Tüm Sağlık Tesislerine ADSL Kurulacak

T.C.
SAĞLIK BAKANLIĞI
Bilgi İşlem Daire Başkanlığı

Sayı : B100BİDB/260 25.02.2005
Konu : Bakanlığımıza Devredilen Hastaneler ve tüm Semt Polikliniklerinin Bilgi Sistemleri Güvenliğinin Yapılandırılması ile Provizyon İşlemleri

İSTANBUL VALİLİĞİ
(İl Sağlık Müdürlüğü)

GENELGE
2005 /33

İlgi: a) 09/02/2005 tarih ve 2005/23 sayılı Genelgemiz,
b) 11/02/2005 tarih ve 2005/26 sayılı Genelgemiz,
c) Tedavi Hizmetleri Genel Müdürlüğünün 23/02/2005 tarih ve B100THG0100002 - 3120-3285 sayılı yazısı.

Bilindiği gibi internetin kullanımı, günümüzde her alanda olduğu gibi Bakanlığımız Hastanelerinde ve tüm Semt Polikliniklerinde de vazgeçilmez bir unsurdur. Genelde hastaneler yeterli güvenlik önlemi almadan internete erişmekte ve internet üzerinden on-line işlemler yapmaktadırlar. Güvenlik tedbirleri alınmaksızın internete çıkan hastaneler virus ve diğer saldırı türlerine karşı açıktır. Böyle bir durumda oluşabilecek herhangi bir güvenlik açığı bütün hastane bilgi sistemlerini risk altına alacaktır. Bu riskler; idari bilgiler, finansal bilgiler, hasta ile ilgili kimlik bilgileriyle her türlü tıbbi bilgileri içeren, mahremiyet ve gizlilik arz eden bilgileri kapsamaktadır.

Sistemlerin güvenli hale getirilmesindeki temel amaç, bilişim cihazları ile bu cihazlarda işlenmekte olan verilerin bütünlüğü, sürekliliği, erişim denetimi, mahremiyet ve gizliliğinin korunmasıdır. Hastanelerin internete açılması ile oluşacak veri güvenliği riskini minimize etmek için hastanenizde mevcut güvenlik sistemleri de dikkate alınarak Ek'te belirtilen güvenlik çözümlerinin uygulanması gerekmektedir.

İlgi c)'de kayıtlı yazıda belirtildiği gibi Bakanlığımıza Devredilen Hastanelerin ADSL internet erişiminin tesis edilmesi hususunda talimat verilmiştir. Buna ilaveten, internet erişimini müstakilen gerçekleştirmek zorunda olan tüm Semt Polikliniklerinin de ADSL internet erişimi ve güvenlik gereklerini aşağıda belirtilen çerçevede yerine getirmeleri gerekmektedir.

Bu itibarla, T.C. Emekli Sandığı, Bağ-Kur ve SSK Kurum ve Kuruluşlarla provizyon ve/veya diğer elektronik işlemlerinin güvenli ortamda yapılabilmesi için;

· 07 Mart 2005 tarihine kadar, her Hastane ve internet erişimini müstakil olarak gerçekleştirmek zorunda kalan tüm Semt Poliklinikleri için, mümkün olan yerlerde, en az 2048 Kbps erişim hızına sahip ADSL internet hattı temin edilecektir.

· Böylelikle bu tarihte PROVİZYON alma işlemi gerçekleştirilebilir olacaktır.

· Hastanelerde ve tüm Semt Polikliniklerinde mevcut güvenlik sistemleri de dikkate alınarak Ek'te belirtilen güvenlik çözümleri en geç 31/03/2005 tarihine kadar temin edilecektir.

Ayrıca 5283 Sayılı Kanun çerçevesinde Bakanlığımıza devri gerçekleştirilen kamu kurum ve kuruluşlarına ait sağlık tesisleri dahil Bakanlığımıza bağlı olarak hizmet vermekte olan tüm Hastaneler ve Semt Polikliniklerinin Bakanlığımızın yayımlamış olduğu 2004/114 sayılı Genelge'de belirtildiği üzere ?Hastane Bilgi Sistemleri Alımı Çerçeve İlkeleri Dokümanı(Doküman Sürüm No:4.0)?na uygun biçimde hastane bilgi sistemlerini edinmeleri gereği daha önce duyurulmuştur. Bu kapsamda;

-Halen kullanılmakta olan Hastane Bilgi Sistemi uygulama yazılımları üzerinden hasta kaydı esnasında provizyon ve/veya diğer elektronik işlemlerin program içinden otomatik olarak yapılabilmesi amacıyla gerekli hazırlıkların ivedilikle yapılması,

-Bu hazırlıklar içerisinde, Emekli Sandığı Mensubu ve Yeşil Kart Sahibi hastalar için T.C. Emekli Sandığı Bilgi İşlem Daire Başkanlığı, Bağ-Kur'lu hastalar için Bağ-Kur Bilgi İşlem Daire Başkanlığı, SSK Mensubu hastalar için SSK Bilgi İşlem Daire Başkanlığı ile temasa geçilmesi,

-Mevcut Hastane Bilgi Sistemi, hasta kaydı esnasında provizyon ve/veya diğer elektronik işlemleri yapmaya uygun olmayan Hastane ve Semt Polikliniklerinin ise hizmetin aksamadan yürütülmesi bakımından geçici ve kısa bir süre için hasta kaydı esnasında ayrı bir provizyon ünitesi oluşturması,

-Yapılan faaliyetlerin 18/04/2005 tarihine kadar Bilgi İşlem Daire Başkanlığı'nın ([email protected]) e-posta adresine bildirilmesi

Hususlarında bilgilerinizi ve gereğini önemle rica ederim.

