Obsługa cyberbezpieczeństwa w szpitalu a NIS 2. Czy dział IT udźwignie nowe wymogi?

Obsługa cyberbezpieczeństwa w szpitalu

Wdrożenie wymogów dyrektywy NIS 2 wymaga unikalnego połączenia wiedzy prawniczej z zaawansowaną inżynierią bezpieczeństwa. Jest to wąska specjalizacja, fundamentalnie różna od codziennego administrowania infrastrukturą IT w szpitalu.
Należy jasno postawić granicę: biegłość w utrzymaniu ciągłości działania systemu HIS czy konfiguracji serwerów nie przekłada się automatycznie na umiejętności z zakresu cyberbezpieczeństwa.

Luka kompetencyjna między utrzymaniem ruchu a budowaniem strategii odporności jest zbyt głęboka, by mogła zostać zasypana jedynie poprzez wewnętrzne szkolenia obciążonego zespołu IT. Osiągnięcie zgodności z ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC) wymaga zaangażowania ekspertów,
dla których cyberbezpieczeństwo jest jedyną, a nie dodatkową dziedziną działalności.

Rzeczywistość operacyjna szpitalnych działów IT to nieustanna walka z czasem w trybie helpdesk. Informatycy pełnią dziś funkcję uniwersalnych specjalistów.
Począwszy od usuwania awarii na SOR, poprzez konfigurację aparatury diagnostycznej, a kończąc na wsparciu użytkowników końcowych (personel medyczny) w zakresie obsługi i konfiguracji systemu HIS. Dołożenie do tak szerokiego zakresu obowiązków wynikających z nowelizacji ustawy o KSC (takich jak monitoring sieci w trybie 24/7
czy raportowanie incydentów) jest operacyjnie niewykonalne. Złożonych procesów analitycznych nie da się realizować przy okazji gaszenia pożarów technicznych. Odpowiedzią na ten strukturalny problem nie jest jednak próba rekrutacji drogich specjalistów, których brakuje na rynku, lecz strategiczna zmiana modelu zarządzania bezpieczeństwem szpitala i świadomości dostępnych rozwiązań.

Spis treści

Czy da się pogodzić cyberochronę szpitala z funkcją healpdesku?

Działy IT w podmiotach leczniczych funkcjonują zazwyczaj w permanentnym trybie operacyjnym, którego głównym celem jest zapewnienie natychmiastowej dostępności infrastruktury. Specyfika tej pracy przypomina klasyczny helpdesk, gdzie priorytetem jest rozwiązanie problemu tu i teraz, aby lekarz na SOR mógł wystawić skierowanie,
a diagnostyka obrazowa działała bez opóźnień.
W tym środowisku systemy informatyczne muszą po prostu działać, ponieważ ich awaria bezpośrednio wpływa na realizowane usługi kluczowe i zdrowie pacjentów.
Presja czasu sprawia, że działania doraźne zawsze wygrywają z długofalowym planowaniem.

Tymczasem profesjonalne zarządzanie bezpieczeństwem to proces wymagający zupełnie innego trybu pracy: głębokiego skupienia, systematycznej analizy logów, weryfikacji podatności oraz aktualizacji dokumentacji zgodnie z wymogami prawa. Skuteczna obsługa cyberbezpieczeństwa w szpitalu jest niemożliwa do zrealizowania
w modelu, w którym specjalista jest odrywany od zadań analitycznych co kilka minut przez bieżące zgłoszenia serwisowe. Nie da się jednocześnie utrzymywać rygoru compliance i pełnić funkcji pierwszej linii wsparcia technicznego.

healpdesk w szpitalu a obowiązki cyberbezpieczeństwa

Obciążenie często nielicznych zespołów pracujących w dziale IT szpitala, odpowiedzialnością za wdrożenie skomplikowanych procedur prawno-technicznych wynikających z dyrektywy NIS 2 będzie błędem. Może to prowadzić do szybkiego wypalenia zawodowego pracowników, którzy nie są w stanie sprostać sprzecznym priorytetom. W efekcie powstaje niebezpieczna iluzja bezpieczeństwa: systemy informatyczne są utrzymywane przy życiu, ale ich realny poziom bezpieczeństwa nie spełnia ustawowych norm, narażając placówkę na krytyczne incydenty bezpieczeństwa. W takich okolicznościach trudno jest mówić o realnym zarządzaniu ciągłością działania szpitala, efektywnej ochronie danych medycznych i niwelowaniu wpływu incydentów (cyberataków).

