Opublikowane:
2026-09-30
Cyberatak na system medyczny nie musi zaczynać się od błędu pracownika ani spektakularnego przełamania zabezpieczeń. Coraz częściej zagrożenia dotyczą samych systemów, ich architektury, konfiguracji i sposobu, w jaki zostały zaprojektowane. Jednocześnie rozwój AI daje nowe możliwości nie tylko organizacjom, ale również cyberprzestępcom.
Ostatnie incydenty na rynku ochrony zdrowia po raz kolejny pokazały, że pytanie nie powinno brzmieć wyłącznie: „czy nasz system jest bezpieczny?”, ale również: „skąd wiemy, że nadal jest bezpieczny i czy będziemy potrafili odpowiednio wcześnie rozpoznać zagrożenie?”
O tym, dlaczego bezpieczeństwo należy traktować jako ciągły proces, jaką rolę odgrywa analiza ryzyka i gdzie przebiega granica odpowiedzialności dostawcy technologii i placówki medycznej, rozmawiamy z Patrykiem Kozłowskim, ekspertem ds. cyberbezpieczeństwa Mednow.
Czy można dzisiaj powiedzieć: „nasz system medyczny jest bezpieczny”? Czy stuprocentowe bezpieczeństwo w ogóle istnieje?
Przez lata odpowiedź na to pytanie brzmiała „Systemy są tak bezpieczne, jak bezpieczne jest ich najsłabsze ogniwo”. Jako dostawca oprogramowania dla ochrony zdrowia tworzyliśmy i tworzymy nasze oprogramowanie w oparciu o dobre praktyki związane z pisaniem kodu oraz testowaniem komponentów i bibliotek. Stosujemy zasady utwardzania systemów i sieci, dzięki czemu aplikacja przypomina nowoczesną fortecę złożoną z wielu warstw ochrony, od zabezpieczeń infrastruktury po mechanizmy bezpieczeństwa samej aplikacji. Dokonujemy też wieloetapowych testów bezpieczeństwa symulujących działanie hakerów aby poznać odporność naszych aplikacji na ich nowe mechanizmy działania. Najważniejsze zostawiamy jednak do codziennej pracy – uświadamiamy naszych Klientów i pracowników, że bezpieczeństwo zależy również od nich.
No właśnie, przez lata dużo mówiło się o człowieku jako „najsłabszym ogniwie” cyberbezpieczeństwa. Czy nadal nim jest? Jak rozwój AI zmienia dziś charakter zagrożeń?
Na to pytanie nie ma obecnie jednoznacznej odpowiedzi. Wykorzystanie sztucznej inteligencji znacząco przyspieszyło realizację wielu procesów. Obserwujemy wśród naszych klientów, że coraz częściej korzystają oni z generatorów tekstu, wspierają się AI przy analizie obrazów czy wyszukiwaniu informacji, co przekłada się na większą efektywność pracy.
Musimy jednak pamiętać, że sztuczna inteligencja może być wykorzystywana zarówno w dobrych, jak i złych celach. Cyberprzestępcy używają jej dziś do tworzenia bardziej wiarygodnych kampanii phishingowych, automatyzowania ataków czy wyszukiwania podatności w aplikacjach i systemach. Coraz częściej mamy też do czynienia z treściami generowanymi przez AI, które na pierwszy rzut oka trudno odróżnić od komunikatów pochodzących od zaufanych osób lub instytucji.
Osobiście jednak nadal podkreślam rolę człowieka w tym procesie. To my decydujemy, jakie dane trafiają do modeli AI i w jaki sposób wykorzystujemy generowane przez nie wyniki. Nieostrożne korzystanie z takich narzędzi może prowadzić zarówno do naruszeń ochrony danych osobowych, jak i do incydentów bezpieczeństwa. Lubię też podkreślać, że człowiek nie jest wyłącznie „najsłabszym ogniwem”. Odpowiednio przygotowany może stać się pierwszą i najskuteczniejszą linią obrony organizacji. W praktyce warto pamiętać o trzech prostych zasadach:
- Po pierwsze, zatrzymaj się na chwilę przed działaniem. Większość skutecznych ataków socjotechnicznych wykorzystuje pośpiech, presję czasu lub emocje. Jeśli wiadomość, telefon lub polecenie wydają się nietypowe, warto poświęcić kilka sekund na ich weryfikację;
- Po drugie, ograniczaj ilość udostępnianych informacji. Dotyczy to zarówno korespondencji elektronicznej, jak i narzędzi AI. Zawsze należy zastanowić się, czy przekazywane dane są rzeczywiście niezbędne do wykonania zadania;
- Po trzecie, nie bój się pytać. W dojrzałej organizacji zgłoszenie podejrzanej wiadomości lub potencjalnego błędu nie jest problemem, lecz przejawem odpowiedzialności i świadomości bezpieczeństwa.
