Wprowadzenie
Ostatnie ataki ransomware wymierzone w polskie placówki medyczne odsłoniły poważne luki w zabezpieczeniach oraz konsekwencje organizacyjne i kliniczne takich incydentów. Skutkiem bywa przejście do trybu „papierowego”, miesiące prac przy odbudowie systemów informatycznych oraz realne ryzyko dla integralności i poufności danych pacjentów. W wywiadzie dla WNP i Rynku Zdrowia kierownik CSIRT Centrum E‑Zdrowia, Jeremi Olechnowicz, wskazał główne przyczyny oraz ograniczenia, jakie napotyka szpitalny system ochrony cybernetycznej, a także omówił planowane zmiany w przepisach dotyczących Krajowego Systemu Cyberbezpieczeństwa (KSC).
Jakie są bezpośrednie skutki ataków ransomware w szpitalach?
Atak ransomware w placówce ochrony zdrowia to nie tylko utrata dostępu do systemów informatycznych. W praktyce oznacza to:
- przejście do pracy ręcznej i papierowej (co wydłuża czas przyjęć i dokumentowania),
- przestoje w dostępie do zdjęć diagnostycznych i wyników badań,
- potencjalne opóźnienia w zabiegach i procedurach medycznych,
- długi proces odbudowy systemów IT trwający miesiące,
- ryzyko wycieku wrażliwych danych pacjentów.
Główne przyczyny incydentów
Według ekspertów CSIRT oraz praktyków z ochrony zdrowia, najczęściej identyfikowane źródła podatności to:
- braki w aktualizacjach i zarządzaniu łatkami — zaległe poprawki pozwalają na wykorzystanie znanych luk,
- słabe procedury backupu i odzyskiwania danych — brak regularnie testowanych kopii zapasowych wydłuża przywracanie działania,
- niedostateczne szkolenia personelu — phishing i błędy ludzkie pozostają jedną z głównych dróg wprowadzenia złośliwego oprogramowania,
- ograniczone zasoby kadrowe i finansowe — brak dedykowanych zespołów bezpieczeństwa oraz ograniczony budżet utrudniają wdrażanie i utrzymanie zabezpieczeń.
Co ma zmienić nowelizacja ustawy o KSC?
Planowane zmiany w ustawie o Krajowym Systemie Cyberbezpieczeństwa mają na celu wzmocnienie nadzoru i obowiązków operatorów usług kluczowych, w tym placówek ochrony zdrowia. Zmiany obejmują m.in. rozszerzenie wymogów dotyczących:
- zgłaszania incydentów i współpracy z CSIRT,
- wdrożeń mechanizmów technicznych i organizacyjnych minimalizujących ryzyko,
- audytów bezpieczeństwa i testów odporności na cyberataki.
Jednak, jak podkreśla Jeremi Olechnowicz, same regulacje to za mało: "Nowe przepisy mogą podnieść standardy, ale bez realnego budżetu i ludzi najlepsze wytyczne pozostaną jedynie formalnością". Zwraca uwagę na konieczność finansowania i budowy kompetencji lokalnych zespołów reagowania oraz regularnego ćwiczenia scenariuszy kryzysowych.
Czego brakuje w praktyce?
Analiza ostatnich incydentów pokazuje powtarzalne zaniedbania:
- niewystarczająca infrastruktura do szybkiego przywracania systemów,
- brak jednoznacznych procedur operacyjnych w sytuacji kryzysowej,
- niedostateczna współpraca między szpitalami a centralnymi instytucjami CSIRT i administracją,
- zbyt mała liczba specjalistów ds. bezpieczeństwa IT w sektorze ochrony zdrowia.
Rekomendacje praktyczne
Aby zmniejszyć ryzyko i skrócić czas przywracania działania, eksperci zalecają:
- wdrożenie regularnych, testowanych kopii zapasowych oraz strategii odzyskiwania (DRP),
- szczegółowe procedury aktualizacji oprogramowania i zarządzania łatkami,
- systematyczne szkolenia personelu medycznego i administracyjnego z zakresu cyberbezpieczeństwa,
- utworzenie lub wzmocnienie lokalnych zespołów reagowania (CSIRT na poziomie podmiotów),
- ćwiczenia symulacyjne koordinowane z centralnymi instytucjami,
- alokacja dedykowanych środków budżetowych na bezpieczeństwo IT.
Rola CSIRT i administracji
Centrum E‑Zdrowia i CSIRT pełnią kluczową rolę w koordynacji działań, wymianie informacji o zagrożeniach oraz wsparciu technicznym dla jednostek. Jednak bez współpracy i zasobów po stronie placówek medycznych ich wsparcie ma charakter ograniczony. Jak podkreśla Olechnowicz, niezbędne jest rozłożenie odpowiedzialności: państwo tworzy ramy i finansuje istotne elementy infrastruktury, a placówki wdrażają i utrzymują rozwiązania na poziomie operacyjnym.
Podsumowanie
Incydenty ransomware w polskich szpitalach są wynikiem kombinacji czynników technologicznych, organizacyjnych i finansowych. Nowelizacja ustawy o KSC może podnieść wymagania formalne, ale realna poprawa bezpieczeństwa wymaga inwestycji w ludzi, procesy i infrastrukturę. Tylko połączenie odpowiednich przepisów, środków finansowych i kompetencji kadrowych pozwoli ograniczyć skutki przyszłych ataków i zminimalizować ryzyko dla pacjentów.
„Bez budżetu i ludzi nawet najlepsze wytyczne są tylko zaleceniami” — Jeremi Olechnowicz, kierownik CSIRT Centrum E‑Zdrowia.
