Cyberbezpieczeństwo medyczne w placówce

Awaria systemu rejestracji o 7.30 rano, brak dostępu do historii leczenia i pacjenci czekający w kolejce to nie jest wyłącznie problem informatyczny. Dla podmiotu leczniczego oznacza to ryzyko przerwania udzielania świadczeń, błędów organizacyjnych, naruszenia poufności danych i trudnych pytań ze strony pacjentów. Cyberbezpieczeństwo medyczne należy więc traktować jako element bezpieczeństwa pacjenta oraz zarządzania ryzykiem prawnym placówki.

W gabinecie jednoosobowym skala zagrożeń będzie inna niż w dużej klinice z kilkoma lokalizacjami. Zasada pozostaje jednak taka sama: dokumentacja medyczna, dane kontaktowe pacjentów, wyniki badań i informacje o rozliczeniach muszą być dostępne dla uprawnionego personelu, a jednocześnie chronione przed osobami nieuprawnionymi. Sama deklaracja, że „mamy hasła i kopię zapasową”, zwykle nie wystarcza.

Dlaczego cyberatak w medycynie ma skutki prawne

W ochronie zdrowia incydent cyfrowy często dotyka dwóch obszarów jednocześnie. Pierwszym jest ochrona danych osobowych, w tym szczególnej kategorii danych dotyczących zdrowia. Drugim jest organizacja procesu leczenia. Wykradzenie bazy pacjentów może prowadzić do naruszenia poufności. Zaszyfrowanie systemu przez ransomware może natomiast uniemożliwić personelowi sprawdzenie alergii, zaleceń czy historii choroby.

Konsekwencje nie kończą się na kosztach odtworzenia systemu. Placówka może mierzyć się z obowiązkiem analizy naruszenia ochrony danych, zawiadomienia organu nadzorczego, a w określonych przypadkach także osób, których dane dotyczą. Jeżeli doszło do ograniczenia dostępności dokumentacji lub zakłócenia pracy, trzeba dodatkowo wykazać, jakie działania podjęto, aby zapewnić ciągłość udzielania świadczeń i zmniejszyć ryzyko dla pacjentów.

W praktyce znaczenie ma nie tylko sam atak, ale również reakcja po jego wykryciu. Chaotyczne kasowanie wiadomości, samodzielne „naprawianie” serwerów bez zabezpieczenia śladów czy przekazywanie pacjentom niespójnych informacji może pogorszyć pozycję placówki podczas kontroli albo sporu. Dobrze przygotowana procedura pozwala działać spokojnie, nawet gdy sytuacja wymaga natychmiastowych decyzji.

Najczęstsze słabe punkty w placówkach medycznych

Największe ryzyko rzadko zaczyna się od zaawansowanego włamania do serwerowni. Często wystarcza wiadomość podszywająca się pod dostawcę oprogramowania, fałszywa faktura albo telefon od osoby podającej się za pracownika wsparcia technicznego. Jedno kliknięcie może dać przestępcom dostęp do konta pocztowego, plików lub systemu obsługującego dokumentację.

Drugim problemem są zbyt szerokie uprawnienia. Rejestratorka nie musi mieć dostępu do wszystkich danych administracyjnych, a osoba współpracująca z placówką doraźnie nie powinna korzystać z konta, które pozostaje aktywne po zakończeniu współpracy. W wielu podmiotach wspólne loginy nadal są codzienną praktyką. To wygodne tylko pozornie, ponieważ po incydencie nie da się ustalić, kto wykonał konkretne działanie.

Ryzyko zwiększają także urządzenia prywatne, niezabezpieczone laptopy, pendrive’y oraz dostęp do poczty i dokumentacji przez publiczne sieci Wi-Fi. Nie chodzi o całkowity zakaz pracy mobilnej. Chodzi o jasne reguły: z jakiego sprzętu wolno korzystać, jak należy go zabezpieczyć, co zrobić w razie zgubienia telefonu i kto może zatwierdzić odstępstwo od zasad.

Szczególnej uwagi wymagają relacje z dostawcami systemów informatycznych, usług chmurowych, telemedycyny, archiwizacji i obsługi IT. Podmiot leczniczy nie może przenieść całej odpowiedzialności na zewnętrzną firmę tylko dlatego, że to ona administruje systemem. Umowa powinna precyzyjnie określać role stron, zakres dostępu do danych, wymagania bezpieczeństwa, zasady zgłaszania incydentów, wsparcie po awarii oraz sposób zwrotu lub usunięcia danych po zakończeniu współpracy.

Cyberbezpieczeństwo medyczne zaczyna się od decyzji zarządczych

Właściciel kliniki lub kierownik podmiotu leczniczego nie musi być specjalistą od sieci komputerowych. Musi jednak wiedzieć, kto odpowiada za bezpieczeństwo, jakie zasoby wymagają ochrony i jak placówka postąpi, gdy system przestanie działać. To odpowiedzialność organizacyjna, której nie zastąpi jednorazowe szkolenie ani zakup drogiego programu antywirusowego.

