Szkolenia z cyberbezpieczeństwa dla personelu medycznego to jeden z obowiązkowych elementów ustawy o krajowym systemie cyberbezpieczeństwa, a nie działanie fakultatywne. Pomagamy placówkom medycznym wdrożyć gotowy program szkoleniowy wraz z pełną dokumentacją na potrzeby audytu. Cyberbezpieczeństwo w podmiotach medycznych wymaga dziś dowodów, nie deklaracji — a placówki ochrony zdrowia są kontrolowane pod tym kątem od pierwszego dnia obowiązywania przepisów.
Przepisy wymieniają edukację z zakresu cyberbezpieczeństwa oraz podstawową higienę cybernetyczną wśród środków, które podmiot ma wdrożyć. Obowiązek obejmuje wszystkich zatrudnionych, nie wyłącznie dział informatyczny, a jego spełnienie trzeba udokumentować. Szczegółowy zakres obowiązków opisaliśmy we wpisie o cyberhigienie personelu medycznego.
Obowiązek dotyczy każdej grupy zawodowej: pracownicy medyczni, administracja i kierownictwo podlegają mu na równi. Pracownicy medyczni nie są tu traktowani inaczej niż pozostali zatrudnieni. Podstawowa higiena cybernetyczna jest wymieniona w przepisach wprost, obok edukacji z zakresu cyberbezpieczeństwa. Konsekwencja bywa zaskakująca dla dyrekcji: szkolenie przeprowadzone bez dokumentacji nie istnieje z punktu widzenia kontroli. Organ nadzoru nie ocenia intencji ani jakości prezentacji — sprawdza listy obecności, daty, zakres tematyczny i potwierdzenia ukończenia. Podmioty sektora ochrony zdrowia są kontrolowane pod tym kątem tak samo jak pod kątem dokumentacji medycznej. Placówki medyczne, które prowadzą szkolenia okazjonalnie i bez rejestru, formalnie tego wymogu nie spełniają. Dotyczy to zarówno szpitali, jak i mniejszych placówek ochrony zdrowia — ochrona zdrowia jest tu traktowana jako całość.
Drugi wymóg dotyczy cykliczności. Jednorazowe szkolenie nie buduje nawyków: wiedza o rozpoznawaniu zagrożeń zaciera się w ciągu kilku tygodni, a rotacja sprawia, że po roku część zespołu nigdy nie brała w nim udziału. Program szkoleń musi więc działać w sposób ciągły, a nie akcyjny. Prowadzenie szkoleń w formule jednorazowej spełnia wymóg formalny wyłącznie w roku, w którym się odbyły. Podmioty sektora ochrony zdrowia planują je dziś w cyklu rocznym, tak jak szkolenia BHP.
Phishing pozostaje głównym wektorem ataków na podmioty lecznicze i pozostałe podmioty medyczne, ponieważ jest tańszy i skuteczniejszy niż przełamywanie zabezpieczeń technicznych. Realne przykłady ataków na szpitale w Polsce i Europie zebraliśmy w tekście o cyberbezpieczeństwie szpitala zgodnie z ustawą o KSC.
Mechanizm jest prosty i niezależny od poziomu zabezpieczeń. Pracownicy medyczni pracują pod presją czasu, a wiadomość podszywająca się pod wyniki badań, fakturę albo komunikat instytucji trafia do skrzynki w środku dyżuru. Pracownicy medyczni otwierają ją między jednym pacjentem a drugim. Ochrona przed phishingiem opiera się w tym momencie wyłącznie na tym, czy odbiorca rozpozna sygnały ostrzegawcze. Bezpieczeństwo danych pacjentów zależy więc od jednej decyzji podjętej w kilka sekund. Ochrona przed phishingiem jest przy tym umiejętnością wyuczalną — phishing opiera się na kilku powtarzalnych schematach, które da się rozpoznać po krótkim treningu.
Warto podkreślić, że nie chodzi o brak kompetencji. Chodzi o warunki pracy, w których weryfikacja podejrzanej wiadomości konkuruje z obsługą pacjenta. Zagrożenia cyfrowe zmieniają się przy tym szybciej niż programy szkoleń, dlatego treści wymagają aktualizacji. Perspektywę zespołu opisuje wpis o wdrożeniu NIS 2 oczami personelu, a mechanikę samych ataków — tekst o phishingu w szpitalu.
Zrozumienie stawki jest warunkiem skuteczności każdego szkolenia. Dane wrażliwe pacjentów mają na rynku przestępczym wartość wielokrotnie wyższą niż dane finansowe, ponieważ karty płatniczej nie da się porównać z historią leczenia — pierwszą można zablokować w minutę, drugiej nie zmieni się nigdy.
