Jak szkolić personel medyczny z cyberbezpieczeństwa przy pracy zmianowej?

O czym musisz pamiętać planując szkolenia z cyberbezpieczeństwa :

Praca zmianowa wyklucza w praktyce jedno wspólne szkolenie stacjonarne dla całego zespołu. Nie z powodu kosztu, lecz arytmetyki grafiku.
Cel szkolenia z cyberbezpieczeństwa to odruch w konkretnej sekundzie, nie zasób wiedzy. Odruchu nie buduje wykład, buduje go powtórzenie w kontekście.
Microlearning rozwiązuje trzy problemy naraz: dostępność przy pracy zmianowej, powtarzalność potrzebną do utrwalenia nawyku oraz dokumentację powstającą automatycznie.
Odpowiedź na pytanie, jak szkolić personel medyczny z cyberbezpieczeństwa, brzmi: formatem mieszanym. Krótkie moduły dla całego zespołu, warsztat stacjonarny punktowo dla kadry zarządzającej i ćwiczeń zespołowych.

Spis treści

Jaki format szkolenia sprawdzi się przy pracy zmianowej?
Dlaczego wykład nie wystarcza, jeśli celem jest odruch?
Co daje szkolenie stacjonarne i gdzie się kończy?
Czym jest microlearning?
Dlaczego microlearning sprawdza się najlepiej w edukacji personelu szpitala z cyberbezpieczeństwa?
Jakie przewagi daje microlearning w placówce medycznej?
Jak wyglądają formaty szkoleń w porównaniu?
Jak szybko da się zmienić treść szkolenia, gdy pojawi się nowa metoda ataku?
Czy microlearning wyklucza szkolenie stacjonarne w szpitalu?
Jak zmienia się proporcja przy różnej wielkości placówki?
Jak szkolić personel medyczny z cyberbezpieczeństwa. Plan dla placówki?
Najczęściej zadawane pytania o szkolenie personelu medycznego
Szkolenia, które budują nawyki, a nie tylko listę obecności

Dyskusja o formie szkoleń zwykle zatrzymuje się na kosztach i wygodzie. To za mało, żeby podjąć decyzję, bo pomija pytanie najważniejsze: co właściwie ma być efektem szkolenia. Od odpowiedzi na nie zależy wybór formatu, a nie odwrotnie. Pytanie, jak szkolić personel medyczny z cyberbezpieczeństwa, ma więc inną odpowiedź niż to samo pytanie zadane o szkolenia produktowe czy proceduralne. Szkolenia z cyberbezpieczeństwa w szpitalu mają inny cel niż większość szkoleń prowadzonych w placówkach medycznych.

Jaki format szkolenia sprawdzi się przy pracy zmianowej?

Przy pracy w systemie zmianowym najlepiej sprawdza się microlearning. Krótkie moduły dostępne całą dobę, które każdy pracownik realizuje w dogodnym momencie, bez zbierania całego zespołu w jednym miejscu i czasie. Wobec tego należy zadać sobie pytanie, jak szkolić personel medyczny z cyberbezpieczeństwa w takim układzie,
a część podstawową realizuje się online, a formę stacjonarną rezerwuje na sytuacje wymagające dyskusji. Szkolenie stacjonarne zachowuje sens jako uzupełnienie punktowe: dla kadry zarządzającej oraz przy ćwiczeniu reagowania na incydenty bezpieczeństwa.

Dlaczego wykład nie wystarcza, jeśli celem jest odruch?

Tu leży sedno sprawy. Większość szkoleń w placówce medycznej ma przekazać wiedzę, którą pracownik następnie zastosuje, gdy będzie potrzebna. I taką wiedzę wykład przekazuje skutecznie. Cyberbezpieczeństwo działa inaczej.

Moment, w którym wiedza o cyberbezpieczeństwie ma zadziałać, trwa kilka sekund i wygląda zupełnie zwyczajnie: wiadomość w skrzynce między dwoma pacjentami, prośba o pilne potwierdzenie danych, telefon od kogoś, kto podaje się za serwis. Ataki phishingowe opierają się właśnie na tej zwyczajności, dlatego cyberbezpieczeństwo personelu medycznego trenuje się na przykładach, nie na definicjach.

