Hastanelerde ağ altyapısı yalnızca bilgisayarları internete bağlayan teknik bir servis değildir. Hasta kabul, HBYS, laboratuvar, görüntüleme, eczane, ameliyathane, yoğun bakım, IP telefon, güvenlik kameraları ve bina otomasyonu aynı altyapıya farklı bağımlılıklarla bağlanır. Ağdaki bir güvenlik olayı veya yanlış yapılandırma bu nedenle sağlık hizmetinin devamlılığını da etkileyebilir.
Segmentasyondan önce klinik iş akışı çıkarılmalı
İlk adım VLAN oluşturmak değil, hastanenin sistem ve veri akışlarını anlamaktır. Bir cihazın hangi servislere, hangi protokolle ve hangi yönde erişmesi gerektiği bilinmeden yapılan segmentasyon operasyonu durdurabilir.
Örneğin görüntüleme sürecinde modalite cihazı ile PACS arasındaki DICOM trafiği, PACS ile RIS veya HBYS entegrasyonu, doktor iş istasyonları, raporlama sistemleri, arşivleme ve üretici desteği birlikte değerlendirilmelidir. Her sistem için iş sahibi, teknik sahibi, IP adresi, protokolü, dış bağlantısı, veri sınıfı ve kesinti toleransı kaydedilmelidir.
Hastane ağı hangi bölümlere ayrılmalı?
Her hastane için tek bir standart VLAN listesi doğru değildir. Bölümleme; cihaz türü, veri hassasiyeti, işlev ve erişim ihtiyacına göre yapılmalıdır.
HBYS ve klinik uygulamalar
Laboratuvar, eczane ve klinik sistemler genel kullanıcı ağından ayrılmalı; erişim yalnızca gerekli uygulama portlarıyla sınırlandırılmalıdır.
PACS ve görüntüleme
PACS, RIS, modalite cihazları ve raporlama iş istasyonları arasındaki trafik açıkça belgelenmeli ve filtrelenmelidir.
Tıbbi cihazlar
Güncellenemeyen veya eski protokol kullanan cihazlar ayrı bölgelerde tutulmalı; yalnızca ihtiyaç duydukları hedeflere erişebilmelidir.
Personel ve yönetim
Erişim yalnızca VLAN'a değil, kullanıcı kimliğine, cihaz güvenilirliğine ve görev ihtiyacına göre verilmelidir.
Misafir ağı
Hasta ve ziyaretçi interneti klinik sistemlerden tamamen ayrılmalı; istemci izolasyonu uygulanmalıdır.
Teknik ve IoT sistemleri
Kamera, kartlı geçiş, enerji, iklimlendirme ve bina otomasyonu ayrı güvenlik bölgelerinde çalışmalıdır.
Her bölgenin izin verilen iletişimi tanımlanmalı
Her güvenlik bölgesi için hangi hedeflere erişilebileceği, bağlantıyı hangi tarafın başlatacağı, kullanılacak portlar, internet ihtiyacı ve yönetim erişimi yazılı hale getirilmelidir. Politikalar “her şeye izin ver, sorun çıkarsa kapat” yaklaşımıyla değil, doğrulanmış iş akışlarına göre oluşturulmalıdır.
NIST'in PACS güvenlik rehberi, VLAN segmentasyonunun istenmeyen yatay hareketi azaltabildiğini fakat aynı bölüm içindeki hareketi tek başına durdurmadığını belirtir. Bazı kritik cihaz ve sistemlerde daha ayrıntılı filtreleme veya mikrosegmentasyon gerekebilir. NIST SP 1800-24 PACS güvenlik rehberi
802.1X ve NAC dikkatli uygulanmalı
802.1X ve NAC, ağa bağlanan kullanıcı ve cihazları tanımaya yardımcı olur. Kurumsal bilgisayarlar sertifika veya kullanıcı kimliğiyle doğrulanabilir; uygun role göre farklı ağ politikaları uygulanabilir.
Eski tıbbi cihazlar 802.1X desteklemeyebilir. Böyle durumlarda cihaz profilleme, kontrollü MAC tabanlı istisna veya belirlenmiş switch portları değerlendirilebilir. Her istisnanın sahibi, klinik görevi, izin verilen hedefleri ve gözden geçirme tarihi bulunmalıdır.
NAC veya RADIUS servisinin kesilmesi halinde bütün hastanenin ağa bağlanamaması ayrı bir risktir. Yüksek erişilebilirlik, kontrollü arıza modu ve alternatif erişim yöntemi canlıya geçmeden test edilmelidir.
Üretici ve servis firması bağlantıları sürekli açık kalmamalı
Tıbbi cihaz ve klinik uygulama üreticileri bakım amacıyla uzaktan erişim isteyebilir. Paylaşılan hesaplar ve sürekli açık VPN bağlantıları yerine her teknisyen için ayrı kimlik, MFA, süreli yetki ve kontrollü ara bağlantı sistemi kullanılmalıdır.
- Bakım talebi ve kurum içi onay kaydedilir.
- Erişim yalnızca ilgili cihaz ve portlara açılır.