Prof. Dr. Necdet ÜNÜVAR

Bakan a.

Müsteşar

EK: BAKANLIĞIMIZA DEVREDİLEN HASTANELERİN BİLGİ SİSTEMLERİ GÜVENLİĞİNİN YAPILANDIRILMASI :

Hastanelerin güvenlik sistemlerinin yapılandırılması için yapılması zorunlu olan işlemler aşağıda belirtilmektedir.

a. Internet erişim güvenliği için "firewall" kurularak bilgisayar ağı dışarıdan gelen saldırılara karşı korunmalıdır.

b. Email trafiği üzerinde virüs taraması yapan Anti-Virüs Gateway çözümleri kullanılmalıdır.

c. Uç noktaların Internet altyapısı üzerinden birbirine bağlanmasında VPN çözümleri kullanılmalıdır. Örnek; Semt Poliklinikler, Hastanelerin İl Sağlık Müdürlüğü veya bakanlık ile yapacağı veri iletişiminde kullanılmalıdır. Birden fazla sistem veya ağın, güvensiz ağlar üzerinden güvenli iletişimini sağlayan ağ bileşenidir.IPSec, PPTP, L2TP, SSH, SSL gibi protokolleri kullanarak iletişimin şifrelenmesini sağlarlar.

d. Bütün bilgisayarlara güncel anti-virus yazılımları yüklenerek virüslere karşı korumalıdır. Ayrıca anti-viruslerin düzenli olarak update edilmesi için Anti-virus sistemi sunucunun kurulması gerekmektedir.

e. Bütün bilgisayarlar güncel yamalar (patch) ile update edilmelidir. Bunun için Windows sunucularda Windows Software Update Service kurulmalıdır.

f. Sunucuların Güvenliği sağlanmalıdır. Sunucuların ele geçirilme ihtimallerini azaltmak veya ele geçirildiğinde saldırganın hareket alanını kısıtlamak için yapılır:
-Gerekli olmayan yazılımlar ve servisler sistemden çıkarılır,
-Sisteme var olan tüm yamalar ve servis paketleri uygulanır,
-Kullanıcı ve grupların yetkileri ve şifre politikaları düzenlenir,
-Kritik dosyalara ve donanımlara erişim kısıtlanır,
-Sistem izleme politikaları belirlenir ve uygun kayıt tutma mekanizması seçilir.
-Kullanılan sistemler ile ilgili üretici firmaların siteleri devamlı olarak takip edilmelidir. Örnek: http://www.microsoft.com/turkiye/guvenlik/

g. Web Filtreleme çözümleri sunulmalıdır. İstenilmeyen web sitelerine erişim engellenebilmelidir.

h. Bütün sistemler workgroup yapısından çıkarılıp domain yapısına geçirilmelidir. Bütün kullanıcıların eğitim ve yetkilendirilmeleri domain ortamında yapılmalıdır.

i. Bir Güvenlik Politikası Oluşturulmalıdır.
(Güvenlik politikası, kurumun ağına ve ağ üzerindeki özkaynaklara erişim kurallarını taslak olarak ortaya koyan, politikaların nasıl uygulanacağını belirten ve güvenlik ortamına ilişkin temel mimarinin bir kısmının çerçevesini çizen genel, kapsamlı bir dökümandır. )

j. Her türlü iletişimde veri şifrelenmelidir.

k. Ağ sürekli olarak denetlenmeli ve izlenmelidir.
-Network Monitörleme, Saldırı Tespit Sistemleri ve Sistemlerin kayıtlama fonksiyonları (logging) ile
o Sistemin, uygulanan güvenlik politikasına uygunluğunun denetlenmesi
o Oturumların ve hareketlerin (erişimlerin) düzenli olarak izlenmesi
-Güvenlik Uygulamaları Tarafından Tutulan Kayıtlar Düzenli Olarak İzlenmelidir
-Denetleme ve İzleme İşlemleri Düzenli Olarak Raporlanmalı ve Geçmişe Dönük Karşılaştırmalar Yapılmalıdır.
-Zayıflık Tarama Sistemleri ile Tarama
-Ağa Sızma Testleri (Penetration Test)

l. Alınacak ağ erişim çıhazlarının SNMP desteği olmasına dikkat edilmeli ve trafikler bir SNMP toplayıcı aracılığıyla izlenebilmelidir. (MRTG, STG v.b. yazılımlar kullanılabilir olup lisans ücreti gerektirmeyen kurulumu kolay yazılımlardır.)

Yukarıda bahsedilen çözümlerin tamamı veya bir kısmı bir Servis Sağlayıcıdan temin edilebilir.

EK OPSİYONEL ÇÖZÜMLER:

Ayrıca yukarıda bahsedilen çözümler haricinde; yazılan veya kullanılan uygulamaların (örnek; Hastane Bilgi Sistemleri yazılımları) güvenliği ve güvenilir çalışması sağlanmalıdır. Bunun için Uygulama Güvenlik Firewall kurulması tavsiye edilmektedir.

Http, ftp trafiği üzerinde virüs taraması yapan Anti-Virüs Gateway Çözümleri kurulmalıdır.

Yönetilen sistemler Saldırı Tespit ve Önleme Sistemleri (IDS/IPS) ile kontrol edilmelidir.
(Bilgisayar sisteminize ve ağ kaynaklarınıza olan saldırıları tespit etmek, sistemi izleyip anormal olan durumları saptamak ve bunlara karşı gerekli önlemleri almayı amaçlayan güvenlik sistemleridir.)

Soru ve önerileriniz için [email protected] adresine elektronik posta gönderiniz.