9 sygnałów, że Twój szpital nie jest gotowy na kontrolę NIS 2 — szybki test dla dyrektora
- Test gotowości NIS 2 w szpitalu do samodzielnego wypełnienia przez dyrektora w pięć minut — bez wiedzy technicznej.
- Nie zastępuje formalnego audytu. Jest sygnałem ostrzegawczym, zanim zapadnie decyzja o wydatkach.
- Im więcej z dziewięciu punktów pasuje do placówki, tym pilniejsza potrzeba diagnozy.
- Trzy lub więcej zaznaczonych punktów oznacza, że kontrola zastałaby szpital nieprzygotowany.
Spis treści
- Test gotowości NIS 2 w szpitalu — czemu służy i ile trwa
- Dlaczego warto zrobić ten test przed formalnym audytem
- 9 sygnałów, że szpital nie jest gotowy na kontrolę NIS 2
- Ile sygnałów to już zagrożenie?
- Dlaczego gotowość na NIS 2 jest elementem bezpieczeństwa pacjenta
- Czego ten test nie zastępuje
- Co zrobić z wynikiem — pierwsze trzy kroki
- Najczęściej zadawane pytania
Test gotowości NIS 2 w szpitalu — czemu służy i ile trwa
Test gotowości NIS 2 w szpitalu to dziewięć pytań, na które odpowiada się w pięć minut, bez konsultacji z działem IT i bez zaglądania do dokumentacji. Każde z nich dotyczy faktu, który dyrektor albo zna, albo nie — a sama niepewność jest już odpowiedzią.
Celem nie jest ocena techniczna, lecz zarządcza. Chodzi o ustalenie, czy zarządzanie placówką medyczną obejmuje obszar cyberbezpieczeństwa w sposób udokumentowany, czy opiera się na założeniu, że „IT się tym zajmuje”. Kontrola sprawdza to pierwsze, nie drugie. Dyrektywa NIS 2 wymaga bowiem dowodów,
a nie deklaracji.
Dlaczego warto zrobić ten test przed formalnym audytem
Formalny audyt to kilka dni pracy i konkretny wydatek decyzyjny po stronie zarządu. Zanim się na niego zdecydujesz, warto wiedzieć, czy w ogóle jest pilny. Test gotowości NIS 2 w szpitalu odpowiada właśnie na to pytanie — wskazuje, czy placówka jest bliżej stanu wymaganego, czy dopiero na starcie. Wdrożenie dyrektywy NIS 2 w szpitalu bywa przy tym mniej kosztowne, niż zakłada zarząd, jeśli podstawy są uporządkowane.
Jest jeszcze jeden powód. Nowe obowiązki, jakie wprowadza dyrektywa NIS 2, obciążają kierownictwo osobiście, a nie wyłącznie dział techniczny. Ten wątek rozwijamy w tekście o odpowiedzialności zarządu za NIS 2. Wdrożenie dyrektywy NIS 2 jest ich obowiązkiem, a nie zadaniem delegowanym. Dyrektor, który zna słabe punkty własnej placówki, jest w zupełnie innej sytuacji niż ten, który dowiaduje się o nich od kontrolera. Nowe obowiązki obejmują też zatwierdzanie środków, a nie wyłącznie ich finansowanie.
ZOBACZ RÓWNIEŻ:
9 sygnałów, że szpital nie jest gotowy na kontrolę NIS 2
Zaznacz te punkty, które opisują sytuację w Twojej placówce. Jeśli nie masz pewności co do któregokolwiek — traktuj to jako zaznaczone.
1. Nikt w zarządzie nie potrafi powiedzieć, czy szpital jest podmiotem kluczowym, czy ważnym
To pytanie o punkt wyjścia. Od kategorii zależy tryb nadzoru, zakres dokumentacji i to, czy placówkę czeka obowiązkowy audyt. Podmioty ochrony zdrowia trafiają do wykazu z mocy prawa, ale zgłoszenie leży po stronie szpitala. Krajowy system cyberbezpieczeństwa nie przewiduje tu zawiadomień z urzędu, a podmioty ochrony zdrowia odpowiadają za samoidentyfikację. Kryteria opisaliśmy szczegółowo we wpisie o tym, kogo dotyczy NIS 2.
