Narzędzie ocenia obecność pięciu podstawowych właściwości architektury biobanku: zasady dwóch osób, rozdzielenia uprawnień, co najmniej dwóch niezależnych barier, niezależnych logów oraz więcej niż jednej roli. Dodaje wpływ interwału inwentaryzacji i przeglądu logów. Wynik służy do ustalania priorytetów, a nie do certyfikowania bezpieczeństwa repozytorium.

Kalkulator: „Wewnętrzny przeciwnik w biobanku” — ekspozycja zasobów.

Zagrożenie wewnętrzne nie oznacza wyłącznie złej intencji

„Insider” to osoba posiadająca legalny dostęp, którego błąd, przymus, konflikt interesów, przejęte konto albo celowe działanie może naruszyć kontrolę nad zasobem. Skuteczny program nie opiera się na podejrzliwości wobec personelu, lecz na projektowaniu procesu tak, aby pojedyncza pomyłka lub decyzja nie wystarczała do poważnej szkody.

Kontrole powinny chronić ludzi i organizację: jasno rozdzielać odpowiedzialność, zapewniać możliwość zgłoszenia problemu, ograniczać nadmierne uprawnienia i tworzyć rzetelny ślad. Kultura zgłaszania jest równie ważna jak mechanizmy techniczne.

Liczba ról nie jest liczbą kont użytkowników

Pole „liczba ról” opisuje funkcjonalnie różne odpowiedzialności w procesie. Pięć kont z identycznymi uprawnieniami to jedna rola. Role mogą obejmować zatwierdzanie dostępu, fizyczne wydanie, prowadzenie ewidencji, przegląd logów i inwentaryzację.

Model uznaje mniej niż dwie role za słabość. Nie twierdzi, że dwie role zawsze wystarczają. W dużym repozytorium potrzebny może być bardziej szczegółowy podział, zastępstwa i kontrola konfliktów. Nadmierne rozdrobnienie również szkodzi, jeśli odpowiedzialność staje się niejasna.

Zasada dwóch osób jest kontrolą wspólnej decyzji

Zasada dwóch osób oznacza, że krytyczna czynność wymaga obecności, potwierdzenia lub autoryzacji drugiej uprawnionej osoby. Nie powinna sprowadzać się do podania wspólnego hasła ani retrospektywnego podpisu.

Druga osoba musi mieć możliwość rzeczywistej weryfikacji: znać zakres, widzieć właściwy zasób i móc odmówić. Jeżeli obie osoby zależą hierarchicznie od jednego inicjatora albo jedna zawsze automatycznie akceptuje, formalna kontrola nie jest niezależna.

Kalkulator traktuje brak zasady jako jeden pojedynczy punkt awarii i odejmuje stałe 18 punktów.

Rozdzielenie uprawnień dotyczy całego przepływu

Rozdzielenie oznacza, że jedna osoba nie może samodzielnie zamówić lub zarezerwować materiału, wydać go, zmienić ewidencji i zatwierdzić zgodności. Właściwy podział zależy od organizacji, ale powinien obejmować czynności tworzące i weryfikujące ten sam fakt.

Model używa odpowiedzi tak/nie, choć rzeczywistość jest stopniowalna. Częściowe rozdzielenie nie powinno automatycznie otrzymać „tak”. Najpierw należy narysować macierz RACI lub równoważną mapę i przetestować, czy jedna rola może przejść całą ścieżkę.

Bariery muszą być niezależne i adekwatne

Pole liczby barier może obejmować warstwy fizyczne, elektroniczne lub proceduralne, ale tylko wtedy, gdy każda realnie ogranicza dostęp i nie jest tą samą kontrolą policzoną kilka razy. Drzwi i karta uruchamiająca ten sam niesprawdzany profil nie muszą być dwiema niezależnymi barierami.

Model uznaje mniej niż dwie bariery za słabość. Nie ocenia ich jakości, odporności na wspólną awarię, dostępności awaryjnej ani adekwatności do konsekwencji zasobu. Liczba 3 nie jest automatycznie lepsza od dwóch dobrze zaprojektowanych warstw.