Dane wrażliwe pacjentów obejmują rozpoznania, wyniki badań, numery PESEL i adresy. Ochrona danych pacjentów oznacza w praktyce ochronę informacji, których nie da się wycofać z obiegu — dane medyczne pozostają aktualne przez całe życie osoby, której dotyczą. Kradzież danych medycznych prowadzi więc nie tylko do naruszenia ochrony danych, ale też do szantażu wymierzonego bezpośrednio w pacjentów. Ochrona danych medycznych ma tu wymiar podwójny: prawny i ludzki. Dane medyczne krążące poza kontrolą placówki narażają konkretne osoby, a nie abstrakcyjny rejestr. Wartość danych medycznych wynika właśnie z tej trwałości: dane wrażliwe raz ujawnione pozostają użyteczne dla przestępców przez lata. Dane wrażliwe pacjentów mają w związku z tym wyższą cenę niż dane wrażliwe z jakiegokolwiek innego sektora, a ich ujawnienie dotyka osób, które nie mają wpływu na zabezpieczenia placówki. Dane wrażliwe pacjentów bywają przy tym przetwarzane przez kilkanaście osób dziennie, co zwielokrotnia liczbę punktów, w których ochrona może zawieść, a bezpieczeństwo danych pacjentów staje się kwestią wykraczającą poza samą placówkę. Ochrona danych osobowych w dokumentacji medycznej podlega dodatkowo odrębnym przepisom, więc bezpieczeństwo danych pacjentów ocenia się w dwóch porządkach naraz.
Drugi scenariusz to ataki typu ransomware. Zaszyfrowanie systemów zatrzymuje pracę oddziałów, a odzyskanie dostępu bywa liczone w tygodniach. Ransomware uderza w dostępność, a nie w poufność — i to właśnie ten wariant najmocniej wpływa na bezpieczeństwo pacjentów. Wyciek informacji jest dotkliwy, ale przestój bywa groźniejszy klinicznie.
Dlatego techniki ochrony danych omawiane w programie odnoszą się do obu scenariuszy. Ochrona informacji obejmuje zarówno zapobieganie wyciekom, jak i utrzymanie dostępu do systemów. Ochrona danych zdrowotnych bez dostępności tych danych nie chroni pacjenta, a ochrona informacji rozumiana wyłącznie jako poufność jest niepełna. Ochrona informacji obejmuje trzy wymiary: poufność, integralność i dostępność. Ochrona informacji w placówce medycznej wymaga więc innych priorytetów niż w firmie usługowej. Zagrożenia dla danych medycznych i sposoby ich ograniczania są w programie pokazane od strony skutków dla pacjenta, a nie od strony technicznej klasyfikacji ataków. Bezpieczeństwo danych zyskuje wtedy konkretne znaczenie, a bezpieczeństwo cyfrowe przestaje być hasłem.
Szkolenia z cyberbezpieczeństwa dla personelu medycznego obejmują sześć modułów prowadzących od zrozumienia zagrożeń do umiejętności reakcji. Każdy moduł opiera się na sytuacjach, które zdarzają się w placówkach medycznych, a nie na przykładach z sektora finansowego czy przemysłu.
Moduł | Czego dotyczy |
|---|---|
1. Krajobraz zagrożeń | Jak w praktyce wygląda atak na szpital, kto i dlaczego atakuje podmioty medyczne, jaka jest wartość danych medycznych na rynku przestępczym |
2. Bezpieczne hasła i logowanie | Eliminacja najczęstszych złych nawyków: kont współdzielonych, haseł zapisanych przy stanowisku, sesji pozostawionych bez blokady |
3. Rozpoznawanie phishingu i manipulacji | Phishing i jego odmiany: techniki wyłudzania danych uwierzytelniających, podszywanie się pod instytucje i kontrahentów, sygnały ostrzegawcze w wiadomościach |
4. Ochrona danych pacjenta w codziennej pracy | Zabezpieczanie danych medycznych przy obiegu dokumentacji, konsultacjach i przekazywaniu wyników; bezpieczeństwo danych pacjentów oraz wymogi wynikające z ochrony danych osobowych |
5. Bezpieczne korzystanie ze sprzętu i sieci | Bezpieczne korzystanie z urządzeń służbowych, nośników i sieci szpitalnej; dlaczego prywatny sprzęt wyprowadza dane osobowe poza kontrolę placówki i jak działają systemy przechowujące dane pacjentów |
6. Reakcja na incydent | Rozpoznawanie i zgłaszanie incydentów, procedury zgłaszania incydentów bezpieczeństwa oraz utrzymanie ciągłości pracy w trakcie zdarzenia |
Zakres szkolenia obejmuje więc zarówno wiedzę o zagrożeniach, jak i konkretne techniki ochrony danych stosowane w codziennej pracy. Bezpieczeństwo danych pacjentów pozostaje w nim celem nadrzędnym, a techniki ochrony danych — narzędziem do jego osiągnięcia. Zakres szkolenia obejmuje wszystkie sytuacje, w których personel styka się z danymi wrażliwymi pacjentów, a bezpieczeństwo danych bywa naruszane najczęściej przy czynnościach rutynowych. Ostatni moduł ma szczególne znaczenie dla zgodności: zgłaszanie incydentów bezpieczeństwa działa tylko wtedy, gdy personel wie, co zgłaszać, komu i w jakim czasie. Rozpoznawanie i zgłaszanie incydentów to zresztą jedyny element, w którym incydenty bezpieczeństwa zależą wprost od reakcji człowieka, a nie od konfiguracji systemu. Nierozpoznane incydenty bezpieczeństwa pozostają niezgłoszone, a niezgłoszone — nieobsłużone. Większość zdarzeń w placówkach to przy tym incydenty bezpieczeństwa o niewielkiej skali, wykryte na czas właśnie dzięki czujności personelu. Rozpoznawanie i zgłaszanie incydentów jest więc najtańszym elementem całego systemu ochrony. Zgłaszanie incydentów bezpieczeństwa po terminie stanowi osobne naruszenie, niezależne od samego zdarzenia.
