Názory k článku Bezpečnost dat ve zdravotnictví: většina úniků se zjistí pozdě
-
anonym (neregistrovaný)
Taky k tomu prispiva fakt, ze spousta (hlavne starsich) doktoru je rado, ze ovladaji techniku (pokud to neni psaci stroj). Takze jejich pocitace bezi jeste spokojene bezi treba na windows xp. O zabezpeceni takoveho PC nelze mluvit. Nemluve o tom, ze podavaj vyuctovani pojistovnam na disketach.
Pojistovny na tom ale asi taky nebudou o moc lip. Jejich portaly pro klienty a lekare vetsinou vypadaj(nepocitam VZP a CPZP) jako hodne stare systemy, ktere jsou udrzovany pri zivote.
Doufam, ze bude nasledovat clanek, ktery vic rozebere situaci u nas. At uz z pohledu SW co lekari pouzivaji nebo pojistoven.
-
daemon (neregistrovaný)
Tak ony ty Windows tam dělají jenom nějaký frontend. Vlastní přístroj většinou má nějaký RTOS, hodně se používá např. VxWorks, protože má certifikaci pro zdravotnictví nebo i nějaký ten DOS, jak už jsem psal (zažil jsem ho v jakýchsi rentgenech), případně firmware bez obecného OS.
-
x (neregistrovaný)
Nemá valný význam řešit technické zabezpečení, když nefungují elementární procesy. Zažil jsem projekt vývoje zdravotnického SW, kdy všichni programátoři měli na svých ntb kopii ostré db a nikomu to nevadilo. Že je to fakt prušvih mi došlo, když jsem při ladění nějaké chyby v programu narazil např. na záznam HIV pozitivní osoby, vč. bydliště a dalších osobních údajů.
-
Miyuki (neregistrovaný)
Mnohde se používají aplikace co běží v textovym režimu, takže asi budou mít kořeny v dávnejch dobách, ale to neni problém
Teda nemusel by bejt, když bude ten počítač jenom v interní síti, jenomže se to z důvodu "pohodlí" připojí k internetu a nechá se uživatel co je rád že umí používat vyhledávač na seznamu procházet špínou sítě a klikat na každou přílohu nejlíp s administrátorskejma oprávněníma ve windowsech
Přitom reálně nic z toho nepotřebuje, ten počítač má mít přístup jenom k interní poště a datům. Ale všichni si chtěj samozřejmě o pauze rozkliknout i soukromej spam a pak to takhle dopadá ... -
Stav některých portálů, českých pojišťoven, je naprosto katastrofální.
VZP - má svoje mouchy, ale jen v detailech. Celkově vzato je moderní a stále se vyvíjí, pro přihlášení používá osobní certifikát.
ZPMR ČR - vypadá, že se za posledních 20 let vývoj nikam nepohnul, nevyužívá osobní certifikát jako ostatní ZP. Pozitivní je, že funguje a nenutí uživatele ohackovat svůj systém.
VoZP, OZP, RBP - Využívají společné prostředí, kde se vývoj zastavil také ještě v minulém století. Pro přihlášení a podpis využívají osobní certifikát, celé je to postavené na Java 1.5 (podepisovací komponenta Signer). Aby to člověk rozchodil na aktuální Javě, musí ji ohackovat neskutečným způsobem (více info na http://www.portalzp.cz/ke-stazeni). Uživatel musí komponentě umožnit přepis globálních souborů local_policy.jar, US_export_policy.jar, ... Když to uživatel překousne, tak to s hromadou varování a a chyb funguje.
ČPZP - Využívá společné prostředí jako předešlé tři pojišťovny, jen si na ně nasadil vlastní grafické prostředí. Což má za následek že kromě již zmíněných problému to ani pořádně nefunguje.ZPŠ - nepoužívám, nemám žádné zkušenosti
Všechny tyto portály využívám pravidelně, každý měsíc pro odesílání výkazů. Je pravda, že jako desktop systém používám Linux (Java), pod Windows lze použít i ActivX (což nepovažuji za lepší řešení).
-
Starous (neregistrovaný)
US_export_policy.jar není hack je to jen výmysl oraclu na to jak vynutit americkou legislativu která mezitím už byla asi zrušená- pokud chcete jakýkoli klíč délky 256 a delší tak potřebujete export policy která se tam musí přidat ručně - v Javě to jen nastaví nějaký boolean na true a povolí vám používat silnou kryptografii
-
Starous (neregistrovaný)
No on je to problém i na Windows, ale je to dělané by design - uživatel / admin tím na sebe bere legální odpovědnost a nedá se to zautomatizovat
Jinak je to samozřejmě velký nesmysl protože v zemích která nerespektují licenční a jiná ujednání mohou snadno udělat toto a žádnou policy nepotřebují:
(v nasich podminkach bych to neriskoval nejspis to neco porusuje)
static {
try {
Field field = Class.forName("javax.crypto.JceSecurity").getDeclaredField("isRestricted");
field.setAccessible(true);
field.set(null, java.lang.Boolean.FALSE);
} catch (Exception ex) {
}
} -
Filip JirsákStříbrný podporovatelTo je proto, že popsali postup, kterým s eta knihovna instaluje normálně – normálně se instaluje do systému, protože se to chápe jako součást JRE. Já si myslím, že by mělo být možné tu knihovnu dát i normálně na classpath nebo bootclasspath. Problém ještě může být s licencí, která možná znemožňuje distribuci spolu s aplikací.