Kontrole bezpieczeństwa nie mogą utrudniać ewakuacji, reakcji na awarię i działań ratunkowych. Tryby awaryjne powinny być zaprojektowane, rejestrowane i testowane.

Niezależne logi powinny przetrwać działanie administratora systemu źródłowego

Log jest niezależny, gdy osoba mogąca zmienić rekord operacyjny nie może bez śladu zmienić lub usunąć również zapisu kontrolnego. Pomagają osobne uprawnienia, centralne zbieranie, mechanizmy integralności, retencja i regularny przegląd.

„Niezależny” nie oznacza publiczny ani dostępny dla wszystkich. Logi mogą zawierać dane osobowe i informacje wrażliwe. Dostęp powinien być ograniczony, a analiza proporcjonalna do ryzyka.

Kalkulator traktuje brak niezależności logów jako jeden z pięciu głównych punktów słabości.

Inwentaryzacja i przegląd logów ograniczają okno rozbieżności

Model raportuje:

T_okna = min(T_inwentaryzacji, T_logów)

Jest to najkrótszy umowny interwał, w którym jedna z dwóch kontroli może ujawnić problem. Nie jest maksymalnym czasem niewykrycia, ponieważ kontrola może nie zauważyć zdarzenia albo wymagać dochodzenia. Nie uwzględnia też czasu od sygnału do reakcji.

Inwentaryzacja powinna być uzgodnieniem stanu fizycznego i ewidencyjnego, a nie tylko wygenerowaniem raportu z tej samej bazy. Przegląd logów powinien mieć kryteria, właściciela i termin zamknięcia wyjątków.

Jak powstaje wynik odporności

Model zaczyna od 100 punktów. Za każdą z pięciu słabości odejmuje 18:

  • brak zasady dwóch osób;
  • brak rozdzielenia uprawnień;
  • mniej niż dwie bariery;
  • brak niezależnych logów;
  • mniej niż dwie role.

Dodatkowo odejmuje max(0, T_inwentaryzacji - 7) oraz 3·max(0, T_logów - 1), gdy interwały są wyrażone w dniach. Wynik nie może spaść poniżej zera.

Klasa „odporna” zaczyna się od 80, „częściowo odporna” od 55, a niższy wynik oznacza architekturę kruchą. Progi i kary są heurystyką kalkulatora, nie wymaganiem WHO, normą ISO ani wynikiem walidacji statystycznej.

Dlaczego wynik nie jest procentem bezpieczeństwa

Wyświetlany znak % ułatwia czytanie skali 0–100, ale 82 nie oznacza 82% szans ochrony. Model nie zna częstości zdarzeń, konsekwencji zasobu, jakości personelu ani skuteczności poszczególnych kontroli.

Wynik służy do porównania tej samej architektury przed i po zmianie oraz do wymuszenia pytań o brakujące warstwy. Nie powinien być porównywany między instytucjami bez wspólnej definicji pól.

Przykład odporny i kruchy

W scenariuszu domyślnym występują cztery role, zasada dwóch osób, rozdzielenie, trzy bariery, cotygodniowa inwentaryzacja, codzienny przegląd logów i logi niezależne. Nie ma żadnej z pięciu binarnych słabości, a interwały nie przekraczają progów kar. Wynik to 100 i okno jednego dnia.

W scenariuszu z jedną rolą, bez dwóch osób, bez rozdzielenia, bez barier i niezależnych logów pięć słabości odejmuje 90 punktów. Inwentaryzacja co 30 dni odejmuje dalsze 23, a logi co 14 dni — 39. Wynik jest obcięty do zera. Nie oznacza to, że incydent jest pewny; mówi, że w heurystyce brakuje wszystkich podstawowych warstw.

Częstotliwość należy dobierać do konsekwencji i wykrywalności

Progi 7 dni i 1 dzień są punktami odniesienia modelu. Wysokokonsekwencyjny zasób może wymagać kontroli częstszej lub ciągłej, a duża kolekcja niskiego ryzyka może używać innego programu opartego na próbkowaniu.

