Cyberbezpieczeństwo w ochronie zdrowia: dane, systemy i pacjenci

Cyberbezpieczeństwo w ochronie zdrowia to nie tylko ochrona danych pacjentów. To bezpieczeństwo leczenia, ciągłość działania placówki i odpowiedzialność całej organizacji — od zarządu po recepcję. Pokazujemy, dlaczego skala problemu rośnie szybciej niż się wydaje i od czego zacząć.

Cyberbezpieczeństwo to już nie tylko temat dla informatyków

Jeszcze kilka lat temu cyberbezpieczeństwo w placówce medycznej kojarzyło się głównie z działem IT, hasłami, antywirusem i serwerem zamkniętym gdzieś w piwnicy. Dzisiaj takie podejście jest już niebezpiecznym uproszczeniem.

W ochronie zdrowia cyberbezpieczeństwo nie dotyczy wyłącznie komputerów. Dotyczy dostępu do dokumentacji medycznej, wyników badań, historii leczenia, systemów rejestracji, urządzeń diagnostycznych, komunikacji między personelem i ciągłości działania całej placówki.

Jeśli system przestaje działać, konsekwencje nie kończą się na tym, że „nie da się zalogować”. Lekarz może nie mieć dostępu do historii pacjenta. Pielęgniarka może nie widzieć, jaki lek powinien zostać podany. Rejestracja może nie obsłużyć kolejki. Laboratorium może nie przekazać wyników na czas. A pacjent trafia do organizacji, która nagle traci część swojej sprawczości.

O tym, jak wygląda to w praktyce, rozmawiamy szerzej w odcinku The Modern Practice z ekspertem cyberbezpieczeństwa Michałem Zdunowskim oraz dr Wiolettą Śląską-Zyśk, dyrektorką placówki medycznej. Obejrzyj odcinek: https://youtu.be/Gspd3WaEAf8.

Skala problemu rośnie szybciej, niż wielu dyrektorów zakłada

Dane z sektora ochrony zdrowia pokazują, że problem nie jest teoretyczny. Według CSIRT CeZ w 2023 roku w polskim sektorze ochrony zdrowia odnotowano 405 incydentów cyberbezpieczeństwa. W 2024 roku było ich już 1028. To ponad 2,5-krotny wzrost w ciągu zaledwie 12 miesięcy.

Jeszcze mocniej wygląda sytuacja w przypadku ransomware — złośliwego oprogramowania, które szyfruje dane organizacji i wiąże się z żądaniem okupu. Globalnie liczba ataków ransomware na placówki ochrony zdrowia wzrosła z 69 w 2020 do 506 w 2024 roku.

To nie są pojedyncze historie z dużych zagranicznych szpitali. To trend dotyczący także mniejszych podmiotów: przychodni, gabinetów, centrów diagnostycznych, dostawców usług medycznych i firm współpracujących z ochroną zdrowia.

W praktyce mniejsza placówka często nie jest za mała na atak. Jest tylko za mała, żeby trafić na pierwsze strony gazet.

Cyberatak to nie tylko wyciek danych

Wyciek danych pacjentów jest poważnym problemem. Dane medyczne należą do najbardziej wrażliwych informacji, jakie organizacja może przetwarzać: imię, nazwisko, PESEL, rozpoznanie, historia leczenia, wyniki badań, informacje o lekach i terapii. Ale w ochronie zdrowia cyberatak może oznaczać coś więcej niż naruszenie poufności.

Może oznaczać brak dostępności. A dostępność systemów w medycynie bywa równie ważna jak poufność danych. Jeśli placówka nie ma dostępu do dokumentacji, wyników badań, systemu kolejkowego, e-rejestracji, systemów laboratoryjnych albo urządzeń podłączonych do sieci — jej zdolność do leczenia pacjentów może zostać ograniczona.

W rozmowie w The Modern Practice pada przykład ataku ransomware na dostawcę usług diagnostycznych w Wielkiej Brytanii. Atak zaburzył pracę laboratoriów i przetwarzanie badań, co przełożyło się na opóźnienia w opiece nad pacjentami. Cyberbezpieczeństwo nie jest abstrakcyjną kategorią z raportów — wpływa na realne decyzje kliniczne, czas reakcji i bezpieczeństwo pacjentów.

Dlaczego placówki medyczne są atrakcyjnym celem?