W erze sztucznej inteligencji człowiek nadal pozostaje kluczowym elementem cyberbezpieczeństwa. Różnica polega na tym, że dziś musi umieć rozpoznawać nie tylko tradycyjne zagrożenia, ale również te generowane i wspierane przez AI. To właśnie świadomość, zdrowy rozsądek i kultura bezpieczeństwa będą w najbliższych latach równie ważne jak najnowocześniejsze technologie.
Od czego powinno zaczynać się budowanie bezpieczeństwa systemu medycznego? Jaką rolę odgrywa tutaj analiza ryzyka i projektowanie systemu?
Dobrze opracowana analiza wymagań Klienta pozwala nam dobrać kluczowe komponenty aplikacji do jego potrzeb biznesowych, prowadzonych badań i dotychczas wykorzystywanych systemów. Jeśli Placówka wykorzystuje wieloetapową autentykację jednego dostawcy, jesteśmy w stanie dobrać taki komponent, który pozwoli nam wpuścić Lekarzy do systemu w sposób bezpieczny bez konieczności instalowania kolejnej – dedykowanej dla naszego systemu. Właśnie tworząc analizę ryzyka – jako kolejny krok podczas wdrożenia modelujemy poziom bezpieczeństwa i użyteczność dla lekarzy. Staramy się przy tym pamiętać o ograniczeniach technologicznych. Mając tę wiedzę jesteśmy w stanie sprawnie przeprowadzić wdrożenie lub migrację, których w tym roku przeprowadziliśmy kilkadziesiąt.
Czy bezpieczeństwo da się zmierzyć? Skąd zarząd placówki może wiedzieć, czy poziom zabezpieczeń jest rzeczywiście wystarczający?
Bezpieczeństwo można mierzyć, ale trzeba mieć świadomość, że nie istnieje jeden wskaźnik, który pozwoli powiedzieć: „jesteśmy bezpieczni”. To trochę jak ze zdrowiem. Dobre wyniki badań nie gwarantują, że nigdy nie zachorujemy, ale pozwalają ocenić naszą kondycję i poziom ryzyka.
Zarząd nie powinien więc pytać, czy placówka jest w 100% bezpieczna, lecz czy zna swoje ryzyka, czy potrafi je monitorować i czy jest gotowa skutecznie reagować na incydenty. O poziomie bezpieczeństwa świadczą między innymi wyniki analiz ryzyka, audytów, testów penetracyjnych, ćwiczeń reagowania na incydenty czy czas potrzebny na wykrycie i neutralizację zagrożenia.
Równie ważna jest zdolność organizacji do utrzymania ciągłości działania. W ochronie zdrowia sukcesem nie jest wyłącznie zablokowanie ataku, ale także zapewnienie, że nawet w przypadku incydentu lekarze zachowają dostęp do kluczowych systemów, a pacjenci nadal będą mogli otrzymywać niezbędną pomoc.
Dlatego dojrzałe organizacje mierzą nie tylko poziom ochrony, ale również swoją odporność. Ostatecznie bezpieczeństwo nie jest stanem, który można osiągnąć raz na zawsze. To proces ciągłego doskonalenia, dostosowywania się do nowych zagrożeń i regularnego sprawdzania, czy przyjęte zabezpieczenia nadal są skuteczne.
Czy można rozpoznać cyberatak, zanim wyrządzi realne szkody? Jakie sygnały mogą wskazywać, że dzieje się coś niepokojącego?
Cyberataki rzadko zaczynają się od spektakularnego wyłączenia systemów. Znacznie częściej przypominają włamanie do budynku, w którym najpierw ktoś sprawdza zamki, obserwuje ochronę i szuka słabych punktów. Zadaniem nowoczesnych systemów bezpieczeństwa jest wychwycenie tych pierwszych oznak zanim dojdzie do właściwego ataku. Dlatego dziś przewagę zyskują organizacje, które potrafią szybko wykrywać anomalie i reagować na nie, zanim staną się realnym zagrożeniem dla działalności placówki i bezpieczeństwa pacjentów.
Do typowych sygnałów ostrzegawczych należą nietypowe próby logowania, nagły wzrost ruchu sieciowego, nieoczekiwane zmiany uprawnień użytkowników, uruchamianie nietypowych procesów na serwerach czy próby dostępu do danych poza standardowymi godzinami pracy. Każdy z tych sygnałów osobno może wydawać się niegroźny, ale odpowiednio analizowane razem często pozwalają wykryć atak na bardzo wczesnym etapie.