Zbyt częsty, powierzchowny przegląd może być gorszy od rzadszego, kompetentnego uzgodnienia. Celem jest terminowe wykrywanie określonych odchyleń, nie sama liczba podpisów.

Dostęp tymczasowy i uprzywilejowany

Model nie ma pól dla serwisu, administratorów, personelu sprzątającego, dostępu awaryjnego i gości. Te ścieżki trzeba analizować osobno. Konto uprzywilejowane powinno mieć wąski zakres, silne uwierzytelnienie, ograniczony czas i niezależny ślad.

Po zmianie stanowiska lub odejściu dostęp powinien być szybko aktualizowany. Okresowe recertyfikacje uprawnień mają sprawdzać potrzebę, nie tylko obecność nazwiska na liście.

Inwentaryzacja ilościowa nie zawsze jest możliwa

W biobankach zasób może być dzielony, rozmrażany, zużywany i tworzyć pochodne. Kontrola nie zawsze polega na policzeniu identycznych sztuk. Potrzebny jest trwały identyfikator, status, lokalizacja, właściciel, historia transferu i reguła bilansu właściwa dla materiału.

Rozbieżność może wynikać z błędu etykiety, niewłaściwej lokalizacji, duplikatu rekordu, nieudokumentowanego zużycia lub utraty. Dochodzenie powinno rozróżnić te przyczyny i zachować dowody.

Czego kalkulator nie obejmuje

Narzędzie pomija:

  • rodzaj materiału i ciężkość konsekwencji;
  • kompetencje, szkolenie, kulturę i program zgłaszania;
  • jakość barier oraz ich wspólne przyczyny;
  • bezpieczeństwo fizyczne obiektu i cyberbezpieczeństwo systemów;
  • dostępy serwisowe, awaryjne i zdalne;
  • prywatność dawców, zgodę i etykę biobanku;
  • transport, transfer i odbiorców zewnętrznych;
  • skuteczność dochodzenia po alarmie;
  • wymagania prawa i akredytacji.

Nie należy publikować wyniku rzeczywistego biobanku wraz ze szczegółami luk bez właściwego przeglądu i autoryzacji.

Jak przeprowadzić przegląd zespołowy

Najpierw identyfikuje się zasoby i konsekwencje utraty kontroli. Następnie mapuje role, czynności krytyczne, bariery i źródła logów. Odpowiedzi do kalkulatora powinny wynikać z dokumentu i próby przejścia procesu, nie z deklaracji właściciela.

Priorytety z modelu są początkiem. Dla każdej słabości trzeba określić działanie, ryzyko resztkowe, właściciela, termin i dowód skuteczności. Po zmianie należy przetestować scenariusz błędu oraz dostęp awaryjny.

Minimalny raport

Raport powinien podać zakres zasobów, role, definicję bariery, sposób niezależności logów, datę ostatniej inwentaryzacji i przeglądu oraz jawne zastrzeżenie o heurystyce. Przykład:

Model nie wykazał żadnej z pięciu binarnych słabości; wynik heurystyczny wyniósł 100/100, a krótszy interwał kontroli — 1 dzień. Ocena nie obejmowała jakości barier, dostępu serwisowego ani prawdopodobieństwa incydentu. Niezależność logów potwierdzono testem uprawnień i retencji.

Powiązane artykuły

Pełny cykl materiału opisuje Ewidencja, kontrola dostępu i łańcuch odpowiedzialności. Ramę konsekwencji i środków ochrony rozwija Biosafety a biosecurity, a bezpieczeństwo zapisów cyfrowych Bezpieczeństwo danych genomicznych i laboratoryjnych.

Źródła i dalsza lektura

Opis oparto na zagadnieniach identyfikowalności, kolekcji kultur i dokumentacji z książek zakupionych z licencją do republikacji. Strukturę kontroli skonfrontowano z wytycznymi WHO, które obejmują ograniczanie dostępu, kontrolę inwentarza, personel, informację i reakcję w całym cyklu materiału.who-biosecurity,who-biohub