VDAI, atlikusi sveikatos priežiūros įstaigų stebėseną, teikia rekomendacijas
Valstybinė duomenų apsaugos inspekcija (toliau – VDAI), įgyvendindama asmens duomenų apsaugos priežiūros institucijos funkcijas, numatytas Bendrajame duomenų apsaugos reglamente (toliau – BDAR), bei vadovaudamasi 2025 m. planinių patikrinimų ir stebėsenų planu, 2025 m. atliko 10 planinių sveikatos priežiūros įstaigų saugumo priemonių stebėseną.
Stebėsenos metu naudojant patvirtintą kontrolinį klausimyną buvo vertinamos saugumo priemonės, susijusios su prieigų valdymu, atsarginių kopijų tvarkymu bei įvykių žurnalinių įrašų valdymu.
Susipažinta su asmens duomenų tvarkymo veikla Lietuvos sveikatos mokslų universiteto ligoninės Kauno klinikose, Respublikinėse Šiaulių ir Panevėžio ligoninėse, Alytaus apskrities tuberkuliozės, Marijampolės, Kėdainių, Jonavos, Utenos ligoninėse, AND ir Baltijos ir Amerikos terapijos ir chirurgijos klinikose.
Pagrindiniai stebėsenos rezultatai:
- Visos (100 proc.) sveikatos priežiūros įstaigos registruoja naudotojų veiksmus informacinių sistemų žurnaluose.
- 100 proc. įstaigų užtikrina atsarginių kopijų darymą (kasdien / kas savaitę), jų šifravimą bei testavimą.
- 100 proc. įstaigų naudoja geografiškai atskirtas atsarginių kopijų saugyklas.
- 89 proc. įstaigų yra dokumentavusios prieigos teisių suteikimą ir riboja bendrinių paskyrų naudojimą.
Nustatytos tobulintinos sritys:
- Tik 11 proc. įstaigų taiko kelių veiksnių autentifikaciją (MFA), nors ji laikoma viena svarbiausių saugumo priemonių.
- Tik 56 proc. įstaigų centralizuotai saugo žurnalinius įrašus ir juos šifruoja.
- 67 proc. įstaigų yra įdiegusios automatinius įspėjimus apie įtartinus įvykius.
- 78 proc. įstaigų turi žurnalinių įrašų valdymo politiką ir ją reguliariai peržiūri.
- 78 proc. įstaigų dokumentuoja atsarginių kopijų atkūrimo procedūras.
Apibendrinus stebėsenos rezultatus, matyti, kad sveikatos priežiūros įstaigos didelį dėmesį skiria atsarginių kopijų valdymui ir veiklos tęstinumo užtikrinimui, tačiau vis dar išlieka reikšmingų spragų prieigos valdymo ir žurnalinių įrašų apsaugos srityse. Ypač pažymėtina nepakankama kelių veiksnių autentifikacijos taikymo apimtis bei nepakankamai išvystytas žurnalinių įrašų centralizavimas ir šifravimas.
Remiantis atliktos stebėsenos apibendrinimu, kurį galite rasti svetainės rubrikoje „VDAI stebėsenų, patikrinimų rezultatų apibendrinimai – po BDAR įsigaliojimo“, VDAI parengė rekomendaciją, skirtą stiprinti organizacines ir technines saugumo priemones bei užtikrinti tinkamą asmens duomenų apsaugą.
Rekomendaciją galite rasti čia.
Atkreipiame dėmesį, kad tikrinimų rezultatai aktualūs ne tik patikrintoms įstaigoms, bet ir kitiems šio sektoriaus atstovams. Tai suteikia galimybę kiekvienai įstaigai, remiantis tikinimų rezultatais, peržiūrėti savo veiklą.
Atnaujinimo data: 2026-04-15
Taip pat skaitykite:
Nuotoliniai mokymai „Nuo teorijos iki praktikos: ES pagrindinių teisių chartijos taikymas“
Bauda už asmens duomenų apsaugos pažeidimus skirta gydytojai
Patvirtintas bendras asmens duomenų saugumo pažeidimo pranešimo šablonas
Baltijos šalių duomenų apsaugos priežiūros institucijų vadovių įžvalgos praktinėje konferencijoje