Bezpieczeństwo informacji w służbie zdrowia: czym się wyróżnia i gdzie pojawiają się problemy

Bezpieczeństwo informacji w służbie zdrowia oznacza ochronę danych pacjentów i zapewnienie ciągłości opieki – a w tej branży te dwie kwestie to w zasadzie ten sam problem. Wyciekłej dokumentacji medycznej nie da się cofnąć tak, jak skradzionego hasła, które można zresetować, a zablokowany system dokumentacji to nie tylko niedogodność: oznacza to odłożenie zabiegów i brak dostępu do historii leczenia. Dlatego bezpieczeństwo w tym przypadku to kwestia bezpieczeństwa pacjentów, a nie tylko problem informatyczny.

Poniżej przyjrzymy się, dlaczego ta branża jest tak atrakcyjnym celem, jakie zasady obowiązują i czego faktycznie się od ciebie oczekuje, gdzie pojawiają się problemy w zwykłym dniu pracy oraz jak zorganizować kwestie kadrowe bez spowalniania samej opieki.

Dlaczego sektor opieki zdrowotnej jest na celowniku

Dane medyczne są dla przestępcy cenniejsze niż numer karty kredytowej, bo nie da ich zablokować ani wymienić. Jedna kartoteka zawiera dane osobowe, historię leczenia i informacje o ubezpieczeniu, a jej ważność trwa przez całe życie. To sprawia, że są one atrakcyjne dla oszustów, do szantażowania osób oraz do odsprzedaży.

Do tego dochodzi presja, pod jaką znajdują się placówki opieki zdrowotnej. Osoba atakująca, która szyfruje systemy szpitala lub placówki opiekuńczej, wie, że nie ma czasu na czekanie: nie da się wstrzymać opieki, żeby spokojnie zbadać sytuację. Właśnie na tej pilności opierają się wymuszenia, a przestępcy doskonale o tym wiedzą.

Wreszcie, ta branża to wyjątkowo skomplikowany cel do ochrony. Opieka działa w systemie zmianowym z ciągłymi zmianami personelu, wspólnymi stanowiskami pracy, urządzeniami osobistymi, podłączonym sprzętem medycznym o długim cyklu życia oraz szerokim gronem podmiotów zewnętrznych: dostawcami, laboratoriami, lekarzami pierwszego kontaktu, aptekami. Każde połączenie to potencjalna luka, a tylko nielicznych z nich da się po prostu wyłączyć.

Obowiązujące przepisy: norma NEN 7510, ustawa AVG oraz rozporządzenie NIS2

Holenderska służba zdrowia ma swój własny standard bezpieczeństwa informacji. Norma NEN 7510 opiera się na międzynarodowej strukturze ISO 27001 i dodaje wymagania dotyczące konkretnie danych pacjentów, co oznacza, że wymaga działającego systemu zarządzania, a nie tylko listy zakupionych produktów. To, czy jest to wymagane prawnie, to osobna kwestia, którą omawiamy w naszym artykule o tym, czy norma NEN 7510 jest obowiązkowa.

Obok niego jest norma NEN 7513, która dotyczy rejestrowania działań: chodzi o to, żeby później można było ustalić, kto przeglądał który wpis. Ta norma istnieje, bo najczęstszym incydentem związanym z naruszeniem prywatności w służbie zdrowia nie jest atak z zewnątrz, tylko sytuacja, w której kolega przegląda akta, do których nie miał prawa.

Do tego dochodzi jeszcze rozporządzenie AVG, a dane medyczne zaliczają się do kategorii danych specjalnych, podlegających najsurowszym wymogom dotyczącym przetwarzania. Większe organizacje opieki zdrowotnej mogą również podlegać przepisom NIS2, co wiąże się z obowiązkami w zakresie zarządzania ryzykiem, zgłaszania incydentów oraz zapewnienia udokumentowanych szkoleń dla personelu i kadry kierowniczej. Co to oznacza dla poszczególnych rodzajów organizacji, wyjaśniamy w naszym artykule o tym, jak NIS2 wpływa na sektor opieki zdrowotnej.