W tej sekundzie nikt nie przypomina sobie treści prezentacji z marca. Zadziała albo nie zadziała odruch. Nawyk sprawdzenia adresu nadawcy, zatrzymania się przed kliknięciem, zadania pytania kontrolnego. Nawyk powstaje przez powtórzenie w kontekście, nie przez jednorazowe wysłuchanie. To jedyny powód, dla którego forma szkolenia ma tu znaczenie większe niż w innych obszarach.

Stąd praktyczny wniosek dla dyrekcji: szkolenie personelu medycznego należy oceniać nie po tym, ile treści przekazało, lecz po tym, czy zmieniło zachowanie przy stanowisku. Wykład, choćby najlepszy, kończy się w chwili, w której uczestnicy wychodzą z sali. Cykl krótkich powtórzeń przebiega równolegle do pracy i o tę pracę się zaczepia. Zabezpieczenie danych pacjentów zależy właśnie od tego zaczepienia, bo decyzja zapada przy stanowisku, nie na sali konferencyjnej.

Warto nazwać stawkę wprost. Zabezpieczenie danych pacjentów nie jest celem samym w sobie i rozstrzyga o tym, czy oddział pracuje w swoim systemie, czy na papierze. Przetwarzanie danych medycznych odbywa się dziś niemal wyłącznie w elektronicznej dokumentacji medycznej, więc utrata dostępu zatrzymuje pracę kliniczną, a nie tylko administracyjną. Bezpieczeństwo pacjenta zależy zatem od tego samego mechanizmu co bezpieczeństwo danych medycznych: od tego, czy ktoś rozpozna moment, w którym “coś” jest nie w porządku. Ochrona danych medycznych i bezpieczeństwo pacjenta to w praktyce jedna sprawa. Wobec tego należy uznać, że ryzyko wycieku danych rośnie wszędzie tam, gdzie zabezpieczenie danych pacjentów opiera się wyłącznie na narzędziach.

Co daje szkolenie stacjonarne i gdzie się kończy?

Jakie mocne strony ma forma stacjonarna?

Bezpośredni kontakt z prowadzącym i możliwość zadania pytania o konkretną sytuację z własnego oddziału.
Dyskusja w grupie, która ujawnia praktyki niewidoczne w żadnym raporcie, na przykład konta współdzielone albo obejścia procedur przyjęte „bo tak jest szybciej”.
Ćwiczenie scenariuszy zespołowych, gdzie liczy się współdziałanie kilku osób: reagowanie na incydenty bezpieczeństwa, przekazanie zgłoszenia, decyzja o odłączeniu stanowiska.
Sygnał organizacyjny: obecność dyrekcji na sali komunikuje wagę tematu mocniej niż komunikat w intranecie.

Dlaczego forma szkolenia personelu medycznego to kwestia grafiku, a nie budżetu?

Ograniczenie formy stacjonarnej w szpitalu bywa sprowadzane do kwestii budżetu. W rzeczywistości jest to arytmetyka grafiku. Placówka pracująca w trzech zmianach, z zespołami rozłożonymi na kilkanaście oddziałów, nie ma momentu, w którym cały personel mógłby znaleźć się w jednym pomieszczeniu. Gdyby taki moment powstał, oznaczałby wstrzymanie pracy oddziałów.

Praktyczna konsekwencja: żeby objąć szkoleniem stacjonarnym 500 osób, trzeba zorganizować kilkanaście do kilkudziesięciu edycji rozłożonych na tygodnie, z których każda wymaga sali, prowadzącego i zwolnienia części zespołu z obowiązków. Ostatnia grupa przechodzi szkolenie na tyle później niż pierwsza, że treść bywa w tym czasie częściowo nieaktualna. Uczestnictwo personelu nocnej zmiany oznacza natomiast albo przyjście w dniu wolnym, albo pozostanie po dyżurze (jedno i drugie obniża frekwencję i jakość uwagi).

Obowiązek dotyczy szerokiego kręgu adresatów. Krajowy System Cyberbezpieczeństwa obejmuje podmioty medyczne spełniające kryteria wielkości i wskazuje dla nich konkretny katalog środków.Ten sam dla szpitala klinicznego i dla przychodni, która właśnie przekroczyła próg zatrudnienia. Bezpieczeństwo szpitali przestało więc być kwestią wewnętrznych ustaleń, a sektor ochrony zdrowia rozlicza się z zastosowanych metod środków ochrony na takich samych zasadach jak pozostałe sektory objęte przepisami.

