KS-SOMED - automatyczna blokada

[Michał]

Czy w KS-SOMED jest możliwość włączenia automatycznej blokady systemu po zadanym czasie ale dla innego poziomu bezpieczeństwa niż 4?

[MK]

Ależ oczywiście, da się dla piątego i szóstego :-).  Rozumiem jednak, że nie o to chodziło. Nie, dla niższego niż 4 nie da się. Powstały poziomy bezpieczeństwa, aby nie musieć ustawiać kilkunastu wartości. A tak między nami, w przypadku systemu KS-SOMED, o ile nie jest to system zarządzany i używany przez jednego lekarza, poziom 6 jest właściwie jedynym akceptowalnym. Wynika to między innymi z bardzo starego rozporządzenia o przetwarzaniu danych wrażliwych, a takimi są z pewnością dane medyczne. Pewni, rozporządzenie stare, ale nie wierzę, że z biegiem czasu "poluźniły" się zasady, wręcz odwrotnie.

[Michał]

Dzięki za odpowiedź. Specjalistą nie jestem, ale czytałem artykuł (https://businessinsider.com.pl/technologie/nowe-technologie/jakie-powinny-byc-hasla-w-internecie/vhkcq0m) o tym, że zasady typu używanie znaków specjalnych, dużych i małych liter, cyfr i zmiana hasła co 30 dni to złe rozwiązanie. Wypowiadał się na ten temat nawet człowiek, który wymyślił te wszystkie reguły:

Jak pisze "The Wall Street Journal", są już nieaktualne. Stwierdza to nie kto inny, lecz sam ich autor, 72-letni Bill Burr. - Dziś żałuję, że je wymyśliłem - mówi.

A co robi instytucja, dla której stworzył te reguły?:

Dziś NIST ma już nowy zestaw reguł, który zbudował od podstaw. Hasła powinny być długie, ale łatwe do zapamiętania, powinno się je zmieniać w przypadku pojawienia się jakiegoś znaku zwiastującego włamanie.

Późniejsze badania wykazały, że stosowanie takich "trudnych" haseł powoduje, że są one zapisywane na karteczce, która zazwyczaj leży przy komputerze, pod klawiaturą czy w jakimś innym łatwo dostępnym miejscu. Nie oszukujmy się, ale ile procent użytkowników przy konieczności zmiany hasła co 30 dni nie zmienia tylko numerka na końcu?

Dlatego ja osobiście uważam, że prócz skonfigurowanych obecnie poziomów bezpieczeństwa, w KS-SOMED powinna być możliwość skonfigurowania każdego z parametrów osobno przez administratora systemu.

i jeszcze trochę ciekawych artykułów:
https://niebezpiecznik.pl/post/microsoft-nie-zmieniaj-hasel/

https://niebezpiecznik.pl/post/wymuszanie-zmiany-hasel-nie-zawsze-korzystne-dla-bezpieczenstwa/

[Profesor Wilczur]

Dzięki za odpowiedź. Specjalistą nie jestem, ale czytałem artykuł (https://businessinsider.com.pl/technologie/nowe-technologie/jakie-powinny-byc-hasla-w-internecie/vhkcq0m) o tym, że zasady typu używanie znaków specjalnych, dużych i małych liter, cyfr i zmiana hasła co 30 dni to złe rozwiązanie. [...]

W pełni zgoda. Te "bezpieczne" hasła to zaraza.

[MK]

Zgadza się. Znaki specjalni itp. itd. są utrudnieniami. Ale są też normy, które na razie stosować musimy. Więcej w dokumencie, tam gdzie instrukcje obsługi, o zapewnieniu bezpieczeństwa. Warto się zapoznać.

Z drugiej strony, nawet na 6 poziomie SOMED nie wymaga znaków specjalnych. Wystarczą cyfry :-) i małe i duże litery. Więc zapewne hasło typu MojeHaslo18 jest wystarczającym.

[marcin3112]

Dzięki za odpowiedź. Specjalistą nie jestem, ale czytałem artykuł (https://businessinsider.com.pl/technologie/nowe-technologie/jakie-powinny-byc-hasla-w-internecie/vhkcq0m) o tym, że zasady typu używanie znaków specjalnych, dużych i małych liter, cyfr i zmiana hasła co 30 dni to złe rozwiązanie. [...]

W pełni zgoda. Te "bezpieczne" hasła to zaraza.
........

Ten obrazek też jest już nieaktualny, każdą regułę można zautomatyzować i użyć do ataku,  czytałem artykuł napisany przez człowieka łamiącego hasła i składanie z wyrażeń słownikowych można dość łatwo zaprogramować w programie łamiącym hasła.

[PiotrSz]

Zgadza się. Znaki specjalni itp. itd. są utrudnieniami. Ale są też normy, które na razie stosować musimy. Więcej w dokumencie, tam gdzie instrukcje obsługi, o zapewnieniu bezpieczeństwa. Warto się zapoznać.

Z drugiej strony, nawet na 6 poziomie SOMED nie wymaga znaków specjalnych. Wystarczą cyfry :-) i małe i duże litery. Więc zapewne hasło typu MojeHaslo18 jest wystarczającym.

Jeżeli to możliwe to prosiłbym zapytać kolegów od PPSa dlaczego w nim po ustawieniu poziomu 6 (który opisany jest "Duże/małe litery, cyfry lub znaki specjalne") program wymusza znak specjalny przy tworzeniu haseł :-/

Pozdrawiam

[MK]

Jeżeli to możliwe to prosiłbym zapytać kolegów od PPSa dlaczego w nim po ustawieniu poziomu 6 (który opisany jest "Duże/małe litery, cyfry lub znaki specjalne") program wymusza znak specjalny przy tworzeniu haseł :-/

Pozdrawiam

Ja bym mimo wszystko polecał kontakt z serwisem PPS.

[Michał]

a tak z ciekawości to jak macie ustawiony (o ile w ogóle), czas automatycznej blokady dostępu?

edit:
jeszcze jedna sprawa. Czy można skrócić czas na jaki jest blokowany system po 3-krotnym błędnym logowaniu? Domyślne 5 minut to zbyt długo zwłaszcza w pierwszych dniach po wprowadzeniu takiego ograniczenia. Czy jest jakiś sposób aby administrator odblokował w takiej sytuacji system konkretnemu użytkownikowi?

[andy83]

W module serwis ostatni przycisk "hist. logowań do systemu" możesz odblokowywać zablokowanych użytkowników.

[Michał]

Dzięki andy83.