Wszystkie te kwestie mają wspólny motyw przewodni: poznaj swoje zagrożenia, odpowiednio zorganizuj dostęp i bądź w stanie wykazać, że twoi pracownicy wiedzą, jak postępować. Właśnie w tym ostatnim wymogu większość organizacji ma najsłabsze podstawy.

Gdzie pojawiają się problemy w codziennej praktyce

Rzadko jest to wynikiem wyrafinowanego ataku, a prawie zawsze wynika z czegoś, co w tamtym momencie wydawało się sensowne. Praca opiekuńcza jest szybka, łatwa do przerwania i wykonywana wspólnie, a środki bezpieczeństwa, które tego nie uwzględniają, są obejście w ciągu tygodnia.

• Wspólne konta na wspólnych komputerach. Jedno logowanie do komputera na oddziale, bo logowanie się i wylogowywanie między kolejnymi pacjentami zajmuje minuty, których nikt nie ma. To działa – dopóki nie trzeba ustalić, kto miał dostęp do danej dokumentacji.
• Ekrany widoczne z korytarza. Stanowisko pracy przy ladzie, tablet na wózku, monitor w gabinecie zabiegowym z otwartymi drzwiami. Najczęstszy przypadek wycieku danych w służbie zdrowia nie ma w ogóle podłoża technicznego.
• Rozmowy z pacjentami przez aplikacje do komunikacji. Wysyłanie zdjęć rany przez WhatsApp, bo to szybsze niż oficjalna procedura. Zazwyczaj wynika to z dobrych intencji, ale rzadko jest to objęte jakąkolwiek umową.
• Phishing wymierzony w personel opiekuńczy. E-mail o zmianie harmonogramu, pilna prośba, która wygląda, jakby pochodziła od przełożonego, fałszywa strona logowania do systemu dokumentacji. Presja czasu to najlepszy sprzymierzeniec atakującego.
• Ciekawość w systemie dokumentacji. Sprawdzanie danych kolegi, sąsiada czy znanego pacjenta. To naruszenie prywatności, nawet jeśli żadne informacje nie opuszczają budynku, a właśnie rejestrowanie tych działań sprawia, że staje się to widoczne.
• Dostęp, który trwa dłużej niż umowa. Stażyści, pracownicy tymczasowi i byli współpracownicy, których konta pozostają aktywne, bo nikt nie wie dokładnie, kto powinien zająć się ich wyrejestrowaniem.

Wszystkie te sytuacje mają jedną wspólną cechę: to decyzje podjęte przez ludzi pod presją, a nie awarie techniczne. Nie da się ich naprawić, ale można je przećwiczyć.

Jak do tego podejść, nie spowalniając opieki

W służbie zdrowia skuteczne są te rozwiązania, które są dostosowane do rytmu pracy. W praktyce oznacza to system pojedynczego logowania z szybkim przełączaniem, dzięki czemu wylogowanie nie jest już uciążliwe, uwierzytelnianie wieloskładnikowe przy dostępie zdalnym, sprawdzone kopie zapasowe przechowywane w trybie offline oraz segmentacja sieci, dzięki której jedna zainfekowana stacja robocza nie ma dostępu do sprzętu medycznego.

Jeśli chodzi o ludzi, coroczne szkolenie stacjonarne to format najmniej odpowiedni dla tej branży: pracownicy zmianowi je opuszczają, pracownicy agencyjni nigdy na nim nie są, a zanim nadejdzie kolejna edycja, zagrożenia już się zmieniły. Krótkie, cykliczne szkolenia sprawdzają się lepiej właśnie dlatego, że da się je wcisnąć między dwie zmiany, a symulacja ataku phishingowego pokazuje, jak ludzie naprawdę się zachowują, a nie tylko to, co napisali w quizie. Jak organizacja opiekuńcza wdraża to w swoją kulturę, omówiliśmy w naszym artykule o kulturze świadomości bezpieczeństwa w holenderskiej służbie zdrowia.

W tej dziedzinie jedna zasada ma większe znaczenie niż gdziekolwiek indziej: zgłaszanie musi być bezbłędne i szybkie. W branży, gdzie każdy błąd wydaje się porażką wobec pacjenta, naturalną reakcją jest milczenie, a to właśnie milczenie sprawia, że pojedyncze kliknięcie zamienia się w incydent, który trafia do systemu ewidencyjnego.

