Analiza ryzyka i szacowanie ryzyka

Analiza ryzyka czy też szacowanie ryzyka obejmuje systematyczną identyfikację, ocenę i zarządzanie ryzykiem związanym z przetwarzaniem danych oraz systemami informacyjnymi. Stanowi kluczowy element zgodności z RODO, propozycjami „Cyber Piątki”, o których pisaliśmy w tym materiale –Cyber Piątka – czytaj oraz wymogami Krajowego Systemu Cyberbezpieczeństwa (KSC/NIS2). Prawidłowa analiza ryzyka RODO i szacowanie ryzyka RODO pozwalają dobrać adekwatne środki techniczne i organizacyjne. Analiza ryzyka zaczyna wpisywać się w ramy obowiązkowych działań związanych z cyberbezpieczeństwem.

Analiza ryzyka a RODO – obowiązki i konsekwencje

Zgodnie z RODO analiza ryzyka ochrony danych nie może być czynnością pozorną. Brak analizy ryzyka kara UODO to realne ryzyko – niewłaściwie przeprowadzona ocena ryzyka przetwarzania danych lub jej formalne potraktowanie prowadzi do niewdrożenia właściwych środków technicznych i organizacyjnych. Skutkiem są kary nakładane przez UODO oraz nakazy poprawy sposobu przetwarzania danych. Analiza ryzyka musi uwzględniać realne zagrożenia charakterystyczne dla ochrony zdrowia, np. analiza ryzyka przewożenie dokumentacji medycznej czy transport dokumentów papierowych, i przekładać się na konkretne działania ochronne (analiza ryzyka a środki techniczne i organizacyjne).

Zakres usługi analizy i szacowania ryzyka

Usługa analizy ryzyka dla placówek medycznych obejmuje:
– identyfikację zagrożeń, podatności oraz skutków ich wystąpienia dla poufności, integralności i dostępności informacji (identyfikacja zagrożeń danych osobowych),
– ocenę ryzyka poufności, integralności, dostępności i doboru adekwatnych środków technicznych oraz organizacyjnych,
– opracowanie lub aktualizację polityki szacowania ryzyka, rejestru ryzyk RODO i planu postępowania z ryzykiem,
– uwzględnienie specyfiki branży ochrony zdrowia (dane zdrowotne, systemy EDM, łańcuch dostaw ICT, ciągłość działania, powierzanie danych podmiotom zewnętrznym, ryzyka fizyczne),
– przygotowanie do obowiązków okresowej aktualizacji oraz przekazywania informacji o poziomie bezpieczeństwa (analiza ryzyka przed powierzeniem danych medycznych).

Dlaczego analiza ryzyka jest kluczowa w ochronie zdrowia

Brak rzetelnej analizy ryzyka dane medyczne uniemożliwia wykazanie, że wdrożone środki są odpowiednie do ryzyka. W praktyce oznacza to nieskuteczną ochronę danych pacjentów, ryzyko kar administracyjnych oraz utrudnioną współpracę z podmiotami powierzającymi dane medyczne. Prawidłowo przeprowadzona analiza ryzyka szpital lub analiza ryzyka podmiot leczniczy stanowi podstawę do wdrożenia skutecznych zabezpieczeń, monitorowania ich efektywności i ciągłego doskonalenia systemu bezpieczeństwa (zarządzanie ryzykiem dane zdrowotne).

Wsparcie KICB w analizie ryzyka

Usługa analizy ryzyka w ochronie zdrowia jest elementem szerszego wsparcia obejmującego wdrożenie SZBI, audyty cyberbezpieczeństwa, doradztwo (w tym w modelu vCISO) oraz oceny zgodności z KSC/NIS2 i RODO. Wyniki szacowania ryzyka cyberbezpieczeństwo stanowią fundament dalszych działań ochronnych dostosowanych do specyfiki podmiotu leczniczego lub podmiotu przetwarzającego dane medyczne.