2. Hasła do systemu HIS są współdzielone między personelem na tym samym dyżurze
Sytuacja typowa i zwykle wynikająca z wygody, nie z niedbalstwa. Problem w tym, że przy współdzielonym koncie nie da się ustalić, kto wykonał daną operację, a zarządzanie dostępami przestaje istnieć jako mechanizm kontrolny. W razie incydentu bezpieczeństwa nie ma czego analizować, bo logi wskażą konto, a nie osobę.
Zarządzanie dostępami jest przy tym jednym z najtańszych środków — wymaga uporządkowania kont, nie zakupu narzędzi, a wprost przekłada się na ochronę danych pacjentów.
3. Nikt nie testował przywracania kopii zapasowej w ciągu ostatnich dwunastu miesięcy
Posiadanie kopii i możliwość jej odtworzenia to dwie różne rzeczy. Kopia, której nigdy nie przywracano, jest założeniem, nie zabezpieczeniem — a zapewnienie ciągłości działania opiera się właśnie na tym, ile trwa powrót systemów do pracy. Zapewnienie ciągłości działania mierzy się czasem odtworzenia, nie liczbą kopii. Elementy planu ciągłości działania to nie tylko kopie: to również procedury pracy bez dostępu do systemów i wyznaczone role. Test odtworzenia weryfikuje pierwszy z nich, a pozostałe elementy planu ciągłości sprawdza się ćwiczeniem. Elementy planu ciągłości, których nigdy nie przećwiczono, w praktyce nie istnieją. Temu zagadnieniu poświęciliśmy osobny tekst o ciągłości działania szpitala a NIS 2.
4. Szpital nie ma potwierdzenia zgłoszenia do wykazu podmiotów kluczowych i ważnych
Zgłoszenie jest obowiązkiem placówki, a nie czynnością wykonywaną przez organ z urzędu. Brak potwierdzenia oznacza albo niedopełnienie obowiązku, albo brak wiedzy o tym, kto i kiedy go dopełnił. Oba warianty wyglądają tak samo źle w protokole kontroli.
5. Nie ma spisanej procedury: kto zgłasza incydent do CSIRT i w jakim terminie
Terminy są sztywne i liczone od momentu wykrycia. Bez przypisanych ról zarządzanie incydentami sprowadza się do improwizacji, a w nocy lub w weekend improwizacja oznacza przekroczenie terminu. Skuteczne zarządzanie incydentami wymaga jednej decyzji organizacyjnej, a nie nowego systemu — trzeba wskazać, kto klasyfikuje incydenty bezpieczeństwa i kto podpisuje zgłoszenie. Zarządzanie incydentami sprowadza się więc najpierw do decyzji kadrowej, dopiero potem do narzędzi. Procedura powinna wskazywać funkcje, nie nazwiska — inaczej przestaje działać przy pierwszym urlopie.
6. Zewnętrzni serwisanci mają stały, niemonitorowany dostęp zdalny do sieci
Firmy serwisujące aparaturę i systemy informatyczne często dysponują szerszymi uprawnieniami niż własny personel, a ich dostęp obejmuje systemy informatyczne o znaczeniu krytycznym. Jeśli dostęp jest stały i nikt go nie rejestruje, szpital nie kontroluje najsłabszego ogniwa. Systemy IT w szpitalach są serwisowane przez wiele podmiotów jednocześnie, więc zarządzanie dostępami dotyczy tu kilkunastu firm, nie jednej. Systemy IT w szpitalach rzadko mają przy tym jednego właściciela po stronie placówki. To jeden z obszarów, które kontrola sprawdza w pierwszej kolejności, bo jest łatwy do zweryfikowania.
