Cyberbezpieczeństwo

w placówkach medycznych
Od Redakcji

Wiedza i Praktyka
ul. Łotewska 9A, 03-918 Warszawa
NIP: 526-19-92-256
Redaktor:
Anna Śmigulska-Wojciechowska
Kierownik grupy tematycznej:
Alina Sulgostowska
Menedżer produktu: Klaudia Bogumił
Koordynacja produkcji:
Mariusz Jezierski, Magdalena Huta
Korekta: Zespół
Projekt graficzny publikacji:
Piotr Fedorczyk
Skład i łamanie: Raster studio
ISBN: 978-83-8344-003-3
Nr rejestrowy BDO: 000008579

Wiedza i Praktyka sp. z.o.o.

03-918 Warszawa, ul. Łotewska 9a
tel. 22 518 29 29, faks 22 617 60 10, www.formularze.wip.pl
NIP: 526-19-92-256
Numer KRS: 0000098264 – Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział
Gospodarczy Rejestrowy. Wysokość kapitału zakładowego: 200.000 zł

Zapisz się na bezpłatny newsletter RODO w Ochronie Zdrowia

E-book „Cyberbezpieczeństwo w placówce medycznej” jest chroniony prawem autorskim.

Przedruk materiałów opublikowanych w e-booku jest zabroniony. Zakaz nie dotyczy cyto-
wania publikacji z powołaniem się na źródło. E-book „Digitalizacja dokumentacji medycznej
– najważniejsze wskazówki” przygotowano z zachowaniem najwyższej staranności i wy-
korzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów.
Zaproponowane w e-booku wskazówki, porady i interpretacje nie mają charakteru porady
prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłę-
bionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stano-
wisko organów i urzędów państwowych. W związku z tym redakcja nie ponosi odpowiedzial-
ności prawnej za zastosowanie zawartych w e-booku wskazówek, przykładów, informacji
itp. do konkretnych przykładów.

Centrum Obsługi Klienta

• Infolinia: od poniedziałku do piątku w godz. 8.00-16.00, tel. 22 518 29 29

Poza godzinami pracy można pozostawić wiadomość w skrzynce głosowej
Online: formularze.wip.pl
Copyright by Wiedza i Praktyka sp. z o.o. Warszawa 2023

2
 Spis treści

Rekomendacje w zakresie architektury cyberbezpieczeństwa placówek medycznych ..................................... 4

Jak stosować przepisy dotyczące zabezpieczenia danych osobowych ........................................................... 5

Analiza ryzyka w placówce ochrony zdrowia – o czym należy pamiętać ......................................................... 8

Zabezpieczenie danych przetwarzanych w systemach teleinformatycznych od strony technicznej ................... 9

Jak zapewnić bezpieczne oprogramowanie oraz pocztę elektroniczną .......................................................... 11

Jak wdrażać analizę ryzyka w zakresie ataku ransomware w placówce ........................................................ 13

Czy przystąpić do stosowania kodeksu postępowania dla sektora medycznego ............................................ 16

Lista kontrolna: Co powinna zawierać Dokumentacja Systemu Zarządzania Bezpieczeństwem Informacji ..... 18

Lista kontrolna: Jakie są zasady bezpiecznego użytkowania sprzętu IT ........................................................ 19

Lista kontrolna: Jakie są reguły korzystania z oprogramowania .................................................................... 20

Ewidencja czynności w systemie informatycznym oraz ewidencja napraw systemu informatycznego ........... 21

Jak uchronić placówkę medyczną przed cyberatakiem – wskazówki dla administratorów ............................. 22

Lista kontrolna: Czy przestrzegasz najważniejszych zasad ochrony danych pacjenta .................................... 25

Lista kontrolna: Czy nie dopuszczasz się najczęstszych uchybień w prowadzeniu dokumentacji medycznej . 26

Lista kontrolna: Jakie zabezpieczenia danych zastosować zgodnie z RODO .................................................. 27

Procedura nadawania uprawnień w systemie informatycznym ...................................................................... 28

Zasady korzystania z poczty elektronicznej .................................................................................................. 32

Więcej porad na www.rodomed24.pl 3

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
REKOMENDACJE W ZAKRESIE ARCHITEKTURY
CYBERBEZPIECZEŃSTWA PLACÓWEK
MEDYCZNYCH
Źródło:
f „Plan działania w zakre-
sie cyberbezpieczeństwa
w ochronie zdrowia”, Cen-
trum e-Zdrowia
4
Tworząc podstawy bezpieczeństwa infrastruktury informatycznej, należy skoncentrować
się na obszarach objętych największym ryzykiem wycieku danych i ataku z zewnątrz na
infrastrukturę wewnątrz jednostki. Niniejsza rekomendacja dotyczy typowych zagadnień
cyberbezpieczeństwa (nie skupia się na wątku zasilania gwarantowanego) oraz zagadnień
związanych z ciągłością działania i dokumentacji procesów oceny ryzyka i polityk w tym
zakresie.
Poniższe rekomendacje opierają się na następują-
cych priorytetach.
Priorytet pierwszy
Konieczność ochrony danych medycznych w przy-
padku skutecznego ataku ransomware. Nie ma
możliwości zapewnienia 100% ochrony przed
atakami. Dlatego największy nacisk należy położyć
na działania zapewniające zachowanie jak naj-
bardziej aktualnych danych w kopiach zapaso-
wych. Kopie zapasowe w celu zapewnienia ich
prawidłowego odczytania (odtworzenia danych)
muszą być wykonywane regularnie, zgodnie
z przestrzeganą polityką tworzenia kopii, muszą
być regularnie weryfikowane w celu sprawdzenia
ich możliwości odczytania, muszą być odmiejsco-
wione dla uzyskania pewności, iż w momencie
ataku kopie nie będą narażone na skasowanie.
Priorytet drugi
Ochrona poczty elektronicznej jako usługi
własnej lub dzierżawionej. Atak typu ransom-
ware opiera się na wykorzystaniu podatności
serwerów pocztowych lub na metodzie pole-
gającej na przesłaniu infekującego załącznika
w poczcie elektronicznej. Konieczne jest zatem
aktywne weryfikowanie treści załączników oraz
linków zawartych w poczcie, a także ochrona
dostępu do skrzynek poprzez wprowadzenie
dodatkowych faktorów uwierzytelniania.
Priorytet trzeci
Ochrona brzegu sieci. Braki finansowe i nie-
dostatek kadr wielokrotnie powodują brak
aktualizacji, podatności w urządzeniach brze-
gowych. Konieczne jest uaktualnienie bądź
zakup nowych urządzeń typu firewall. Urzą-
dzenia tego typu stanowią pierwszą i główną
zaporę zasobów przed rekonesansem i atakiem
cyberprzestępców. Podatności i niedostatki
konfiguracyjne tych urządzeń powinny być
likwidowane w celu ochrony zasobów danych.
Priorytet czwarty
Ochrona stacji roboczych. Atak typu ransom-
ware polega na stopniowej infekcji wszystkich
dostępnych stacji roboczych. Możliwość wykry-
cia i zablokowania aktywności polegającej na
szyfrowaniu stacji roboczych powinna sta-
nowić swoistą „drugą linię obrony” w przy-
padku zainfekowania sieci LAN. Segmentacja
sieci lokalnych oraz stałe monitorowanie stacji
roboczych będzie czynnikiem podnoszącym
odporność zasobów na atak. Segmentacja sieci
dodatkowo wspiera proces „oddzielenia” sys-
temów kopii zapasowych od reszty systemów
produkcyjnych (część priorytetu pierwszego).
PODSTAWOWE DZIAŁANIA W CELU
REALIZACJI PRIORYTETÓW
W ramach podstawowych struktur systemu
cyberbezpieczeństwa rekomendowane są
działania w zakresie:
1. Audytu bezpieczeństwa na podstawie roz-
porządzenia KRI (w przypadku otrzyma-
nia decyzji OUK audyt musi obejmować
obowiązki wynikające z ustawy o Krajo-
wym Systemie Cyberbezpieczeństwa –
informacje w tym miejscu https://www.
gov.pl/web/cyfryzacja/krajowy-system-
-cyberbezpieczenstwa-)
2. Instalacji urządzeń typu FIREWALL;
3. Skutecznej ochrony antywirusowej;
4. Skutecznej kopii zapasowej;
5. Bezpiecznej poczty elektronicznej;
6. Przygotowania dokumentacji Zintegro-
wanego Systemu Zarządzania Bezpieczeń-
stwem w jednostce;
7. Przygotowania i przeprowadzenia cyklicz-
nych szkoleń całej załogi w zakresie bez-
pieczeństwa.