• Cenne dane. Historii leczenia, w przeciwieństwie do hasła czy numeru karty, nie da się po prostu unieważnić i wygenerować od nowa.
• Presja czasu. Szpital nie powie „wrócimy za tydzień, kiedy odzyskamy systemy”. Ta presja zwiększa skuteczność wymuszeń.
• Złożona infrastruktura. Chmura, stare komputery, lokalne serwery, urządzenia diagnostyczne, drukarki, tablety, systemy dostawców, aplikacje personelu.
• Działanie 24/7. Atak w weekend lub o 4 nad ranem to nie scenariusz filmowy, to realne ryzyko organizacyjne.
• Czynnik ludzki. Fałszywy mail z grafikiem świątecznym, telefon „od serwisanta” albo pendrive na korytarzu bywa skuteczniejszy niż najbardziej skomplikowany atak techniczny.

Atak może wejść nie tylko przez komputer lekarza

Punktem wejścia może być wszystko, co podłączone do sieci lub używane w codziennej pracy: komputer w rejestracji, drukarka sieciowa, tablet, system wentylacji, urządzenie diagnostyczne, konto zewnętrznego dostawcy, telefon pracownika, pendrive pacjenta. A czasem — człowiek na recepcji, który chce pomóc komuś, kto wygląda jak technik.

Jeśli personel nie zna procedur, taka sytuacja może skończyć się dopuszczeniem nieuprawnionej osoby do krytycznej infrastruktury. Cyberbezpieczeństwo nie kończy się na firewallu — obejmuje procedury, szkolenia, odpowiedzialność, kontrolę dostępu, komunikację i kulturę organizacyjną.

Telefony, WhatsApp i zdjęcia dokumentacji

Jednym z codziennych ryzyk, o których mówi się zbyt rzadko, jest robienie zdjęć dokumentacji medycznej prywatnym telefonem. Dla personelu to niewinny skrót — szybkie zdjęcie opisu badania, fragmentu karty, wyniku. Coś, co oszczędza dwie minuty pod presją.

Problem: prywatny telefon zwykle nie jest urządzeniem kontrolowanym przez placówkę. Może wykonywać kopie zapasowe do chmury, synchronizować zdjęcia z innymi urządzeniami, zostać zgubiony, być używany przez dziecko. Zdjęcie może zostać przypadkowo wysłane przez komunikator. Jeśli zawiera imię, nazwisko, PESEL, rozpoznanie lub wynik — mamy realne ryzyko naruszenia danych.

Cyberbezpieczeństwo musi obejmować całą organizację

Największym błędem zarządczym jest uznanie, że cyberbezpieczeństwo „załatwi informatyk”. Dział IT jest ważny, ale nie wystarczy. W placówce medycznej powinny być zaangażowane co najmniej cztery obszary:

• Zarząd / dyrekcja — priorytety, budżet, ryzyko, ciągłość działania.
• IT i cyberbezpieczeństwo — systemy, podatności, konta, urządzenia, backupy, reakcja techniczna.
• Inspektor Ochrony Danych (IOD) — cyberatak prawie zawsze wiąże się z ryzykiem naruszenia danych osobowych.
• Dział prawny / compliance — obowiązki formalne i dokumentacyjne mają realne znaczenie.

Do tego cały personel: lekarze, pielęgniarki, rejestracja, administracja, portiernia, technicy, firmy zewnętrzne, utrzymanie budynku. Cyberbezpieczeństwo placówki jest tak silne, jak jej codzienne nawyki. Jeśli procedury istnieją tylko w segregatorze, organizacja nie jest bezpieczna — jest tylko formalnie opisana.

Od czego zacząć, jeśli placówka nie ma dużego budżetu?

Nie każda placówka wdroży od razu zewnętrzny SOC, rozbudowany monitoring i pełen program szkoleń. Ale każda może zacząć od podstaw. Pierwszy krok: wiedzieć, co właściwie trzeba chronić.

Nawet prosty arkusz w Excelu z listą systemów, urządzeń, dostawców i krytycznych procesów jest lepszy niż brak świadomości. Placówka powinna wiedzieć:

• jakie systemy wykorzystuje,
• gdzie są dane pacjentów,
• które urządzenia są podłączone do sieci,
• kto ma dostęp do systemów,
• którzy dostawcy mają dostęp do infrastruktury,
• gdzie są kopie zapasowe i jak często są testowane,
• co zrobić, gdy system przestanie działać,
• kto podejmuje decyzję w sytuacji incydentu,
• kogo i gdzie należy powiadomić.

Bez inwentaryzacji nie da się sensownie zarządzać ryzykiem. Drugim krokiem jest ustalenie priorytetów — inaczej wygląda plan dla dużego szpitala, inaczej dla przychodni, a inaczej dla gabinetu fizjoterapeutycznego.