Ochrona zdrowia ma jednak jedną cechę, która komplikuje samą organizację szkoleń: placówki medyczne pracują w trybie ciągłym i nie mają “okna”, w którym cały personel może jednocześnie uczestniczyć w szkoleniu. Szkolenia z cyberbezpieczeństwa w szpitalu muszą się zatem wpisać w ruch, którego nie da się zatrzymać. O skuteczności takiego szkolenie nie decyduje budżet, lecz to, czy formę szkolenia daje się pogodzić z grafikiem pracy.

ZOBACZ RÓWNIEŻ:

Czym jest microlearning?

Microlearning to nauka rozłożona na krótkie, samodzielne moduły trwające kilka minut, dostępne z telefonu lub komputera w dowolnym momencie. Każdy moduł zamyka jeden konkretny temat: rozpoznanie próby wyłudzenia danych uwierzytelniających, zasady blokowania stanowiska, postępowanie z nośnikiem znalezionym w korytarzu. Uczestnik nie musi rezerwować godziny w grafiku ani wracać do przerwanego kursu. Zamiast tego loguje się na indywidualne konto na platformie e-learningowej, wybiera konkretny moduł szkolenia, realizuje go, a następnie może przerwać szkolenie i ponownie do niego wrócić w wybranym momencie.

Microlearning traktuje więc cyberbezpieczeństwo jako temat, który wraca regularnie w małych porcjach, a nie jako wydarzenie w kalendarzu. Różnica jest organizacyjna i merytoryczna jednocześnie: krótka forma mieści się w realiach dyżuru, a powtarzalność odpowiada temu, jak powstaje nawyk. Regularne szkolenia stają się wtedy procesem, nie akcją, a szkolenia online pozwalają ten proces utrzymać bez układania grafiku. W konsekwencji można uznać, że microlearning jest bardziej elastyczną formą szkolenia i łatwiej ją wdrożyć uwzględniając realia pracy personelu placówek medycznych.

Dlaczego microlearning sprawdza się najlepiej w edukacji personelu szpitala z cyberbezpieczeństwa?

Nie każdy obszar nadaje się do podziału na kilkuminutowe fragmenty. Zagadnienie wymagające zrozumienia rozbudowanego modelu, na przykład zasady rozliczeń z płatnikiem, traci sens pocięte na kawałki. Cyberbezpieczeństwo personelu medycznego ma trzy cechy, które czynią je wyjątkowo dobrym kandydatem:

Temat składa się z rozłącznych sytuacji: rozpoznanie podejrzanej wiadomości, obsługa hasła, reakcja na prośbę o dane przez telefon. Każda z nich jest samodzielna i da się jej nauczyć osobno, bez znajomości pozostałych.
Liczy się rozpoznanie wzorca, nie zapamiętanie definicji: ataki phishingowe wykorzystują kilka stałych konstrukcji, więc trening polega na wielokrotnym zobaczeniu schematu w różnych wariantach, a to z natury wymaga wielu krótkich kontaktów, nie jednego długiego.
Zastosowanie następuje przy stanowisku, nie na sali: moduł przechodzony w środowisku pracy, na tym samym sprzęcie i w tych samych systemach informatycznych, w których pojawi się realna sytuacja, jest bliżej momentu decyzji niż prezentacja w sali konferencyjnej.

Warto dodać zastrzeżenie, którego sprzedawcy platform zwykle nie podnoszą: microlearning nie jest lepszy od wykładu sam z siebie. Przewagę daje mu dopasowanie do celu, a cele szkoleń bywają różne, nawet w obrębie jednej placówki.

Gdy celem jest odruch, wygrywa forma krótka i powtarzana. Pracownik rejestracji ma zatrzymać się przed kliknięciem w załącznik, nie zrekonstruować definicję ataku. Odruch powstaje przez wielokrotne powtórzenie w tym samym kontekście, w którym będzie potrzebny, czyli przy stanowisku, w trakcie zwykłej pracy.

Gdy celem szkolenia z cyberbezpieczeństwa personelu medycznego jest zrozumienie, krótkie moduły przeszkadzają. Inspektor ochrony danych albo osoba odpowiedzialna za zgodność musi wiedzieć, które przepisy ustawy o Krajowym Systemie Cyberbezpieczeństwa nakładają jaki obowiązek i jak te obowiązki łączą się ze sobą. Taka wiedza jest powiązana wewnętrznie: pocięta na kilkuminutowe fragmenty traci sens, a pytania pojawiają się w trakcie i wymagają odpowiedzi od razu. Tu lepsze jest omówienie prowadzone przez człowieka, w jednym bloku, z miejscem na dyskusję.

