Nov vrhunec digitalne transformacije v slovenskem zdravstvu: do podatkov zdravstvenega stanja Primorcev kar prek Googla

MMKK je 18. mar 2019 ob 21:34 izjavil:

Kr neki jih poznam, ki bi ti razložili, da se z dyn.dns-om da vse zrihtat :-) Sploh če je en na statiki...

Da se, ampak zakaj bi si oteževal življenje in se jebal čez nekaj let, ko bo poljubni ponudnik Dyn DNS storitve čez noč crknil?

Ravno prejšnji teden sem dobil mail s takšnim obvestilom in sva čast jim, da so ga sploh poslali. Storitev, ki prinašajo denar ne obešam na dinamiko.

No, res je tudi, da dinamični dns ponujajo nekateri vendorji požarnih pregrad tudi out-of-the-box, lahko pa si jo tudi sam nastaviš...

Saul Goodman je 18. mar 2019 ob 22:38 izjavil:

a ni 400e za cisco blackbox, ki ti omogoča le VPN dostop cca 10x predrago?

Hja, za storitev IPSECa da, ker pa na škatli piše Cisco je pa (za našo javno upravo) nekarakteristično poceni. Upam, da škatle niso EOL

To da na škatli piše Cisco je en drek važno...samo v 2019 sem jaz našel tole naokol:

https://www.tenable.com/blog/management...
https://www.pentestpartners.com/securit...
https://blog.rapid7.com/2019/02/28/cisc...
https://tools.cisco.com/security/center...
https://www.zdnet.com/article/cisco-pat...
https://www.zdnet.com/article/hackers-a...
https://badpackets.net/over-9000-cisco-...

JA, vsi zdravstveni domovi so dobili blackboxe (točno kateri in koliko je težko predvideti, a na razpisu NIJZ je bila zahteva za 166kosov Cisco 1812, 16 kosov Cisco 2921 in 4 kose Cisco 3925, vse za končne točke sistema e-zdravja (vir: http://www.nijz.si/sites/www.nijz.si/fi....

Ministrstvo je izdalo svoje tehnične zahteve tu : http://www.mz.gov.si/fileadmin/mz.gov.s...
A na predavanju ministrstva je bilo govora o Cisco 2821, 3825 in ASR1020
Ne bi o tem, da je kar nekaj routerjev s seznama NIJZ z WiFi povezavo...in da so na ministrstvu celo rekli, da to ni problem. Pol pa moj 12 letni mulc s kali linuxem in dvosmerno anteno dobi geslo kateregakoli wi-fi omrežja v 10 minutah. 1km stran... Aja, so napisali, da ni problem, ker ima WPA zaščito....ha, ha...butale

Javnim zavodom je opremo čAstila država (MZ). Koncesionarji, čeprav so del javnega zdravstva (in so povsem enako plačani s strani ZZZS), morajo zanje plačati sami.

A mogoče kdo ve kakšno opremo namesti ISP? Ker za povezavo do NIJZ imajo zasebni izvajalci 3 možnosti
1. VPN s klofanjem 2FA vsako jutro na vsakem PCju posebej/vsak uporabnik posebej
2. Zgoraj omenjena Ciscotova routerja, ki jih morajo sami kupiti in predati v upravljenje NIJZ
3. Najeti opremo pri ISPju (nič ne vem kakšna, kako nastavijo, koliko stane...baje na telekomu neki dol pada...)

Saj ni treba verjet meni. Preberi tu: https://www.list.si/pdf/Dopis_NIJZ_zNET...

Jaz sem sicer pred mesecem dni dobil podoben dopis, ki je malenkost drugačen samo v toliko, da je na seznamu opreme, ki jo lahko kupim tudi Cisco 892FSP

SeMiNeSanja je 19. mar 2019 ob 00:47 izjavil:

Enako pa tudi ne verjamem, da ti privlečejo router, ki ga ne moreš uporavljati - pa da naj še plačuješ za to.
Težko pa tudi verjamem, da NIJZ potem šara po tvojem (najetem) ISP routerju, da ti v lastni režiji vzpostavi VPN...

Mogoče bi bilo dobro 'potipati' nekoga na Telekomu (ali ima še kateri ISP to v ponudbi?)

Telekom in A1 sta ponudnika VPN-ja do NIJZ (vsaj kolikor jaz vem).
Tudi Telekom ti da svoj Cisco router, do katerega nimaš dostopa. Pošljejo ti naslovni prostor in IP številko routerja. Potem pa na svojem routerju delaš NAT 1:1 (ali pa ti ga oni naredijo).

Res pa je, da se s telekomovci bolj težko pogovarjaš oz. najdeš kompetentnega sogovornika.

Se popolnoma strinjam s tabo...