Konsultantem merytorycznym programu jest Niebezpiecznik.pl, co przekłada się na aktualność opisywanych zagrożeń cyfrowych oraz na to, że obszar cyberbezpieczeństwa opisany jest praktycznie, a nie akademicko — treści odzwierciedlają metody stosowane obecnie, a nie sprzed kilku lat.
Zakres podmiotów medycznych objętych obowiązkiem jest szeroki: obejmuje szpitale, przychodnie i inne podmioty lecznicze spełniające kryteria wielkości. Zakres podmiotów medycznych objętych przepisami rozszerzył się względem poprzedniego stanu prawnego. Zakres podmiotów medycznych wskazany w wykazie obejmuje dziś także placówki, które wcześniej nie miały żadnych obowiązków, a sektor ochrony zdrowia został potraktowany surowiej niż większość branż. Równie szeroki jest zakres osób w samej placówce. Szkolenie zapewni personelowi medycznemu podstawy, ale obowiązek nie kończy się na lekarzach i pielęgniarkach. W praktyce szkolenie zapewni personelowi wspólny język i te same odruchy niezależnie od stanowiska. Dobrze zaprojektowane szkolenie zapewni personelowi także pewność, jak zareagować, gdy coś pójdzie nie tak.
Ostatni punkt bywa pomijany, a przy kontroli sprawdzany w pierwszej kolejności. Zarządzanie bezpieczeństwem informacji obejmuje bowiem także tych, którzy je nadzorują. Nadzór nad systemem zarządzania bezpieczeństwem należy do obowiązków kierownictwa, więc jego udział w programie szkoleń jest elementem wykazania należytej staranności. Zarządzanie ryzykiem w obszarze cyberbezpieczeństwa opiera się na tej samej zasadzie: decyzję podejmuje ten, kto odpowiada.
Przepisy traktują kierownika podmiotu inaczej niż pozostałych zatrudnionych. Odpowiedzialność za wdrożenie i utrzymanie środków bezpieczeństwa jest przypisana osobowo, a jej niewykonanie zagrożone jest karą pieniężną nakładaną na osobę, nie na jednostkę — do 100% rocznego wynagrodzenia w podmiocie publicznym i do 300% w podmiocie niepublicznym. Niezależnie od tego podmiot kluczowy odpowiada do 10 000 000 EUR lub 2% rocznego obrotu, a podmiot ważny do 7 000 000 EUR lub 1,4%.
Z tego wynika praktyczny wniosek: udział kierownictwa w szkoleniach nie jest gestem przykładu dla zespołu, lecz elementem wykazania należytej staranności. Podczas kontroli pytanie o potwierdzenie udziału dyrekcji pada zwykle wcześniej niż pytanie o frekwencję personelu, ponieważ najszybciej pokazuje, czy zarządzanie bezpieczeństwem informacji funkcjonuje realnie, czy zostało zdelegowane w dół i zapomniane.
Zakres wiedzy potrzebnej kierownictwu jest przy tym inny niż w przypadku pozostałych grup. Personel uczy się rozpoznawać zagrożenia w codziennej pracy, natomiast osoby zarządzające potrzebują umieć ocenić ryzyko, zrozumieć konsekwencje decyzji budżetowych oraz wiedzieć, jakie pytania zadać dostawcom i własnemu działowi informatycznemu. Program obejmuje oba poziomy, a udział kadry zarządzającej jest w dokumentacji wyodrębniony, dzięki czemu można go wykazać bez przeszukiwania rejestru całej placówki.
Placówki medyczne przyjmują pracowników w trybie ciągłym, a rotacja w niektórych grupach zawodowych przekracza kilkanaście procent rocznie. Szkolenie zorganizowane jako pojedyncze wydarzenie obejmuje wyłącznie osoby zatrudnione w danym momencie. Po roku od takiego szkolenia znacząca część zespołu nigdy w nim nie uczestniczyła, choć placówka formalnie wykazała jego przeprowadzenie.
