Sağlık kuruluşları için neler sunuyoruz?
- Hasta verisine rol bazlı erişim ve MFA kurgusu
- Erişim loglarının toplanması ve inceleme düzeni
- Tıbbi cihazlar için ayrı ağ bölgesi ve güvenlik duvarı kuralları
- Fidye yazılımına karşı ayrık yedekleme ve geri dönüş testi
- Rapor ve sonuç dosyaları için DLP kurgusu
- KVKK teknik tedbirlerinin belgelenmesi
- 30-60-90 günlük önceliklendirilmiş başlangıç planı
Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.
Sağlık kuruluşlarının tipik siber riskleri nelerdir?
Sağlık kuruluşları hem hassas veri hem de kesintiye tahammülü düşük hizmet barındırdığı için siber saldırganların ilgisini çeker. Bir fidye yazılımı olayı, randevu, laboratuvar ve görüntüleme süreçlerini aynı anda etkileyebilir.
Sık karşılaşılan risk alanları:
- Geniş erişim yetkileri: Hasta kayıtlarına görev gereği ihtiyacı olmayan personelin de erişebilmesi, ortak kullanılan hesaplar
- Tıbbi cihazlar: Görüntüleme, laboratuvar ve monitörizasyon cihazlarının güncellenmesi zor işletim sistemleriyle ağa bağlı olması
- Düz ağ yapısı: Misafir kablosuz ağ, personel bilgisayarları ve tıbbi cihazların aynı ağda bulunması
- Oltalama: Yoğun tempoda çalışan personeli hedefleyen sahte e-postalar ve hesap ele geçirme
- Veri sızıntısı: Tahlil sonuçları ve raporların kişisel e-posta, mesajlaşma uygulaması veya USB ile dışarı taşınması
Sağlık verisi neden özel nitelikli kişisel veridir?
KVKK'nın 6. maddesi sağlık verilerini özel nitelikli kişisel veriler arasında sayar. Bu veriler, ifşa edildiğinde kişiler için ciddi sonuçlar doğurabileceği için daha sıkı koruma gerektirir. Sağlık verilerine ilişkin ayrıca Kişisel Sağlık Verileri Hakkında Yönetmelik bulunmaktadır. Hangi yükümlülüklerin kurumunuz için geçerli olduğu hukuk danışmanınızla birlikte değerlendirilmelidir; teknik tarafta ise erişim kontrolü, loglama, şifreleme ve sızıntı önleme öne çıkar.
Öncelikli kontroller nelerdir?
| Risk | Kontrol | İlgili çözüm |
|---|---|---|
| Hasta verisine yetkisiz erişim | Rol bazlı yetki, kişiye özel hesap, MFA | Kimlik ve erişim yönetimi |
| Erişimin izlenememesi | Hasta bilgi sistemi ve dosya erişimlerinin loglanması, düzenli inceleme | KVKK teknik tedbirler |
| Tıbbi cihaz üzerinden yayılma | Tıbbi cihazların ayrı ağ bölgesine alınması, yalnızca gerekli trafiğe izin | FortiGate firewall |
| Fidye yazılımı ile hizmet kesintisi | Ağdan ayrık, test edilmiş yedek ve geri dönüş planı | Yedekleme ve felaket kurtarma |
| Rapor ve sonuçların dışarı sızması | E-posta, USB ve bulut çıkışının DLP ile denetimi | DLP çözümleri |
| Oltalama ile hesap ele geçirme | E-posta filtreleme, bağlantı ve ek analizi, farkındalık | E-posta güvenliği |
Tıbbi cihazlar ağda nasıl korunur?
Tıbbi cihazların çoğu üretici onayı olmadan güncellenemez veya üzerine güvenlik yazılımı kurulamaz. Bu yüzden koruma, cihazın kendisinden çok ağ tarafında yapılır. Cihazlar ayrı bir VLAN ve güvenlik bölgesine alınır, yalnızca bağlı oldukları sistemlerle (ör. PACS, laboratuvar sistemi) konuşmalarına izin verilir ve internet erişimleri kapatılır. Cihaz üreticilerinin servis erişimi de kişiye özel, süreli ve kayıtlı hale getirilir.