Backup to nie kopia, tylko zdolność do powrotu

Wiele organizacji mówi: „mamy backup”. To ważne, ale niewystarczające. Prawdziwe pytanie brzmi: czy potrafimy z tego backupu szybko i bezpiecznie odtworzyć działanie placówki?

W ochronie zdrowia liczy się ciągłość działania. Czy personel ma dostęp do najważniejszych danych pacjenta w trybie awaryjnym? Czy wiadomo, jak obsługiwać pacjentów bez głównego systemu? Czy istnieją procedury manualne? Dobre cyberbezpieczeństwo nie polega na założeniu, że nic się nie wydarzy. Polega na przygotowaniu organizacji na moment, w którym coś się jednak wydarzy.

Co zrobić, gdy pracownik kliknie podejrzany link?

Jednym z najważniejszych elementów cyberbezpieczeństwa jest kultura zgłaszania. Jeśli pracownik kliknie podejrzany link, nie powinien się bać powiedzieć o tym przełożonemu lub IT. Ukrywanie błędu jest znacznie groźniejsze niż sam błąd.

Szczegółowa procedura powinna być ustalona przez placówkę i dostosowana do infrastruktury. Najważniejsze jest jedno: pracownik musi wiedzieć, co zrobić, zanim incydent się wydarzy.

Incydenty trzeba zgłaszać i dokumentować

Cyberbezpieczeństwo to również obowiązki formalne. Jeśli doszło do naruszenia ochrony danych osobowych, administrator powinien ocenić ryzyko i w określonych przypadkach zgłosić naruszenie do organu nadzorczego — bez zbędnej zwłoki, co do zasady nie później niż w terminie 72 godzinpo stwierdzeniu naruszenia.

Placówki medyczne mogą także zgłaszać incydenty do CSIRT CeZ — sektorowego zespołu cyberbezpieczeństwa dla ochrony zdrowia. Formularz obejmuje m.in. opis wpływu incydentu, czas wystąpienia i wykrycia, obszar, skutki dla systemów oraz podjęte działania. Dlatego warto mieć procedury wcześniej — w momencie incydentu nie ma czasu zastanawiać się, kto odpowiada za komunikację i gdzie szukać podstawowych informacji.

Cyberbezpieczeństwo nie powinno być budowane na strachu

O cyberbezpieczeństwie często mówi się językiem kar i konsekwencji. Regulacje są ważne, ale strach nie wystarczy do zbudowania bezpiecznej organizacji. Jeśli personel będzie się bał zgłaszać błędy, incydenty będą ukrywane. Jeśli dyrekcja będzie traktowała cyberbezpieczeństwo wyłącznie jako koszt, działania będą odkładane. Jeśli IT zostanie samo z problemem, organizacja nie zbuduje odporności.

Lepsze podejście: cyberbezpieczeństwo jako element jakości działania placówki. Dobre procesy chronią dane pacjentów i pomagają utrzymać ciągłość pracy. Szkolenia zmniejszają ryzyko phishingu i dają personelowi pewność. Backupy to warunek powrotu do leczenia po awarii. Audyt to sposób na odkrycie słabości, zanim zrobi to atakujący.

Podsumowanie: cyberbezpieczeństwo to bezpieczeństwo pacjenta

Cyberbezpieczeństwo w ochronie zdrowia nie jest już tematem pobocznym. To jeden z filarów funkcjonowania nowoczesnej placówki medycznej. Nie chodzi tylko o ochronę komputerów — chodzi o ochronę danych pacjentów, dostępność dokumentacji, bezpieczeństwo leczenia, ciągłość działania, zaufanie do placówki i odpowiedzialność zarządu.

Najważniejsze kroki, od których warto zacząć:

• sprawdzić, jakie systemy i urządzenia ma placówka,
• uporządkować dostęp do danych,
• zadbać o backupy i testy odtwarzania,
• przeszkolić personel,
• przygotować procedurę reagowania na incydent,
• włączyć w proces zarząd, IT, IOD i dział prawny,
• budować kulturę zgłaszania bez karania za błędy,
• regularnie wracać do tematu — cyberbezpieczeństwo nie jest jednorazowym projektem.

Najgorsze, co może zrobić placówka, to uznać, że problem jej nie dotyczy. W ochronie zdrowia cyberatak nie jest tylko atakiem na system. Może stać się atakiem na możliwość leczenia pacjenta.

Więcej o tym, jak cyberbezpieczeństwo wygląda w praktyce, jak atakujący wykorzystują codzienne słabości placówek i od czego zacząć budowanie odporności, znajdziesz w odcinku The Modern Practice: https://youtu.be/Gspd3WaEAf8.

Najczęstsze pytania