JAK STOSOWAĆ PRZEPISY DOTYCZĄCE
ZABEZPIECZENIA DANYCH OSOBOWYCH
Urząd Ochrony Danych Osobowych zorganizował webinarium poświęcone zabezpieczeniu
danych osobowych przetwarzanych w systemach teleinformatycznych. W ramach jednego
z zespołów zagadnień przedstawiono informacje na temat rozumienia przepisów prawa
dotyczących zabezpieczenia danych. Sprawdź aktualne stanowisko urzędu w tej sprawie.
PROBLEM
Jakie rozwiązania informatyczne należy sto-
sować w placówce dla bezpieczeństwa prze-
twarzanych danych?
ROZWIĄZANIE
Urząd Ochrony Danych Osobowych nie pro-
wadzi żadnej certyfikacji stosowanych rozwią-
zań informatycznych ani stosowanego przez
administratorów danych osobowych sprzętu,
urządzeń czy też oprogramowania hardware
i software. Celem webinarium było natomiast
nakierowanie ADO na pewne rozwiązania
zgodne z RODO, jednak w dalszym ciągu to
ADO powinien wybrać konkretne rozwiąza-
nia techniczne chroniące dane.
Rezygnacja z rozwiązań
nielegalnych lub niepewnych
Przy prawnych aspektach zabezpieczeń warto
poruszyć temat oprogramowania „pirackiego”,
stanowiącego np. kopię płatnego, rozpowszech-
nionego oprogramowania. Przedstawiciel
UODO odradza bowiem wprost korzysta-
nie z oprogramowania:
• nielegalnego;
• nielicencjonowanego;
• pochodzącego z nieznanych źródeł czy też
• pozbawionego wsparcia producenta.
Takich cech, obok oprogramowania, nie powinny
posiadać również komputery, serwery, karty
pamięci czy też przenośne telefony komór-
kowe przeznaczone do przetwarzania danych
osobowych przez ADO.
Stosowanie takich rozwiązań przynosi tylko
krótkoterminowe korzyści. Przy dużej liczbie
incydentów bezpieczeństwa to właśnie ADO
dotknięty takim incydentem będzie musiał
wykazać, że incydent wystąpił pomimo zasto-
sowania przez niego ogólnych zasad prze-
twarzania danych opisanych w art. 5 ust. 1
RODO. Są to zasady:
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
• zgodności z prawem, rzetelności i przej-
rzystości;
• ograniczenia celu przetwarzania;
• minimalizacji danych;
• prawidłowości danych;
• ograniczenia przetwarzania oraz
• integralności i poufności danych.
MACIEJ LIPKA
Zgodnie z opisaną w art. 5 ust. 2 RODO zasadą
specjalista w zakresie
rozliczalności ADO musi też wykazać przed
ochrony danych
UODO, że wdrożył prawidłowo opisane w art. osobowych
5 ust. 1 RODO zasady.
PRZYKŁAD
Dane osobowe muszą być przetwarzane w spo-
sób zapewniający odpowiednie ich bezpieczeń-
stwo, w tym ochronę przed niedozwolonym lub
niezgodnym z prawem przetwarzaniem oraz przy-
padkową utratą, zniszczeniem lub uszkodzeniem,
za pomocą odpowiednich środków technicznych
lub organizacyjnych. Trwała utrata danych i nie-
możność ich odzyskania choćby z uwagi na brak
wsparcia technicznego producenta przyczyniają
się do naruszenia tej zasady, co może spowodo-
wać nałożenie najwyższej kary przewidzianej przez
art. 83 ust. 5 RODO.
Brak pełnej swobody doboru
zabezpieczeń
Obecnie jesteśmy bogatsi o orzecznictwo,
w ramach którego sądy dokonują interpreta-
cji przepisów RODO. Samo RODO zawiera
dość ogólne, rozbudowane przepisy dotyczące
zabezpieczenia danych osobowych. Chodzi
w tym przypadku zwłaszcza o jego art. 24 i 32,
zawierające takie określenia wymaganych zabez-
pieczeń jak „odpowiednie” oraz „wdrożone
z uwzględnieniem stanu wiedzy technicznej,
kosztów wdrożenia, a także charakteru, zakresu,
kontekstu, celów przetwarzania oraz ryzyka
naruszenia praw lub wolności osób fizycznych”.
Orzecznictwo potwierdza jednak, że ADO nie
ma absolutnej swobody w dobieraniu takich
rozwiązań zabezpieczających dane osobowe,
które subiektywnie uzna za wystarczające,
choćby z uwagi na ich cenę czy łatwość wdro-
żenia. UODO powołuje się w ramach webi-
narium na dwa wyroki wojewódzkich sądów
5
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
administracyjnych, co oznacza, że przy oce-
nach indywidualnych PUODO może konse-
kwentnie przytaczać ich treść.
Po pierwsze, wyrok WSA z 26 sierpnia 2020 r.
(sygn. II SA/Wa 2826/19) potwierdza, że czyn-
ności o charakterze techniczno-organizacyj-
nym leżą w gestii ADO. ADO nie może jednak
dobierać ich w sposób całkowicie swobodny
i dobrowolny, bez uwzględnienia stopnia ryzyka
oraz charakteru chronionych danych osobo-
wych. Po drugie, w wyroku z 3 września 2020 r.
(sygn. II SA/Wa 2559/19) WSA uznał, że RODO
zobowiązuje do zapewnienia:
• zgodności z jego wytycznymi poprzez jed-
norazowe wdrożenie organizacyjnych i tech-
nicznych środków bezpieczeństwa;
• ciągłości monitorowania poziomu zagro-
żeń oraz
• rozliczalności w zakresie poziomu oraz ade-
kwatności wprowadzonych zabezpieczeń.
WAŻNE
Orzecznictwo potwierdza, że możliwość udowodnienia
przed UODO adekwatności wprowadzonych rozwią-
zań do poziomu ryzyka stanowi konieczny warunek
do stwierdzenia, że przestrzegamy RODO. ADO musi
też móc udowodnić, że rozwiązania te uwzględniają
charakter danej organizacji oraz wykorzystywanych
mechanizmów przetwarzania danych osobowych.
WSA wskazuje, że ADO musi:
• samodzielnie przeprowadzić szczegółową
analizę prowadzonych procesów przetwarzania
danych i dokonać oceny ryzyka, a następnie
• zastosować takie środki i procedury, które
będą adekwatne do oszacowanego ryzyka.
Przy czym „samodzielne” przeprowadzenie
takiej analizy nie oznacza jednak, iż ADO nie
może korzystać z pomocy innych, wyspecja-
lizowanych podmiotów, świadczących tego
typu usługi. Jednakże to ADO ostatecznie
odpowiada za wdrożone rozwiązania.
Wobec skomplikowanego charakteru sprawy
UODO podkreśla, że tego typu powinności
nie wynikają ze złych intencji urzędu wobec
ADO, lecz z obowiązku każdorazowego, indy-
widualnego sprawdzania zastosowanych
zabezpieczeń, jaki na urząd nakładają przepisy.
Zdaniem przedstawiciela UODO, obowiązek
indywidualnego doboru adekwatnych zabezpie-
czeń ma swoje pozytywne strony. ADO mogą
bowiem dobrać różne środki bezpieczeństwa
dla poszczególnych zdarzeń i incydentów tech-
nicznych skutkujących naruszeniem.
6
PRZYKŁAD
Zabezpieczenie zagubionego lub skradzionego
urządzenia nie wymaga tak skomplikowanych roz-
wiązań technicznych, jak np. ochrona przed zaszy-
frowaniem przez nieuprawnione osoby serwerów
oprogramowaniem ransomware.
Każde rozwiązanie wymaga jednak uprzed-
niej analizy ryzyka. W kontekście szacowania
ryzyka przedstawiciel UODO wprost podkre-
śla, że jego właściwa analiza polega m.in. na
podzieleniu go na ryzyko wynikające z:
• błędu ludzkiego (np. phishing – minima-
lizujemy je poprzez zabezpieczenia orga-
nizacyjne w postaci szkoleń, treningów,
testów) oraz
• istniejącej technologii – minimalizujemy
je poprzez: zabezpieczanie otwartych por-
tów, firewalle, antywirusy, segmentację sieci,
autoryzację poprzez SMS czy też unikanie
prostych nazw użytkownika i haseł.
DO ROZWAŻENIA PRZEZ ADO
• sprawdzenie i ewentualna eliminacja
infrastruktury nielegalnej, pochodzącej
z niepewnych źródeł oraz nieposiadającej
wsparcia producenta;
• dobór zabezpieczeń opartych na obiek-
tywnych potrzebach i rezygnacja z niesku-
tecznych zabezpieczeń, których wdrożenie
sztucznie uzasadniamy;
• podział zagrożeń w analizie ryzyka na
te wynikające z błędu ludzkiego oraz na
wynikające z istniejącej technologii.
„Uwzględniając koszt
wdrażania”
Artykuł 32 ust. 1 RODO nakazuje wdrożyć
odpowiednie zabezpieczenia danych osobo-
wych po uwzględnieniu m.in. kosztów ich
wdrożenia. Podczas webinarium starano się
udzielić odpowiedzi na pytanie o sposób postę-
powania w przypadku, gdy usunięcie wykrytej
podatności jest kosztowne i dotyczy wąskiego
zakresu danych, a podatność zidentyfikowano
w kluczowym dla ADO systemie.
Zdaniem przedstawiciela UODO nie ma jed-
nolitej rekomendacji postępowania w takim
przypadku. Jeżeli bowiem:
• wystąpi wysokie ryzyko związane z incyden-
tem technicznym dotyczącym konkretnej
podatności, a
• ADO nie będzie – np. z uwagi na koszty –
tego ryzyka minimalizował

