Bir hastanede ağ; hasta kaydı, laboratuvar, görüntüleme, eczane, hemşire çağrı sistemi, gerçek zamanlı konum takibi ve misafir internetini aynı anda taşır. Ofis ağında birkaç dakikalık kesinti rahatsızlık yaratırken, hastanede klinik süreçleri durdurur. Üstelik hastaneler, işlediği verinin hassasiyeti nedeniyle siber saldırganların öncelikli hedefleri arasındadır.
Hastane ağını farklı kılan nedir?
- 7/24 kesintisiz çalışma: Bakım penceresi bulmak zordur; tasarım arızalara ve bakıma kesintisiz dayanabilmelidir.
- Cihaz çeşitliliği: Hasta başı monitörler, infüzyon pompaları, görüntüleme cihazları ve laboratuvar analizörleri; çoğu eski işletim sistemleriyle çalışır.
- Hareketli kullanıcılar: Hemşireler ve doktorlar tablet, el terminali ve Wi-Fi telefonlarla sürekli hareket halindedir.
- Yüksek hacimli görüntüleme: PACS (görüntü arşivleme) sistemleri büyük dosyaları ağ üzerinden taşır.
- Özel nitelikli veri: Sağlık verileri KVKK kapsamında özel nitelikli kişisel veridir ve daha sıkı güvenlik önlemi gerektirir.
Süreklilik: tek arıza noktası bırakmayın
Hastane ağında yedeklilik bir lüks değil, temel gereksinimdir:
- İki core switch ve her kat switch’inden iki ayrı fiber uplink,
- Kritik kabinlerde iki güç kaynağı, kesintisiz güç kaynağı ve jeneratör beslemesi,
- Yüksek erişilebilirlik (HA) kümesinde iki firewall ve farklı operatörlerden iki internet hattı,
- Hastane bilgi yönetim sistemi (HBYS) ve PACS için yedekli sunucu, depolama ve felaket kurtarma planı,
- Arızayı kullanıcıdan önce gösteren 7/24 izleme.
Segmentasyon: tıbbi cihazları koruyun
Hastane ağında en az aşağıdaki segmentler bulunmalıdır:
| Segment | İçerik | Politika |
|---|---|---|
| Klinik kullanıcılar | Doktor ve hemşire bilgisayarları, tabletler | 802.1X ile kimlik doğrulama, HBYS ve PACS erişimi |
| Tıbbi cihazlar | Monitörler, pompalar, görüntüleme ve laboratuvar cihazları | Yalnızca ilgili sunuculara erişim, internete kapalı, üretici uzaktan erişimi kontrollü |
| İdari | Muhasebe, insan kaynakları, satın alma | Kendi uygulamalarına erişim |
| Bina sistemleri | Kamera, kartlı geçiş, hemşire çağrı, bina otomasyonu | Ayrı VLAN, yönetim sunucularına sınırlı erişim |
| Misafir | Hasta ve ziyaretçi cihazları | Yalnızca internet, kullanıcı izolasyonu, 5651 kaydı |
Cihazların doğru segmente otomatik yerleşmesi için ağ erişim kontrolü (NAC) ve cihaz profilleme kullanılır. Böylece bir prize takılan tıbbi cihaz, kullanıcı ağına değil kendi segmentine alınır.
Kablosuz ağ: roaming ve klinik uygulamalar
Hastane kablosuz ağı, ofis ağından daha sıkı tasarlanır:
- Wi-Fi telefonlar ve el terminalleri için koridor boyunca kesintisiz roaming (802.11k/v/r ve yeterli AP örtüşmesi),
- Kalın duvarlı hasta odalarında oda içi kapsama,
- Gerçek zamanlı konum sistemleri (RTLS) için uygun AP yoğunluğu,
- Radyoloji ve MR alanları gibi korumalı bölgelerde üretici kurallarına uygun yerleşim,
- Kritik klinik uygulamalar için trafik önceliklendirme.
Siber güvenlik ve KVKK
Sağlık sektörü fidye yazılımı saldırılarının öncelikli hedefidir. Segmentasyonun yanında; firewall’da saldırı önleme, e-posta güvenliği, uç nokta koruması, yönetici erişimlerinde çok faktörlü kimlik doğrulama ve merkezi log yönetimi gerekir. Özel nitelikli kişisel veri olan sağlık verileri için erişimlerin kayıt altına alınması ve yetkilerin en az ayrıcalık ilkesiyle verilmesi KVKK uyumunun parçasıdır. Saldırılara karşı katmanlı korunma için fidye yazılımı rehberimize bakabilirsiniz.
Çok şubeli sağlık grupları
Hastane zincirlerinde şubeler, ortak veri merkezine ve merkezi uygulamalara güvenli ve yedekli şekilde bağlanmalıdır. SD-WAN ile her şubede iki yol, merkezi yönetim ve uygulama bazlı önceliklendirme; görüntüleme ve laboratuvar sonuçlarının şubeler arasında hızlı paylaşımını sağlar.
Hastane ağı kontrol listesi
- Core, firewall ve internet çıkışında tek arıza noktası var mı?
- Tıbbi cihazlar kullanıcı ağından ayrı segmentte mi?
- Ağa bağlanan cihazlar kimlik doğrulama veya profilleme ile tanınıyor mu?
- Koridor boyunca Wi-Fi telefon görüşmeleri kopmadan sürüyor mu?
- Misafir ağı klinik ağlardan izole ve kayıt altında mı?
- HBYS ve PACS için test edilmiş bir felaket kurtarma planı var mı?
- Ağ 7/24 izleniyor ve alarmlar sorumlu kişilere ulaşıyor mu?
F2 yaklaşımı: Medistate projesinde olduğu gibi, tüm şube ve veri merkezlerinde ağ, sistem, depolama, sanallaştırma ve uç nokta güvenliği katmanlarını bütünleşik şekilde tasarlıyoruz. Klinik operasyonu durdurmayan, kademeli geçiş planlarıyla çalışıyoruz.