Cyberbezpieczeństwo szpitala wymaga specjalizacji

Zarządy szpitali chcące szybko spełnić wymogi nakładane przez ustawę o Krajowym Systemie Cyberbezpieczeństwa mogą stosować swoisty skrót myślowy i stawiać znak równości między utrzymaniem infrastruktury IT a cyberbezpieczeństwem szpitala. Są to dwie odrębne dziedziny inżynierii, wymagające diametralnie różnych kompetencji
i narzędzi.
Rolą administratora sieci jest zapewnienie wydajności i dostępności systemów, którą można wyrazić lakonicznym stwierdzeniem „wszystko działa”. Z kolei rolą audytora bezpieczeństwa lub analityka SOC (Security Operations Center) jest ciągłe podważanie tego stanu rzeczy, szukanie podatności i przewidywanie scenariuszy cyberataku. Obsługa cyberbezpieczeństwa w szpitalu powierzona wyłącznie administratorom rodzi konflikt interesów: osoba budująca sieć rzadko potrafi obiektywnie przeprowadzić audyt bezpieczeństwa systemu, który sama skonfigurowała.

Wdrożenie dyrektywy NIS 2 w szpitalu to wyzwanie hybrydowe, w którym technologia stanowi zaledwie połowę sukcesu. Pozostałe 50% to zagadnienia prawno-proceduralne: zaawansowana analiza ryzyka, tworzenie planów ciągłości działania. Nie można też zapomnieć o czynniku ludzkim i jego wpływie na poziom bezpieczeństwa systemów. Obowiązek przeprowadzania szkoleń, testowania rozwiązań awaryjnych oraz opracowywania dobrych praktyk w ramach cyberhigieny (np. MFA wieloskładnikowe logowanie) to zadania dla osobnego zespołu.
Co więcej, są to kompetencje analityczne i zarządcze, których zazwyczaj nie posiadają technicy odpowiedzialni za hardware czy wsparcie użytkownika końcowego oprogramowania dziedzinowego (systemu HIS lub systemu ERP). Oczekiwanie, że dział IT samodzielnie opracuje i wdroży spójną politykę bezpieczeństwa, zgodną z ustawą
o Krajowym Systemie Cyberbezpieczeństwa jest nierealne.

Rola zewnętrznego partnera w tym procesie nie polega na zastępowaniu wewnętrznego IT, lecz na uzupełnieniu luki kompetencyjnej. Profesjonalna firma doradcza wnosi do szpitala:

  • Kompetencje analityczne: Przeprowadzenie formalnej analizy ryzyka i kategoryzację aktywów, co pozwala na zarządzanie ryzykiem zgodnie z normami.
  • Wiedzę legislacyjną: Tłumaczenie zawiłych wymogów ustawy o KSC na konkretne zadania techniczne i procedury operacyjne.
  • Strategiczne doradztwo: Priorytetyzacja działań naprawczych, które pozwala skupić ograniczone zasoby szpitala na łataniu krytycznych luk w systemach informatycznych.

 

Jak zarządzać cyberbezpieczeństwem szpitala w kryzysie dostępu do specjalistów?

Polska, podobnie jak reszta Europy, mierzy się z gigantyczną luką kompetencyjną w obszarze IT security. Szacuje się, że na rynku brakuje tysięcy wykwalifikowanych specjalistów, co sprawia, że cyberbezpieczeństwo stało się jedną z najlepiej opłacanych specjalizacji. W tym wyścigu o talenty publiczny sektor ochrony zdrowia stoi na straconej pozycji. Szpital powiatowy czy nawet kliniczny musi konkurować o tych samych ekspertów z bankami, fintechem oraz międzynarodowymi korporacjami,
które oferują wynagrodzenia przekraczające możliwości budżetowe jednostek ochrony zdrowia. Stworzenie dedykowanego etatu dla Specjalisty ds. Cyberbezpieczeństwa często rozbija się o sztywne ramy siatki płac, czyniąc rekrutację niemożliwą jeszcze przed jej rozpoczęciem.