Dlatego o formacie nie decyduje technologia ani cena, lecz jedno pytanie: czy szkolenie ma zmienić zachowanie, czy przekazać uporządkowaną wiedzę.

Jakie przewagi daje microlearning w placówce medycznej?

Przewagi microlearningu w placówce medycznej nie dotyczą komfortu nauki, lecz tego, co w praktyce rozstrzyga o losie programu szkoleniowego: czy da się go doprowadzić do końca w warunkach pracy ciągłej. Programy szkoleniowe w szpitalach rzadko upadają z powodu słabych treści. Upadają na grafiku, na nocnej zmianie, na zapomnianym przypomnieniu i na liście obecności, której nikt nie zebrał z trzeciego oddziału.

W placówce zatrudniającej kilkaset osób wystarczy, że dwie z tych przeszkód zadziałają jednocześnie, a dokumentacja obejmie połowę zespołu. Formalnie szkolenie się odbyło, praktycznie zgodność dotyczy części placówki. Dlatego poniższą listę warto czytać nie jako zestaw funkcji platformy, lecz jako odpowiedzi na sześć konkretnych przeszkód organizacyjnych.

Zasięg bez zaburzania pracy oddziałów: cały personel może realizować program równolegle, bez zwalniania zespołów z dyżuru i bez układania grafiku edycji.
Dostępność przy pracy zmianowej: szkolenia online dostępne całą dobę oznaczają, że personel nocnej zmiany nie musi przychodzić w dniu wolnym ani zostawać po godzinach.
Powtarzalność wpisana w konstrukcję: cykl modułów zawiera powtórki z definicji, więc regularne szkolenia nie wymagają osobnego planowania przypomnień.
Dokumentacja powstająca automatycznie: data, zakres tematyczny i potwierdzenie ukończenia zapisują się przy każdym module, bez ręcznego zbierania list obecności po oddziałach.
Widoczność luk tematycznych: raport pokazuje, który obszar wypada słabiej w skali placówki, co pozwala powtórzyć jeden moduł zamiast całego programu.
Obsługa rotacji: nowy pracownik wchodzi do programu przy zakładaniu konta, a nie przy najbliższej edycji szkolenia.

Ostatnie dwa punkty mają bezpośredni związek z wymogami przepisów, ponieważ dotyczą dowodów, którymi placówka dysponuje podczas kontroli. Zarządzanie bezpieczeństwem informacji obejmuje edukację personelu jako jeden ze środków, a miejsce szkoleń w całości obowiązków opisaliśmy we wpisie o tym, z czego składa się wdrożenie NIS 2 w szpitalu.

Krótka forma ma jeszcze jedno następstwo, widoczne dopiero po kilku cyklach: personel zaczyna zgłaszać. Pracownik, który rozpoznaje typowe schematy, nie usuwa podejrzanej wiadomości w milczeniu, a zamiast tego pisze do działu informatycznego. Każde takie zgłoszenie to informacja, której żadne narzędzie nie wytworzy samo.

Podział kompetencji jest tu wyraźny. Systemy informatyczne wykryją anomalię w ruchu sieciowym, ale nie rozpoznają wiadomości, która wygląda jak zwykła korespondencja z laboratorium. Procedury bezpieczeństwa IT opisują, co zrobić po zgłoszeniu, ale nie sprawiają, że zgłoszenie powstanie.

Stąd wniosek praktyczny: monitorowanie incydentów bezpieczeństwa bez czujnego personelu widzi tylko część zdarzeń. Ryzyko wycieku danych pozostaje wtedy na wyjściowym poziomie, choć w raportach wygląda na opanowane. Podniesienie poziomu cyberbezpieczeństwa wymaga obu elementów naraz: konfiguracji i gotowości ludzi.

Jak wyglądają formaty szkoleń w porównaniu?

O budżet szkoleniowy placówek medycznych konkurują trzy formaty: szkolenie stacjonarne prowadzone przez trenera w sali, tradycyjny e-learning w postaci jednego długiego kursu oraz microlearning oparty na kilkuminutowych modułach. Poniższe zestawienie porównuje je według ośmiu kryteriów organizacyjnych: dostępności przy pracy zmianowej, czasu jednej jednostki, kosztu czasu pracy personelu, powtarzalności, dokumentacji i aktualizacji treści. Wszystkie pozycje są sprawdzalne i nie zawierają ocen, ponieważ ocena zależy od celu szkolenia.