Model subskrypcyjny rozwiązuje ten problem strukturalnie. Nowy pracownik otrzymuje dostęp przy zakładaniu konta w pozostałych systemach placówki i przechodzi program we własnym tempie w pierwszych tygodniach pracy, bez oczekiwania na kolejną edycję szkolenia. Warto wpisać to w procedurę zatrudniania obok szkolenia stanowiskowego i badań — wtedy nie wymaga osobnego nadzoru, ponieważ dzieje się automatycznie przy każdym przyjęciu.
Analogicznie działa odejście pracownika. Dostęp wygasa razem z pozostałymi uprawnieniami, a potwierdzenie ukończenia szkolenia pozostaje w dokumentacji placówki. Kontrola obejmuje bowiem okres, w którym dana osoba pracowała, a nie wyłącznie stan bieżący zatrudnienia.
Sam fakt przeszkolenia zespołu nie wystarcza — liczy się możliwość wykazania tego przed organem nadzoru. Cyberbezpieczeństwo w podmiotach medycznych podlega kontroli tak samo jak dokumentacja medyczna. Właśnie dlatego zgodność w podmiotach medycznych wymaga rejestrów, a nie tylko działań. Cyberbezpieczeństwo w podmiotach medycznych ocenia się po tym, co da się pokazać. Panel dla kierownictwa odpowiada właśnie na tę potrzebę. Cyberbezpieczeństwo w podmiotach medycznych jest bowiem oceniane po dokumentach, a nie po deklaracjach.
Element | Dlaczego ma znaczenie dla dyrekcji |
|---|---|
Dokumentacja audytowa | Gotowe potwierdzenia realizacji szkoleń, z datami i zakresem tematycznym, na potrzeby kontroli |
Raportowanie postępów | Widoczność, które zespoły lub tematy wymagają wzmocnienia — dane w czasie rzeczywistym |
Raportowanie procesu, nie osób | Wyniki prezentowane na poziomie zespołów i tematów, co buduje zaufanie zamiast atmosfery kontroli |
Alerty o lukach | Sygnał, gdy dany obszar tematyczny wypada słabiej niż pozostałe |
Onboarding administratorów | Wdrożenie osób zarządzających platformą po stronie placówki, bez obciążania działu informatycznego |
Trzeci wiersz zasługuje na osobne zdanie, ponieważ odróżnia to rozwiązanie od typowych platform e-learningowych. Raportowanie indywidualne szybko zmienia szkolenie w narzędzie oceny pracowniczej, co kończy się klikaniem „dalej” bez czytania. Widok zbiorczy pokazuje kierownictwu to, co jest potrzebne do decyzji — gdzie wzmocnić program — bez wchodzenia w rozliczanie osób.
Największym ryzykiem projektu szkoleniowego nie jest jakość treści, lecz niska frekwencja. Placówka kupuje dostęp dla całego zespołu, po czym po kwartale okazuje się, że program ukończyła połowa uczestników. Dokumentacja obejmuje wtedy dokładnie tyle osób, ile faktycznie przeszło szkolenie, a pozostała część zespołu pozostaje poza zakresem wykazanej zgodności.
Przyczyna jest zwykle organizacyjna, nie motywacyjna. Szkolenie potraktowane jako zadanie dodatkowe, o którym pracownik ma pamiętać sam, przegrywa z obowiązkami klinicznymi. Skuteczne wdrożenia mają trzy cechy wspólne: termin ukończenia wskazany wprost, właściciela procesu po stronie kadr lub inspektora ochrony danych oraz komunikat wychodzący od dyrekcji, a nie od działu informatycznego.
Największym ryzykiem projektu szkoleniowego nie jest jakość treści, lecz niska frekwencja. Placówka kupuje dostęp dla całego zespołu, po czym po kwartale okazuje się, że program ukończyła połowa uczestników. Dokumentacja obejmuje wtedy dokładnie tyle osób, ile faktycznie przeszło szkolenie, a pozostała część zespołu pozostaje poza zakresem wykazanej zgodności.
Przyczyna jest zwykle organizacyjna, nie motywacyjna. Szkolenie potraktowane jako zadanie dodatkowe, o którym pracownik ma pamiętać sam, przegrywa z obowiązkami klinicznymi. Skuteczne wdrożenia mają trzy cechy wspólne: termin ukończenia wskazany wprost, właściciela procesu po stronie kadr lub inspektora ochrony danych oraz komunikat wychodzący od dyrekcji, a nie od działu informatycznego.
PRO TIP Powiąż termin ukończenia z cyklem, który już działa w placówce
Zamiast tworzyć osobny harmonogram, warto przypiąć szkolenie do rytmu, który zespół zna: przeglądu okresowego, cyklu szkoleń BHP albo rocznej oceny. Personel nie odbiera go wtedy jako kolejnego oderwanego obowiązku, a dział kadr nie prowadzi drugiego, równoległego rejestru terminów. Placówki, które to zrobiły, notują ukończenie na poziomie wyraźnie wyższym niż te, które ograniczyły się do wysłania linku.
