Vlákno názorů k článku Lékaři neřeší bezpečnost, ZFS na Linuxu se zlepšuje a miniaturní verze ESP32 od MasoxCZ - Ad lékaři: "define 'řešit'". Jinými slovy: co má lékař...

Ad lékaři: "define 'řešit'".
Jinými slovy: co má lékař co ŘEŠIT bezpečnost informačního systému? To je přece tatáž logická kokotina, jako chtít po pekaři s horšícím se zrakem, aby SI SÁM ODOPEROVAL KATARAKTU, nebo po řidiči motorového vozidla ochranu životního prostředí v místě těžby ropy!

Ten počítačový systém jako celek má mít bezpečnost VYŘEŠENOU svým tvůrcem (někdy by byl přesnější výraz "pachatel"), a ten lékař má jen správně provést svoje přihlášení, zadání / vytěžení dat, a při odchodu uzamčení nebo odhlášení, případně ukládání lokální zálohy do trezoru.

To ostatní NENÍ jeho práce a už vůbec ne jeho odpovědnost.
Nebo snad někdo chce po provozovateli auta po jeho nákupu provést kontrolní testy emisí a crashtesty? Co je to za logiku?

Coz jen a pouze vypovida o spatnym navrhu cely ty veci kym jinym nez tvurcem.

Spravne navrzenej system je navrzenej tak blbuvzdorne, aby (pokud ma bejt bezpecnej) nebylo mozny bez nemalyho usili tu bezpecnost narusit. Jinak je to totiz naprosto khovnu, protoze to bezpecny bejt nemuze ani teoreticky, natoz prakticky.

Proto je treba uplne spatne ze se po doktorech chce aby nekde neco vyplnovali na nejakym webu, coz proste bezpecny bejt nemuze a nikdy nebude. Jednoduse proto, ze k tomu muzou pouzit libovolny libovolne deravy/zaviro­vany/... zarizeni.

Doktorum je to naprosto urite, oni se o zadny podobny kravoviny neprosili, proc by meli oni resit nejakou bezpecnost?

@j

Ne. Svými slovy a jednoduše: správně navržený systém odpovídá požadavkům, ulehčuje a zjednodušuje uživateli úkony a je pro uživatele co nejpřívětivější.
Co se týče bezpečnosti tak počítá s nějakým zapojením uživatelů, jak píše p. Krčmář, s bezpečností se počítá už při návrhu, kontroluje se při zhotovení a počítá se taky s tím, že může dojít k selhání nebo kompromitaci a jsou vytvořeny záchrané a obnovné procesy.
Nelze z toho vyjmot pouze jednu část a začít se s ní ohánět. Teda lze, ale ....

Blabolit tu muzes co chces, bezpecnost nelze resit zboznym pranim. Pak to totiz vypada presne stejne jako bezpecnost vojenskych skladu, kam si lidi chodej brat co se jim chodi, a fizli vesele tvrdej, ze voni prece za nic nemuzou, protoze cedulky "vstup zakazan" tam dali.

Lékař to řešit musí. Ne ve smyslu, že by to měl programovat, ale ve smyslu, že by to měl vyžadovat. Lékař má minimální vliv na to, jaký bordel v tom systému je, ale má trvat na tom, aby byly dodrženy nějaké standardy. A pokud nejsou, tak má takový systém odmítnout.

Lékař má tyhle povinnosti nejen vůči IT systémům. On má povinnost ověřovat účinnost léků, on má povinnost ověřovat účinnost léčebných postupů, on má povinnost ověřovat dodržování pravidel o lékařských nástrojích (např. že jsou sterilní) atd. On to nedělá tím, že by sám dělal nějaké studie a klinické testy, on spoléhá na to, že to někdo udělá za něj - co se léků týká tak například SÚKL, co se sterilizace týká tak spoléhá na normy a certifikace. Ale jeho zodpovědnost je, aby u léku ověřoval, že je na seznamu SÚKL, u nástrojů ověřoval, že dodavatel má certifikace, atd. Ostatně koukněte se třebas na ISO 13485.