Kto właściwie odpowiada za bezpieczeństwo danych pacjentów – dostawca systemu czy placówka?
Pytanie o to, kto odpowiada za bezpieczeństwo danych pacjentów, przypomina pytanie, kto odpowiada za bezpieczeństwo samochodu: producent czy kierowca? Prawidłowa odpowiedź brzmi: obaj. Producent musi dostarczyć bezpieczny pojazd, a kierowca korzystać z niego odpowiedzialnie. Dokładnie tak samo jest z systemami medycznymi. Dostawca odpowiada za bezpieczeństwo rozwiązania, a placówka za jego właściwe wdrożenie i użytkowanie. Dopiero połączenie tych dwóch elementów daje realny poziom ochrony.
Jak pogodzić bezpieczeństwo z wygodą użytkowników? Gdzie przebiega granica między skuteczną ochroną danych a komfortem pracy personelu medycznego?
Przez lata bezpieczeństwo i wygoda użytkowników były przedstawiane jako dwa przeciwstawne cele. Dziś coraz częściej odchodzi się od takiego myślenia. Dobrze zaprojektowane bezpieczeństwo powinno chronić użytkownika, nie utrudniając mu pracy bardziej niż to konieczne.
W ochronie zdrowia jest to szczególnie istotne, ponieważ personel medyczny działa pod presją czasu, a priorytetem zawsze pozostaje pacjent. Jeżeli procedury bezpieczeństwa są zbyt skomplikowane, użytkownicy zaczynają szukać sposobów na ich omijanie, co paradoksalnie może prowadzić do obniżenia poziomu ochrony.
Kluczem jest podejście oparte na analizie ryzyka. Nie każde działanie wymaga tego samego poziomu kontroli. Dostęp do dokumentacji medycznej, danych wrażliwych czy funkcji administracyjnych powinien być chroniony silniej niż operacje o mniejszym znaczeniu. Dzięki temu można skupić zabezpieczenia tam, gdzie są rzeczywiście potrzebne, nie obciążając niepotrzebnie codziennej pracy personelu.
Ostatecznie granica między bezpieczeństwem a wygodą przebiega tam, gdzie dodatkowe zabezpieczenie przestaje realnie ograniczać ryzyko, a zaczyna utrudniać wykonywanie obowiązków. Najlepsze rozwiązania to te, których użytkownik niemal nie zauważa, ale które skutecznie działają w tle.
Jak będzie wyglądało cyberbezpieczeństwo w ochronie zdrowia za 5-10 lat? Na jakie wyzwania i technologie placówki powinny przygotowywać się już dziś?
Obserwując świat cyberbezpieczeństwa od 15 lat, widzę, że tempo zmian, jakie zachodzą w systemach jest bardzo duże. 10 lat temu mówiliśmy o bezpieczeństwie jako o długich i skomplikowanych hasłach, dobrym szyfrowaniu, a dziś mierzymy się z automatycznym wyszukiwaniem podatności w kodzie. Wraz z rosnącym wykorzystaniem chmur publicznych kluczowym będzie zapewnienie ciągłości działania Placówek podczas ataku i krótko po nim.
Za kilka lat nie będziemy już pytać, czy placówka zostanie zaatakowana, ale jak szybko wykryje atak i jak skutecznie ograniczy jego skutki. Posiadanie skutecznego systemu alertowania i blokowania podejrzanych aktywności będzie kluczowym, co czeka nas w nadchodzącej epoce komputerów kwantowych.
Przyszłość cyberbezpieczeństwa w ochronie zdrowia będzie zatem należała do organizacji odpornych, a nie tylko dobrze chronionych. AI zmieni sposób prowadzenia ataków i obrony, a komputery kwantowe zmienią nasze podejście do kryptografii. Dlatego już dziś warto myśleć o bezpieczeństwie nie tylko w perspektywie kolejnego roku, lecz kolejnej dekady.
O ekspercie
mgr inż. Patryk Kozłowski – Starszy Specjalista ds. bezpieczeństwa IT, Mednow
Absolwent kierunku Informatyka w medycynie Wydziału Cybernetyki Wojskowej Akademii Technicznej. Pasjonat informatyki, mikro-robotyki i bezpieczeństwa informatycznego. Członek stowarzyszenia audytorów bezpieczeństwa informacji ISACA. Audytor i trener w zakresie: ISO/IEC 27001, ISO 22301, ISO 13485, oraz MDR/IVDR, którego po godzinach można spotkać na górskich szlakach lub na żaglówce.