Wiele placówek ma już jakąś formę szkolenia online — najczęściej moduł dotyczący ochrony danych osobowych, kupiony przy okazji wdrożenia RODO. Pojawia się więc uzasadnione pytanie, czy nie wystarczy on do wykazania zgodności. Zwykle nie wystarcza, i to z trzech powodów, które warto sprawdzić w posiadanym rozwiązaniu.
Po pierwsze, zakres tematyczny. Szkolenie z ochrony danych osobowych opisuje zasady przetwarzania i prawa osób, których dane dotyczą, natomiast przepisy o cyberbezpieczeństwie wymagają wiedzy operacyjnej: rozpoznawania prób wyłudzenia danych uwierzytelniających, zasad korzystania ze sprzętu i sieci oraz procedury zgłaszania incydentów. To dwa różne zestawy umiejętności i pierwszy nie zastępuje drugiego.
Po drugie, aktualność. Metody ataków zmieniają się w cyklu miesięcy, a typowy kurs kupowany jednorazowo pozostaje w wersji z dnia zakupu. Materiał opisujący zagrożenia sprzed kilku lat formalnie istnieje, ale nie przygotowuje na to, co personel faktycznie zobaczy w skrzynce. Program aktualizowany w ramach subskrypcji nie ma tego problemu.
Po trzecie, dokumentacja. Kurs bez rejestru ukończeń, dat i zakresu tematycznego nie stanowi dowodu podczas kontroli. Jeśli posiadane rozwiązanie generuje wyłącznie certyfikat dla uczestnika, po stronie placówki nie powstaje nic, co dałoby się przedstawić organowi nadzoru w formie zbiorczej.
Jeżeli dotychczasowe szkolenie spełnia wszystkie trzy warunki, nie ma powodu go zmieniać. Jeżeli nie spełnia żadnego, jego wartość dowodowa jest bliska zeru, choć koszt został już poniesiony.
Uruchomienie nie wymaga zmian w infrastrukturze ani integracji z systemami medycznymi. Systemy medyczne pozostają nietknięte, podobnie jak pozostałe systemy IT placówki — platforma nie łączy się z nimi w żaden sposób i nie przetwarza danych klinicznych. To istotne, bo systemy medyczne rzadko znoszą dodatkowe integracje bez testów. Platforma działa niezależnie od systemów szpitalnych, więc prowadzenie szkoleń nie obciąża działu informatycznego ani nie wpływa na pracę oddziałów. Pracownicy IT uczestniczą wyłącznie na etapie konfiguracji kont.
Czas od decyzji do udostępnienia programu uczestnikom liczony jest zwykle w dniach, nie w tygodniach. Największą częścią pracy jest komunikacja wewnętrzna — uczestnik szkolenia, który rozumie, po co je przechodzi, kończy je znacznie częściej niż ten, który dostał wyłącznie link.
Szkolenia nie funkcjonują w oderwaniu od pozostałych obowiązków. Ustawa wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji, w którym edukacja stanowi jeden z elementów obok analizy ryzyka, kontroli dostępu i procedur reagowania. Bezpieczeństwo informacji obejmuje tu zarówno dane medyczne, jak i dokumentację administracyjną. Program szkoleń dostarcza dowodów do tej dokumentacji.
Placówki wdrażające normę bezpieczeństwo informacji ISO 27001 znajdą tu bezpośrednie przełożenie: wymagania dotyczące świadomości i kompetencji personelu są w obu porządkach zbieżne, a bezpieczeństwo informacji rozumiane jest podobnie. Ten sam zestaw potwierdzeń obsługuje więc zakres ochrony informacji wymagany przez przepisy oraz przez normę.
Warto to wykorzystać przy planowaniu. Cel ochrony danych jest wspólny dla obu reżimów, a dokumentacja ochrony danych zbudowana raz służy zarówno kontroli, jak i audytowi certyfikacyjnemu. System zarządzania działa wtedy jako jedna całość, a nie jako kilka równoległych rejestrów prowadzonych osobno.
Obowiązek szkoleniowy istniał w placówkach medycznych jeszcze przed przepisami o cyberbezpieczeństwie. Rozporządzenie o ochronie danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, a wśród zadań inspektora ochrony danych wymienia wprost działania zwiększające świadomość oraz szkolenia personelu uczestniczącego w operacjach przetwarzania. Placówki realizowały ten obowiązek w różnym zakresie, zwykle jednorazowo.
Nowe przepisy nie zastępują tamtego wymogu, lecz nakładają się na niego. Powstaje sytuacja, w której jedna placówka podlega dwóm reżimom mającym częściowo wspólny przedmiot: świadomość personelu w zakresie ochrony informacji. Prowadzenie dwóch osobnych programów szkoleniowych, dwóch rejestrów i dwóch harmonogramów jest wtedy nie tyle błędem, ile niepotrzebnym kosztem.
Program obejmujący zarówno zasady przetwarzania danych osobowych, jak i wiedzę operacyjną z zakresu cyberbezpieczeństwa obsługuje oba porządki jednocześnie. Inspektor ochrony danych otrzymuje dowód realizacji własnych zadań, a osoba odpowiedzialna za zgodność z przepisami o cyberbezpieczeństwie — potwierdzenie realizacji środka wymaganego ustawą. Dokumentacja powstaje raz i służy obu celom, podobnie jak w przypadku normy ISO 27001 opisanej powyżej.