Kryterium	Szkolenie stacjonarne	E-learning tradycyjny	Microlearning
Czy wymaga zebrania grupy w jednym czasie	Tak	Nie	Nie
Czas jednej jednostki	Od 1 do kilku godzin	Od 30 do 90 minut	Kilka minut
Realizacja w trakcie dyżuru	Niemożliwa bez zastępstwa	Trudna — wymaga ciągłego bloku czasu	Możliwa w przerwie
Liczba edycji dla 500 osób	Kilkanaście do kilkudziesięciu	Jedna — dostęp równoległy	Jedna — dostęp równoległy
Koszt czasu pracy personelu	Pełny czas szkolenia plus dojazd	Pełny czas kursu	Suma krótkich odcinków
Powtórki w cyklu rocznym	Wymagają kolejnych edycji	Wymagają ponownego przejścia kursu	Wbudowane w konstrukcję programu
Sposób powstawania dokumentacji	Ręczna lista obecności	Zależy od platformy	Automatyczny zapis przy każdym module
Aktualizacja treści	Nowa edycja i ponowne szkolenie grup	Wymiana całego kursu	Wymiana pojedynczego modułu

Trzy wnioski z tego zestawienia.

Formaty nie różnią się jakością, lecz zachowaniem przy skali. Przy dwudziestu osobach każdy z nich działa. Przy 500 sprawę przesądza wiersz o liczbie edycji, kilkanaście terminów trzeba obsadzić prowadzącym, znaleźć na nie salę i wpisać w grafik oddziałów, a ostatnia grupa szkoli się tygodnie po pierwszej.

O koszcie decyduje nie faktura, lecz czas pracy personelu. To jedyna pozycja, która rośnie proporcjonalnie do liczby zatrudnionych i jednocześnie nie pojawia się w żadnej ofercie. Dlatego przy porównywaniu cen bywa pomijana, choć zwykle przewyższa sam koszt usługi.

Wiersz o dokumentacji jest jedynym, w którym różnica jest zerojedynkowa. Zapis powstaje albo automatycznie, albo nie powstaje w ogóle, jeśli ktoś nie zebrał listy obecności. Przy wyborze formatu to kryterium wygląda na drugorzędne, a podczas kontroli okazuje się rozstrzygające, bo właśnie ten dokument trzeba przedstawić.

Wiersza o utrwalaniu wiedzy świadomie nie ma. Wymagałby oceny, której nie da się poprzeć danymi dla konkretnej placówki. Sam mechanizm da się natomiast opisać bez stopniowania: jednorazowa sesja nie zawiera powtórek, a cykl krótkich modułów zawiera je z definicji.

Jak szybko da się zmienić treść szkolenia, gdy pojawi się nowa metoda ataku?

Przykład z praktyki. Do skrzynek w placówce trafia nowa fala wiadomości podszywających się pod system e-skierowań: wyglądają jak powiadomienie systemowe, a prowadzą do strony podrabiającej ekran logowania. Dział informatyczny wie o tym w ciągu kilku dni. Pytanie brzmi: po jakim czasie dowie się o tym personel?

W formacie stacjonarnym droga jest długa:

aktualizacja materiału i przygotowanie prowadzącego,
znalezienie budżetu, jeśli cykl na dany rok został już rozliczony,
ustalenie terminów i obsadzenie kilkunastu edycji,
przeprowadzenie ich w grafiku oddziałów, grupa po grupie.

W praktyce oznacza to decyzję odłożoną do kolejnego roku budżetowego. Personel medyczny uczy się wtedy o zagrożeniach z poprzedniego sezonu. Sytuacja ta ma miejsce nie z powodu zaniedbania, lecz dlatego, że tak działa procedura.

W formacie krótkich modułów droga jest krótka: wymienia się jeden moduł. Pozostałe zostają nietknięte, uczestnicy dostają nową treść w ramach bieżącego cyklu,
a dokumentacja zapisuje nowy zakres tematyczny z nową datą.