Dobrym punktem wyjścia jest krótka, uczciwa diagnoza. Warto ustalić, gdzie znajdują się dane pacjentów, kto ma do nich dostęp, które systemy są niezbędne do pracy oraz jak długo placówka może funkcjonować bez każdego z nich. Inaczej należy przygotować gabinet pracujący głównie na dokumentacji elektronicznej, a inaczej klinikę wykonującą zabiegi, korzystającą z urządzeń połączonych z siecią i prowadzącą całodobową opiekę.

Następnie trzeba połączyć rozwiązania techniczne z procedurami. Aktualne oprogramowanie, silne i indywidualne hasła, uwierzytelnianie wieloskładnikowe, segmentacja dostępu oraz regularne kopie zapasowe są konieczne. Kopia zapasowa ma jednak wartość tylko wtedy, gdy można ją odtworzyć w rozsądnym czasie. Dlatego procedurę odtwarzania należy testować, a nie zakładać, że zadziała w chwili kryzysu.

Procedura incydentu: co powinno wydarzyć się w pierwszych godzinach

Procedura nie powinna być dokumentem napisanym wyłącznie na potrzeby audytu. Personel musi wiedzieć, gdzie ją znaleźć i komu zgłosić problem. Nie każdy podejrzany e-mail jest naruszeniem, ale każde uzasadnione podejrzenie powinno trafić do właściwej osoby bez obawy, że pracownik zostanie ukarany za ostrożność.

W pierwszych godzinach po wykryciu incydentu placówka powinna działać według uporządkowanej sekwencji:

1. Ograniczyć skutki zdarzenia, na przykład odłączyć zainfekowane urządzenie od sieci, nie wyłączając go pochopnie, jeśli może to zniszczyć ślady.
2. Zgłosić incydent osobie odpowiedzialnej za bezpieczeństwo, zarządzaniu oraz obsłudze IT zgodnie z przyjętym obiegiem informacji.
3. Zabezpieczyć dowody: wiadomości, logi, zrzuty ekranu, informacje o czasie zdarzenia i osobach, które zauważyły nieprawidłowość.
4. Ocenić, czy zagrożona jest dostępność świadczeń, poufność danych pacjentów albo integralność dokumentacji.
5. Podjąć decyzje prawne i komunikacyjne, w tym ocenić obowiązek zgłoszenia naruszenia oraz sposób poinformowania pacjentów, jeśli wymaga tego charakter zdarzenia.

Termin na zgłoszenie naruszenia ochrony danych do Prezesa Urzędu Ochrony Danych Osobowych może wynosić 72 godziny od stwierdzenia naruszenia. To nie jest czas na rozpoczynanie ustaleń, kto ma kontakt do informatyka albo gdzie znajduje się umowa z dostawcą systemu. Rzetelna analiza wymaga faktów, ale musi też postępować sprawnie. Dlatego wcześniej warto przygotować wzory notatek, listę kontaktów i zasady podejmowania decyzji.

Nie należy automatycznie informować pacjentów o każdym zdarzeniu technicznym. Obowiązek zależy od oceny ryzyka dla ich praw i wolności. Nie wolno jednak ukrywać zdarzenia lub ograniczać analizy do stwierdzenia, że „nic nie wskazuje na wyciek”. Placówka powinna umieć udokumentować, co się wydarzyło, jakie dane mogły zostać objęte incydentem, jakie zabezpieczenia działały oraz dlaczego przyjęto konkretne stanowisko.

Personel nie jest najsłabszym ogniwem, jeśli ma jasne zasady

Personel medyczny pracuje pod presją czasu. Procedura, która wymaga dziesięciu kroków przed otwarciem dokumentacji, może zostać w praktyce ominięta. Zabezpieczenia muszą być adekwatne do ryzyka, ale też możliwe do stosowania w realnym rytmie rejestracji, gabinetu i dyżuru.

Szkolenie warto oprzeć na sytuacjach, które rzeczywiście występują w placówce: e-mailu z rzekomym wynikiem badania, prośbie o pilne przesłanie dokumentacji, telefonie od „serwisu” czy zgubionym służbowym telefonie. Pracownik powinien wiedzieć, jak rozpoznać ryzyko, komu je zgłosić i czego nie robić. Ważne jest też regularne przypominanie zasad, zwłaszcza po zmianach w oprogramowaniu, zatrudnieniu lub organizacji pracy.

Dobrze przygotowane cyberbezpieczeństwo medyczne nie polega na obietnicy, że incydent nigdy się nie wydarzy. Jego celem jest ograniczenie prawdopodobieństwa zdarzenia, zmniejszenie jego skutków i zachowanie kontroli nad decyzjami wtedy, gdy liczą się godziny. Placówka, która zna swoje systemy, ma sprawdzone procedury i uporządkowane umowy, chroni nie tylko dane. Chroni pacjentów, personel oraz własną zdolność do dalszego leczenia bez chaosu.