Cyberhigiena personelu medycznego - trzecia kompetencja w zawodzie medycznym
- Praca w zawodzie medycznym opiera się dziś na trzech kompetencjach. Do wiedzy klinicznej i obowiązków dokumentacyjnych doszła cyberhigiena personelu medycznego.
- Największe zmiany dotyczą trzech rzeczy: kont imiennych, sprzętu służbowego oraz obiegu dokumentacji poza oficjalnymi narzędziami.
- Obejścia systemowe nie powstają ze złej woli, lecz z braków w narzędziach. Dlatego zgłoszenie obejścia jest dla placówki cenniejsze niż ciche porzucenie go.
- Odpowiedzialność jest obustronna. Personel medyczny ma prawo oczekiwać sprawnych narzędzi, szkoleń prowadzonych w formie warsztatu oraz procedury zgłoszeń, która nie kończy się rozmową dyscyplinującą.
Spis treści
- Na ilu kompetencjach opiera się dziś praca w zawodzie medycznym?
- Jakie trzy kategorie kompetencji obejmuje dziś praca personelu medycznego?
- Czym właściwie jest cyberhigiena personelu medycznego?
- Shadow IT: jak wygląda praca bez cyberhigieny?
- Co zmienia rezygnacja ze wspólnych kont na dyżurze lekarskim?
- Dlaczego praca na własnym sprzęcie w szpitalu przestała być dopuszczalna?
- Jak nowy standard cyberhigieny wygląda w codziennej praktyce oddziału?
- Dlaczego cyberhigiena nie jest obowiązkiem do odhaczenia?
- Czego personel medyczny ma prawo oczekiwać od pracodawcy?
- Jak wygląda dobrze poprowadzona zmiana z perspektywy szpitalnego oddziału?
- Najczęściej zadawane pytania
- Szkolenia, które personel faktycznie zastosuje
Na ilu kompetencjach opiera się dziś praca w zawodzie medycznym?
Przez dekady zawód medyczny opierał się na dwóch filarach: wiedzy klinicznej oraz obowiązkach formalnych związanych z dokumentacją medyczną. Dziś doszedł trzeci, czyli cyberhigiena personelu medycznego, czyli sposób, w jaki pracownicy korzystają z kont, urządzeń i systemów. Nie jest to dodatek do pracy, lecz jej część.
Zmiana nie polega na tym, że personel medyczny ma przejąć zadania działu informatycznego. Polega na tym, że kilkanaście codziennych czynności przestało być kwestią wygody: logowanie, przesłanie zdjęcia, otwarcie załącznika, odejście od stanowiska.
Od tych czynności zależy dziś bezpieczeństwo danych pacjentów bardziej niż od pojedynczego zabezpieczenia technicznego. Powód jest prosty: zabezpieczenie techniczne działa tam, gdzie je zainstalowano, a nawyk działa na każdym stanowisku, przy każdym logowaniu i o każdej godzinie dyżuru.
Jakie trzy kategorie kompetencji obejmuje dziś praca personelu medycznego?
Praca w placówce medycznej opiera się na trzech zbiorach kompetencji. Dwa pierwsze są w programach kształcenia od dekad, więc praktyka wokół nich jest ustalona: wiadomo, czego uczyć, w jakim cyklu i jak to dokumentować. Trzeci ma dziś tę samą wagę. Przepisy go nakładają, powstają programy szkoleniowe i warsztaty, ale jest znacznie młodszy. Dlatego pytania dotyczą nie tego, czy go wprowadzać, lecz jak.
Kompetencje kliniczne obejmują wiedzę medyczną, umiejętności praktyczne i doświadczenie. Rozstrzygają o tym, co należy zrobić z pacjentem.
Kompetencje administracyjne obejmują prowadzenie dokumentacji medycznej, zasady jej udostępniania i obowiązki sprawozdawcze. Rozstrzygają o tym, czy wykonane świadczenie zostanie prawidłowo udokumentowane i rozliczone.