– wówczas ADO nie powinien przetwarzać
takich danych osobowych (w przeciwnym
razie ponosi ryzyko sankcji przewidzianych
choćby przez RODO). Jednakże UODO wska-
zuje również na konieczność poszukiwania
alternatywnych rozwiązań. Otóż ADO może
– z uwagi na wysokie koszty – minimalizować
wykryte ryzyko poprzez przekazanie, w celu
obniżenia ryzyka, danych osobowych np.
podmiotowi dysponującemu odpowiednimi
narzędziami pozwalającymi ten cel osiągnąć.
W związku z powyższym ADO może podpi-
sać z takim podmiotem umowę powierzenia
danych zgodnie z art. 28 RODO.
Zdaniem autora warto również wziąć pod
uwagę rezygnację z przetwarzania danych za
pomocą konkretnego systemu teleinformatycz-
nego w przypadku zidentyfikowania wysokiego
ryzyka dla osób fizycznych. Być może w danym
przypadku rynek oferuje alternatywne roz-
wiązania, dzięki którym dane ryzyko można
istotnie zminimalizować.
Przepisy a norma ISO:27001
UODO odniósł się również do pytania, czy
wdrożenie przez procesora normy ISO:27001
(norma dotycząca systemu zarządzania bez-
pieczeństwem informacji) daje ADO wystar-
czające gwarancje wdrożenia odpowiednich
środków technicznych i organizacyjnych, zgod-
nych z RODO. ISO:27001 to norma uznawana
na całym świecie, która może pomóc organiza-
cjom przestrzegać najlepszych praktyk, aby ich
informacje pozostały bezpieczne. Jej wdrożenie
nie należy jednak do obowiązków ADO. Samo
jednak wdrożenie takiej normy – jakkolwiek
może być dobrze postrzegane przez UODO
i inne organizacje – nie daje wystarczających
gwarancji przestrzegania zasad bezpieczeń-
stwa danych osobowych. UODO wskazuje
na konieczność zastosowania dodatkowych
działań audytowych i kontrolnych. Zdaniem
autora takie kontrole mają zapewnić faktyczne
przestrzeganie i rozumienie tej normy przez
personel ADO. Ponadto, zdaniem autora, wdro-
żenie danej normy powinno odzwierciedlać
charakter organizacji oraz jej aktualne potrzeby
dotyczące ochrony danych osobowych.
Jak UODO ocenia incydent
bezpieczeństwa
Warto brać pod uwagę, jak UODO podcho-
dził do oceny incydentów bezpieczeństwa.
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
W decyzjach UODO z lat 2019–2022 organ:
• w pierwszej kolejności brał pod uwagę, czy
doszło do utraty poufności, integralności
i dostępności danych, a następnie
• oceniał, czy wystąpiło wysokie ryzyko naru-
szenia praw lub wolności osób fizycznych,
po czym
• sprawdzał poprawność wykonanej analizy
ryzyka oraz czy ADO wywiązywał się w sposób
prawidłowy z nałożonych na niego obowiąz-
ków dotyczących wdrożenia odpowiednich
środków technicznych i organizacyjnych,
w celu zapewnienia stopnia bezpieczeństwa
odpowiadającego temu ryzyku.
DO ROZWAŻENIA PRZEZ ADO
UODO, w ramach dotychczas wydawanych
decyzji, stwierdzał przede wszystkim:
• fakt długotrwałego odtwarzania (przez
nieuprawnione osoby) danych osobowych
po wystąpieniu incydentu technicznego;
• konieczność poprawy lub/i aktualizacji
procedur odtwarzania danych osobowych
po naruszeniu;
• konieczność ponownego sporządzania ana-
lizy ryzyka w celu uwzględnienia zagrożeń
w postaci ataku złośliwym oprogramo-
waniem ransomware lub phishingu wraz
ze sposobami zarządzania ryzykiem oraz
jego minimalizacji oraz
• używanie przez ADO nieaktualnego opro-
gramowania przy przetwarzaniu danych.
Warto zatem przeanalizować istniejące pro-
cedury, które regulują tego typu kwestie.
Organ mógł np. oceniać procedurę, zgod-
nie z którą personel miał zakaz wynoszenia
poza organizację baz danych w celu pracy
na nich w domu. Sam taki zakaz był nie- Podstawa prawna:
wystarczający, a ADO powinien zapewnić f rozporządzenie Parlamentu
skuteczniejszą kontrolę jego przestrzegania Europejskiego i Rady (UE)
2016/679 z 27 kwietnia
(np. poprzez system śledzenia operacji każ- 2016 r. w sprawie ochrony
dego użytkownika dopuszczonego do pracy osób fizycznych w związku
w bazie danych). z przetwarzaniem danych
osobowych i w sprawie
swobodnego przepływu
Przy nakładaniu administracyjnych kar pie- takich danych oraz uchy-
niężnych UODO bierze pod uwagę m.in.: lenia dyrektywy 95/46/WE
• stopień współpracy z organem nadzorczym (ogólne rozporządzenie
o ochronie danych, RODO).
w celu usunięcia naruszenia czy też
• sposób, w jaki organ nadzorczy dowiedział
się o naruszeniu, a zwłaszcza czy i w jakim Podstawa merytoryczna:
zakresie ADO lub podmiot przetwarzający f webinarium „Zabezpiecze-
zgłosili naruszenie.
nia techniczne przetwarza-
nych danych osobowych”
– zorganizowane przez
Urząd Ochrony Danych
Tym samym jakość współpracy z UODO wpływa
Osobowych, dostępne pod
na stopień dolegliwości związany z ewentu- adresem: https://uodo.gov.
alną karą. pl/pl/138/2451.
7
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

ANALIZA RYZYKA W PLACÓWCE OCHRONY

ZDROWIA – O CZYM NALEŻY PAMIĘTAĆ
Mitygacja ryzyka, phishing, atak ransomware to pojęcia, które dość często pojawiają
się podczas rozmów na temat cyberbezpieczeństwa. Ale czy wiadomo, co one
dokładnie oznaczają? Sprawdźmy zatem definicje wspomnianych pojęć i i ch praktyczne
zastosowanie.
PRZYKŁAD
PROBLEM
Oto metody mitygacji, jak np. szkolenia perso-
Ze względu na skomplikowane kwestie zwią- nelu przestrzegające przed uruchamianiem progra-
mów czy też linków pochodzących od nieznanego
zane z przeprowadzaniem analizy ryzyka dla nadawcy oraz stosowanie zabezpieczeń technicz-
danych osobowych warto sprawdzić, na co nych, takich jak np.:
szczególną uwagę zwraca UODO. • ochrona poczty elektronicznej;
• sporządzanie kopii bezpieczeństwa;
MACIEJ LIPKA • stosowanie programów antywirusowych bazu-
specjalista w zakresie ROZWIĄZANIE jących „nie tylko na sygnaturach wirusów, ale
ochrony danych również na analizie zachowania i wykrywaniu
osobowych Wybrane pojęcia są znane w branży, choć anomalii, np.: FIM (File Integrity Monitoring)”;
• ochrona DNS „polegająca na blokowaniu zna-
mogą być obce osobie, która nie wykonuje nych domen wykorzystywanych przez cyberprze-
zadań związanych z bezpieczeństwem infor- stępców”;
matycznym. • z arządzanie dostępem do danych oraz
• dopuszczenie do użytku wyłącznie zaktualizo-
WAŻNE wanego oprogramowania oraz sprawdzonych
i zaufanych aplikacji.
Rozważ aktualizację analizy ryzyka poprzez uwzględ-
nienie w niej potencjalnych zagrożeń dla danych Nasze analizy ryzyka musimy aktualizować rów-
osobowych, a związanych z: nież wówczas, gdy pojawią się nowe, dotychczas nie-
• atakiem przy użyciu złośliwego oprogramowania znane metody ataków na systemy informatyczne.
typu ransomware oraz
• zastosowania phisingu i spear phishingu WAŻNE
• oraz wskazanie sposobów mitygacji tych ryzyk.
ADO powinien przeprowadzać analizę ryzyka przed,
jak i po incydencie naruszenia ochrony danych.
UODO wskazuje na propozycje aktualizacji
naszych analiz ryzyka jakie wobec skontro- Przy zgłoszeniu incydentu bezpieczeństwa do
lowanych administratorów stosował Prezes UODO należy informować o środkach bezpie-
UODO. czeństwa stosowanych przed i po incydencie
Podstawa prawna:
oraz o kopiach zapasowych (tj. o tym, w jaki
f rozporządzenie Parlamentu Mitygacja tych ryzyk musi polegać na wpro- sposób je sporządzamy, jak szybko odtworzy-
Europejskiego i Rady (UE) wadzeniu skutecznych technicznych i organi- liśmy dane osobowe i dlaczego odtworzenie
2016/679 z 27 kwietnia
2016 r. w sprawie ochrony
zacyjnych metod ich eliminacji. zajęło określoną w zgłoszeniu ilość czasu).
osób fizycznych w związku
z przetwarzaniem danych
osobowych i w sprawie
1) Mitygacja ryzyka – szereg działań zmierzających do obniżenia zidentyfikowanego ryzyka
swobodnego przepływu do akceptowalnego poziomu, np. przez stosowanie odpowiednich zabezpieczeń, testowanie
takich danych oraz uchy- naszych systemów poprzez symulowanie ataków zewnętrznych, jak też przeszkolenie personelu.
lenia dyrektywy 95/46/WE 2) Phishing – metoda oszustwa z użyciem systemów teleinformatycznych, gdy dana osoba
(ogólne rozporządzenie podszywa się pod inną osobę (np. klienta, darczyńcę) lub instytucję (np. urząd skarbowy)
o ochronie danych, RODO).
w celu uzyskania dla siebie korzyści (np. wyłudzenia przelewu lub zainfekowania systemów
informatycznych przesłanym plikiem), zwykle od dużej, bliżej nieokreślonej grupy ofiar.
Podstawa merytoryczna: 3) Spear phishing – bardziej wyrafinowana metoda phishingu, w ramach której przestępcy
f webinarium „Zabezpiecze- koncentrują atak na ściśle wybranej ofierze lub grupie ofiar (poprzez stworzenie wrażenia,
nia techniczne przetwarza- że znają swą ofiarę).
nych danych osobowych”
– zorganizowane przez
4) Atak ransomware – atak na systemy teleinformatyczne, polegający na nieautoryzowanym
Urząd Ochrony Danych przez nas zablokowaniu dostępu do naszych systemów informatycznych (czy też do konkret-
Osobowych, dostępne pod nych baz danych), a przywrócenie stanu poprzedniego może nastąpić po zapłaceniu okupu
adresem: https://uodo.gov. przestępcy.
pl/pl/138/2451.

8
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

ZABEZPIECZENIE DANYCH PRZETWARZANYCH

W SYSTEMACH TELEINFORMATYCZNYCH
OD STRONY TECHNICZNEJ
Wykonywanie i weryfikacja kopii zapasowych, wdrożenie systemu monitorowania
incydentów bezpieczeństwa i reagowania na nie to tylko niektóre z podstawowych
zasad zabezpieczania danych osobowych w placówkach. Sprawdź, jakie wytyczne w tym
zakresie proponuje Urząd Ochrony Danych Osobowych.