W praktyce oznacza to również jedną pozycję w budżecie zamiast trzech oraz jednego właściciela procesu zamiast rozproszonej odpowiedzialności między inspektorem ochrony danych, działem informatycznym i kadrami. Warto zestawić to z obecną strukturą wydatków placówki na szkolenia — często okazuje się, że łączny koszt rozwiązań cząstkowych przewyższa koszt jednego programu obejmującego całość.
Zakup narzędzia do cyberbezpieczeństwa nie zwalnia z weryfikacji dostawcy tego narzędzia. Platforma szkoleniowa przetwarza dane pracowników placówki — imiona, nazwiska, stanowiska, adresy służbowe i informacje o postępach — więc staje się elementem łańcucha dostaw, za który odpowiada podmiot leczniczy. Kryteria takiej weryfikacji zebraliśmy w checkliście dla tych, którzy sprawdzają, czy dostawca systemu medycznego jest zgodny z NIS 2.
Cztery pytania warto zadać niezależnie od tego, u kogo kupowane jest szkolenie. Gdzie fizycznie przetwarzane są dane uczestników i czy infrastruktura pozostaje na terenie Unii Europejskiej. Czy dostawca przedstawia umowę powierzenia przetwarzania danych osobowych, a nie wyłącznie regulamin usługi. Jak wygląda kontrola dostępu po stronie dostawcy i kto z jego personelu ma wgląd w dane placówki. Co dzieje się z danymi po zakończeniu umowy oraz w jakim terminie są usuwane.
W przypadku tego programu dane uczestników przetwarzane są w infrastrukturze zlokalizowanej w Unii Europejskiej, a placówka zawiera umowę powierzenia przetwarzania stanowiącą element dokumentacji zgodności. Platforma nie łączy się z systemami medycznymi i nie przetwarza danych klinicznych ani danych pacjentów, co istotnie zawęża zakres ryzyka. Dostęp po stronie dostawcy podlega kontroli i rejestracji.
Ta sekcja mogłaby zostać pominięta w materiale ofertowym, ale wtedy dyrekcja musiałaby zadać te pytania samodzielnie — a zadać je powinna każdemu dostawcy, także temu, który sprzedaje rozwiązania bezpieczeństwa.
Model rozliczenia jest subskrypcyjny: opłata roczna naliczana za osobę objętą dostępem do platformy. Cena katalogowa wynosi 127 zł netto za osobę rocznie przy pakiecie obejmującym co najmniej 1000 pracowników; dla mniejszych placówek medycznych wycena przygotowywana jest indywidualnie, podobnie jak dla podmiotów medycznych działających w strukturze wielooddziałowej. Podmioty medyczne o mniejszej skali często wybierają wdrożenie etapowe.
W cenie zawiera się dostęp do wszystkich modułów, panel raportowania dla kierownictwa, potwierdzenia ukończenia szkoleń, aktualizacje treści, wsparcie techniczne oraz onboarding administratorów. Szkolenia obejmujące cały zespół rozlicza się jedną stawką, bez podziału na grupy zawodowe. Nie występują opłaty wdrożeniowe ani zobowiązania wieloletnie.
Warto zestawić ten koszt z alternatywą. Szkolenie stacjonarne dla całego zespołu oznacza wynajęcie sali, oderwanie personelu od pracy i pojedyncze wydarzenie bez efektu cyklicznego. Roczna subskrypcja obejmuje natomiast wszystkich zatrudnionych, działa przez cały rok i generuje dokumentację ochrony danych oraz szkoleń automatycznie. Szkolenia online nie wymagają przy tym rezerwacji sal ani układania grafików.
Podmiot publiczny nie kupuje szkoleń tak jak firma prywatna, a formalności bywają realną barierą — nie ze względu na trudność, lecz dlatego, że nikt w placówce nie ma gotowego opisu przedmiotu zamówienia dla tej kategorii usług. Poniższe wskazówki mają ten etap skrócić.
Wartość zamówienia decyduje o trybie. Przy pakiecie liczonym w setkach pracowników roczna opłata mieści się zwykle poniżej progu, od którego stosuje się prawo zamówień publicznych, co pozwala przeprowadzić zakup w trybie wewnętrznego zapytania ofertowego. Przy większych placówkach lub przy zakupie łączonym z innymi usługami próg bywa przekroczony i wtedy obowiązuje pełna procedura. Wewnętrzny regulamin udzielania zamówień w danej jednostce może przy tym przewidywać niższe progi — ten dokument należy sprawdzić w pierwszej kolejności.