Nawet w scenariuszu, w którym szpital decyduje się na inwestycję w rozwój obecnego pracownika, pojawia się wysokie ryzyko rotacji. Sfinansowanie drogich szkoleń
i certyfikacji dla administratora sieci podnosi jego wartość rynkową, czyniąc go natychmiastowym celem dla headhunterów z sektora prywatnego. W efekcie szpital staje się inkubatorem kadr dla biznesu, pozostając z luką w systemie bezpieczeństwa po odejściu przeszkolonego pracownika.

Obsługa cyberbezpieczeństwa szpitala - model hybrydowy

W obecnych realiach rynkowych budowanie pełnego zespołu security wewnątrz struktury szpitala jest ekonomicznie nieefektywne i obarczone ryzykiem braku ciągłości. Placówka medyczna, aby utrzymać wymagany ustawą poziom bezpieczeństwa systemów, potrzebuje dostępu do wysokich kompetencji i wiedzy eksperckiej,
a niekoniecznie kolejnego etatu w strukturze organizacyjnej.

Rozwiązaniem jest zmiana modelu pozyskiwania zasobów. W tej sytuacji kadra zarządzająca musi zredefiniować swoje podejście do zasobów ludzkich.
Zamiast kontynuować nieskuteczną walkę rekrutacyjną, należy zmienić paradygmat: celem nie jest posiadanie eksperta na liście płac, lecz zapewnienie organizacji dostępu do jego kompetencji. Jeśli rynek pracownika blokuje możliwość zatrudnienia specjalistów na wyłączność, jedyną racjonalną alternatywą biznesową staje się model współdzielenia zasobów. To właśnie ta kalkulacja ekonomiczna i operacyjna otwiera drogę do wdrożenia rozwiązań łączonych, które bilansują potrzeby bezpieczeństwa
z realiami budżetowymi szpitala.

Model hybrydowy a skuteczna obsługa cyberbezpieczeństwa w szpitalu

Odpowiedzią na rosnące wymogi prawne (zobowiązania nakładane przez ustawę o Krajowym Systemie Cyberbezpieczeństwa) i braki kadrowe jest model hybrydowy,
który coraz częściej staje się standardem w zarządzaniu usługami kluczowymi. W tym układzie wewnętrzny dział IT pozostaje na swojej pozycji z dużą ilością obowiązków.
To pracownicy szpitala najlepiej znają specyfikę poszczególnych oddziałów, specyfikę użytkowanych systemów medycznych oraz potrzeby personelu. Ich wiedza o lokalnym środowisku jest niezastąpiona w utrzymaniu ciągłości procesów leczenia i bieżącym wsparciu użytkowników. Model hybrydowy nie marginalizuje ich roli, lecz pozwala im skupić się na tym, co robią najlepiej, czyli zapewnianiu sprawności operacyjnej placówki.

Rolą wyspecjalizowanego partnera zewnętrznego jest przejęcie zadań ściśle związanych z wdrożeniem dyrektywy NIS 2 w szpitalu, która zazwyczaj paraliżują pracę małych zespołów. Firma wdrażająca NIS 2 wnosi do współpracy gotowe procesy i narzędzia: całodobowy monitoring sieci (SOC), realizację cyklicznych audytów, aktualizację dokumentacji bezpieczeństwa oraz oficjalny kontakt z zespołami CSIRT. Dzięki temu szpital zyskuje dostęp do wysokiej klasy ekspertów i technologii analizy zagrożeń bez konieczności budowania kosztownych struktur wewnętrznych i ponoszenia nakładów inwestycyjnych na systemy klasy SIEM.

Kluczową wartością tego modelu jest synergia działania. Zewnętrzny partner funkcjonuje jak tarcza dla wewnętrznego działu IT. Zamiast zarzucać informatyków szpitalnych tysiącami surowych logów i fałszywych alarmów, dostarcza im wyłącznie zweryfikowane, krytyczne informacje o incydentach bezpieczeństwa wraz z gotową rekomendacją działań naprawczych. Taki podział obowiązków sprawia, że obsługa cyberbezpieczeństwa w szpitalu staje się procesem proaktywnym i zarządzalnym. W efekcie czego:

  • Zarządzanie bezpieczeństwem szpitala jest łatwiejsze i bardziej skoordynowane.
  • Zapobieganie incydentom odbywa się przy wsparciu ekspertów z dużym doświadczeniem.
  • Ochrona danych pacjentów jest dwuetapowa. Etap I: zewnętrzni eksperci ds. cyberbezpieczeństwa, etap II: świadomy i przeszkolony personel szpitala.
  • Zarządzanie ciągłością działania jest wspierane przez doświadczony zespół (szpital nie uczy się na własnych błędach).

