Ochrona danych - gabinet zabiegowy

Szanowny Panie / Szanowna Pani, prosimy o poświęcenie kilku minut na wypełnienie poniższej ankiety.

Zabezpieczony

Ochrona danych osobowych - cyberbezpieczeństwo

Współczesne realia cyfrowe wymagają, by każdy pracownik – niezależnie od stanowiska – posiadał podstawową wiedzę na temat bezpiecznego korzystania z systemów informatycznych. Cyberbezpieczeństwo oznacza działania niezbędne do ochrony sieci i systemów informatycznych pracowników placówki "użytkowników" oraz innych osób przed zagrożeniami.

Cyberzagrożenie

Cyberzagrożenie jest to zdarzenie lub działanie , które może wyrządzić szkodę, spowodować zakłócenia lub w inny sposób niekorzystnie wpłynąć w przypadku sieci i systemów informatycznych użytkowników takich systemów oraz innych osób.

Zaniedbanie zasad bezpieczeństwa może prowadzić do poważnych konsekwencji, w tym utraty wrażliwych danych

Żadne urządzenie nie zagwarantuje 100% bezpieczeństwa w sieci. Bezpieczeństwo w cyberprzestrzeni w dużej mierze zależy od nas samych i naszego postępowania

Ponad 90% współczesnych ataków bazuje na interakcji z użytkownikiem, którego najczęściej skłania się do np. otwarcia załącznika wiadomości poczty oraz kliknięcia w link znajdujące się w treści wiadomości. Ponadto sami często udostępniamy zbyt wiele informacji i danych , które powinniśmy chronić , a których poznanie pozwala cyberprzestępcom łatwiej przygotować i przeprowadzić atak

Wiele cyberataków jest realizowanych przez phishing . Metoda oszustwa, w której przestępca podszywa się po inną osobę lub instytucję w celu wyłudzenia poufnych danych , zainfekowania komputera szkodliwym oprogramowaniem , czy też nakłonienia ofiary do określonych działań w celu wyłudzenia pożądanych danych .

Warto stosować się do kilku prostych zasad, które znajdziesz poniżej, aby lepiej chronić dane i sprzęt w przychodni

Tworzenie bezpiecznych haseł

Wybierz jedną lub więcej odpowiedzi

Wykorzystuj różne typy znaków(wielkie i małe litery, cyfry, znaki specjalne).

Unikaj przewidywalnych schematów (np. „P@ssw0rd”, „12345678”, „Qwerty123!”).

Nie używaj danych osobowych (imię, nazwisko, data urodzenia, nazwa firmy).

Odrzuć proste hasła złożone z jednego słowa, ponieważ łatwo złamać je atakiem słownikowym.

Posługiwanie się hasłami

Wybierz jedną lub więcej odpowiedzi

Nigdy nie używaj identycznego hasła do różnych systemów.

Rozważ cykliczną zmianę haseł (np. co 6 miesięcy), szczególnie w przypadku krytycznych systemów.

Nie udostępniaj haseł nikomu. Nawet pracownik działu IT nie powinien o nie prosić.

Jeżeli hasło zostanie ujawnione lub przejęte, zmień je niezwłocznie.

Nigdy nie przesyłaj haseł e-mailem, poprzez SMS ani inny komunikator.

Nie przechowuj haseł w notatnikach, plikach tekstowych, na telefonach czy kartkach.

Uwierzytelnianie wieloskładnikowe

W celu lepszego zabezpieczenia procesu logowania, Portal SZOI, SNRL oraz eWUŚ umożliwia uwierzytelnianie wieloskładnikowe MFA Dzięki temu każda autoryzacja wymaga podwójnej weryfikacji tożsamości. Rozwiązanie to znacząco ogranicza nieautoryzowany dostęp do systemu przez osoby nieuprawnione. Jak działa uwierzytelnianie wieloskładnikowe w NFZ? Podczas standardowego logowania operatora do systemu musi on podać tylko login oraz hasło. Jeżeli osoba nieuprawniona zdobędzie te informacje w sposób nieuprawniony (np. poprzez tak zwany phishing), może bez problemu zalogować się na jego konto. Uwierzytelnianie dwuskładnikowe wymaga od użytkownika podania dwóch elementów uwierzytelniających takich jak: ➢ przydzielony login oraz hasło do systemu ➢ kod hasła jednorazowego generowany w aplikacji zewnętrznej