Cyberhigiena obejmuje pięć obszarów: uwierzytelnianie i pracę na kontach imiennych, rozpoznawanie prób wyłudzenia danych, obieg dokumentów kanałami służbowymi, korzystanie ze sprzętu i sieci placówki oraz reakcję na zdarzenie, które wygląda nietypowo. Rozstrzyga o tym, czy dwa poprzednie zbiory kompetencji da się w ogóle wykorzystać.
To nie jest figura retoryczna, lecz zależność operacyjna. Decyzja kliniczna wymaga dostępu do historii leczenia i wyników badań. Udokumentowanie świadczenia wymaga działającego systemu medycznego, w którym ta dokumentacja jest prowadzona. Jedno i drugie odbywa się dziś wyłącznie w systemach informatycznych. Przy niedostępnym systemie najlepsza wiedza medyczna nie przekłada się na decyzję, a najstaranniejsza dokumentacja nie powstaje.
Dlatego cyberhigiena nie jest nadbudową nad dwoma pozostałymi zbiorami. Leży pod nimi, a zbioru kompetencji o takim umiejscowieniu nie buduje się jednym szkoleniem w roku, podobnie jak nie buduje się tak kompetencji klinicznych.
Z takiego umiejscowienia wynikają dwie konsekwencje praktyczne, które odróżniają cyberhigienę od dwóch wymienionych powyżej kategorii.
- Zakres osobowy jest szerszy. Kompetencje kliniczne dotyczą personelu medycznego, a administracyjne tych, którzy prowadzą dokumentację. Cyberhigiena dotyczy każdego, kto loguje się do systemu: także rejestracji, kadr, księgowości i kierownictwa.
- Mierzy się ją zachowaniem, nie wiedzą. Egzamin sprawdza, czy ktoś wie. Tutaj liczy się, czy w konkretnej sekundzie dyżuru zablokuje ekran i zatrzyma się przed kliknięciem w załącznik. Stąd przewaga krótkich, powtarzanych form nad jednorazowym wykładem.
Pytanie kontrolne dla placówki: w ilu dokumentach wewnętrznych cyberhigiena jest wymieniona na równi z dwiema pozostałymi kategoriami? W opisach stanowisk, w planie szkoleń, w procedurze wdrożenia nowego pracownika, w zakresie obowiązków. Jeśli występuje wyłącznie w polityce bezpieczeństwa informacji, to typowy etap dla obszaru, który wszedł do placówki niedawno, ale oznacza też, że formalnie jest częścią dokumentacji działu informatycznego, a nie częścią stanowiska pracy.
Czym właściwie jest cyberhigiena personelu medycznego?
Cyberhigiena personelu medycznego to zbiór nawyków, nie wiedza informatyczna. Obejmuje pięć obszarów: sposób logowania, postępowanie z pocztą, obieg dokumentów, korzystanie z urządzeń oraz reakcję na coś, co wygląda podejrzanie.
Bezpieczeństwo systemów informatycznych w szpitalu zależy od tych nawyków w stopniu porównywalnym z zabezpieczeniami technicznymi, co opisaliśmy szerzej w tekście o cyberbezpieczeństwie szpitala zgodnie z ustawą o KSC.
Najbliższą analogią jest dezynfekcja rąk. Nikt nie nazywa jej kompetencją mikrobiologiczną ani nie oczekuje, że pielęgniarka wyjaśni mechanizm działania preparatu. Jest to standard postępowania: prosty, powtarzalny, obowiązujący niezależnie od stanowiska i stosowany bez zastanowienia.
Z analogii wynika praktyczny wniosek dotyczący formy nauki. Liczy się utrwalenie kilku odruchów, nie zakres przekazanego materiału. Dlatego edukacja personelu medycznego w tym obszarze działa lepiej w krótkich, powtarzanych porcjach niż w formie jednorazowego wykładu.
Shadow IT: jak wygląda praca bez cyberhigieny?
Cyberhigiena w szpitalu oznacza wykonywanie codziennych czynności w systemach i narzędziach, które personel szpitala zna i nadzoruje. Shadow IT to ta sama czynność wykonana poza nimi, prywatnym komunikatorem, na własnym dysku, w aplikacji pobranej samodzielnie.
