W6P8Dj

50 Revizijsko poročilo | INFORMACIJSKA PODPORA DELOVANJU UNIVERZITETNEGA KLINIČNEGA CENTRA LJUBLJANA
drugimi posebnimi pravicami v upravljanju informacijskih rešitev. Zavod ni nedvoumno opredelil vlog in
odgovornosti posameznih deležnikov za različne vidike zagotavljanja informacijske varnosti, kar je
prispevalo k temu, da so bila nekatera področja informacijske varnosti neustrezno urejena.
Ukrep zavoda
Zavod ima od 11. 8. 2015 zaposlenega pooblaščenca za informacijsko varnost, ki je neposredno podrejen vodstvu zavoda.
4.2.6.2 Dostopne pravice
Zavod ni imel enotnih postopkov za upravljanje dostopnih pravic. Organizacijski predpis o nadzoru
dostopov do informacijskih rešitev je bil pripravljen zelo splošno, v njem niso bile jasno opredeljene vloge
in odgovornosti v postopkih dodajanja in odvzemanja dostopnih pravic ter ni pojasnjeval, na katere
informacijske rešitve in tehnologije se nanaša. V praksi so za področje dodeljevanja, odvzemanja in
spreminjanja obsega dostopnih pravic vsebinsko praviloma skrbeli predstojniki organizacijskih enot,
tehnično pa notranji ali zunanji skrbniki informacijskih rešitev, med drugim zaposleni Področja za
informatiko 119 , administratorji informacijskih rešitev na posameznih organizacijskih enotah 120 ter zaposleni
zunanjih izvajalcev 121 in dobaviteljev 122 . Za številne uporabniške račune in pravice ni pisne sledi, iz katere
bi bilo mogoče ugotoviti, kdo jih je odobril in v kakšnem obsegu. V primerih, ko je dostopne pravice
upravljal dobavitelj informacijskih rešitev, zavod v pogodbah ni opredelil s tem povezanih postopkov.
Zavod tudi ni imel postopka, s katerim bi odgovorni periodično preverili sezname aktivnih uporabniških
računov in dodeljene dostopne pravice ter tako zagotovili deaktivacijo nepotrebnih uporabniških računov
ter morebitno zmanjšanje obsega dodeljenih pravic.
Postopki dodeljevanja, odvzemanja in spreminjanja obsega dostopnih pravic niso zagotavljali, da bodo ob
odhodu zaposlenega z določenega delovnega mesta te ukinjene. Pri pregledu vzorcev uporabniških
računov informacijskih rešitev zavoda smo med aktivnimi uporabniškimi računi našli do 31,9 odstotka
takih, ki so pripadali nekdanjim zaposlenim, zaposlenim, ki so bili premeščeni na druge enote zavoda, in
računov, za katere ni bilo mogoče ugotoviti, kdo jih uporablja 123 . Zavod je za upravljanje dostopov do
svojega informacijskega okolja uporabljal domenski aktivni imenik Windows Server 2003, kjer za
57,7 odstotka aktivnih domenskih uporabnikov ni zabeležil podatka o njihovem imenu in priimku.
Ugotovili smo tudi, da je imela v enem primeru nekdanja zaposlena zavoda aktiven zunanji dostop do
informacijskega okolja zavoda.
Zavod je v informacijskih rešitvah opredelil vrsto generičnih uporabniških računov, med njimi tudi
številne administratorske in druge račune s posebnimi pravicami. Zavod ni vodil evidence zaposlenih in
zunanjih sodelavcev, ki so uporabljali generične uporabniške račune, kar pomeni, da ni imel nadzora nad
morebitnimi dostopi nekaterih zaposlenih do občutljivih osebnih in drugih zaupnih podatkov ter da bi do
teh podatkov lahko dostopale osebe, katerih identiteta zavodu ne bi bila znana. Zavod je imel poleg tega
vzpostavljenih več kot 50 generično poimenovanih zunanjih dostopov za zunanje izvajalce in dobavitelje
119 Pri informacijski rešitvi za upravljanje virov WinPIS.
120 Pri informacijski rešitvi za upravljanje dokumentov InDOC.
121 Uporabniki v domenskem aktivnem direktoriju.
122 Pri informacijski rešitvi za upravljanje virov fMedic.
123 Pregledali smo vzorce uporabniških računov 6 informacijskih rešitev. Delež neustreznih uporabniških računov je
znašal med 6 odstotki in 32 odstotki na rešitev.