PROBLEM tacji oraz certyfikacji, o których mowa w art. 13

Jakie rozwiązania w zakresie zabezpieczenia
danych osobowych przetwarzanych w sys-
temach teleinformatycznych rekomenduje
UODO?
ROZWIĄZANIE
Urząd Ochrony Danych Osobowych (dalej:
UODO) nie poleca ani nie reklamuje żadnych
konkretnych systemów teleinformatycznych
ani innych podobnych rozwiązań, które służą
do zabezpieczenia danych osobowych. Celem
webinarium było ogólne przybliżenie rozwią-
zań, które można przykładowo zastosować,
chroniąc dane osobowe przetwarzane w sys-
temach teleinformatycznych. Ponadto do dnia
przeprowadzenia webinarium UODO żadne
podmioty nie wystąpiły – w związku z art. 42
ogólnego rozporządzenia o ochronie danych
(dalej: RODO) – o certyfikat zgodności działa-
nia z RODO ani nie otrzymały go od UODO.
Nie wyznaczono również kosztów uzyskania
certyfikatu ani wymaganych do jego uzyskania
dokumentów. Prezes UODO nie prowadzi prac
nad stworzeniem krajowych kryteriów akredy-
i 16 ustawy z 10 maja 2018 r. o ochronie danych
osobowych. Nie znamy zatem daty udostępnienia
ww. kryteriów na stronie Biuletynu Informacji
Publicznej Prezesa UODO. Urząd nie dyspo-
nuje też wykazem certyfikowanych aplikacji
oraz systemów zabezpieczenia i ochrony prze- MACIEJ LIPKA
twarzanych danych osobowych. specjalista w zakresie
ochrony danych
Weryfikacja infrastruktury osobowych
Przede wszystkim, jak wspomniano w arty-
kule „Jak rozumieć przepisy prawa dotyczące
zabezpieczenia danych osobowych”, należy
unikać oprogramowania:
• nielegalnego;
• nielicencjonowanego;
• pochodzącego z nieznanych źródeł czy też
• pozbawionego wsparcia producenta.
Nie może bowiem dojść do sytuacji, w której
zaprojektujemy system ochrony dla systemu
informatycznego jednostki, pomijając istotne
szczegóły. W tym samym czasie pracownik
może bowiem korzystać z nieautoryzowanej
przez nas aplikacji zainstalowanej na używa-
nym przez niego telefonie mobilnym, za jej
pomocą przetwarzając dane osobowe.

ZASADY ZABEZPIECZANIA DANYCH OSOBOWYCH, KTÓRE WSKAZUJE UODO, TO:

• wykonywanie i weryfikacja kopii zapasowych;
• wdrożenie systemu monitorowania incydentów bezpieczeństwa i reagowania na nie;
• wdrożenie ochrony DNS (np. przed połączeniem ze złośliwą domeną – przyp. aut.);
• zapewnienie pseudonimizacji i szyfrowania danych, w tym danych przetwarzanych w dro-
dze transmisji;
• istnienie systemu kontroli dostępu do danych osobowych (gdy np. wiemy, kto, kiedy i jakie
dane osobowe przetwarzał – przyp. aut.);
• wprowadzenie uwierzytelnienia dwuskładnikowego (czyli np. wprowadzanie kodu SMS
przy logowaniu się na komputerze stacjonarnym – przyp. aut.);
• przeprowadzanie regularnych aktualizacji systemów i urządzeń;
• wdrożenie polityki właściwego przydzielania uprawnień;
• posiadanie systemu antywirusowego i systemu anty-malware;
• wprowadzenie zarządzania podatnościami (systemy wyliczające podatności na ryzyko,
takie jak CVE, CVSS) oraz
• przeprowadzanie szkoleń personelu w zakresie bezpiecznego przetwarzania danych oso-
bowych i unikania zagrożeń.

Więcej porad na www.rodomed24.pl 9

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
WAŻNE
Pod kątem eliminacji oprogramowania nielegalnego,
niepewnego i pozbawionego wsparcia producenta
należy przejrzeć nie tylko komputery w naszej jedno-
stce organizacyjnej, ale ponadto skoncentrować się
na sprawdzeniu urządzeń powierzanych personelowi
w celach służbowych. Zwróćmy zatem dodatkową
uwagę na powierzone personelowi przenośne tele-
fony, dyski USB czy też karty pamięci.
Weryfikacja wiedzy personelu
Jedną z wielu aktywności dotyczących zabez-
pieczania danych osobowych jest przeprowa-
dzanie szkoleń personelu. Personel (tj. zarówno
pracownicy, jak i inne osoby dopuszczone do
przetwarzania danych osobowych pod nadzo-
rem ADO) powinien wiedzieć, jak takie dane
bezpiecznie przetwarzać, jakich pułapek uni-
kać w środowisku teleinformatycznym oraz
jak korzystać z konkretnego oprogramowania.
a) filmy instruktażowe
Przedstawiciel UODO wskazał na filmiki instruk-
tażowe zamieszczone przez Warszawski Insty-
tut Bankowości. Nagrania te mają stanowić
przykładową inspirację przy tworzeniu szko-
leń dotyczących bezpiecznego poruszania się
w cyberprzestrzeni. Są one dostępne w serwisie
YouTube pod adresem https://www.youtube.
com/c/WarszawskiInstytutBankowo%C5%9Bci .
b) właściwa weryfikacja wiedzy personelu
W kontekście weryfikacji wiedzy w temacie
będącym przedmiotem szkoleń przedstawiciel
UODO polecił serwis Canarytokens (dostępny
Podstawa prawna:
pod adresem https://canarytokens.org/generate).
f rozporządzenie Parlamentu Serwis ten umożliwia sprawdzenie, którzy
Europejskiego i Rady (UE) członkowie naszego personelu nie przestrze-
2016/679 z 27 kwietnia
2016 r. w sprawie ochrony
gają obowiązujących w naszej organizacji
osób fizycznych w związku zasad bezpieczeństwa. Używając ww. strony,
z przetwarzaniem danych można wygenerować wybrany przez nas, spre-
osobowych i w sprawie parowany plik (np. w formacie Word lub Excel),
swobodnego przepływu
takich danych oraz uchy- a nawet jakiś adres internetowy. Taki plik/adres
lenia dyrektywy 95/46/WE możemy następnie wysłać z nieznanego adresu
(ogólne rozporządzenie e-mail do konkretnej osoby z naszej organiza-
o ochronie danych, RODO).
cji. Ilekroć odbiorca otworzy taki załącznik/
link, otrzymamy stosowne powiadomienie.
Podstawa merytoryczna: Pozwoli to nam ustalić, którzy członkowie
f webinarium „Zabezpiecze- naszego personelu wymagają dodatkowych
nia techniczne przetwarza-
nych danych osobowych” szkoleń w zakresie bezpieczeństwa w sieci.
– zorganizowane przez
Urząd ochrony Danych c) opinia autora dotycząca szkoleń
Osobowych, dostępne pod
adresem: https://uodo.gov. Zdaniem autora nie należy rezygnować z prze-
pl/pl/138/2451. kazywania informacji, które szkolącym mogą
10
się wydać oczywiste. Nawet najlepszy zatrud-
niany przez nas specjalista w danej dziedzi-
nie może nie posiadać elementarnej wiedzy
w zakresie ochrony danych osobowych. Celem
zobrazowania problemu warto przypomnieć
sobie choćby fakt korzystania w celach służbo-
wych z powszechnie dostępnej usługi e-mail
przez osoby z kręgu władzy. Warto też zwery-
fikować, czy jakąkolwiek dokumentację doty-
czącą ochrony danych osobowych posiadają
np. niektórzy specjaliści, w tym gabinety lekar-
skie zatrudniające nieraz wybitnych w danej
dziedzinie lekarzy.
WAŻNE
Wiedza przekazywana personelowi w ramach szkoleń
powinna uwzględniać na bieżąco aktualne metody
ataku na systemy informatyczne. Powinniśmy także
wyraźnie uświadomić personel o zakazie pobierania
jakiegokolwiek oprogramowania bez zgody kierow-
nictwa oraz o konieczności weryfikacji tożsamości
osób zdalnie kontaktujących się z naszą organizacją.
Pamiętajmy też, że – jak wskazano
w decyzji UODO z 21 sierpnia 2020 r. (sygn.
ZSOŚS.421.25.2019) – czynnik ludzki to jedno
ze źródeł ryzyka, które w procesie przetwa-
rzania danych osobowych stanowi podsta-
wowy element odzwierciedlający „immanentną
istotę systemu ochrony danych osobowych,
jakim jest kontrola administratora nad pro-
cesami przetwarzania danych osobowych”.
Zgodnie z tą samą decyzją „(p)owszechnie
przyjmuje się, że rozliczalność w systemach
informatycznych jest realizowana w formie
automatycznie generowanych zapisów (tzw.
logów) zawierających określony zestaw infor-
macji umożliwiający stwierdzenie kto, kiedy,
jakie operacje, w odniesieniu do jakich danych
wykonał w systemie”.
Dlatego miejmy na uwadze, że samo przekazanie
wiedzy nie zwolni nas, jako ADO, z odpowie-
dzialności za bezpieczeństwo danych osobo-
wych. Musimy wdrożyć wszelkie dostępne
metody, aby zabezpieczyć nasze systemy tele-
informatyczne przed błędami lub celowymi
i nielegalnymi działaniami personelu. Jeżeli
powszechnie dostępna wiedza technologiczna
nie pozwala na powstrzymanie tego typu dzia-
łań, powinniśmy zapewnić sobie możliwość ich
szybkiego wykrycia oraz niezwłocznej mini-
malizacji ich skutków. Służyć temu mają m.in.
właśnie rozwiązania zmierzające do kontroli
tego, kto, kiedy i jakie dane przetwarzał (w tym
np. pobrał) w naszych systemach.