Gre se preprosto za to, da so 10 let zadaj. Takrat je rešitev z obvezno NIJZjevo napravo morda res NIJZju prinesla kaj prihranka pri je6anju s stranko in njeno konfiguracijo ali pa je zelo majhen % strank sploh imel ustrezno napravo za postavitev IPSEC VPNja.

Zadeva spominja na čase KZZ terminalov po ZDjih ali pa čase, ko se v HKOM omrežje zaposleni v državni upravi od doma niso smeli povezati drugače kot prek nešifrirane PPP dial-up povezave

Misliti, da so tako na NIJZju dosegli kaj več varnosti je pa seveda napačno.

Najprej omenimo staro modrost porab-
nikov javnega denarja, in sicer, da je treba
do konca leta nujno poskrbeti, da so pora-
bljena vsa razpoložljiva sredstva. Napol v
šali pravilo niti ni tako zelo skregano z rav-
nanjem dobrega gospodarja, saj bo orga-
nizacija v nasprotnem primeru prihodnje
leto prejela ustrezno manj denarja.

Stran 12:
https://www.monitor.si/media/objave/dok...

Pri avtomobilih imaš veliko različnih, za vsak okus se najde nekaj.

Pri routerjih je tudi kar precej izbire. Recimo, da se da nabrati 10 proizvajalcev, za katere ne moreš trditi, da ponujajo 'šrot'.

Dokaj podobno je tudi pri požarnih pregradah. Tudi tu se najde cca. 10 proizvajalcev, ki so širom sveta uveljavljeni in cenjeni.

Ko pa prideš na operacijske sisteme za osebne računalnike, pa dihaš zelo zelo redek zrak.
Imaš Microsoft, potem pa dolgo nič, nato enkrat izza vogala prikoraclja ena tolpa med seboj skreganih pingvinov. Še malo bolj zadaj stopica en hudiček, za katerim se kotali ogrizek (ali ogrizek z vilami poriva pred seboj?).
Gledano z vidika 'konkurence', lahko sešteješ pingvine, hudička in ogrizek, pa ne prideš na nivo enega poštenega konkurenta, kot jih imaš v svetu avtomobilizma, routerjev ali požarnih pregrad.

v bistvu je na koncu še toliko bolj absurdno, da se forsira Cisco ASA, ki je že zdavnaj izgubil primat, kar se tiče požarnih pregrad, ker je preprosto zaspal na lovorikah. Ko so vsi konkurenti že prešli v UTM vode in šli v smeri 'NextGen' požarnih pregrad, so oni komajda uspeli novo HW platformo vreči na trg - ASA5500-X. Pa še tu jim je na spodnjem koncu HW zamujal še par dodatnih let.
Potem so končno kupili in pokrpali še tisto nesrečno FirePower zgodbo, s katero so marsikaterega zvestega Cisco uporabnika pregnali v roke PaloAltu (ki so jim ga Cisco prodajalci vsilili kot optimalno zamenjavo - optimalno seveda za žep prodajalcev).
Je že tako, da ne moreš jutri ponujati Fordov, če si do včeraj prodajal Mercedeze. Moraš vsaj na Bentley ali Tesle preiti... Itak smo vsi tako bogati, da se potem nabavlja nobel šasija... za nove gume in redno servisiranje pa zmanjka denarja.

Potem pa se še norčujejo iz lastniko 'Fordov', ki imajo za 3x manj denarja 3x boljši paket....

Včasih je veljal pregovor, da še nikoli niso nikogar odpustili, ker je kupil Cisco opremo.
Potem se je realnost spremenila in danes velja, da ne drži več, kar pravi stari pregovor.
No, to velja za 'rest of world'... pri nas očitno še kar velja prvotni pregovor.

No, kar še bolj bega je dejstvo, da "naroči se po mailu" direktno poziva k temu, da bo prej ali slej nekdo postal žrtev kakšne grde obužbe.

Čim ti nekdo pošlje na mail 'napotnico' ali 'izvid', je zelo visoka verjetnost, da bo priponko nekdo šel tudi odpirati, da bi preveril, kaj v njej piše. Tisti klik pa je lahko že usoden za celo omrežje, ne le za računalnik.

Koliko ambulant pa ima dejansko dovolj močno zaščito, da bi se lahko ubranile?

Koliko jih ima posebej ločen računalnik (izoliran segment omrežja), za 'stik s svetom'? Utopija. Ker niti nimaš prostora za kaj takega. Mogoče bi šlo kot virtualka...pa tudi to ni življenjsko.
Koneckoncev si tam zato, da narediš svoje delo, ne pa da se greš 'varnostnega eksperta - paranoika'.
Poleg tega imaš maile, ki se naslavljajo na ambulanto in osebne, ki so naslovljeni na zdravnika. Seveda ne bo sestra/administratorka 'v karanteni' odpirala mailov, ki so bili poslani na zdravnikov osebni naslov.

