Bezpieczeństwo IT szpitali to niezwykle ważna kwestia ze względu na ryzyko utraty zdrowia lub nawet życia, a także przechowywanie wrażliwych danych, które powinny być szczególnie chronione. Wzrost ataków hakerskich na szpitale i poradnie sprawia, że placówki są zmuszone do podjęcia odpowiednich działań prewencyjnych. Dane medyczne, osobiste, metryczne, wewnętrzne systemy, a nawet sprzęt medyczny podłączony do sieci, wszystko to narażone jest na cyberniebezpieczeństwo. Dlatego infrastruktura IT powinna obejmować odpowiednie sprzęty oraz oprogramowanie, które pozwolą ustrzec się przed cyberatakami. Te zorganizowane działania mogą mieć różną formę.

Najczęściej są to ataki DDos, które sprawiają, że np. sprzęty medyczne przestaną działać, lub programy medyczne. Taki atak uniemożliwia świadczenie usług medycznych, a także stanowi zagrożenie zdrowia pacjentów. Pliki z danymi mogą również zostać wykradzione lub permanentnie zniszczone w wyniku ataku phishingowego. Dlatego należy powziąć odpowiednie środki, aby uniknąć tragicznych w skutkach ataków.

Program CyberSzpital 2024 to szansa dla placówek medycznych, aby zmodernizować swoją infrastrukturę IT i zwiększyć wiedzę i świadomość personelu w zakresie cyberbezpieczeństwa. Zgodnie z obowiązkami ustawowymi szpitale mają zgłaszać incydenty do Zespołu Reagowania na Incydenty Cyberbezpieczeństwa dla Sektora Zdrowia.

Należy wyznaczyć osoby kontaktowe w razie zgłoszeń i na bieżąco informować o zmianach lub aktualizacjach w danych kontaktowych. Zależnie od potrzeby należy na bieżąco aktualizować informacje o osobach odpowiedzialnych. Istotna jest również obowiązkowa współpraca z CSIRT CeZ oraz udostępnianie innych informacji z zakresu cyberbezpieczeństwa. Dane należy przekazać nie później niż w ciągu 24h od momentu wykrycia ataku lub anomalii. Wszystko to regulowane jest odpowiednimi ustawami dotyczącymi programu. Projekt planuje się na drugi kwartał 2024 roku. Początkowo obejmuje on aktualizację rekomendacji dotyczących architektury bezpieczeństwa. Następnie placówki medyczne zgodnie z opublikowanym Zarządzeniem NFZ wezmą udział w modernizacji infrastruktury IT. Po zgłoszeniu się placówki medyczne wezmą udział we wstępnym audycie, który odbędzie się online. Po weryfikacji inwestycji nastąpi audyt końcowy. Jednostki, które wykonają program, mają przedstawić kosztorys, a następnie zgodnie z zasadami projektu zostanie im zwrócona kwota poniesionych kosztów na rozwój infrastruktury IT i zapewnienie cyberbezpieczeństwa w placówkach. Zwrot będzie przyznany jeżeli poradnia lub szpital przejdzie pozytywnie audyt końcowy. Zakończenie projektu będzie miało miejsce w ostatnim kwartale roku.

Ze środków mogą korzystać jedynie placówki publiczne. Pieniądze trafią jedynie do wybranych placówek medycznych (szpitali i poradni), które mają kontrakt z Narodowym Funduszem Zdrowia. Szpitale i przychodnie z sektora prywatnego nie będą miały możliwości skorzystania, ponieważ grant wypłacany jest przez NFZ.

Tylko w styczniu 2024 roku zanotowano cztery sposoby ataków w cyberprzestrzeni dotyczących szpitali. Należą do nich:

• Atak celowany prowadzący do infekcji (APT).

• Email zawierający złośliwy plik/oprogramowania (atak phishingowy).

• Fałszywa strona lub link- najczęściej podszywanie się pod znany serwis albo stronę dostawcy usług.

• Pobranie pliku ze wbudowanym wirusem.

Łączna liczba ataków na służbę zdrowia w styczniu wyniosła 41 zdarzeń, natomiast w lutym ta liczba urosła do 65 incydentów. Aktualnie, aby uniknąć ataków hakerów, należy zainwestować w systemy bezpieczeństwa, segmentację sieci, systemy kopii zapasowych, administrowanie podatnościami, oraz zarządzanie konfiguracją.

W każdym szpitalu i przychodni korzystanie z programów bez usterek powinno być celem nadrzędnym. Poprawne działanie systemów zarządzania sprzętem medycznym, czy bazami danych pacjentów zależy głównie od sprawnie działającej infrastruktury IT. Bezpieczeństwo tych programów to gwarancja dobrze funkcjonującego systemu medycznego.

Wymagane zabezpieczenia infrastruktury to przede wszystkim odpowiednia architektura bezpieczeństwa, a także ciągłe podnoszenie świadomości pracowników na temat możliwych zagrożeń, zabezpieczenia formalne, organizacyjne i techniczne. Konieczne jest też nie tylko zaangażowanie obsługi informatycznej, ale także każdego pracownika szpitala.