Cel bywa dokładnie ten sam: skonsultować zdjęcie, przekazać grafik, dostać się do dokumentu. Różnica dotyczy jednej rzeczy, czy po wykonaniu tej czynności zostaje w placówce jakikolwiek ślad.
Cztery najczęstsze obejścia i nawyk, który każde z nich zastępuje:
- Prywatny komunikator zamiast kanału służbowego. Konsultacja się odbywa, obraz dociera do adresata. Nie powstaje natomiast żaden zapis, kto widział dane pacjenta, a przy pytaniu o to po kilku miesiącach placówka nie ma czym odpowiedzieć.
- Grafik na prywatnym dysku zamiast w systemie placówki. Zespół ma dostęp, dopóki właściciel dysku pracuje w placówce. Po jego odejściu dane pozostają na koncie, nad którym placówka nie ma już żadnej kontroli.
- Własny router na oddziale zamiast sieci placówki. Problem z zasięgiem zostaje rozwiązany. Jednocześnie w sieci pojawia się urządzenie, którego nie ma w żadnym rejestrze, więc nie podlega aktualizacjom ani monitorowaniu.
- Aplikacja pobrana samodzielnie zamiast oprogramowania dopuszczonego przez placówkę. Narzędzie działa wygodniej od tego w systemie. Nikt jednak nie wie, gdzie trafiają wprowadzone do niego dane ani czy jest jeszcze aktualizowane.
Warto powiedzieć wprost: te rozwiązania nie powstają ze złej woli. Powstają dlatego, że oficjalne narzędzie działa wolno, wymaga zbyt wielu kliknięć albo nie ma potrzebnej funkcji. Personel szuka najkrótszej drogi do wykonania zadania i z perspektywy dyżuru jest to zachowanie racjonalne. Obejście jest zwykle objawem braku w narzędziu, nie braku kompetencji.
Problem z shadow IT w placówkach medycznych leży w konsekwencji, nie w intencji. Wspólnym mianownikiem wszystkich czterech przypadków jest utrata śladu: czynność została wykonana, ale placówka nie ma jej w żadnym zapisie. Najpoważniejszy skutek ujawnia się przy incydencie, bo wtedy nie da się ustalić, co dokładnie wyciekło. Bez tej informacji nie da się ani ocenić skali zdarzenia, ani prawidłowo opisać go w zgłoszeniu do organu nadzoru.
Jak sprawdzić (shadow IT), czy obejścia występują w placówce. Przeglądanie logów pokazuje tylko to, co przechodzi przez systemy placówki, a shadow IT z definicji przez nie nie przechodzi. Szybszą metodą jest rozmowa z personelem medycznym i administracyjnym. Można to zrobić na wiele bardzo prostych sposobów. Jednym z nich jest zadanie pytania podczas odprawy przed rozpoczęciem dyżuru, czym zespół załatwia trzy czynności:
- szybką konsultację obrazu,
- przekazanie grafiku,
- dostęp do dokumentu poza stanowiskiem.
Odpowiedzi wskażą obejścia w kilka minut, pod warunkiem, że pytania nie będą miały charakteru kontroli i represyjnej weryfikacji. Stąd kolejność, która działa: najpierw ustalić, jakich funkcji brakuje, potem uzupełnić narzędzia, a zakaz wprowadzić na końcu.
Wskazówka Coongi: Obejście warto zgłosić, zamiast po cichu z niego rezygnować
Każde obejście jest informacją o brakującej funkcji w oficjalnym systemie. Zgłoszenie w rodzaju „używam prywatnego komunikatora, bo w systemie nie ma szybkiej konsultacji obrazu” jest dla placówki cenniejsze niż ciche zaprzestanie. Pierwsze prowadzi do naprawy narzędzia, drugie do powrotu obejścia za miesiąc, tym razem już bez wiedzy kogokolwiek.
Co zmienia rezygnacja ze wspólnych kont na dyżurze lekarskim?
To zmiana odczuwalna najmocniej. Współdzielone konto w systemie dziedzinowym bywa wieloletnią praktyką całych oddziałów, uzasadnianą tempem pracy: jedno logowanie na zmianę, wszyscy korzystają.