Włącz MFA wszędzie tam, gdzie to możliwe. Chronisz w ten sposób konta nawet, gdy hasło wycieknie

Korzystaj z aplikacji uwierzytelniających (np. Google Authenticator, Microsoft Authenticator).

Nie wpisuj kodów MFA na podejrzanych stronach (zawsze dokładnie sprawdzaj adres strony).

Zwracaj uwagę na nietypowe powiadomienia w aplikacjach np. sytuacja, w której dostajesz powiadomienie z kodem, a nie logujesz się do żadnego systemu)

Kontrola uprawnień

Wybierz jedną lub więcej odpowiedzi

Na urządzeniach służbowych loguj się wyłącznie do tych systemów, których obsługa mieści się w zakresie Twoich obowiązków.

Zwracaj uwagę, czy nie posiadasz zbyt szerokich uprawnień, nie proś o dostęp do systemów lub danych, których nie potrzebujesz do wykonywania swoich obowiązków.

Zgłaszaj wszelkie przypadki nadmiarowego dostępu do danych oraz systemów, które nie mieszczą się w Twoim zakresie lub zakresie współpracowników.

Nie korzystaj z kont współdzielonych ani należących do innych osób, nie przekazuj własnych danych logowania.

Nie loguj się z niezabezpieczonych oraz nieznanych urządzeń do zasobów oraz systemów organizacyjnych.

Monitorowanie aktywności kont i wykrywanie zagrożeń

Jeśli zauważysz nietypowe godziny logowania lub logowanie z podejrzanych lokalizacji, szczególnie dotyczące kont z podwyższonymi uprawnieniami, natychmiast zgłoś zaistniałą sytuację do informatyka.

Zgłaszaj próby nieautoryzowanego dostępu. Jeśli dostaniesz informację o nieudanej próbie logowania na Twoje konto

Jeśli masz podejrzenie, że ktoś nieuprawniony mógł skorzystać z Twojego profilu, powiadom swojego przełożonego oraz informatyka

Nie ignoruj powiadomień o zmianach na koncie – jeśli dostaniesz wiadomość o zmianie hasła lub dodaniu nowego urządzenia, a tego nie robiłeś (lub nie zlecałeś), działaj natychmiast.

Zwracaj uwagę na nietypowe zachowania systemu, takie jak spowolnienia, nagłe wylogowania czy nietypowe błędy, które mogą być oznaką naruszenia bezpieczeństwa.

Aktualizowanie dostępów

Wybierz jedną lub więcej odpowiedzi

Zgłaszaj posiadanie nieaktualnych lub zbędnych dostępów.

Zachowaj czujność, jeśli bez wyraźnego uzasadnienia zyskujesz nowe funkcje w systemach

Aktualizuj dane kontaktowe w systemach zabezpieczeń. Po zmianie numeru telefonu lub adresu e-mail powiązanych z kontem, pamiętaj o ich aktualizacji w systemie.

Identyfikacja podejrzanych wiadomości

Wybierz jedną lub więcej odpowiedzi

Nie otwieraj wiadomości od nieznanych nadawców

Jeśli nie spodziewasz się wiadomości, traktuj ją jako potencjalnie niebezpieczną.

Zwracaj uwagę na błędy językowe i gramatyczne.

Sprawdzaj poprawność adresu nadawcy (np. literówki sekretariat@zspital.pl czy support@micros0ft.com ).

Ostrożnie podchodź do wiadomości z prośbą o pilne działanie. Phishing zwykle bazuje na presji czasu (np. „Twoje konto zostanie zablokowane w ciągu 24h!”).