Če že mogoče delaš z 'javnimi' maili v rokavicah... še vedno ostajajo visoko tvegani osebni maili.

Da se zna kakšen zdravnik nekomu zameriti, ni nič novega. Smo tudi na TV že videli razne grožnje pacientov... sicer bolj z fizično silo, a vendarle ne smeš tudi ne izključiti, da ti ne bo jutri nekdo namerno poslal kakšen virus po mailu.

Skratka že samo zato, ker imaš tako delo, kot ga imaš, si med bolj tveganimi skupinami uporabnikov in moraš že zato podvzeti 'nekaj več', kakor pa navaden uporabnik, da bi se zaščitil.

Nerodno pa je, če potem pride nek E-zdravje, ki gleda samo na svojo lastno rit, ne pa na splošno dvigovanje 'kibernetske' varnosti v zdravstvu. Za sebe bodo izsilili, da boste investirali 400€ ali koliko pač pride tisti ASA5506-X (ali je možno, da gre tudi z bistveno cenejšim Mikrotikom? - baje, da sta dve napravi požegnani, pa ne vem, katera je tista ta druga) - namesto da bi ta denar investirali v nekaj bolj univerzalnega, kar bo varovalo tudi ambulanto in ne le NIJZ.
Ker vam odvzamejo denar, ta potem manjka za kakšno 'boljšo' zaščito.
Za moje pojme čisto sfaljen pristop.

Naročanje preko maila je tam zato, ker inšpektorji to zahtevajo!
To je sicer neumnost, ampak tako je.

ToniT je 22. mar 2019 ob 12:57 izjavil:

Naročanje preko maila je tam zato, ker inšpektorji to zahtevajo!
To je sicer neumnost, ampak tako je.

Pri nas inšpektor ni zahteval majla, pa precej dobro sem naštudiral zakonske obveznosti. Omogočiti moraš elektronsko naročanje in naročilno knjigo (sledljivost, kdaj se je kdo naročil), nikjer pa ni govora o elektronski pošti. Ta je dejansko namenjena samo še komunikacijami z uradnimi ustanovami za vsebine, ki ne vsebujejo občutljivih podatkov).

Jaz sem tudi mislil, da bodo dominirali zabačeni ZDji, pa sem si premislil o tej tezi, ko sem videl stran od ZD Črnomlja. Lepo in urejeno, brez pozivanja k uporabi emaila, z lastno narejenim obrazcem za naročanje, še anketo o zadovoljstvu imajo gor. Vse na https.ju... Pravzaprav eden redkih.

Pol imaš pa strani, kjer imajo omogočeno ustrezno rešitev (recimo Ljubljana im ain https:// in ustrezen sistem e-naročanja), pa je rešitev za e-naročanje prazna (niso omogočili, da bi se dalo naročat, je samo prazna tabela), pod ambulanto pa piše, da je naročanje preko elektronske pošte. Isto rešitev za e-naročanje ima ZD kočevje, ki ima ravno tako vse prazno v terminih. Tisto kar pri ZD Kočevje ne razumem, je zakaj so samo poddomeno ( z enaročanjem) dali na https://, sama osnovna spletna stran pa je brez SSLa.

100 ludi, 100 čudi

Vidi pa se, da nekdo vzdržuje te strani, ker so na tekočem z zakonodajo in velikokrat imajo objavljeno tako število opredeljenih pacientov kot načine naročanja, pa člane tima...odgovorne osebe za čakalne sezname sicer večinoma ne

Ne vem, zakaj niso naredili kar v sklopu e-zdravja skupno platformo za naročanje, katero bi lahko vsi uporabljali.

Zmanjkalo denarja?

Email bi lahko bil - če bi bil kriptiran.
Samo kaj, ko tudi danes, v letu 2019 niti s certifikatom podpisan mail ne smeš pričakovati od kogarkoli, da bi na ta način vsaj lahko potrdil njegovo identiteto.

Če bi VSE uradne inštitucije sprejele predpis, da morajo biti VSI maili podpisani s certifikatom, bi že takoj v osnovi bistveno otežili zlorabo naslova za phishing.

Dejstvo je, da dejanski VSI uradniki IMAJO certifikate.... samo uporabljati jih ne znajo, kaj šele, da bi jih nekdo prisilil v uporabo.

Ko bi se to enkrat 'oprijelo', bi si bilo tudi otročje enostavno pošiljati kriptirane maile, saj bi zlahka prišel do javnega ključa naslovnika (če ga nebi že imel).

Toda na žalost niti v bančništvu, kjer je največ phishinga, še ni bilo tega miselnega preskoka, da bi podpisovali maile s svojimi certifikati.