JAK ZAPEWNIĆ BEZPIECZNE OPROGRAMOWANIE
ORAZ POCZTĘ ELEKTRONICZNĄ
Jedne z wielu aspektów bezpieczeństwa danych, na których powinien skupić się
administrator danych osobowych, dotyczą rodzaju oprogramowania, które można
stosować, możliwość stosowania rozwiązań nieodpłatnych czy zabezpieczenia poczty
elektronicznej. Poznaj wytyczne UODO.
PROBLEM
Sprawdźmy, jak Urząd Ochrony Danych
Osobowych (dalej: UODO) podchodzi do
kwestii bezpiecznego pobierania oprogra-
mowania oraz bezpiecznego korzystania
z poczty elektronicznej.
ROZWIĄZANIE
W celu wyboru właściwego oprogramowania
przedstawiciel UODO wskazał na wytyczne
o nazwie Narodowe Standardy Cyberbezpieczeń-
stwa (dalej: NSC). Znajdziemy je pod adresem
https://www.gov.pl/web/baza-wiedzy/narodowe-
-standardy-cyber. Wytyczne te dostosowano do
obowiązujących w Polsce norm o zarządzaniu
bezpieczeństwem informacji przez podmioty
Krajowego Systemu Cyberbezpieczeństwa.
Na NSC składają się takie dokumenty, jak np.:
• standardy kategoryzacji bezpieczeństwa (NSC
199 wer. 1.0);
• Minimalne wymagania bezpieczeństwa infor-
macji i systemów informatycznych podmio-
tów publicznych (NSC 200 wer. 2.0);
• Zarządzanie ryzykiem bezpieczeństwa infor-
macji (NSC 800-39 wer. 1.0);
• Przewodnik po telepracy w podmiocie
publicznym (NSC 800-46 wer. 1.0);
• Zabezpieczenia i ochrona prywatności sys-
temów informatycznych oraz organizacji
(NSC 800-53 wer. 2.0);
• Zabezpieczenia bazowe systemów informa-
tycznych oraz organizacji (NSC 800-53B
wer. 1.0);
• Wytyczne w zakresie określania katego-
rii bezpieczeństwa informacji i kategorii
bezpieczeństwa systemu informatycznego
część I (NSC 800-60 cz. 1 wer. 1.0) i II (NSC
800-60 cz. 2 wer. 1.0) czy też
• Standard Cyberbezpieczeństwa Chmur Obli-
czeniowych.
Opracowania te stanowią zbiór rekomendacji,
które mają ujednolicić rozwiązania zabezpie-
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
czające w sieciach i systemach informatycznych,
a wykorzystywanych przez podmioty chcące
efektywnie zarządzać systemami bezpieczeń-
stwa informacji.
WAŻNE
Wybierając oprogramowanie do instalacji, musimy MACIEJ LIPKA
zwrócić uwagę, na co pozwala związana z nim umowa specjalista w zakresie
licencyjna. Musimy zatem sprawdzić, czy producent ochrony danych
oprogramowania zezwala na bezpłatne korzystanie osobowych
z niego, a jeśli tak, to w jakich celach. Z wielu oprogra-
mowań możemy bowiem bezpłatnie korzystać w celach
użytku domowego, ale już nie w celach komercyjnych.
UODO zwróca też uwagę na to, że przy pobiera-
niu konkretnego oprogramowania jego produ-
cenci zamieszczają tzw. sumy kontrolne. Mają
one na celu weryfikację, czy ewentualnie w takie
oprogramowanie nie zaingerowano w sposób
nieuprawniony – np. czy ktoś się nie podszył
pod producenta oprogramowania i nie zmienił
go w celu nielegalnego wejścia w posiadanie
informacji przetwarzanych przez użytkownika.
Weryfikujmy zatem sumy kontrolne.
Zwróćmy również uwagę, skąd pobieramy dane
oprogramowanie. Najlepiej bowiem pobierać
je bezpośrednio ze strony producenta i unikać
pobierania z innych stron, na których takie
oprogramowanie mogło zostać zmienione przez
nieuprawnione podmioty. Czasem nawet próba
pobrania oprogramowania ze strony jego pro-
ducenta może zakończyć się podmianą strony
producenta na stronę atakującego za pomocą
tzw. metody ARP Spoofingu. Dlatego tego typu
ataki możemy wykryć za pomocą prowadzonego
monitorowania sieci (patrz: kolejny artykuł).
WERYFIKACJA POBIERANEGO PLIKU
Pobierany plik instalacyjny możemy zwery-
fikować, sprawdzając, czy ewentualny ataku-
jący nie zamieścił w nim „złośliwego kodu”.
Do weryfikacji, jak wskazuje przedstawiciel
UODO, może służyć np. system Virusto-
tal.com. (https://www.virustotal.com/gui/
home/upload)
11
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
Pod podanym adresem możemy zweryfikować
dany plik pod kątem występowania ewentu-
alnych zagrożeń.
WAŻNE
Zwróćmy uwagę, aby przesyłany do weryfikacji plik
nie zawierał danych osobowych. Załadowanie takiego
pliku może bowiem doprowadzić do przesłania ich
na serwer podmiotu weryfikującego, a tym samym
do wycieku danych osobowych.
Bezpieczniejszą metodą będzie zatem przesła-
nie samego hasła danego pliku, dzięki czemu
system zweryfikuje jego bezpieczeństwo, gdy
ktokolwiek wcześniej przesłał wcześniej na
wspomnianą stronę taki sam plik.
Kolejną metodą na weryfikację plików pod
kątem bezpieczeństwa jest np. Sandbox dostępny
np. z poziomu serwisu Any Run (https://any.
run/). Tam możemy przesłać sprawdzany plik,
po uprzednim założeniu konta i zalogowa-
niu. Portal Any Run poinformuje nas o fakcie
zainfekowania danego pliku. Tego typu opro-
gramowania należy uruchamiać w odizolowa-
nym, najlepiej wirtualnym środowisku, aby
nie zainfekować sobie pozostałej części sieci.
Warto odnotować naszą weryfikację, w myśl
wyrażonej w RODO zasady rozliczalności.
Zabezpieczenie poczty
elektronicznej
UODO zwraca uwagę na fakt, że wysyłanie poczty
elektronicznej przede wszystkim funkcjonuje
na podstawie protokołu SMTP (tj. Simple Mail
Transfer Protocol). Protokół ten opracowano
Podstawa prawna:
w latach 80. XX wieku. Obecnie cyberprzestępcy
f rozporządzenie Parlamentu wykorzystują go przy tzw. e-mail spoofingu.
Europejskiego i Rady (UE) W ramach tego działania przestępca podszywa
2016/679 z 27 kwietnia
2016 r. w sprawie ochrony
się pod nadawcę konkretnej wiadomości e-mail.
osób fizycznych w związku Ponadto e-mail spoofingowi przeciwdziałać mogą
z przetwarzaniem danych takie zabezpieczenia antyphishingowe i antyspo-
osobowych i w sprawie ofingowe jak SPF, DKIM oraz DMARC. Warto
swobodnego przepływu
takich danych oraz uchy- również, przy zabezpieczaniu poczty elektronicz-
lenia dyrektywy 95/46/WE nej, zastosować uwierzytelnianie dwuskładni-
(ogólne rozporządzenie kowe. Oznacza to, że obok loginu i hasła można
o ochronie danych, RODO).
wprowadzić dodatkowe elementy weryfikujące
użytkownika, takie jak np. kod SMS. Niezależnie
Podstawa merytoryczna: od powyższego powinniśmy cyklicznie wery-
f webinarium „Zabezpiecze- fikować, jakie dane osobowe przechowujemy
nia techniczne przetwarza-
nych danych osobowych” na skrzynkach e-mail w naszej organizacji.
zorganizowane przez Urząd Wykonujemy tym samym takie wynikające
ochrony Danych Osobo-
z RODO obowiązki, jak:
wych, dostępne pod adre-
sem: https://uodo.gov.pl/ • przechowywanie danych osobowych przez
pl/138/2451. okres nie dłuższy, niż jest to niezbędne do
12
celów, w których je przetwarzamy (art. 5
ust. 1 lit. e) oraz
• regularne testowanie, mierzenie i ocenianie
skuteczności środków technicznych i organi-
zacyjnych w celu zapewnienia bezpieczeństwa
przetwarzania danych osobowych (art. 32
ust. 1 lit. d).
Powinniśmy przede wszystkim usuwać zbędne
nam (w tym zbędne wskutek upływu czasu)
pliki z poczty elektronicznej oraz zabezpieczać
hasłami pliki zawierające informacje poufne.
W kontekście dostosowania środowiska domo-
wego do pracy zdalnej przedstawiciel UODO
wspomniał, że warto zapoznać się z „Przewod-
nikiem po telepracy w podmiocie publicz-
nym (NSC 800-46 wer. 1.0)” wspomnianym
w związku z NSC (https://www.gov.pl/web/
baza-wiedzy/narodowe-standardy-cyber). Jeżeli
korzystamy z poczty elektronicznej spoza orga-
nizacji (np. z domu), to konieczne jest zadbanie
o to, żeby takich transmisji dokonywać poprzez
tunelowanie z wykorzystaniem kryptogra-
fii. W praktyce chodzi tu o odpowiednią pry-
watną wirtualną sieć (VPN) dobraną przez
nasz podmiot.
ODIZOLOWANIE SIECI
Korzystając ze służbowej poczty elektronicz-
nej w domu, warto dokonać tzw. segmentacji
sieci. Jeżeli w sieci domowej znajdują się inne
komputery, należy bowiem odizolować je od
sieci służbowej, dokonując właśnie odizolo-
wania (np. poprzez segmentację).
Kolejnym elementem przy korzystaniu z poczty
elektronicznej z domu jest bieżąca aktuali-
zacja oprogramowania urządzeń, których
używamy w domowym środowisku. Przed-
stawiciel UODO zwraca też uwagę na aktu-
alizację oprogramowania routera.
WSKAZÓWKA DOTYCZĄCA ROUTERA
Czasem po weryfikacji oprogramowania
routera dojdziemy do wniosku, że nie aktu-
alizowano go już od dłuższego czasu. W takiej
sytuacji warto zweryfikować, czy nie ma moż-
liwości zamiany właściwego dla niego opro-
gramowania. Przedstawiciel UODO wskazał
na możliwość zastosowania oprogramowania
Open WRT. Pozwala ono często na wykorzy-
stanie dodatkowych funkcjonalności routerów,
w tym routerów domowych. Przed instalacją
takiego oprogramowania musimy jednak
uprzednio sprawdzić umowę licencyjną urzą-
dzenia. Może ona bowiem zakazywać tego
typu instalacji.