Powód rezygnacji nie ma nic wspólnego z nieufnością wobec zespołu. Chodzi o to, że przy wspólnym koncie nie da się odtworzyć, kto wykonał daną czynność. Jeśli dojdzie do incydentu, analiza kończy się na nazwie konta, a odpowiedzialność rozkłada się na wszystkich, którzy z niego korzystali.
Przepisy wiążą bezpieczeństwo danych osobowych z rozliczalnością, czyli z możliwością przypisania działania do konkretnej osoby. Bez kont imiennych placówka medyczna nie może tego wykazać podczas kontroli, nawet jeśli faktycznie panuje nad dostępem do oprogramowania medycznego.
Jest w tym również element ochronny dla pracownika, o którym mówi się rzadko. Konto imienne nie tylko wskazuje, kto coś zrobił. Przede wszystkim dowodzi, czego dana osoba nie zrobiła. Przy współdzielonym loginie takiego dowodu po prostu nie ma, a przy zarzucie o nieuprawniony wgląd do dokumentacji broni się cały zespół naraz.
Dlaczego praca na własnym sprzęcie w szpitalu przestała być dopuszczalna?
Prywatny laptop wniesiony na dyżur, telefon używany do zdjęć dokumentacji, pendrive przenoszący wyniki między stanowiskami. Wszystkie te sytuacje mają wspólny mianownik: urządzenie nie podlega aktualizacjom ani kontroli placówki medycznej, a dokumentacja medyczna, która na nie trafi, formalnie opuszcza szpital.
Bezpieczeństwo infrastruktury IT placówki medycznej opiera się na kompletnej liście urządzeń i każde nieujawnione ją unieważnia. Prywatny telefon podłączony do sieci szpitalnej pozostaje poza tą listą. Nie ma go w rejestrze, nie obejmują go zabezpieczenia i nie da się go sprawdzić po incydencie. Na koniec warto wziąć pod rozwagę jeszcze jeden aspekt tej sytuacji: sam zakaz nie działa, jeśli nie towarzyszy mu alternatywa. Szpital, która zabrania korzystania z prywatnych telefonów, ale nie zapewnia sprzętu służbowego ani sprawnego kanału konsultacji, uzyska jedynie tyle, że obejścia staną się mniej widoczne.
Jak nowy standard cyberhigieny wygląda w codziennej praktyce oddziału?
Poniższe zestawienie porządkuje sześć najważniejszych zmian. Trzecia kolumna podaje powód, ponieważ zasada bez uzasadnienia jest stosowana tylko wtedy, gdy ktoś patrzy.
Sytuacja | Nowy standard | Dlaczego tak |
|---|---|---|
Logowanie do systemu | Konto imienne, także na dyżurze nocnym | Umożliwia odtworzenie zdarzeń i chroni pracownika |
Konsultacja obrazu lub wyniku | Wyłącznie kanał służbowy | Prywatny komunikator wyprowadza dane poza szpital |
Przekazanie dokumentu | Systemy placówki, nie nośniki prywatne | Pendrive nie podlega żadnej kontroli |
Serwisant przy stanowisku | Weryfikacja tożsamości i zgłoszenie do działu IT | Dostęp bez nadzoru to częsta droga wejścia |
Podejrzana wiadomość | Zgłoszenie, także przy wątpliwościach | Fałszywy alarm kosztuje minuty, przeoczenie dni |
Odejście od stanowiska | Blokada ekranu | Otwarta sesja to dostęp do dokumentacji dla każdego |
Dlaczego cyberhigiena nie jest obowiązkiem do odhaczenia?
Najczęstsze obiekcje personelu medycznego z jakimi można się spotkać niwelując shadow IT i wymuszając przestrzeganie zasad cyberhigieny brzmią: znowu procedury, znowu papiery, znowu coś do podpisania.
Różnica polega na tym, że tutaj stawką nie jest formalność, a bezpieczeństwo każdego pracownika i dokumentacji medycznej każdego pacjenta, którego historia leczenia znajduje się w systemie.