7. W ciągu ostatnich dwunastu miesięcy nie odbyło się żadne szkolenie z cyberhigieny
Statystyki incydentów w ochronie zdrowia konsekwentnie wskazują człowieka jako pierwszy punkt wejścia. Szkolenia są przy tym jednym z niewielu wymogów, których spełnienie trzeba udokumentować — brak dokumentacji jest równoznaczny z brakiem szkolenia. Piszemy o tym szerzej w tekście o phishingu w szpitalu a dyrektywie NIS 2.
8. Sieć szpitalna nie jest podzielona na strefy
W tak zwanej sieci płaskiej zainfekowany komputer w rejestracji widzi tomograf na bloku operacyjnym. Bezpieczeństwo systemów opiera się wtedy na jednym zabezpieczeniu brzegowym, a jego obejście oznacza dostęp do całości. Segmentacja jest podstawowym środkiem, o który pyta każdy audytor, bo dyrektywa NIS 2 wymienia ją wprost wśród środków technicznych. Systemy IT w szpitalach obejmują przy tym aparaturę medyczną, której nie da się zaktualizować — tym bardziej trzeba ją odseparować. Bezpieczeństwo systemów opiera się wtedy na izolacji, a nie na łatkach — i tak też ocenia się bezpieczeństwo systemów medycznych podczas kontroli.
9. Zarząd nigdy formalnie nie zatwierdzał analizy ryzyka
Analiza ryzyka istniejąca wyłącznie w dziale IT nie spełnia wymogu. Zarządzanie ryzykiem jest w przepisach obowiązkiem organu zarządzającego, a zatwierdzenie ma formę udokumentowanej decyzji. Zarządzanie ryzykiem cyberbezpieczeństwa nie jest zadaniem technicznym — to decyzja o tym, jaki poziom zagrożenia placówka akceptuje. Zarządzanie ryzykiem prowadzone bez udziału zarządu kończy się listą, której nikt nie egzekwuje. Bez niej wdrożenie systemów zarządzania bezpieczeństwem nie ma punktu odniesienia. Jeśli nikt nie potrafi wskazać daty i podpisu, formalnie analiza nie istnieje.
Ile sygnałów to już zagrożenie?
Wynik testu nie jest oceną placówki, lecz wskazaniem pilności. Zasady bezpieczeństwa w szpitalu wdraża się stopniowo, więc częściowe braki są normą, a nie wyjątkiem. Poniższa interpretacja opiera się na tym, jak wygląda gotowość szpitali na tym etapie wdrażania przepisów.
Liczba zaznaczeń | Co to oznacza | Sugerowane działanie |
|---|---|---|
0–2 | Podstawy są uporządkowane, braki mają charakter punktowy | Przegląd dokumentacji i uzupełnienie brakujących zapisów |
3–5
| Kontrola zastałaby placówkę nieprzygotowaną | Diagnoza i plan działań w perspektywie najbliższego kwartału |
6–9 | Braki dotyczą obszarów podstawowych, w tym zgłaszania incydentów | Działania natychmiastowe, równolegle z planowaniem budżetu |
Wdrożenie dyrektywy NIS 2 rozkłada się na etapy, więc wynik pośredni jest tu regułą. Dyrektywa NIS 2 zakłada zresztą proporcjonalność środków do wielkości podmiotu. Jeden punkt zasługuje jednak na osobną uwagę. Jeśli zaznaczony został punkt piąty, dotyczący zgłaszania incydentów, priorytet zmienia się niezależnie od reszty wyniku — ten obowiązek działa od pierwszego dnia obowiązywania przepisów, a nie od zakończenia wdrożenia. Incydenty bezpieczeństwa zgłoszone po terminie stają się osobnym naruszeniem, niezależnie od skali szkody.
Wskazówka Coongi: Zrób ten test dwukrotnie — sam i z kierownikiem IT.
Wypełnijcie go niezależnie, bez konsultacji, a następnie porównajcie odpowiedzi. Rozbieżności są tu cenniejsze niż sam wynik: pokazują, w których obszarach zarządzanie placówką medyczną opiera się na założeniach zamiast na wiedzy. Punkt, który dyrektor uznał za zamknięty, a dział IT za otwarty, jest zwykle pierwszym miejscem do sprawdzenia. To także najprostszy sposób, by sprawdzić, czy zasady bezpieczeństwa w szpitalu są znane poza serwerownią.