JAK WDRAŻAĆ ANALIZĘ RYZYKA W ZAKRESIE
ATAKU RANSOMWARE W PLACÓWCE
Przyjrzyjmy się bliżej zagadnieniom dotyczącym wdrożenia przeprowadzonej analizy ryzyk
a, zarządzenia podatnościami, sporządzania i przechowywania kopii zapasowych oraz
monitorowania sieci.
PROBLEM
Jakie są preferowane rozwiązania monito-
rujące zdarzenia i nieprawidłowości w sie-
ciach lokalnych?
ROZWIĄZANIE
Warto korygować analizy ryzyka o nowe zagroże-
nia, zwłaszcza związane z phishingiem i atakiem
ransomware. W zależności od tego, co wykaże
nam analiza ryzyka, powinniśmy podjąć sze-
reg działań wynikających z jej aktualizacji (np.
wdrożyć dodatkowe szkolenia personelu czy też
na nowo przetestować nasze zabezpieczenia).
WSKAZÓWKA DLA ADO
Sprawdź, czy Twoja analiza ryzyka objęła
również urządzenia mobilne, używane przez
Twój personel. Pamiętaj, że wdrożenie zało-
żeń analizy ryzyka powinno objąć wszystkie
urządzenia mobilne, na których Twój perso-
nel przetwarza dane osobowe, w stosunku do
których pełnisz funkcję ADO. Nie możesz
stracić kontroli nad przetwarzaniem tych
danych, toteż powinieneś uniemożliwić ich
przetwarzanie na nieautoryzowanych przez
Ciebie urządzeniach przenośnych.
Zarządzanie podatnościami
Nie ma prawnej definiji podatności. Za podat-
ność na ryzyko możemy uznać pewien słaby
punkt wynikający z cech danego środowiska,
w tym infrastruktury informatycznej, który
może prowadzić do określonych, mierzalnych
strat (np. naruszenia bezpieczeństwa ochrony
danych osobowych).
PRZYKŁAD
Dane zawarte na laptopie może przejąć osoba nie-
uprawniona. Laptop niezabezpieczony hasłem jest
bardziej podatny na takie przejęcie informacji niż
laptop zabezpieczony hasłem.
W kontekście omawiania podatności UODO odsyła
na stronę https://www.cvedetails.com/. Common
Vulnerabilities and Exposures (dalej: CVE) to słow-
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
nik identyfikatorów odpowiadających powszechnie
znanym podatnościom oraz zagrożeniom. Można
na ww. stronie wyszukać zgłoszone podatności pod
różnymi kryteriami, takimi jak: nazwa produktu,
nazwa dostawcy czy też typ luki.
PRZYKŁAD MACIEJ LIPKA
W bazie CVE możemy wyszukać informacje o podat- specjalista w zakresie
nościach, podając nazwę sprzętu lub oprogramo- ochrony danych
wania, które podsiadamy w swoich zasobach. osobowych
Wyniki wyszukiwania mogą zwrócić informacje
np. odnośnie do tego, która wersja oprogramowania
danego urządzenia posiada luki, i zweryfikować to
z oprogramowaniem zainstalowanym na naszych
urządzeniach.
Portal https://www.cvedetails.com/ umożliwia
również przeglądanie wykrytych luk w zabezpie-
czeniach według typu (patrz: https://www.cve-
details.com/vulnerability-search.php). Można
dzięki temu sprawdzić, która podatność ma
tendencję wzrostową (np., jak ostatnio, wzrost
podatności typu SQL Injection).
Monitorowanie sieci
Jeżeli nie monitorujemy przepływu pakietów
danych, nie wiemy, jakie działania w tej sieci
zostają wykonane. Wśród przepływających
danych znajdziemy także nasze dane uwie-
rzytelniające, które wprowadzamy w panelu
logowania danej aplikacji. Monitorowanie
sieci ma przeciwdziałać nieuprawnionemu
skanowaniu adresów sieciowych przez osoby
postronne w celu zaatakowania naszych sys-
temów teleinformatycznych. Jest to istotne
głównie dla mniejszych podmiotów, które
w swojej infrastrukturze posiadają kilka lub
kilkanaście komputerów i nie sprawują kon-
troli nad przepływem danych tej sieci. Procesy
przepływu danych w sieci możemy podejrzeć,
uruchamiając dowolny analizator protokołów
sieciowych.
WAŻNE
W celu zapewnienia bezpieczeństwa powinniśmy
zaszyfrować transmisję danych w naszej sieci.
13
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
Tabela nr 1: Rozwiązania monitorujące zdarzenia i anomalie w sieciach lokalnych
wskazane podczas webinarium UODO (przykłady)
Lp. Rodzaj rozwiązania
1. IDS (Intrusion Detection System)
2. IPS (Intrusion Prevention System)
3. Next Generation Firewall
4. Serwery pośredniczące (np. proxy
lub Secure Gateway)
5. Logi systemowe oraz logi aplika-
cyjne
6. EDR (Endpoint Detection and
Response)
7. DLP (Data Loss Prevention)
8. Next Generation Antywirus
9. DNS (Domain Name System)
Wskazówki dotyczące kopii
zapasowych
Personel UODO dużą wagę przywiązał do
omówienia kwestii właściwego sporządzania
kopii zapasowych, chroniących ADO przed
utratą przetwarzanych danych osobowych.
W oparciu o swoje doświadczenie ze skon-
trolowanymi UODO wskazuje na:
• brak regularnego testowania, mierzenia oraz
oceniania wykonanych kopii zapasowych, co
skutkowało niemożnością ich odtworzenia
po wystąpieniu incydentu;
• konieczność odtwarzania danych z wersji
papierowej;
• brak procedur wykonywania kopii zapaso-
wych oraz
• zapisywanie kopii zapasowych na tym samym
nośniku w tej samej lokalizacji.
14
Opis
System służący do wykrywania podejrzanych działań
i generowania alertów w związku z ich wykryciem.
System ma tę przewagę nad IDS, że może zablokować
niepożądane działania w sieci.
Jest to zapora sieciowa nowej generacji, wyposażona
w dodatkowe funkcje, takie jak kontrola aplikacji, zinte-
growane zapobieganie włamaniom i bardziej zaawanso-
wane funkcje zapobiegania zagrożeniom (np. Sandbox).
Zapewniają bezpieczeństwo użytkownikom Internetu
i mogą też dostarczać informacje o ruchu aplikacyjnym.
Umożliwiają wykrycie takich zdarzeń jak np. urucho-
mione procesy, fakt zalogowania się do systemu czy też
wykonane połączenia.
System chroniący i monitorujący stację roboczą,
a wyposażony m.in. w możliwość rozpoznawania i blo-
kowania wskaźników ataków w czasie rzeczywistym.
System do wykrywania naruszeń bezpieczeństwa zwią-
zanych z wyciekami danych; analizuje on przesłane pliki
oraz ich zawartość w poszukiwaniu wrażliwych infor-
macji (np. numerów PESEL) oraz innych danych oso-
bowych atrakcyjnych dla atakującego. DLP chroni też
przed przypadkowymi lub celowymi wyciekami infor-
macji.
Systemy antywirusowe nowej generacji, uwzględnia-
jące centralnie zarządzaną architekturę i zapobiegające
wszelkim typom ataków, poprzez monitorowanie, reago-
wanie na różne strategie atakujących atakujących (przyp.
aut.).
System umożliwia wykrycie połączeń do potencjalnie
złośliwych domen. Jednakże wiele ataków na systemy
teleinformatyczne przeprowadza się właśnie z użyciem
tego protokołu.
Umieszczanie kopii zapasowych na tym samym
nośniku w tej samej lokalizacji skutkować może
ich zaszyfrowaniem wraz z zaatakowanymi
zasobami wskutek ataku ransomware.
WAŻNE
UODO poddaje pod rozwagę wdrożenie zasady posia-
dania trzech egzemplarzy danych oraz przechowy-
wanie danych osobowych na co najmniej dwóch
różnych typach pamięci masowej.
Dane osobowe możemy przechowywać:
• zarówno na wewnętrznym dysku twardym,
jak i na nośniku wymiennym (np. na taśmie,
serwerze, zewnętrznym, dysku twardym,
dysku USB, karcie SD czy też płycie CD/
DVD) lub
• na 2 wewnętrznych dyskach twardych, które
jednak znajdują się w różnych lokalizacjach
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

– w tym przypadku musimy wdrożyć fizyczne
odseparowanie kopii danych.
Warto również dodać, że w związku z wykony-
waniem przez ADO testu przywracania kopii
zapasowej danych należy wytworzyć pisemny
dowód zawierający wynik tego działania. Cho-
dzi w tym przypadku o dowód, jak podkreśla
przedstawiciel UODO: „wiarygodny i zgodny
ze stanem faktycznym”.

REGUŁA 3-2-1
W stosunku do kopii zapasowych UODO zwraca uwagę na możliwość zastosowania tzw. reguły
3-2-1. Polega ona na:
• posiadaniu co najmniej 3 egzemplarzy danych – tworzymy w tym celu kilka kopii zapa-
sowych każdej maszyny wirtualnej;
• przechowywaniu egzemplarzy danych na co najmniej 2 różnych nośnikach – np. w chmu-
rze i na dysku twardym, oraz
• przechowywaniu 1 kopii zapasowej na zewnątrz organizacji – np. przesyłać kopie zapa-
sowe do zewnętrznego repozytorium udostępnianego przez danego usługodawcę.

REJESTR NARUSZEŃ BEZPIECZEŃSTWA

Działanie
Odpowie- zapobie-
dzialny gawcze /
Naru- Źródło
za błąd/ korygu-
szenie zgłoszenia Ocena
narusze- jące wraz
bezpie- – osoba/ Data skutecz-
Data roz- nie lub ze wska-
czeństwa podmiot zakończe- Przyczyna ności
poczęcia infor- zaniem
– opis zgłasza- nia podjętych
macja osoby
narusze- jący incy- działań
o braku odpowie-
niaa dent
takiej dzialnej
osoby za wyko-
nanie

Podstawa prawna:
f rozporządzenie Parlamentu
Europejskiego i Rady (UE)
2016/679 z 27 kwietnia
2016 r. w sprawie ochrony
osób fizycznych w związku
z przetwarzaniem danych
osobowych i w sprawie
swobodnego przepływu
takich danych oraz uchy-
lenia dyrektywy 95/46/WE
(ogólne rozporządzenie
o ochronie danych, RODO).