Przy zaszyfrowanej dokumentacji pierwsze konsekwencje ponosi pacjent. Odwołany zabieg, brak dostępu do historii leczenia, decyzje podejmowane bez pełnych danych. Mechanizm takich ataków i ich skutki dla pracy oddziału opisaliśmy w tekście o phishingu w szpitalu a dyrektywie NIS 2. Należy mieć świadomość, że brak odpowiednich przepisów, narzędzi, wiedzy i przestrzeganych procedur, to nie tylko ogromne zagrożenie dla pacjentów, ale również dla szpitala, jego dyrekcji, a nawet personelu, który nie dostosował się do nowych wytycznych wynikających z wdrożenia dyrektywy NIS 2.
Warto zestawić to z doświadczeniem placówek wobec przepisów o ochronie danych osobowych. Tam personel odbierał wymogi jako czysto administracyjne, ponieważ skutek naruszenia był odległy i formalny. Tutaj skutek jest natychmiastowy i kliniczny. Bezpieczeństwo danych pacjentów przekłada się bezpośrednio na możliwość ich leczenia. To inna kategoria obowiązku, choć w obu przypadkach wygląda podobnie na papierze.
Czego personel medyczny ma prawo oczekiwać od pracodawcy?
Ta lista bywa pomijana, a jest najważniejsza, bo nowe standardy działają wyłącznie wtedy, gdy odpowiedzialność jest obustronna. Perspektywę zespołu opisaliśmy osobno w tekście o wdrożeniu NIS 2 oczami personelu. Mimo to warto wskazać na kluczowe elementy, które jednostka medyczna powinna spełnić by niwelowania zagrożenia cyberatakami było jak największe:
- Narzędzia działające na tyle sprawnie, by obejścia przestały być kuszące. Jeśli logowanie trwa minutę, personel znajdzie sposób, żeby go uniknąć.
- Szkolenia prowadzone jako warsztat, nie prezentacja. Z ćwiczeniem rozpoznawania sytuacji zamiast testu z definicji.
- Edukacja personelu medycznego powtarzana w cyklu, a nie raz na kilka lat. Nawyk powstaje przez powtórzenie, więc jednorazowe szkolenie go nie wytworzy.
- Procedura zgłaszania incydentów opisana prosto: jeden numer lub adres, znany wszystkim, działający również w nocy.
- Brak konsekwencji dyscyplinarnych za zgłoszenie własnej pomyłki.
Ostatni punkt jest kluczowy i wart osobnego zdania. Kultura karania powoduje, że pomyłki są ukrywane, a każda godzina zwłoki zwiększa skalę szkody. Jednostka medyczna, w której zgłoszenie kliknięcia w podejrzany link kończy się rozmową dyscyplinującą, kupuje sobie ciszę zamiast bezpieczeństwa.
Zarządzanie ryzykiem w cyberbezpieczeństwie zaczyna się więc od gotowości ludzi do mówienia o błędach, a nie od konfiguracji narzędzi. Bez zgłoszeń placówka opiera analizę ryzyka na danych niepełnych (widzi tylko te zdarzenia, które wykryła sama).
Wskazówka Coongi: Zgłoszenie w ciągu minut zmienia skalę zdarzenia
Kliknięcie w podejrzany link nie jest jeszcze incydentem poważnym. Staje się nim wtedy, gdy nikt o nim nie wie, a napastnik ma czas na kolejne kroki. Przy zgłoszeniu natychmiastowym dział informatyczny może zablokować konto i wymusić zmianę hasła, zanim cokolwiek się stanie. Przy zgłoszeniu po dwóch dniach pracuje już na skutkach, nie na zapobieganiu. Przy wątpliwości, czy zgłaszać, warto zgłaszać koszt fałszywego alarmu to kilka minut pracy jednej osoby. Wobec tego można uznać, że nawet nadmierna ostrożność i ograniczone zaufanie jest lepszym podejściem niż bagatelizowanie niecodziennych zdarzeń i groźnych zachowań.
Jak wygląda dobrze poprowadzona zmiana z perspektywy szpitalnego oddziału?