Co z tego wynika po dwóch latach. Program aktualizowany modułowo opisuje zagrożenia, które personel faktycznie zobaczy w skrzynce. Materiał przygotowany raz i powtarzany bez zmian opisuje te, które już wyszły z użycia: formalnie nadal spełnia wymóg szkolenia, praktycznie nie przygotowuje na nic. Ryzyko wycieku danych rośnie więc nie dlatego, że zabezpieczenia się zepsuły, lecz dlatego, że zmienił się sposób ataku, a treść szkolenia za nim nie poszła.
Dla placówki rozkładającej prace na etapy ma to znaczenie planistyczne, o którym pisaliśmy w tekście o tym, ile trwa wdrożenie NIS 2 w szpitalu.

Czy microlearning wyklucza szkolenie stacjonarne w szpitalu?

Nie wyklucza. Oba formaty odpowiadają na różne potrzeby i w dobrze ułożonym programie występują obok siebie. Krótkie moduły jako część podstawowa dla całego personelu, forma stacjonarna punktowo tam, gdzie potrzebna jest dyskusja albo współdziałanie kilku osób. Przedstawianie sprawy jako wyboru „szkolenie stacjonarne czy online” jest uproszczeniem wygodnym dla sprzedawcy platformy, ale nie jest to właściwe podejście.

Cztery sytuacje, w których forma stacjonarna zachowuje przewagę:

Warsztat dla kadry zarządzającej: kilka osób, temat wymagający rozmowy o ryzyku i decyzjach budżetowych, a nie o “klikaniu”. Mała grupa znosi barierę organizacyjną, która przy całym personelu jest nieusuwalna.
Ćwiczenie reagowania na incydenty bezpieczeństwa: scenariusz angażujący osoby z różnych komórek, gdzie liczy się przepływ informacji i kolejność działań. Tego nie da się przećwiczyć indywidualnie.
Wdrożenie nowego zespołu lub oddziału: spotkanie otwierające, po którym dalszą część programu uczestnicy realizują samodzielnie.
Omówienie po zdarzeniu: po incydencie rozmowa z zespołem, którego on dotyczył, jest cenniejsza niż dodatkowy moduł dla wszystkich.

Powyższe cztery sytuacje warto traktować jako argumenty za utrzymaniem szkoleń stacjonarnych, nie przeciw nim. Rezygnacja z formy, która pozwala przećwiczyć współdziałanie i omówić incydent z zespołem, byłaby stratą, podobnie jak oparcie całego programu wyłącznie na niej.

Z tego wynika wniosek szerszy niż sam wybór formatu. Szkolenia z cyberbezpieczeństwa w szpitalu nie są wydarzeniem, które planuje się raz, lecz procesem zmieniającym się razem z placówką. Wymagają kilku narzędzi naraz, ponieważ muszą zmieścić się w warunkach, których żadna placówka medyczna nie zniesie z dnia na dzień:

Rotacja personelu: co roku część zespołu to nowe osoby, nieobjęte poprzednim szkoleniem;
Zmiany w systemach: każde wdrożenie i każda zmiana sposobu logowania tworzy sytuacje, których poprzedni program nie opisywał;
Nowe formy ataku: pojawiają się częściej niż roczny cykl szkoleń;
Praca zmianowa: zespół jest rozproszony na zmiany i nigdy nie jest dostępny w całości;
Koszt czasu personelu: zatrzymanie po dyżurze albo wezwanie w dniu wolnym to realny wydatek i realny spadek uwagi;
Brak możliwości zawieszenia pracy: oddziału nie da się zamknąć na czas szkolenia, a pacjenci nie czekają.

Dobrze ułożony program nie walczy z tymi warunkami, lecz je przyjmuje jako punkt wyjścia i właśnie dlatego sięga po kilka form zamiast szukać jednej uniwersalnej. Pytanie, jak szkolić personel medyczny z cyberbezpieczeństwa, nie dotyczy więc wyboru narzędzia, lecz ułożenia procesu, który te sześć warunków wytrzyma.

Wskazówka Coongi: Zacznij od części online, warsztaty dopisz po pierwszym raporcie. Kolejność ma tu znaczenie praktyczne. Uruchomienie części online zajmuje kilka dni i od razu obejmuje cały personel, a po pierwszym cyklu raport pokazuje, który obszar tematyczny i który zespół wypada słabiej.
Warsztat stacjonarny zaplanowany na tej podstawie trafia tam, gdzie jest potrzebny, zamiast obejmować wszystkich po równo. Odwrotna kolejność, czyli najpierw warsztaty dla całej placówki, potem platforma kosztuje wielokrotnie więcej i nie daje danych do decyzji.

