganlara kapı açıktır. Yaşam döngüsü yönetimi, risk değerlendirmesi, acil durum planlaması, tedarik zinciri kontrolü ve benzeri konular yeni değildir. Ancak kanun koyucu artık mazeretlere izin vermiyor. NIS2 ve Hastaneye Özel Güvenlik Standardı (B3S) nedeniyle, kritik altyapılar olan hastaneler, bilgi güvenliğini doğrulanabilir bir şekilde yönetme konusunda büyük bir baskı altındadır. BT nerede eylem yapılması gerektiğini gösterebilir.

Ancak işin devamı, kritik alanların izolasyonu veya kapatılması veya gerekli yatırımların yapılması kararı kuruluşun sorumluluğundadır. Pratikte bu genellikle en büyük engeldir. Birçok şirket eski sorunların farkındadır ancak bunları uygulamak için zaman, bütçe, personel, önceliklendirme ve net üst kademe kademelendirme yollarına sahip değildir.

(mak)