Materiał informacyjny dla placówek medycznych
Bezpieczeństwo danych pacjentów u dostawców systemów medycznych
Placówka medyczna rzadko działa dziś wyłącznie na własnych systemach. Elektroniczna dokumentacja medyczna, rejestracja online, poczta, hosting, formularze kontaktowe, system SMS, płatności, backup, laboratoria, integracje i zewnętrzna obsługa IT — każdy z tych elementów może mieć dostęp do części danych pacjentów albo wpływać na ciągłość działania placówki.
Najważniejsze pytanie
Czy placówka wie, komu powierza dane, kto ma do nich dostęp i co zrobi, jeśli problem pojawi się po stronie dostawcy?
01 · Wprowadzenie
EDM to tylko jeden element układanki
Elektroniczna dokumentacja medyczna jest oczywistym punktem uwagi, ale nie jest jedynym miejscem, w którym pojawiają się dane pacjentów.
W praktyce dane mogą przechodzić przez:
- system EDM
- rejestrację online
- pocztę elektroniczną
- formularze kontaktowe
- system SMS
- system płatności
- hosting strony
- kopie zapasowe
- zewnętrzne laboratoria
- integracje z innymi systemami
- konta techniczne i serwisowe
- zewnętrzną obsługę IT
Pierwszy krok
Gdzie realnie są dane pacjentów i kto może je zobaczyć?
02 · Podział odpowiedzialności
Dostawca jest częścią bezpieczeństwa placówki
Powierzenie danych dostawcy nie oznacza, że placówka przestaje interesować się tym, co dzieje się dalej.
Dostawca odpowiada za swoje środowisko, ale placówka nadal powinna wiedzieć:
- jakie dane przekazuje
- w jakim celu
- na jakiej podstawie
- gdzie dane są przechowywane
- kto ma do nich dostęp
- czy dostawca korzysta z podwykonawców
- jak zgłasza incydenty
- jak szybko informuje placówkę
- kto po stronie placówki odbiera taki komunikat
Bez aktualnej mapy systemów, usług i zależności trudno ustalić, czy zdarzenie po stronie dostawcy dotyczy placówki, pacjentów albo konkretnych procesów.
03 · Weryfikacja dostawców
Co sprawdzić u dostawców
Pięć obszarów, które w praktyce decydują o tym, czy placówka panuje nad tym, co dzieje się poza jej własnymi systemami.
Umowy i role
Placówka powinna wiedzieć, kto jest administratorem danych, a kto podmiotem przetwarzającym.
Warto sprawdzić
- czy umowy powierzenia są aktualne
- czy obejmują wszystkie usługi, z których placówka rzeczywiście korzysta
- czy opisują właściwe kategorie danych
- czy wskazują obowiązki dostawcy w razie incydentu
- czy wiadomo, kto po stronie placówki odpowiada za kontakt z dostawcą
Podwykonawcy
Dostawca może korzystać z dalszych podwykonawców: hostingu, chmury, wsparcia technicznego, systemów komunikacji, integratorów albo zewnętrznych narzędzi.
Placówka powinna wiedzieć
- czy dalsi podwykonawcy występują
- za co odpowiadają
- czy mają dostęp do danych pacjentów
- czy dostęp jest stały, czy tylko serwisowy
- czy placówka jest informowana o zmianach w tym zakresie
Zgłaszanie incydentów
Najgorszy moment na ustalanie zasad komunikacji to dzień incydentu.
Wcześniej warto wiedzieć
- jak dostawca zgłasza incydent
- w jakim czasie powinien to zrobić
- jakie informacje ma przekazać
- do kogo trafia komunikat
- kto po stronie placówki podejmuje decyzje
- kto współpracuje z IOD, UODO, CSIRT i pacjentami
Dostępy serwisowe
Dostawcy często potrzebują dostępu technicznego do systemów, paneli administracyjnych albo kont serwisowych. Taki dostęp powinien być kontrolowany.
Warto sprawdzić
- czy konta serwisowe są opisane
- czy są przypisane do konkretnej roli
- czy mają tylko niezbędne uprawnienia
- czy dostęp jest czasowy, czy stały
- czy działania serwisowe zostawiają ślad w logach
- czy konta nieaktywne są wyłączane
Eksport danych i integracje
Ryzyko nie dotyczy tylko głównego systemu EDM. Dane mogą być eksportowane, synchronizowane albo przekazywane dalej przez integracje.
Placówka powinna wiedzieć
- czy dane są eksportowane poza system
- kto może wykonać eksport
- czy eksporty są logowane
- czy integracje mają osobne konta techniczne
- czy te konta mają ograniczony zakres dostępu
- czy wiadomo, co stanie się z integracją po zakończeniu współpracy z dostawcą
04 · Wewnątrz placówki
Co sprawdzić wewnątrz placówki
Część odpowiedzi nie leży u dostawcy. Trzy obszary, w których placówka decyduje samodzielnie.