Jak zmienia się proporcja przy różnej wielkości placówki?

Przy każdej skali funkcjonowania placówki medycznej obecne są obie formy szkoleniowe. Zmianie ulega jedynie to, który z nich niesie część podstawową, a który rolę uzupełniającą. Decydują trzy czynniki: liczba osób, liczba zmian i rozproszenie lokalizacji.

Do kilkudziesięciu osób, jedna zmiana: forma stacjonarna może nieść większą część programu, bo jedna lub dwie edycje obejmują cały zespół. Nie zdejmuje jednak wymogu powtarzalności ani obowiązku dokumentowania, więc część online pozostaje potrzebna: utrzymuje cykl między spotkaniami i prowadzi rejestr.
Od stu do kilkuset osób, praca zmianowa: proporcja się odwraca. Część podstawową przejmuje forma online, ponieważ liczba edycji stacjonarnych potrzebnych do objęcia wszystkich przestaje być wykonalna w rozsądnym czasie. Forma stacjonarna zostaje przy warsztacie dla kierownictwa i ćwiczeniu reagowania na incydenty.
Podmiot wielooddziałowy, kilkaset osób i więcej: część podstawową realizuje wyłącznie forma online. Forma stacjonarna nie znika, lecz zmienia rolę: przestaje być narzędziem szkolenia masowego, a staje się narzędziem ćwiczenia współdziałania w zespołach odpowiadających za obsługę zgłoszeń.

Warto zauważyć, co jest tu stałe. Na żadnym poziomie skali żaden z formatów nie jest usuwany całkowicie. Zamiast tego rośnie cena obsłużenia całego programu samą formą stacjonarną, a wraz z wielkością placówki rośnie też znaczenie tego, co forma online robi najlepiej: utrzymuje cykl i wytwarza dowody.

Niezależnie od skali jedną rzecz warto sprawdzić jeszcze przed ustalaniem proporcji: czy placówka wie, kto dziś jest przeszkolony, z jakiego zakresu i kiedy. Pytania kontrolne zebraliśmy w teście gotowości szpitala na kontrolę NIS 2. Szkolenia z cyberbezpieczeństwa w szpitalu bez rejestru są bowiem niepoliczalne, a więc i niemożliwe do wykazania.

Jak szkolić personel medyczny z cyberbezpieczeństwa. Plan dla placówki?

Szkolenia z cyberbezpieczeństwa w szpitalu zaczynają się od ustalenia, kto ma być objęty programem i co jest jego częścią podstawową, a nie od wyboru narzędzia. Narzędzie dobiera się na końcu, bo wynika z celu i z warunków pracy konkretnej placówki.

Lista osób objętych programem: personel medyczny, rejestracja, administracja, dział informatyczny i kadra zarządzająca, niezależnie od podstawy zatrudnienia.
Wskazanie części podstawowej i jej formy: zakres wspólny dla wszystkich oraz decyzja, czym go zrealizować przy danej liczbie zmian i lokalizacji.
Termin ukończenia: konkretna data zamiast sformułowania „w miarę możliwości”.
Właściciel procesu: jedna osoba monitorująca postępy, zwykle w kadrach albo u inspektora ochrony danych.
Włączenie szkolenia do procedury zatrudniania: żeby nowy pracownik wchodził do programu przy zakładaniu konta, a nie przy najbliższej edycji.
Warsztaty punktowe zaplanowane po pierwszym raporcie: na podstawie tego, który obszar wypadł słabiej, a nie z góry.

Program, który prowadzimy w placówkach medycznych, opiera się na krótkich modułach osadzonych w realiach szpitala: rejestracji, oddziału, pracowni. Scenariusze odwołują się do systemów, z których personel korzysta codziennie, w tym do pracy z dokumentacją, gdzie przetwarzanie danych medycznych jest rutyną, a nie wyjątkiem. Treści są dostępne całą dobę i uzupełniane o nowe warianty zagrożeń w trakcie trwania subskrypcji. Zakres, moduły i sposób uruchomienia opisaliśmy na stronie poświęconej szkoleniom z cyberbezpieczeństwa dla personelu medycznego.