Dlaczego gotowość na NIS 2 jest elementem bezpieczeństwa pacjenta
Łatwo potraktować ten temat jako kwestię techniczną i formalną. W szpitalu jest inaczej: niedostępność systemów przekłada się bezpośrednio na ciągłość świadczenia usług medycznych. Dlatego cyberbezpieczeństwo jest tu elementem bezpieczeństwa pacjenta, a nie osobnym obszarem administracyjnym. Element bezpieczeństwa pacjenta stanowi zarówno dostępność dokumentacji, jak i pewność, że dane nie zostały zmienione. Bezpieczeństwo pacjenta zależy więc od integralności danych, nie tylko od ich poufności.
Ta perspektywa zmienia sposób czytania powyższych sygnałów. Bezpieczeństwo pacjenta zależy dziś od dostępności systemów w takim samym stopniu jak od sprzętu medycznego, a każdy element bezpieczeństwa pacjenta ma swój odpowiednik po stronie IT. Nieprzetestowana kopia zapasowa to nie brak formalny, lecz ryzyko, że po ataku dokumentacja będzie niedostępna przez wiele dni — a dostęp do niej to element bezpieczeństwa pacjenta, nie wygoda personelu. Brak segmentacji oznacza, że jedno kliknięcie może zatrzymać funkcjonowanie placówki medycznej w całości, a przywrócenie systemów informatycznych zajmie dni, nie godziny.
Funkcjonowanie placówki medycznej opiera się dziś na kilkunastu systemach jednocześnie. Zapewnienie ciągłości działania jest więc równoznaczne z utrzymaniem zdolności do leczenia — i tak też patrzy na to kontrola. W tym ujęciu ciągłość świadczenia usług medycznych jest nadrzędnym celem, a zapewnienie ciągłości działania systemów tylko środkiem do niego.
Warto o tym pamiętać przy rozmowach z organem założycielskim. Polski system ochrony zdrowia opiera się na placówkach, które w razie przestoju nie mają dokąd przekierować pacjentów — a polski system ochrony zdrowia nie ma rezerwy łóżek na taką sytuację, dlatego sektor ochrony zdrowia został objęty ostrzejszymi wymogami niż większość branż. Nowoczesne zarządzanie szpitalem obejmuje dziś ten obszar na równi z gospodarką lekową czy kontraktem z płatnikiem. Tak rozumiane nowoczesne zarządzanie szpitalem zakłada, że sektor ochrony zdrowia traktuje cyberbezpieczeństwo jako ryzyko operacyjne. Dyrektywa NIS 2 wprost wiąże ciągłość świadczenia usług z obowiązkami kierownictwa, a element bezpieczeństwa pacjenta pojawia się w niej jako uzasadnienie zaostrzonych wymogów dla sektora ochrony zdrowia.
Czego ten test nie zastępuje
Test gotowości NIS 2 w szpitalu obejmuje dziewięć obszarów, a wymagania obejmują ich znacznie więcej. Nie sprawdza między innymi szyfrowania, polityk kontroli dostępu, umów z dostawcami ani kompletności dokumentacji. Poza zakresem pozostaje też wdrożenie systemów zarządzania bezpieczeństwem informacji w pełnym rozumieniu przepisów. Nie jest też oceną zgodności — nie odpowiada na pytanie, czy placówka spełnia wymogi, tylko czy ma podstawy, żeby o tym rozmawiać.
Poza jego zakresem pozostaje również ochrona danych w rozumieniu przepisów o dokumentacji medycznej.
Zastępuje natomiast coś innego: godziny spotkań poświęcone ustalaniu, czy temat jest pilny. Dostosowanie szpitala do NIS 2 zaczyna się właśnie od tej decyzji.