- Oturum ve yapılan işlemler kayıt altına alınır.
- Bakım tamamlandığında yetki otomatik olarak kapatılır.
Kritik ağ servisleri hizmet düzeyinde yedeklenmeli
DNS, DHCP, RADIUS, NAC, güvenlik duvarı, kablosuz ağ kontrolcüsü veya core switch kesintisi birçok kliniği aynı anda etkileyebilir. Yedeklilik, yalnızca iki cihaz satın almak değildir; arıza halinde servisin kabul edilen sürede devam edebilmesidir.
- DNS veya DHCP kesilirse mevcut ve yeni istemcilerin davranışı biliniyor mu?
- Güvenlik duvarı çiftinde otomatik geçiş düzenli test ediliyor mu?
- Kablosuz kontrolcü kaybında erişim noktalarının çalışma biçimi doğrulandı mı?
- Yedek internet hattında klinik trafik misafir trafiğine karşı önceliklendiriliyor mu?
- Core switch arızası için alternatif yol ve geri dönüş planı var mı?
Kesinti planı yalnızca IT dokümanı değildir
Bazı olaylarda sistemlerin hemen geri getirilmesi mümkün olmayabilir. Hasta kabulü, laboratuvar ve görüntüleme talepleri, kritik sonuç bildirimi, ilaç süreçleri ve hasta eşleştirme yöntemleri teknoloji olmadan geçici olarak nasıl yürütüleceğiyle birlikte planlanmalıdır.
Kâğıt formların saklanması, sistem açıldığında verilerin tekrar girilmesi, kesinti sırasında üretilen verinin uzlaştırılması ve klinik ekiplere yapılacak bilgilendirme önceden tanımlanmalıdır. Sağlık Bakanlığı'na bağlı hastanelerin bilgi güvenliği politikaları da bilgi yönetimini hasta güvenliği ve güvenli bakımın temel gerekliliklerinden biri olarak tanımlar. Örnek: kamu hastanesi bilgi güvenliği politikası
Bir switch'in çalışması klinik hizmetin çalıştığı anlamına gelmez
İzleme sistemi yalnızca cihaz erişilebilirliğini değil, HBYS yanıt süresi, PACS gönderim kuyruğu, DICOM hataları, laboratuvar entegrasyon gecikmeleri, DHCP doluluk oranı, DNS cevap süresi ve bilinmeyen cihazlar gibi hizmet göstergelerini de takip etmelidir.
HHS'nin sağlık sektörü hedeflerinde varlık envanteri, kritik sistemlerin ağ segmentasyonu, merkezi loglama ve olay müdahale hazırlığı birbirini tamamlayan kontroller olarak ele alınır. HHS sağlık sektörü siber güvenlik hedefleri
Teknik değişiklik klinik işlevle doğrulanmalı
Tıbbi cihazın ağ politikasını değiştirmek sıradan bir switch değişikliği değildir. Etkilenecek klinik hizmetler belirlenmeli; biyomedikal ekip, ilgili klinik birim ve üretici sürece katılmalıdır. Test veya kontrollü pilot sonrasında yalnızca bağlantı değil, ilgili klinik işlev de doğrulanmalıdır.
Her değişiklik için geri dönüş planı, başarı ölçütü ve sorumlu kişiler kayıt altına alınmalıdır. Bu yaklaşım hakkında ayrıntılı adımlar için kurumsal IT değişiklik yönetimi rehberini inceleyebilirsiniz.
Hastane ağı değerlendirilirken kontrol edilecekler
- Güncel donanım, yazılım ve veri akışı envanteri var mı?
- HBYS, PACS, tıbbi cihaz ve misafir ağları ayrılmış mı?
- VLAN'lar arası trafik güvenlik politikalarıyla kontrol ediliyor mu?
- Bilinmeyen cihazlar tespit ediliyor mu?
- Eski cihaz istisnalarının sahibi ve süresi belli mi?
- Üretici erişimleri MFA ve zaman sınırıyla korunuyor mu?
- Yönetim arayüzleri ayrı ağda mı?
- DNS, DHCP, NAC ve güvenlik duvarı yedekliliği test edildi mi?
- Merkezi loglama ve anlamlı alarmlar bulunuyor mu?
- Çevrimdışı klinik çalışma ve veri uzlaştırma prosedürleri hazır mı?
- Değişikliklerde klinik ve biyomedikal doğrulama yapılıyor mu?
- Kesinti ve siber olay tatbikatları düzenli gerçekleştiriliyor mu?
Güvenlik ve klinik süreklilik birlikte tasarlanmalı
Hastane ağ segmentasyonu yalnızca VLAN sayısını artırmak değildir. Amaç; klinik sistemleri, tıbbi cihazları ve hasta verisini korurken sağlık hizmetinin devamlılığını sağlamaktır. Doğru envanter, kontrollü veri akışı, kimlik tabanlı erişim, üretici bağlantılarının yönetimi, yüksek erişilebilirlik ve klinik kesinti prosedürleri birlikte ele alınmalıdır.