Zwracaj uwagę na nietypowe formaty plików. Oszuści często wysyłają zainfekowane pliki w formatach .exe, .scr, .js, .zip, a także makra w dokumentach Word oraz Excel.

Postępowanie w przypadku podejrzanych wiadomości

Wybierz jedną lub więcej odpowiedzi

Nie odpowiadaj na podejrzane wiadomości. Nawet, jeśli wydaje się, że pochodzą od znanej firmy, skontaktuj się z nią innym kanałem w celu weryfikacji.

Nie podawaj loginów i haseł przez e-mail lub telefon. Żadna firma, bank ani dział IT nie powinni prosić o podanie hasła przez wiadomość lub telefon.

W przypadku wątpliwości co do autentyczności wiadomości, zgłoś ją do działu IT.

Nie usuwaj podejrzanych wiadomości. Mogą okazać się istotne podczas analizy w razie wystąpienia incydentu

Jeśli przypadkowo kliknąłeś w podejrzany link, natychmiast zgłoś to zdarzenie do informatyka

Jeśli e-mail zawiera link do logowania, nie używaj go. Zamiast tego wejdź na stronę ręcznie przez przeglądarkę.

Po otrzymaniu podejrzanej wiadomości uprzedź współpracowników o możliwej próbie ataku.

Nie ujawniaj żadnych informacji o wewnętrznych zabezpieczeniach, procedurach oraz innych wrażliwych danych.

Weryfikacja pacjenta lub rozmówcy

Wybierz jedną lub więcej odpowiedzi

Uważaj na przypadki podszywania się pod pacjentów (tzw. vishing). Jeśli rozmówca zachowuje się podejrzanie lub nie jest w stanie podać poprawnych danych, rozważ zakończenie rozmowy i skontaktowanie się z nim innym sposobem.

Zachowaj ostrożność, jeśli pacjent łączy się z nieznanego numeru lub adresu e-mail. Jeśli masz wątpliwości, potwierdź jego tożsamość innym kanałem.

Nie podawaj wrażliwych informacji, dopóki nie potwierdzisz tożsamości rozmówcy. Nawet jeśli ktoś twierdzi, że jest pacjentem lub współpracownikiem.

Nie udostępniaj pacjentowi jego własnych danych w celu potwierdzenia tożsamości. To pacjent powinien podać swoje dane w celu weryfikacji.

Działania podczas awarii

Wybierz jedną lub więcej odpowiedzi

Zachowaj spokój i zgłoś problem informatyka (ASI) osobie odpowiedzialnej za infrastrukturę techniczną w firmie.

Sprawdź podstawowe przyczyny problemu. Upewnij się, czy problem dotyczy tylko Twojego urządzenia czy całej sieci i systemu

Odłącz się od sieci i ponownie połącz. Problem może wynikać z chwilowego błędu połączenia

Korzystaj z alternatywnych metod pracy, jeśli to możliwe, używaj dokumentacji papierowej

Zapisuj kluczowe informacje, aby wprowadzić je do systemu po jego przywróceniu

Czego unikać podczas awarii ?

Wybierz jedną lub więcej odpowiedzi

Nie próbuj samodzielnie rekonfigurować ustawień sieciowych. Jeśli problem leży po stronie infrastruktury, nieautoryzowane zmiany mogą pogorszyć sytuację.

Nie zapisuj poufnych informacji na prywatnych urządzeniach. Brak dostępu do firmowego systemu nie jest powodem do przenoszenia danych na osobiste laptopy, telefony czy pendrive’y.

Nie korzystaj z publicznych sieci Wi-Fi do obchodzenia problemu.

Nie ignoruj komunikatów informatyka bądź osoby decyzyjnej. Jeśli dostaniesz konkretne instrukcje dotyczące postępowania, stosuj się do nich, nie działaj na własną rękę.

Nie próbuj wielokrotnie logować się do systemu, jeśli nie działa. Może to doprowadzić do blokady konta i dodatkowych utrudnień

Nie przesyłaj wrażliwych danych przez prywatne komunikatory