30-60-90 günlük başlangıç planı
İlk 30 gün: erişim ve yedek
- Hasta bilgi sistemi ve e-posta hesaplarında MFA ve ortak hesapların kişiselleştirilmesi
- Ayrılan personel hesaplarının kapatılması
- Kritik sistemler için ayrık yedek ve bir geri dönüş testi
31-60 gün: ayrıştırma ve görünürlük
- Tıbbi cihaz, personel, misafir ve sunucu ağlarının ayrıştırma tasarımı
- Erişim loglarının merkezi toplanması ve inceleme düzeni
- E-posta güvenliği ayarlarının gözden geçirilmesi
61-90 gün: veri koruma ve belgeleme
- DLP için pilot kapsam (rapor ve sonuç dosyaları)
- Olay müdahale ve ihlal bildirimi planının teknik adımları
- Uygulanan teknik tedbirlerin kanıtlarıyla belgelenmesi
Kimler için uygun?
Bu plan; poliklinikler, tıp merkezleri, görüntüleme ve laboratuvar merkezleri, diş klinikleri, fizik tedavi merkezleri ve özel hastaneler gibi hasta verisi işleyen kuruluşlar için uygundur.
Süreç nasıl işler?
- Keşif: Hasta verisinin bulunduğu sistemler, tıbbi cihazlar ve ağ yapısı incelenir.
- Önceliklendirme: Riskler hasta hizmetine etkisi ve veri hassasiyetine göre sıralanır.
- Plan: 30-60-90 günlük adımlar, hizmeti aksatmayacak zaman aralıklarıyla takvime bağlanır.
- Uygulama: Erişim, ağ, yedekleme ve DLP adımları uygulanır.
- Takip: Periyodik kontroller ve raporlama ile kalıcılık sağlanır.
Teknik tedbirlerin bağımsız testi için sızma testi ve zafiyet analizi sayfasına bakabilirsiniz. Kurumunuza özel bir plan için teklif isteyin.
Sağlık Kuruluşları İçin Siber Güvenlik: sık sorulanlar
Sağlık verileri KVKK'da nasıl sınıflandırılır?
KVKK'nın 6. maddesi sağlık verilerini özel nitelikli kişisel veriler arasında sayar. Bu veriler, ifşa halinde kişiler için ağır sonuçlar doğurabileceğinden daha sıkı koruma gerektirir. Kurumunuza özgü yükümlülükler için hukuk danışmanınızla birlikte değerlendirme yapılmalıdır.
Güncellenemeyen tıbbi cihazlar nasıl korunur?
Bu cihazlar ayrı bir ağ bölgesine alınır ve yalnızca bağlı oldukları sistemlerle iletişim kurmalarına izin verilir. İnternet erişimleri kapatılır ve üretici servis erişimi kişiye özel, süreli ve kayıtlı hale getirilir. Böylece cihazın kendisine dokunmadan risk azaltılır.
Hasta kayıtlarına kimin eriştiği nasıl izlenir?
Hasta bilgi sistemi, dosya sunucuları ve veritabanlarındaki erişim logları merkezi bir yerde toplanır ve düzenli olarak incelenir. Kişiye özel hesap kullanımı, logların anlamlı olması için ön koşuldur. Olağan dışı erişimler için uyarı kuralları tanımlanabilir.
Küçük bir klinik için de bu adımlar gerekli mi?
Ölçek küçük olsa da işlenen veri özel nitelikli olduğu için temel kontroller her kurumda gereklidir. Küçük kliniklerde MFA, ayrık yedekleme, doğru yapılandırılmış bir güvenlik duvarı ve e-posta güvenliği iyi bir başlangıçtır. Kapsam, kurumun büyüklüğüne göre sade tutulur.
Fidye yazılımı saldırısında hasta hizmeti nasıl sürdürülür?
Önceden hazırlanmış bir müdahale planı, etkilenen sistemlerin izole edilmesi ve test edilmiş yedeklerden dönüş, hizmetin yeniden başlatılmasının temelidir. Kritik süreçler için sistemler çalışmadığında uygulanacak geçici iş akışlarının da tanımlanması önerilir. Plan, düzenli tatbikatlarla güncel tutulmalıdır.