Podstawa merytoryczna:
f webinarium „Zabezpiecze-
nia techniczne przetwarza-
nych danych osobowych”
– zorganizowane przez
Dla .......................................................... Urząd ochrony Danych
Osobowych, dostępne pod
dane administratora adresem: https://uodo.gov.
pl/pl/138/2451.

Więcej porad na www.rodomed24.pl 15

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
CZY PRZYSTĄPIĆ DO STOSOWANIA KODEKSU
POSTĘPOWANIA DLA SEKTORA MEDYCZNEGO
Prezes Urzędu Ochrony Danych Osobowych zatwierdził 14 grudnia pierwszy w Polsce
kodeks postępowania precyzujący zasady stosowania RODO. Dotyczy on małych
placówek medycznych. Co zatwierdzenie takiego kodeksu oznacza w praktyce dla takich
podmiotów?
PROBLEM
Prezes Urzędu Ochrony Danych Osobowych
(dalej: UODO) zatwierdził projekt Kodeksu
postępowania dotyczącego ochrony danych
osobowych przetwarzanych w małych placów-
MACIEJ LIPKA kach medycznych, a współtworzony przez
specjalista w zakresie Porozumienie Zielonogórskie. Czy mamy
ochrony danych obowiązek go stosować jako mała przychod-
osobowych nia medyczna?
ROZWIĄZANIE
Sam fakt istnienia zatwierdzonego kodeksu
postępowania nie rodzi po stronie małych pla-
cówek medycznych obowiązku jego stosowania.
Kodeks ten może jednak pomóc w praktycz-
nym stosowaniu przepisów o ochronie danych
osobowych. Jego zapisy mogą też nas chronić.
Kodeks postępowania dotyczący ochrony danych
osobowych przetwarzanych w małych placów-
kach medycznych (dalej: Kodeks) opracowały
Federacja Związków Pracodawców Ochrony
Zdrowia „Porozumienie Zielonogórskie” oraz
Jamano Sp. z o.o., tj. firma wyspecjalizowana
w ochronie danych osobowych. Prezes UODO
ten Kodeks zatwierdził oraz opublikował jego
treść na swojej stronie internetowej pod adre-
sem https://uodo.gov.pl/pl/426/1110 .
Podstawa prawna Kodeksu
Zgodnie z art. 40 ust. 1 ogólnego rozporządze-
nia o ochronie danych (dalej: RODO) państwa
członkowskie, organy nadzorcze, Europejska
Rada Ochrony Danych oraz Komisja Europejska
zachęcają do sporządzania kodeksów postępo-
wania mających pomóc we właściwym stoso-
waniu RODO – z uwzględnieniem specyfiki
różnych sektorów dokonujących przetwarza-
nia oraz szczególnych potrzeb mikroprzedsię-
biorstw oraz małych i średnich przedsiębiorstw.
Warto w tym miejscu podkreślić, że opraco-
wanie takich kodeksów ani ich stosowanie nie
jest niczyim obowiązkiem. Tego typu kodeksy
wymagają jednak oficjalnego zatwierdzenia, co
16
miało już miejsce w przypadku omawianego
dokumentu.
Adresaci Kodeksu
Kodeks ma zastosowanie jedynie do danych
osobowych przetwarzanych w związku z działal-
nością leczniczą małych placówek medycznych
(dalej: MPM). Do jego stosowania przystąpić
mogą MPM będące członkami struktur regio-
nalnych Porozumienia Zielonogórskiego.
„ UWAGA
Za małe placówki medyczne Kodeks uznaje podmioty
wykonujące działalność leczniczą, realizujące zwłasz-
cza świadczenia w rodzaju podstawowa opieka zdro-
wotna oraz ambulatoryjna opieka specjalistyczna.
Kodeks dotyczy danych osobowych pacjentów,
osób upoważnionych przez pacjentów czy też
ich osób bliskich. Nie dotyczy on natomiast
przetwarzania danych osobowych pracowników,
współpracowników, kandydatów do pracy lub
innych osób, których dane gromadzi MPM.
Do stosowania Kodeksu nie mogą też przystą-
pić placówki, które posiadają status podmiotu
publicznego (w tym zwłaszcza samodzielne
publiczne zakłady opieki zdrowotnej). Za
swój główny cel Kodeks postawił doprecy-
zowanie zasad ochrony danych zawartych
w RODO i podniesienie poziomu tej ochrony
przez MPM.
Do omawianego Kodeksu nie mogą zatem
przystąpić wszystkie podmioty. Część z nich
może natomiast wyrazić zainteresowanie sto-
sowaniem skierowanego do wszystkich pod-
miotów wykonujących działalność leczniczą
Kodeksu postępowania dla sektora ochrony
zdrowia. Dotyczy on podmiotów wykonują-
cych działalność leczniczą i podmiotów prze-
twarzających. Stworzyła go Polska Federacja
Szpitali. Jakkolwiek UODO pozytywnie zaopi-
niował jego projekt, to wciąż czekamy na jego
oficjalne zatwierdzenie przez urząd. Dopiero
po tym fakcie ten drugi kodeks można będzie
wykorzystać w praktyce.

Rola Kodeksu
Zatwierdzony Kodeks opracowano dla MPM,
aby wesprzeć je we właściwym stosowaniu
przepisów RODO. Dokument ten ma zatem
charakter pomocniczy, a nie obowiązkowy.
Niemniej jednak warto zapoznać się z jego
treścią, nawet gdy nie zamierzamy lub nie
możemy przystąpić do jego stosowania. Kodeks
zawiera bowiem szereg wskazówek praktycz-
nych, które możemy przeanalizować i zesta-
wić z rozwiązaniami, które już wdrożyliśmy
u siebie. Niewykluczone, że treść Kodeksu
zainspiruje nas do modyfikacji istniejących
procedur. Jak wskazano w Kodeksie, ma on
także na celu zwiększenie zaufania pacjentów
do MPM.
PRZYKŁADOWE KWESTIE, KTÓRE
REGULUJE KODEKS
W Kodeksie znajdziemy wskazówki doty-
czące m.in.:
• warunków pozyskania ważnej zgody na
przetwarzanie danych osobowych;
• zasad powierzania danych osobowych;
• sposobu zarządzania bezpieczeństwem
danych osobowych;
• sytuacji, w których możemy wykorzystać
dane osobowe pacjentów bez ich zgody;
• sposobów realizacji praw pacjenta;
• przeprowadzania teleporad;
• stosowanie monitoringu w placówkach;
• postępowania przy badaniu satysfakcji ze
świadczonych usług;
• danych osobowych pacjentów, których
nie możemy przetwarzać, czy też
• procedur, jakie należy opracować w związku
ze zbieraniem danych.
Co daje stosowanie Kodeksu
Przystąpienie danej placówki medycznej do
stosowania Kodeksu ma zagwarantować, że
zapewniamy bezpieczeństwo danych osobo-
wych na odpowiednio wysokim poziomie:
• poprzez stosowanie odpowiednich zasad
i instrumentów prawnych ochrony danych
• przy uwzględnieniu ryzyka dla praw lub
wolności pacjentów wynikającego z prze-
twarzania ich danych osobowych.
Z RODO wynika, że ochrona danych osobo-
wych to proces ciągły, w ramach którego stale
monitorujemy ryzyko dla danych osobowych
i stale poprawiamy wdrożone przez nas proce-
dury. Warto zatem polegać na opracowanym
przez specjalistów i – w razie potrzeby – stale
doskonalonym Kodeksie.
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
Jak wskazuje UODO, przystąpienie do stoso-
wania danego kodeksu postępowania może
przynieść administratorowi danych osobowych
liczne korzyści. Wykorzystywanie Kodeksu
daje bowiem gwarancję pewności stosowania
określonych rozwiązań zatwierdzonych przez
UODO. Zasadniczo administratorzy mogą
także liczyć na nadzór nad prawidłowym sto-
sowaniem kodeksu przez niezależny podmiot
monitorujący kodeks. UODO podkreśla, że
w praktyce – w związku z przystąpieniem do
stosowania danego kodeksu – np. kontrola
podmiotu czy też rozpatrywanie skarg osób,
których dane dotyczą, mogą mieć miejsce bez
udziału UODO. Jak zauważa organ, do korzy-
ści ze stosowania kodeksu zaliczyć można też
objęcie ochroną w kontekście ewentualnych
kar pieniężnych. W razie nakładania kary na
dany podmiot UODO weźmie bowiem pod
uwagę w każdym przypadku, czy podmiot ten
właściwie stosował zatwierdzony kodeks postę-
powania, do którego stosowania przystąpił.
Przystąpienie do Kodeksu
Pierwszym krokiem jest złożenie deklaracji przy-
stąpienia, którą twórcy udostępnią w styczniu 2023
roku. Po pozytywnym wyniku kontroli wstępnej
w MPM, dokonanej przez podmiot monitorujący,
Porozumienie Zielonogórskie, wpisze zaintere-
sowaną MPM na listę podmiotów stosujących
Kodeks. Lista podmiotów, które przystąpiły do
Kodeksu, będzie opublikowana na stronach inter-
netowych Porozumienia Zielonogórskiego oraz
podmiotu monitorującego. Podmiotem moni-
torującym Kodeks została JAMANO Sp. z o.o.
„ UWAGA
Tylko te placówki, które wpisano na listę podmiotów,
które przystąpiły do stosowania Kodeksu, mogą
powoływać się na stosowanie jego postanowień
w celu wykazywania zgodności z RODO. Podstawa prawna:
f rozporządzenie Parlamentu
Europejskiego i Rady (UE)
Podsumowanie 2016/679 z 27 kwietnia
2016 r. w sprawie ochrony
osób fizycznych w związku
Stosowanie Kodeksu nie jest naszym obowiąz- z przetwarzaniem danych
kiem. Jednakże fakt oficjalnego przystąpienia osobowych i w sprawie
swobodnego przepływu
do jego stosowania może: takich danych oraz uchy-
• zwiększyć naszą konkurencyjność z uwagi lenia dyrektywy 95/46/WE
na wprowadzenie szeregu zatwierdzonych (ogólne rozporządzenie
o ochronie danych, RODO);
przez UODO rozwiązań chroniących dane f Kodeks postępowania
pacjentów; dotyczący ochrony danych
• zagwarantować pewność stosowanych pro- osobowych przetwarza-
nych w małych placówkach
cedur ochrony danych osobowych;
medycznych dostępny pod
• wpłynąć na fakt lub wysokość ewentualnych adresem https://uodo.gov.
kar pieniężnych wymierzanych przez UODO. pl/pl/426/1110.
17
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: CO POWINNA ZAWIERAĆ

DOKUMENTACJA SYSTEMU ZARZĄDZANIA
BEZPIECZEŃSTWEM INFORMACJI
System Zarządzania Bezpieczeństwem Informacji (SZBI) – z ang. Information Security
Management System (ISMS), to część całościowego systemu zarządzania oparta na
podejściu wynikającym z oceny ryzyka, odnosząca się do ustanawiania, wdrażania,
eksploatacji, monitorowania, utrzymywania i doskonalenia bezpieczeństwa informacji.
System zarządzania obejmuje strukturę organizacyjną, polityki, planowane działania,
odpowiedzialności, zasady, procedury, procesy i zasoby (aktywa).