Dostępy pracowników
Każdy pracownik powinien mieć własne konto.
Loginy współdzielone utrudniają ustalenie, kto faktycznie wykonał daną czynność. Utrudniają też ograniczanie odpowiedzialności i reagowanie na incydent.
Warto sprawdzić
- czy konta są indywidualne
- czy konta byłych pracowników są wyłączone
- czy recepcja widzi tylko dane potrzebne do obsługi pacjenta
- czy konta administracyjne nie są używane do codziennej pracy
- czy uprawnienia są okresowo przeglądane
Dostęp wynika z roli, nie z tego, że system na to pozwala.
Uwierzytelnianie
Najważniejsze konta powinny mieć dodatkowe zabezpieczenia.
Dotyczy to zwłaszcza
- systemu EDM
- poczty
- hostingu
- kont administratorów
- kont używanych do integracji
- systemów, przez które można pobierać albo eksportować dane
Backup
Sama informacja, że „backup jest robiony", nie wystarcza.
Kluczowe pytanie
Czy ktoś sprawdził, że z kopii da się realnie odtworzyć działanie placówki?
Backup, którego nikt nie testował, jest założeniem. Nie jest jeszcze dowodem odporności.
05 · Reakcja
Plan reakcji jest równie ważny jak zabezpieczenia
Nawet dobrze zabezpieczona organizacja może paść ofiarą ataku, błędu albo incydentu po stronie dostawcy. Różnica polega na tym, czy w dniu zdarzenia ktoś wie, co robić.
Przed incydentem warto ustalić:
kto podejmuje decyzje
kto kontaktuje się z dostawcą
kto współpracuje z IOD
kto ocenia obowiązek zgłoszenia naruszenia
kto przygotowuje komunikację do pacjentów
kto zabezpiecza logi, korespondencję i dowody działań
kto odpowiada za przywrócenie działania placówki
06 · Komunikacja
Pacjent nie rozróżnia winy dostawcy i placówki
Pacjent zwykle nie analizuje struktury powierzenia danych, roli administratora, odpowiedzialności dostawcy ani zapisów w umowie.
Myśli prościej:
Moja placówka miała moje dane i coś mogło się z nimi stać.
Dlatego sposób komunikacji ma duże znaczenie. Pacjent chce wiedzieć trzy rzeczy:
Co wiadomo
Co placówka robi
Co pacjent powinien zrobić teraz
07 · Kontekst regulacyjny
Co ma z tym wspólnego KSC/NIS2
KSC/NIS2 wzmacnia znaczenie zarządzania ryzykiem, incydentami i łańcuchem dostaw.
Dla placówki medycznej oznacza to, że cyberbezpieczeństwo nie jest wyłącznie sprawą informatyka albo dostawcy systemu. To obszar, który wymaga decyzji organizacyjnych, dokumentacji, nadzoru i dowodów działania.
Nie każda placówka będzie miała taki sam status i taki sam zakres obowiązków. Ale każda placówka, która przetwarza dane pacjentów i korzysta z zewnętrznych dostawców, powinna umieć odpowiedzieć na podstawowe pytania:
Gdzie są dane, kto ma do nich dostęp, jak są zabezpieczone i co robimy, jeśli coś pójdzie nie tak?
08 · Checklista
Krótka checklista dla placówki
Dwanaście pytań, na które warto znać odpowiedź, zanim pojawi się problem.
- Czy mamy listę systemów, w których pojawiają się dane pacjentów?
- Czy wiemy, którzy dostawcy mają dostęp do danych?
- Czy mamy aktualne umowy powierzenia danych?
- Czy wiemy, czy dostawcy korzystają z podwykonawców?
- Czy każde konto użytkownika jest przypisane do konkretnej osoby?
- Czy konta byłych pracowników są wyłączone?
- Czy najważniejsze konta mają MFA?
- Czy testowaliśmy odtworzenie danych z backupu?
- Czy wiemy, kto kontaktuje się z dostawcą w razie incydentu?
- Czy wiemy, kto współpracuje z IOD, UODO, CSIRT i pacjentami?
- Czy dokumentujemy decyzje i działania podejmowane po incydencie?
- Czy właściciel albo zarząd placówki zna swoją rolę w takim procesie?
09 · Wniosek
Wniosek
Placówka medyczna nie musi zarządzać każdym systemem samodzielnie. Może korzystać z dostawców, chmury, integracji i zewnętrznego wsparcia IT.
Nie powinna jednak tracić kontroli nad tym, gdzie są dane pacjentów, kto ma do nich dostęp i jak wygląda reakcja, gdy coś pójdzie nie tak.
To różnica między samym korzystaniem z systemów a świadomym zarządzaniem środowiskiem cyfrowym.
Więcej o 0Trust: 0trust.tech