Dziewięć pytań daje odpowiedź szybciej niż jakakolwiek prezentacja, a przy tym w języku, który nie wymaga tłumaczenia na posiedzeniu zarządu.
Co zrobić z wynikiem — pierwsze trzy kroki
Kolejność działań po teście jest zawsze taka sama, niezależnie od wyniku. Wdrożenie NIS 2 w szpitalu zaczyna się bowiem od tych samych trzech kroków.
Odpowiada ona pierwszym etapom procesu opisanego na stronie poświęconej wdrożeniu NIS 2 w szpitalu.
- Ustal status placówki i potwierdź zgłoszenie do wykazu. To czynność formalna, zwykle na jeden dzień pracy.
- Spisz procedurę zgłaszania incydentów z przypisanymi funkcjami i danymi kontaktowymi. Nie wymaga budżetu, a zamyka najpilniejszą lukę — incydenty bezpieczeństwa zdarzają się niezależnie od stanu wdrożenia.
- Zleć diagnozę stanu faktycznego, żeby pozostałe punkty uporządkować według ryzyka, a nie według kolejności na liście. Dopiero wtedy zarządzanie ryzykiem opiera się na danych, a nie na wrażeniach.
Dopiero po tych krokach ma sens rozmowa o narzędziach i budżecie. Wdrożenie systemów zarządzania i konfiguracja zabezpieczeń wynikają z analizy, a nie ją zastępują. Odwrotna kolejność — najpierw zakup, potem analiza — jest najczęstszą przyczyną wydatków, które nie przekładają się na realny poziom bezpieczeństwa.
Najczęściej zadawane pytania
Czy ten test zastępuje formalny audyt bezpieczeństwa?
Nie. Test gotowości NIS 2 w szpitalu obejmuje dziewięć wybranych obszarów i służy ocenie pilności, a nie zgodności. Formalny audyt weryfikuje dowody: konfiguracje, zapisy i dokumentację. Test wskazuje jedynie, czy taki audyt warto zaplanować już teraz i czy cyberbezpieczeństwo szpitala zgodne z NIS 2 jest realnym celem na bieżący rok.
Kto w szpitalu powinien go wypełnić?
Dyrektor lub członek zarządu, samodzielnie i bez konsultacji z działem IT. Sens tego testu polega na sprawdzeniu, co wie kierownictwo — bo to ono odpowiada za spełnienie wymogów. Warto powtórzyć go z kierownikiem IT i porównać odpowiedzi, bo zarządzanie placówką medyczną wymaga wspólnego obrazu ryzyka.
Co zrobić, jeśli zaznaczyłem więcej niż pięć punktów?
Zacznij od dwóch działań, które nie wymagają budżetu ani wdrożenia dyrektywy NIS 2 w pełnym zakresie — wdrożenie dyrektywy NIS 2 można rozłożyć na etapy: potwierdzenia zgłoszenia do wykazu oraz spisania procedury zgłaszania incydentów. Równolegle zaplanuj diagnozę, która uporządkuje pozostałe braki według ryzyka i wskaże, co jest wykonalne w bieżącym roku budżetowym.
Czy niski wynik oznacza, że placówka jest zgodna z NIS 2?
Nie. Zero zaznaczeń oznacza wyłącznie, że podstawy są uporządkowane. Zgodność obejmuje szerszy zakres, w tym zarządzanie bezpieczeństwem informacji, umowy z dostawcami i udokumentowane procedury. Bezpieczeństwo informacji ocenia się przy tym łącznie: technika, procedury i ludzie. Bezpieczeństwo informacji bez udokumentowanych procedur nie jest weryfikowalne. Test jest punktem wyjścia do rozmowy, a nie jej zakończeniem.
Zaznaczyłeś więcej niż trzy punkty?
Bezpłatny audyt zero trwa 1–2 godziny i kończy się raportem z priorytetami dla konkretnej placówki. To najprostszy sposób, aby zamienić wynik testu w plan działania z terminami. Wdrożenie NIS 2 w szpitalu daje się wtedy zaplanować bez pośpiechu i bez nadmiarowych wydatków.