Jak Guardey wspiera placówki służby zdrowia

Szkolenie Guardey z zakresu świadomości bezpieczeństwa opiera się na cotygodniowych wyzwaniach trwających około trzech minut, z elementami grywalizacji, takimi jak tabele wyników i serie, oraz treściami nawiązującymi do rzeczywistych zagrożeń krążących w sieci. Właśnie ten format jest kluczowy w służbie zdrowia: można je wcisnąć w przerwę, zamiast rezerwować na to całe popołudnie, a pracownicy szkolą się w aplikacji mobilnej na iOS i Androida albo po prostu w przeglądarce – co pozwala objąć szkoleniem nawet tych, którzy nigdy nie siedzą przy biurku.

Zintegrowane symulacje phishingu pokazują, czy wiedza przekłada się na rzeczywiste zachowanie, a raporty gotowe do audytu zamieniają udział i postępy w dowody zgodności z normą NEN 7510, AVG i NIS2. Organizacje opieki zdrowotnej, w tym Psyned, Odion i Roosevelt Kliniek, współpracują z Guardey, a nasza strona poświęcona szkoleniom z zakresu świadomości bezpieczeństwa w służbie zdrowia wyjaśnia, jak to działa w zależności od rodzaju organizacji. Konfiguracja zajmuje zaledwie kilka minut.

Najczęściej zadawane pytania dotyczące bezpieczeństwa informacji w służbie zdrowia

Czy norma NEN 7510 jest obowiązkowa dla każdego dostawcy usług opieki?

Stanowi to branżową normę w zakresie postępowania z danymi pacjentów, a w praktyce właśnie tego oczekują od ciebie przełożeni, ubezpieczyciele i klienci – choć dokładny zakres obowiązków zależy od twojej roli i zawartych umów. Uzyskanie certyfikatu to osobna decyzja, niezależna od przestrzegania standardu; wiele organizacji stosuje się do standardu, nie posiadając certyfikatu.

Co uznaje się za naruszenie bezpieczeństwa danych w służbie zdrowia?

Każda sytuacja, w której dane osobowe były narażone na utratę lub niezgodne z prawem przetwarzanie: plik wysłany do niewłaściwego odbiorcy, zgubione urządzenie, nieuprawniony wgląd w rekord danych albo zaszyfrowany system. To, czy trzeba to zgłosić, zależy od ryzyka dla osób, których to dotyczy, a w przypadku danych medycznych ten próg jest szybko przekraczany.

Jak szkolimy pracowników na zmianach?

Wystarczy porzucić założenie, że wszyscy muszą być w jednym pomieszczeniu. Krótkie moduły na telefonie, dostępne zawsze, gdy tylko zajdzie taka potrzeba, docierają do pracowników agencji i nocnej zmiany, których sesje stacjonarne z natury rzeczy pomijają. Liczy się raczej rytm niż długość: kilka minut tygodniowo to lepsze rozwiązanie niż jedno popołudnie w roku.

Czy możemy rozmawiać o pacjentach przez WhatsApp?

Aplikacje do komunikacji z klientami nie są przeznaczone do przetwarzania danych z kategorii specjalnej i zazwyczaj nie spełniają wymogów umów, które placówka opieki musi zawrzeć w sprawie przetwarzania i przechowywania danych. Praktycznym rozwiązaniem nie jest po prostu zakazanie tego, ale zaoferowanie równie szybkiej alternatywy, bo zasada, która kosztuje czas, przegrywa z aplikacją, która go oszczędza.

Sukces czy porażka bezpieczeństwa informacji w służbie zdrowia zależy od tego, czy środki są dopasowane do pracy. Zasady, które zakładają, że ludzie będą się tym zajmować bez pośpiechu, zostaną obejście przez tych, którzy nie mają na to czasu, podczas gdy mały nawyk, który da się wcisnąć między wizyty dwóch pacjentów, ma szansę się utrzymać. Organizacje, które to dobrze rozumieją, to nie te z najsurowszymi zasadami, ale te, w których zgłaszanie czegoś dziwnego jest tak normalne jak mycie rąk.