Je rozumné po nich stejné povinnosti a zodpovědnost vyžadovat i v případě informačních systémů. Je tu řada norem a standardů, které mohou vyžadovat. Jenže oni nevyžadují a tak nějak spoléhají na to, že dodavatel ví, co dělá. Jenže ten se zpravidla žene jen za ziskem a za novými vlastnostmi, díky kterým by získal nějakou konkurenční výhodu. Bezpečnost je až na posledním místě, protože tu po nich nikdo nechce a nikdo je kvůli ní neodmítne a ani kvůli ní nezaplatí nic navíc. A lékařům tohle prochází. Kdyby brali skalpely od firmy, která vykupuje staré jednorázové skalpely a pak je meje jarem, tak mají obrovský problém. Takže to si hlídají a chtějí jen certifikované zboží s dohledatelným původem. Donuťme je to samé požadovat i po informačních systémech.

PS: Je jasné, že jak se zavede nějaký standard a norma na informační systémy, tak se plno firem bude bouřit, že je to změna pravidel v průběhu hry, že je to plno práce navíc, jak je ta norma úplně mimo, že to hraje na ruku těm firmám, co to právě takhle dělaly už dřív, jak to hází klacky pod nohy i firmám, co to dělaly už dřív a lépe, atd. Ale to není specifikum IT, to přesně způsobila i ta již uvedená ISO 13485. Jenže pokud dnes chcete dodávat i jen pitomé roušky nebo nůžky na obvazy, tak právě tohle ISO musíte dodržet a platit si pravidelné nezávislé audity a certifikáty shody. Jinak od vás žádný doktor nic nevezme, protože nemá čas si jít k vám udělat vlastní audit a svou povinnost kontrolovat dodržování pravidel realizuje právě tím, že vyžaduje certifikát.

PS2: Žene se nám sem nová Evropská směrnice (GDPR), máme tu nařízení UOOU. Proč tu není nějaké ISO a certifikace, která bude ověřovat shodu s touto směrnicí a nařízeními? Pak by prostě stačilo po dodavateli IS chtít, aby předložil platný certifikát shody.

jasne a ty si overujes, jestli tvoje auto splnuje normy pro provoz na silnicich, kterych je asi tak par tisic ... a pak si overujes, ze silnice splnuje normy, abys po ni vubec moh jezdi, kterych bude spis par desitek tisic..... a pak si pred kazdou jizdou nechas delat odber krve, moci, merit tlak, ekg, ... jestli ty sam vubec ses opravnenej do toho auta lizt.

Protoze pokud tohle vsechno nedelas, tak predevsim ohrozujes lidi kolem sebe, a to narozdil od toho doktora, kterej ti kasle na ten pocitac, na zivote.

Ano, já si to u auta ověřuji. Vy byste snad koupil a jezdil v autě, které nemá platný technický průkaz?

Jinak auto si můžete postavit i sám, ale pak opravdu musíte řešit řadu věcí, viz http://portal.gov.cz/portal/obcan/situace/116/125/4023.html

Jasne, tekze proste zvanis kraviny. Technickej prukaz nerika naprosto NIC o tom co auto splnuje nebo nesplnuje, ten jen rika, ze vo nem stat vi. Mimochodem, se u nas da naprosto vpohode provozovat trebas US auto, ktery ale nesplnuje evropsky normy - spatny osvetleni a spousta dalsich veci. Ale ma technicak. Stejne tak se da provozovat cokoli nad 25let jakozto "veteran" a taky bez toho aby to splnovalo normy. A trebas takova .. .PV3S ... chmm nj, to nekdo jako ty netusi vid ... proc prave toho auto jmenuju. Jak by taky moh zejo ... Tak si schvalne pockam, jestli na to nekdo prijde (je toho teda vic, ale je tam jedna hodne zasadni zavada).