Wdrożenia NIS 2, które się przyjmują, mają cztery cechy wspólne. Zmiany wprowadzane są etapami, a nie wszystkie naraz. Konsultuje się je z osobami, które będą ich przestrzegać, bo pielęgniarka oddziałowa wskaże problem szybciej niż jakikolwiek audyt. Nowe zasady testuje się najpierw na jednym oddziale, a dopiero potem rozszerza. I wreszcie: komunikat wychodzi od dyrekcji, nie od działu informatycznego. Tak zaplanowane wdrożenie NIS 2 w szpitalu nie kończy się listą zakazów, lecz zmianą sposobu pracy, której nikt po pół roku nie kwestionuje.
Warto też pamiętać, że personel medyczny nie jest w tym procesie stroną bierną. To właśnie zespół najszybciej wychwytuje wiadomości, które wyglądają nietypowo, bo zna ton korespondencji z laboratorium czy z płatnikiem lepiej niż jakikolwiek filtr techniczny. Gotowy program budujący te nawyki opisaliśmy na stronie poświęconej szkoleniom z cyberbezpieczeństwa dla personelu medycznego.
Najczęściej zadawane pytania
Czy cyberhigiena to obowiązek personelu medycznego, czy działu IT?
Obu stron, ale w różnym zakresie. Dział informatyczny odpowiada za zabezpieczenia techniczne i za sprawność narzędzi, personel medyczny za sposób korzystania z nich. Bezpieczeństwo systemów informatycznych w szpitalu nie działa, jeśli którakolwiek ze stron traktuje swoją część jako opcjonalną. Konfiguracja bez nawyków zostawia otwarte najczęstsze wejście, a nawyki bez narzędzi nie mają na czym się oprzeć.
Czy za kliknięcie w podejrzany link grożą konsekwencje służbowe?
W dobrze zaprojektowanej procedurze nie. Celem zgłoszenia jest szybka reakcja, nie ustalenie winnego. Placówki, które karzą za pomyłki, uzyskują skutek odwrotny do zamierzonego: personel przestaje zgłaszać zdarzenia, przez co czas reakcji wydłuża się z minut do dni. Warto, aby zasada braku konsekwencji była zapisana w procedurze, a nie wyłącznie zapowiedziana ustnie.
Czy mały szpital powiatowy może rozłożyć wdrożenie na dłużej niż 12 miesięcy?
Termin jest identyczny dla wszystkich placówek, niezależnie od wielkości. Podmioty objęte ustawą mają te same daty graniczne. Przepisy dopuszczają natomiast proporcjonalność środków do ryzyka i skali podmiotu, więc zakres prac w mniejszej placówce bywa węższy, ale nie późniejszy.
Czy można używać prywatnego telefonu do konsultacji z lekarzem?
Nie, jeśli konsultacja obejmuje dane pacjentów lub zdjęcia dokumentacji. Prywatne urządzenie nie podlega kontroli jednostki medycznej, więc po przesłaniu pliku nikt nie jest w stanie ustalić, gdzie te dane się znajdują ani kto ma do nich dostęp. Szpital powinien w zamian zapewnić kanał służbowy, bez niego zakaz pozostaje wyłącznie na papierze, a obejścia stają się jedynie mniej widoczne.
Kto powinien szkolić personel medyczny: dział IT czy firma zewnętrzna?
Decyduje forma, nie wykonawca. Skuteczna edukacja personelu medycznego opiera się na przykładach z realnej pracy oddziału oraz na ćwiczeniu reakcji, a nie na wykładzie o zagrożeniach. Szkolenie prowadzone przez osobę znającą realia dyżuru działa lepiej niż najlepsza prezentacja. Jeśli dział informatyczny potrafi poprowadzić warsztat w tej formule, nie potrzeba nikogo z zewnątrz.
Szkolenia, które personel faktycznie zastosuje
Program oparty na krótkich modułach buduje nawyki opisane w tym tekście. Konta imienne, obieg dokumentacji kanałem służbowym, zgłaszanie zdarzeń bez zwłoki. Pomagamy dobrać zakres do liczby pracowników i do organizacji pracy w placówce medycznej. Rozmowa jest bezpłatna i niezobowiązująca.