Annonse
sykehuspartner
Sykehusene valgte å implementere NAC etter sikkerhetsblemme. Sånn løste de det, og dette må du tenke på
I oktober i fjor skulle en teknikker kjøre diagnose på Sykehuset Innlandets RIS/PACS-system.
Teknikeren koblet seg til sykehusets nettverk, utførte testene og dro deretter rett til utlandet med maskinen.
«Mens tilkoblet, behandlet maskinen helse- og personopplysninger for pasienter ved SIHF. I hvilken grad rester av disse datasettene helt eller delvis, villet eller ikke, ble igjen på datamaskinen er ukjent.» skriver informasjonssikkerhetsleder Christian Jacobsen i Sykehuspartner i sin rapport til Datatilsynet.
Skal ikke skje igjen
I ettertid har Sykehuspartner implementert løsninger som skal forhindre at denne type uønskede hendelser skjer igjen.
– Vi gjennomførte umiddelbart tiltak for å avdekke ulovlig innsyn eller utlevering av personopplysninger. Disse undersøkelsene ga ingen indikasjoner på at personopplysninger hadde kommet på avveie. Vi har heller ikke nå, ett år senere, fått noen tilbakemeldinger som tyder på at det har blitt gjennomført ulovlig innsyn eller utlevering av personopplysninger, sier informasjonssikkerhetsleder Christian Jacobsen ved Sykehuspartner til digi.no.
Ifølge Jacobsen har Sykehuspartner rutiner for hvordan ikke-forvaltet utstyr skal kobles til. Det ble gjort et unntak fra regelen denne oktoberdagen i fjor.
NAC
Annonse
I ettertid innrømmer Sykehuspartner at det var et feiltrinn. De har derfor valgt å implementere mer sikkerhet i sitt nettverk ved Sykehuset Innlandet.
Ved å innføre 802.1x eller Network Access Control (NAC) vil man kunne begrense tilgangen til ikke-godkjent utstyr i fremtiden.
– Dette vil teknisk forhindre at ikke-forvaltet utstyr kan kobles til. Dette er allerede etablert på Oslo Universitetssykehus, og vil breddes regionalt fremover. 802.1x og sertifikatbasert autentisering er selvsagt etablert på alle trådløsforbindelser, forklarer Jacobsen.
802.1x er en standard for hvordan autentisering av enheter som kobles til et lokalt eller trådløst nettverk skal utføres, og er én av flere måter å implementere portkontroll.
EAP
Kjernen i 802.1x er at standarden definerer hvordan Extensible Authentication Protocol (EAP) skal utveksles i et lokalt nettverk, oppklarer Jacobsen.
Annonse
– Før man implementerer bør man gjøre en foranalyse for å avdekke omfang av utstyr som ikke støtter EAP. For dette utstyret må det etableres kompenserende tiltak. Det kan være at man oppbevarer utstyret bak låste dører i kombinasjon med at man sikrer gode løsninger for verifisering basert på MAC-adresser, sier informasjonssikkerhetslederen.
I Helse Sør-Øst har de satt ut denne kartleggingen av nettverket til en annen leverandør. Jacobsen forklarer at sykehuset har satt opp et primært og et sekundært RADIUS-cluster.
(artikkelen fortsetter under)
17 000 maskiner
Der er alle klientene om skal autentiseres koblet opp mot kantswitchene, som så sender en autentiseringsforespørsel til RADIUS-serveren.
– Denne svarer tilbake basert på det regelsettet som er definert. Klienter som ikke har blitt utstyrt med et digitalt sertifikat får dermed heller ikke tilgang til sykehusnettverket. På Oslo Universitetssykehus, som var det første helseforetaket hvor dette ble implementert, dekker løsningen rundt 17 000 maskiner.
Annonse
NAC fungerer dermed på samme måte som når man deler ut nøkler til et kontorbygg. Noen får tilgang kun til sitt kontor, andre får tilgang til kontorene og møterommene, mens ledelsen har en universalnøkkel som gir dem tilgang til hele bygget.
Avhengig av godt design
– Man er avhengig av å ha fornuftig nettverksdesign i bunn. Forskjellige enheter vil ha varierende krav til sikkerhet, sier førsteamanuensis Ernst Gunnar Gran ved NTNU til digi.no.
Ifølge ham bør alle bedrifter dele opp nettene sine i ulike sikkerhetsprofiler.
Bare enheter som hører sammen bør ha mulighet til å snakke sammen. Eksempler på dette kan være klientmaskinen og serveren.
Det medisinske utstyret har kanskje ikke behov for å snakke med klientmaskinene, derfor bør de to befinne seg i to forskjellige segmenter. På denne måten får man delt opp nettet slik at man oppnår mer sikkerhet.
Annonse
Svak fysisk kontroll
Sykehus er store fysiske bygg med mange nettverkspunkter. Noen av disse er også i områder med svakere fysisk kontroll. For å sikre at kun kjente og godkjente enheter kan kobles til nettverket etableres tilgangskontroll på nettverksnivå.
Klientene etablerer kommunikasjon med en switch, som igjen kommuniserer med en RADIUS-server for autentisering.
– RADIUS-serveren kontrollerer klientens navn mot en sentral katalog og klientens sertifikat mot sertifikatutsteder. Portkontroll gir dermed økt sikkerhet i nettverket ved at uønskede enheter lettere kan holdes utenfor, samtidig som vi også oppnår gevinster på nettverket, forklarer Jacobsen hos Sykehuspartner og fortsetter:
– RADIUS-serveren styrer nemlig også tilgang og administrerer WLAN-dekningen. Konsekvensene av dette er svært positive på grunn av mindre administrasjon, og at den automatiske konfigureringen også reduserer sannsynligheten for feil.
I tillegg til det åpenbare med at tiltaket vanskeliggjør et dataangrep mot sykehuset, så gir 802.1x positive ringeffekter i form av at sykehuset nå i større grad enn tidligere klarer å identifisere klienter som av faller ut av systemet.
Annonse
Gir færre hendelser
Det gir færre hendelser på grunn av klienter med ikke-oppdatert programvare.
– Det er veldig vanskelig å gi en generell beskrivelse, men jo mer finmasket struktur man har jo mer komplekst blir det å vedlikeholde. Om man ikke har noen struktur på ting, kan man fort ende opp med å gi tilganger til folk som ikke bør har det, minner førsteamanuensis Gran ved NTNU om.
Ifølge Jacobsen hos Sykehuspartner er en annen driftsmessig fordel at virtuelle nettverk som tidligere ble konfigurert på portnivå, nå tildeles gjennom RADIUS-serveren uavhengig av endepunktets fysiske plassering i nettverket.
(artikkelen fortsetter under)
Enklere arbeidsdag
Dette gjør arbeidshverdagen enklere for brukerne, samtidig som sikkerheten økes, mener han.
Men ofte går mer sikkerhet ofte på bekostning av brukeropplevelsen.
Sikkerhetslederen mener at det ikke er tilfellet med dette oppsettet.
– Dette tiltaket er positiv for begge parter. Det er også sånn at vi i all hovedsak mener at sikkerhet er en av de mange egenskapene som utgjør totaliteten når det kommer til brukervennlighet. 802.1x er i tillegg et svært lite inngripende tiltak, da det helt og fullt skjer i nettverket, helt uten interaksjon med brukeren, konstaterer han.
Er du opptatt av sikkerhet? HTTPS er ikke sikkert nok alene – her ser du hvorfor » (Digi Ekstra)