Największym problemem opisu przedmiotu zamówienia dla szkoleń jest nieostrość kryteriów. Zapis „szkolenie z zakresu cyberbezpieczeństwa dla personelu” pozwala złożyć ofertę zarówno na jednorazową prezentację, jak i na roczny program z dokumentacją. Wynik rozstrzyga wtedy cena, a placówka otrzymuje rozwiązanie, które nie spełnia jej potrzeby. Warto więc opisać parametry mierzalne:
Na etapie przygotowania postępowania pomagamy przygotować opis przedmiotu zamówienia oraz oszacować wartość usługi. Nie jest to element sprzedaży — placówka może wykorzystać ten opis w postępowaniu otwartym, także wtedy, gdy wybierze innego wykonawcę.
Podmiot publiczny nie kupuje szkoleń tak jak firma prywatna, a formalności bywają realną barierą — nie ze względu na trudność, lecz dlatego, że nikt w placówce nie ma gotowego opisu przedmiotu zamówienia dla tej kategorii usług. Poniższe wskazówki mają ten etap skrócić.
Wartość zamówienia decyduje o trybie. Przy pakiecie liczonym w setkach pracowników roczna opłata mieści się zwykle poniżej progu, od którego stosuje się prawo zamówień publicznych, co pozwala przeprowadzić zakup w trybie wewnętrznego zapytania ofertowego. Przy większych placówkach lub przy zakupie łączonym z innymi usługami próg bywa przekroczony i wtedy obowiązuje pełna procedura. Wewnętrzny regulamin udzielania zamówień w danej jednostce może przy tym przewidywać niższe progi — ten dokument należy sprawdzić w pierwszej kolejności.
Największym problemem opisu przedmiotu zamówienia dla szkoleń jest nieostrość kryteriów. Zapis „szkolenie z zakresu cyberbezpieczeństwa dla personelu” pozwala złożyć ofertę zarówno na jednorazową prezentację, jak i na roczny program z dokumentacją. Wynik rozstrzyga wtedy cena, a placówka otrzymuje rozwiązanie, które nie spełnia jej potrzeby. Warto więc opisać parametry mierzalne:
PRO TIP Rozdziel zakup szkoleń od zakupu usług technicznych
Łączenie szkoleń z audytem, wdrożeniem zabezpieczeń i dostawą sprzętu w jednym postępowaniu wydłuża je o miesiące i zawęża krąg oferentów do podmiotów zdolnych dostarczyć całość zgodności, więc kupione osobno ruszają w kilka dni, podczas gdy pozostałe obszary przechodzą swoją procedurę. Placówka zaczyna wtedy budować dokumentację od razu, zamiast czekać na rozstrzygnięcie całego pakietu.
Pierwszy rok kończy się zwykle dobrym wynikiem: program ukończony, dokumentacja gotowa, obowiązek wykazany. Rok drugi jest trudniejszy, ponieważ znika efekt nowości, a zespół uznaje temat za zamknięty. Tymczasem właśnie wtedy zaczyna działać mechanizm, dla którego przepisy wymagają cykliczności.
Wiedza o rozpoznawaniu zagrożeń zanika szybciej niż wiedza proceduralna, ponieważ opiera się na czujności, a nie na zapamiętanej regule. Po kilkunastu miesiącach bez kontaktu z tematem rozpoznawalność typowych schematów wraca do poziomu sprzed szkolenia. Równolegle zmieniają się same ataki — treści przygotowane rok wcześniej opisują metody, które w części zostały już zastąpione nowszymi.
Kolejny cykl nie oznacza jednak powtórzenia tego samego materiału. Uczestnik, który przeszedł program w całości, w kolejnym roku pracuje na treściach zaktualizowanych oraz na modułach wskazanych przez raport jako słabsze w jego zespole. Czas potrzebny na utrzymanie kompetencji jest wyraźnie krótszy niż ich zbudowanie, a dokumentacja narasta w sposób ciągły — przy kontroli obejmującej kilka lat wstecz placówka pokazuje nieprzerwaną historię działań, a nie pojedynczy epizod z przeszłości.
Szkolenia z cyberbezpieczeństwa dla personelu medycznego są jednym z elementów zgodności, a nie jej całością. Przepisy wymagają również analizy ryzyka, zabezpieczeń technicznych, procedur ciągłości działania i monitorowania. Zakres cyberbezpieczeństwa IT obejmuje więc obszary techniczne i organizacyjne, a nie wyłącznie edukację. Zakres ochrony danych trzeba przy tym opisać w dokumentacji, żeby dało się go zweryfikować. Pełny zakres prac opisaliśmy na stronie poświęconej wdrożeniu NIS 2 w szpitalu.
Logika współpracy wygląda następująco. Bezpłatna diagnoza pokazuje, czy luka szkoleniowa jest w danej placówce priorytetem, czy pilniejsze są inne obszary. Jeśli szkolenia znajdą się wysoko na liście, program wdrażany jest jako samodzielny element. Pozostałe obszary — technologia, procedury, audyty bezpieczeństwa i monitoring — realizujemy równolegle albo w kolejnych etapach. Cykliczne audyty bezpieczeństwa weryfikują przy tym, czy zakres ochrony zdrowia w wymiarze cyfrowym faktycznie odpowiada deklaracjom.