Dla dyrekcji wynikają z tego trzy konsekwencje. Objęcie całego personelu nie wymaga układania grafiku edycji ani zastępstw na oddziałach, a podniesienie poziomu cyberbezpieczeństwa rozkłada się na kolejne miesiące zamiast skupiać w jednej akcji. Dokumentacja na potrzeby kontroli powstaje przy każdym ukończonym module, z datą i zakresem tematycznym. Aktualizacja treści nie oznacza powtarzania całego cyklu, lecz wymianę jednego elementu programu. Dzięki czemu ochrona danych pacjentów opiera się na mechanizmie, który nie przestaje działać po zakończeniu szkolenia.

Najczęściej zadawane pytania o szkolenie personelu medycznego

Czy microlearning wystarczy, czy trzeba go łączyć ze szkoleniem stacjonarnym?

Część podstawową dla całego personelu mogą obsługiwać krótkie moduły. Forma stacjonarna jest potrzebna w trzech sytuacjach: warsztat dla kadry zarządzającej, ćwiczenie reagowania na incydent w zespole oraz omówienie po zdarzeniu w placówce. Wszystkie trzy dotyczą małych grup, więc nie wymagają kilkunastu edycji ani zastępstw na oddziałach. Bez nich program nie obejmuje współdziałania, którego nie da się przećwiczyć indywidualnie.

Czy personel z dłuższym stażem radzi sobie z formą online gorzej niż młodszy?

Rozstrzyga konstrukcja narzędzia, nie wiek uczestnika. Decydują trzy parametry: długość modułu, liczba kroków potrzebnych do rozpoczęcia oraz możliwość przejścia materiału na telefonie bez instalowania aplikacji. Moduł pięciominutowy nie wymaga utrzymania uwagi przez godzinę, więc jest łatwiejszy od kursu stacjonarnego w każdej grupie wiekowej. Jedna osoba wyznaczona do pomocy w pierwszym tygodniu usuwa pozostałe trudności.

Ile czasu zajmuje pracownikowi ukończenie programu szkolenia z cyberbezpieczeństwa?

Program podstawowy to sześć modułów, każdy liczony w minutach. Łączny czas mieści się w dziesiątkach minut, nie w godzinach, a uczestnik rozkłada go na kilka tygodni, realizując pojedyncze moduły w przerwach. Dla porównania szkolenie stacjonarne o tym samym zakresie oznacza dwie godziny oderwania od obowiązków w jednym bloku, a przy szkoleniu poza placówką dodatkowo czas dojazdu.

Czy szkolenia online spełniają wymóg przepisów tak samo jak stacjonarne?

Tak. Art. 8 ust. 1 pkt 2 ustawy o krajowym systemie cyberbezpieczeństwa wymienia edukację z zakresu cyberbezpieczeństwa oraz podstawowe zasady cyberhigieny jako środki do wdrożenia (bez wskazania formy). Warunki są trzy: obowiązek obejmuje personel podmiotu, realizacja jest cykliczna, a udział udokumentowany. Przy trzecim warunku forma online daje przewagę, bo zapis powstaje automatycznie, zamiast zależeć od zebrania listy obecności.

Czy szkolenie online obejmuje zasady przetwarzania danych medycznych?

Tak, odpowiada za to osobny moduł o pracy z dokumentacją: obieg dokumentów, przekazywanie wyników badań oraz zasady korzystania z systemów, w których prowadzona jest elektroniczna dokumentacja medyczna. Zakres ten nie zastępuje jednak szkolenia z ochrony danych osobowych. Pierwszy z nich dotyczy bezpiecznego postępowania z danymi w codziennej pracy, drugi podstaw prawnych ich przetwarzania.

Szkolenia, które budują nawyki, a nie tylko listę obecności

Jednorazowy wykład nie zmienia zachowania przy stanowisku, a przy pracy zmianowej nie obejmie nawet całego zespołu. Pomagamy ustalić, jak szkolić personel medyczny z cyberbezpieczeństwa bez zaburzania pracy oddziałów: dobieramy proporcję między częścią realizowaną online a warsztatami punktowymi, uwzględniając liczbę zmian, rozproszenie lokalizacji i rotację personelu.

Po pierwszej rozmowie placówka ma wstępny podział programu na część wspólną i warsztatową oraz szacunek czasu potrzebnego na objęcie całego zespołu. Rozmowa jest bezpłatna i niezobowiązująca.

Zobacz moduły szkolenia