ZOBACZ RÓWNIEŻ:

Cyberbezpieczeństwo szpitala a model finansowania

Główną barierą w budowaniu odporności cyfrowej placówek medycznych jest tradycyjne podejście do budżetowania, oparte na wysokich nakładach inwestycyjnych (CAPEX). Zakup zaawansowanych systemów klasy SIEM, serwerów oraz licencji to wydatek rzędu milionów złotych, często nieosiągalny dla pojedynczego szpitala. Rozwiązaniem tego problemu jest przejście na model operacyjny (OPEX) i skorzystanie z usług w modelu abonamentowym. Profesjonalna obsługa cyberbezpieczeństwa w szpitalu realizowana w formie usługi zewnętrznej pozwala zamienić zaporowy koszt wejścia na przewidywalną, zryczałtowaną opłatę miesięczną. Takie podejście nie tylko ułatwia planowanie budżetu, ale również przenosi koszt aktualizacji technologii i utrzymania kompetencji zespołu eksperckiego na dostawcę usługi.

Z perspektywy efektywności ekonomicznej, kluczowym rozwiązaniem dla sektora publicznego są zakupy grupowe, inicjowane przez organy założycielskie (np. Starostwa Powiatowe czy Urzędy Marszałkowskie). Konsolidacja potrzeb kilku lub kilkunastu jednostek z jednego regionu pozwala na uzyskanie znaczącego efektu skali.
Zamiast budować pięć małych, niedofinansowanych zespołów bezpieczeństwa w każdym szpitalu z osobna, znacznie efektywniejsze jest zakontraktowanie jednego, wyspecjalizowanego centrum operacji bezpieczeństwa (SOC), które będzie monitorować wszystkie podległe placówki. Centralizacja ta obniża koszty jednostkowe, jednocześnie podnosząc jakość ochrony, ponieważ zewnętrzny zespół dysponuje szerszym obrazem zagrożeń atakujących dany region.

Polityka bezpieczeństwa i wsparcie operacyjne. Dlaczego dział IT nie powinien działać sam?

Katalog nowych obowiązków, jaki wprowadza nowelizacja ustawy o KSC, generuje obciążenie przekraczające możliwości operacyjne standardowych działów IT w placówkach medycznych. Zrzucenie całkowitej odpowiedzialności za bezpieczeństwo danych pacjentów i raportowanie incydentów na barki kilkuosobowego zespołu, który na co dzień walczy o utrzymanie ciągłości działania szpitala, jest ryzykiem strategicznym. To zbyt duża presja psychiczna i prawna, by pozostawić pracowników bez specjalistycznego zaplecza. Polityka bezpieczeństwa szpitala wykracza poza administrowanie wewnętrznych sieci i wdrożenie drogiego systemu ochrony danych.
Zrozumienie zagrożeń cyberbezpieczeństwa, z którymi zmagają się szpitale na całym świecie prowadzi do jednego wniosku. Cyberbezpieczeństwo jest złożonym zagadnieniem odnoszącym się do procedur, technologii, świadomości zagrożeń, kompetencji oraz wiedzy jak postępować w sytuacji wystąpienia cyberataku.

Implementacja modelu hybrydowego oraz decyzja o zaangażowaniu zewnętrznego partnera nie stanowią wotum nieufności wobec kompetencji wewnętrznych zespołów informatycznych. Przeciwnie, kroki te należy interpretować jako wyraz dojrzałości zarządczej oraz strategicznej dbałości o stabilność kadr.
Separacja procesów obsługi cyberbezpieczeństwa od bieżącej administracji systemami pozwala na efektywną mitygację ryzyka wypalenia zawodowego wśród pracowników. Takie podejście umożliwia wewnętrznym specjalistom IT pełną koncentrację na ich priorytetowym zadaniu, jakim jest zapewnienie ciągłości technicznej procesów diagnostyczno-terapeutycznych.

W Coongi rozumiemy specyfikę placówek medycznych. Porozmawiajmy o tym, jak skutecznie odciążyć dział techniczny i wdrożyć model hybrydowy,
który spełni wymogi NIS 2 bez konieczności rewolucji kadrowej.

Sprawdź Audyt zero
Sprawdź Audyt zero