Program szkoleniowy można też wdrożyć niezależnie, bez pozostałych elementów. Taka decyzja bywa uzasadniona, gdy placówka ma uporządkowaną infrastrukturę, a zaległość dotyczy wyłącznie obszaru edukacji personelu.
Cyfrowy Immunitet to produkt firmy Inamedu, powstały specjalnie dla sektora ochrony zdrowia. Cyfrowa ochrona zdrowia rozwija się szybciej niż kompetencje zespołów, a program ma tę różnicę wyrównywać. Cyfrowa ochrona zdrowia oznacza dziś także nowe obowiązki po stronie placówki. Zakres ochrony zdrowia objęty przepisami obejmuje dziś także obszar cyfrowy, a nie wyłącznie kliniczny. Coongi występuje w tym projekcie jako partner wdrożeniowy: pomagamy dobrać zakres, przeprowadzić uruchomienie w placówce i powiązać program z pozostałymi obowiązkami wynikającymi z przepisów.
Mówimy o tym wprost, ponieważ znajomość pochodzenia rozwiązania jest częścią rzetelnej oferty. Konsultantem merytorycznym programu jest Niebezpiecznik.pl — jeden z najbardziej rozpoznawalnych podmiotów zajmujących się cyberbezpieczeństwem w Polsce.
Tak. Program działa jako samodzielny produkt i nie wymaga korzystania z pozostałych usług. Wdrożenie niezależne ma sens szczególnie wtedy, gdy placówka ma uporządkowane obszary techniczne, a zaległość dotyczy wyłącznie edukacji zespołu. Z tej ścieżki korzystają zarówno szpitale, jak i mniejsze placówki medyczne oraz podmioty lecznicze o profilu ambulatoryjnym.
Od decyzji do udostępnienia programu uczestnikom mija zwykle kilka dni roboczych. Uruchomienie nie wymaga integracji z systemami medycznymi ani zmian w infrastrukturze, więc nie angażuje działu informatycznego poza etapem konfiguracji kont.
Raportowanie prowadzone jest na poziomie zespołów i obszarów tematycznych, bez prezentowania wyników pojedynczych osób. Takie podejście buduje zaufanie personelu i zapobiega traktowaniu szkolenia jako narzędzia oceny pracowniczej. Uczestnicy szkolenia widzą wyłącznie własne postępy.
Tak, dostęp jest całodobowy, a lekcje mają krótką formę, więc uczestnik szkolenia może realizować je we własnym tempie. Formuła microlearningu została dobrana właśnie pod pracę zmianową i rotację zespołów, typową dla podmiotów medycznych.
Tak. Przepisy przypisują odpowiedzialność za wdrożenie środków bezpieczeństwa osobowo kierownikowi podmiotu, a kara pieniężna za jej niewykonanie sięga 100% rocznego wynagrodzenia w podmiocie publicznym i 300% w podmiocie niepublicznym. Udział kadry zarządzającej jest w dokumentacji wyodrębniony, więc można go wykazać osobno podczas kontroli.
Przy typowej liczbie pracowników roczna opłata mieści się zwykle poniżej progu stosowania prawa zamówień publicznych, co pozwala przeprowadzić zakup w trybie wewnętrznego zapytania ofertowego. Decyduje jednak wartość zamówienia oraz wewnętrzny regulamin udzielania zamówień obowiązujący w danej jednostce. Pomagamy przygotować opis przedmiotu zamówienia niezależnie od wybranego trybu.
Zwykle nie wystarcza. Szkolenie dotyczące ochrony danych osobowych opisuje zasady przetwarzania, natomiast przepisy o cyberbezpieczeństwie wymagają wiedzy operacyjnej: rozpoznawania prób wyłudzenia danych uwierzytelniających, zasad korzystania ze sprzętu i sieci oraz procedury zgłaszania incydentów. Program obejmujący oba zakresy obsługuje jednocześnie obowiązki wynikające z ochrony danych osobowych i z przepisów o cyberbezpieczeństwie.
Dane uczestników przetwarzane są w infrastrukturze zlokalizowanej na terenie Unii Europejskiej, a placówka zawiera umowę powierzenia przetwarzania danych osobowych. Platforma nie łączy się z systemami medycznymi i nie przetwarza danych klinicznych ani danych pacjentów.
Program powstał w firmie Inamedu, a konsultantem merytorycznym jest Niebezpiecznik.pl. Treści przygotowano z myślą o realiach podmiotów leczniczych, a nie o ogólnym rynku szkoleń korporacyjnych. Treści opierają się na scenariuszach z życia placówek medycznych oraz na aktualnych metodach ataków obserwowanych w sektorze ochrony zdrowia.
Przygotujemy ofertę dopasowaną do liczby pracowników i pomożemy ustalić, czy program szkoleń warto uruchomić samodzielnie, czy jako element szerszego wdrożenia. Pierwsza rozmowa jest bezpłatna i niezobowiązująca.