Ko pa ti kaj podpišeš....te pa čudno gledajo...

Drugače pa je mail predvsem 'delovno intenziven' za naročanje. Če je stvar dobro izvedena na spletu, ti verjetno lahko prihrani vsaj kakšnih 15 min dela dnevno (pojma nimam, koliko res porabite)- pa vse tja do kakšne ure (če moraš še usklajevati zadeve in iz 'naročanja' rata pingpong).

Na koncu pa te itak še vedno najbolj zafrkne, ko se naročeni pacient ne pojavi v čakalnici, odjavil pa se tudi ni...

SeMiNeSanja je 22. mar 2019 ob 15:46 izjavil:

Ne vem, zakaj niso naredili kar v sklopu e-zdravja skupno platformo za naročanje, katero bi lahko vsi uporabljali.

Zmanjkalo denarja?

Parabl so najmanj 35 milijonov, eni navajajo tudi preko 100milijonov od 2009... Kar je treba priznat, da je ena večjih nategancij. Sploh za tak končni izdelek.

Največji absurd pri vsem skupaj pa je, da je sistem skupaj z lokalnimi programi pri izvajalcih pravzaprav ena velika davčna blagajna s priveski za priponke, ki so sicer zdravstvenega tipa :-) Popolnoma nič ne pripomore k boljšemu zdravljenju ali izboljšanju varnosti oskrbe, primarno služi beleženju storitev, ključni podatki pa niso dostopni ristim, ki bi jih morali videti. Važno je, da imata NIJZ in ZZZS vse pod kontrolo...

Je blo pa pocen. Pa verjetno mojstri za jurja ne želijo delati v IT. Kot zdravniki :)

MMKK je 22. mar 2019 ob 18:35 izjavil:

In ja, jaz sem že vpostavil delujočo VPN povezavo (IPSec) med mikrotik cloud routerjem in Cisco ASA 5560.

Lahko da je težava tudi v tem, da (sodeč po neki slikci, ki sem jo nekje videl) ne uporabljajo 'navaden' IPSec, temveč furajo še GRE tunel preko tega. S tem pa se takoj zoža izbor 'kompatibilne' opreme, sploh tiste z nižjega konca cenovne lestvice.
Če potem hočeš še podporo IKEv2, boš na koncu precej omejen. Če se ti pa niti ne ljubi raziskovati in testirati, če je vendarle še kje kaj kompatibilnega na voljo, pa končaš na takem vendor lock-in, kot v tem primeru.

WatchGuard podpira neko tako varianto "Virtual IPSec Interface", ki naj bi baje bila združljiva s Ciscom. V praksi pa tega nisem imel priložnosti preveriti, ker se povsod držijo klasike, da bi bili čim širše združljivi.
Je pa res, da sem za lastno uporabo tudi že kar dolgo nazaj prešel na Virtual IPSec Interface, ker se določene reči poenostavljajo, lahko jih pa tudi nadgradiš z dinamičnim routingom, kar se pri klasičnem IPSec ne da. Je pa vprašanje, če ga potrebujejo za to aplikacijo.

Kakorkoli že... snovalcem in upravljavcem nebi škodovalo, če bi se malo manj skrivali in se kdaj soočili z uporabniki in njihovimi izkušnjami, potrebami in zahtevami.

Tako dobiš občutek, kot da sistem ni tu zaradi uporabnikov, temveč uporabniki zaradi sistema (katerega se jih prisili uporabljati). To pa je popolnoma napačen pristop. Nezadovoljstvo pa predprogramirano.

tony1 je 22. mar 2019 ob 23:07 izjavil:

Z GRE tuneli in non-cisco opremo ter kompatibilnostjo s Ciscom pa nimam slabih izkušenj.

Samo najprej jih mora določena oprema sploh podpirati. To še zdaleč ni samoumevno, v nižjem cenovnem razredu pa bi bil Mikrotik eden redkih, kjer bi to podporo pričakoval. Povsod drugod bi bila presenečenje.

Čim pa je implementirana, pa se bo vsak pameten proizvajalec potrudil napraviti zadevo kompatibilno s Cisco varianto, katera definitivno velja za 'referenco'. Če s tem nisi združljiv.... škoda, da si se sploh trudil stvar implementirat. Industrija živi na standardih in interoperabilnosti. Tudi ko se gre za konkuriranje, ne more nihče resen pričakovati, da bo nekdo vrgel ven vse Cisco-te in jih zamenjal z rešitvami proizvajalca X. Namesto tega morajo različne rešitvo dolgo koekistirati in se dokazati kot 'dostojni naslednik'. No, razen če so neki 'strici iz ozadja' na delu.... Kar pa žal tudi ni taka redkost.