Dokumenty składające się na Dokumentację Systemu Zarządzania Bezpieczeństwem Informacji:

• ZSZ.ISO.PBI-Polityka_Zintegrowanego_Systemu_Zarzadzania

• ZSZ.ISO.PBI-Ksiega_Zintegrowanego_Systemu_Zarzadzania

• ZSZ.ISO.SOA-Deklaracja_Stosowania

• ZSZ.ISO.PR.7.5.3-Nadzor_nad_Udokumentowanymi_Informacjami

• ZSZ.ISO.PR.9.2-Audyt_Wewnetrzny_ZSZ

• ZSZ.ISO.PR.9.3-Przeglad_Zarzadzania

• ZSZ.ISO.PR.A.12.6.1-Zarzadzanie_Podatnosciami

• ZSZ.ISO.PR.A.16-Z2-Instrukcja_Zabezpieczania _Materiału_Dowodowego

• ZSZ.ISO.PR.A.16-Z1-Rejestr_Zdarzen_i_Incydentow

• ZSZ.ISO.PR.A.16-Zarzadzanie_Incydentami_Bezpieczenstwa

• ZSZ.ISO.PR.A.8.3-Zarzadzanie_Nosnikami_Informacji

• ZSZ.ISO.PR.A.7-Zarzadzanie_Bezpieczenstwem_Zasobow_Ludzkich

• ZSZ.ISO.P.01-Polityka_Dostepu_do_Srodowiska_Teleinformatycznego

• ZSZ.ISO.P.A.15-Polityka_Bezpieczenstwa_Informacji_dla_Wykonawców

• ZSZ.ISO.PR.10.1-Dzialania_Korygujace

• ZSZ.ISO.P.A.14-Polityka_Pozyskiwania_Rozwoju_i_Utrzymania_Systemow

• ZSZ.ISO.PR.9.1-Monitorowanie_Skutecznosci_Zintegrowanego Systemu Zarządzania

• ZSZ.ISO.PR.A.18.2.2-Zarzadzanie_Wyjatkami_Bezpieczenstwa_Informacji

• ZSZ.ISO.SL-01-Slownik_Definicji_i_Skrotow

• ZSZ.ISO.PR.A.8.2-Zasady_Postepowania_z_Informacjami_- zmiany
Źródło:
f „Plan działania w zakre- • Polityka-i-metodyka-zarzadzania-ryzykiem
sie cyberbezpieczeństwa
w ochronie zdrowia”, Cen- • Polityka nadawania, odbierania, modyfikacji uprawnień
trum e-Zdrowia

18
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: JAKIE SĄ ZASADY

BEZPIECZNEGO UŻYTKOWANIA SPRZĘTU IT
Sprawdź, jakie wytyczne dotyczące prawidłowego korzystania ze sprzętu informatycznego
należy wprowadzić do swojej organizacji. Kilka najważniejszych zasad na tan temat warto
stosować, aby uniknąć błędów.

Użytkownik zobowiązany jest korzystać ze sprzętu IT w sposób zgodny z jego przeznacze-

niem i chronić go przed jakimkolwiek zniszczeniem lub uszkodzeniem.

Użytkownik zobowiązany jest do zabezpieczenia sprzętu IT przed dostępem osób nieupo-

ważnionych, a w szczególności zawartości ekranów monitorów.

Użytkownik ma obowiązek natychmiast zgłosić zagubienie, utratę lub zniszczenie powie-

rzonego mu sprzętu IT.

Samowolne otwieranie (demontaż) sprzętu IT, instalowanie dodatkowych urządzeń (np.

twardych dysków, pamięci) lub podłączanie jakichkolwiek niezatwierdzonych urządzeń do
systemu informatycznego są zabronione.

Za bezpieczne użytkowanie urządzeń przenośnych typu laptop lub pendrive, szczegól-

nie w trakcie transportu, jeśli Użytkownik otrzymał zgodę na ich wynoszenie poza obszar
przetwarzania danych, odpowiada Użytkownik.

Wszelkie narzędzia pracy przekazane przez pracodawcę, czyli zarówno komputer, jak
i dostęp do Internetu, są własnością pracodawcy i powinny być wykorzystywane zgodnie
z jego wymaganiami.

Wykorzystywanie prywatnego sprzętu komputerowego do wykonywania zadań służbo-

wych może odbywać się za zgodą pracodawcy. Warunki wykorzystywania prywatnych
urządzeń oraz zasady bezpieczeństwa danych określa umowa pomiędzy pracodawcą a pra-
cownikiem regulująca zasady korzystania ze sprzętu i aplikacji.

Więcej porad na www.rodomed24.pl 19

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: JAKIE SĄ REGUŁY

KORZYSTANIA Z OPROGRAMOWANIA
Zweryfikuj, czy personel Twojej organizacji korzysta z dostępnego im oprogramowania
w sposób bezpieczny. Dzięki poniższej liście kontrolnej sprawdzisz, czy faktycznie
niezbędne zasady funkcjonowania w organizacji są przestrzegane.

Użytkownik zobowiązuje się do korzystania wyłącznie z oprogramowania objętego pra-

wami autorskimi.

Użytkownik nie ma prawa kopiować oprogramowania zainstalowanego na sprzęcie IT

przez Pracodawcę na swoje własne potrzeby ani na potrzeby osób trzecich.

Instalowanie jakiegokolwiek oprogramowania na sprzęcie IT może być dokonane

wyłącznie przez osobę upoważnioną.

Użytkownicy nie mają prawa do instalowania ani używania oprogramowania innego niż
przekazane lub udostępnione im przez Pracodawcę. Zakaz dotyczy między innymi insta-
lacji oprogramowania z zakupionych płyt CD, programów ściąganych ze stron interneto-
wych, a także odpowiadania na samoczynnie pojawiające się reklamy internetowe.

Użytkownicy nie mają prawa do zmiany parametrów systemu, które mogą być zmie-
nione tylko przez osobę upoważnioną.

W przypadku naruszenia któregokolwiek z powyższych postanowień Pracodawca ma

prawo niezwłocznie i bez uprzedzenia usunąć nielegalne lub niewłaściwie zainstalowane
oprogramowanie.

20
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

EWIDENCJA CZYNNOŚCI W SYSTEMIE

INFORMATYCZNYM ORAZ EWIDENCJA NAPRAW
SYSTEMU INFORMATYCZNEGO
Większość działań w ramach organizacji powinno być ewidencjonowanych. Pozwala
to m.in. administratorowi na zachowanie zasady rozliczalności. Prowadzenie ewidencji
dotyczy również czynności prowadzonych w systemie informatycznym dla danego
podmiotu oraz napraw i konserwacji sprzętu. Do tego przydadzą się poniższe wzory.

WZÓR
EWIDENCJA CZYNNOŚCI W SYSTEMIE INFORMATYCZNYM DLA PODMIOTU
………………………………
Opis wydarzenia Podpis
Lp. Data Uwagi
w systemie adminstratora

EWIDENCJA NAPRAW, PRZEGLĄDÓW I KONSERWACJI SYSTEMU INFORMATYCZNEGO

DLA ………………………………
Osoba/podmiot
Zakres wykonywa-
Lp. Data dokonujący naprawy/ Uwagi
nych czynności
przeglądu/konserwacji

Więcej porad na www.rodomed24.pl 21

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
JAK UCHRONIĆ PLACÓWKĘ MEDYCZNĄ
PRZED CYBERATAKIEM – WSKAZÓWKI
DLA ADMINISTRATORÓW
Cyberatak w Instytucie Centrum Zdrowia Matki Polki (dalej: ICZMP), który doprowadził
do przełożenia planowanych badań i prowadzenia dokumentacji medycznej w postaci
papierowej, skierował naszą uwagę na kwestie zabezpieczenia danych wrażliwych
w systemach elektronicznej dokumentacji medycznej. Sprawdź, jak uchronić placówkę
przed cyberatakiem.
PROBLEM
Hakerzy zaatakowali systemy informatyczne
Centrum Zdrowia Matki Polki w Łodzi.
W związku z tym incydentem pamiętajmy
o tym, co może nas ustrzec przed wyciekiem
danych w placówce medycznej, Upewnijmy
Piotr Glen
się, że logujemy się na oryginalnej, bezpiecz-
inspektor ochrony
nej stronie, korespondujemy z prawdziwą,
danych, audytor
systemów zarządzania uprawnioną osobą bądź instytucją, otwie-
bezpieczeństwem ramy sprawdzone załączniki i linki. Na co
informacji jeszcze należy zwrócić uwagę?
ROZWIĄZANIE
Incydent spowodował, że czasowo wyłączono
systemy informatyczne, aby zminimalizować
skalę ataku. W przywróceniu stanu do normy
zaangażowano zespół IT ICZMP, Ministerstwo
Zdrowia, Centrum e-Zdrowia i NASK. W cza-
sie cyberataku najbardziej ucierpiały badania
w pracowni radiologicznej: tomografie kompu-
terowe i rezonansy magnetyczne. Te nowoczesne
urządzenia są całkowicie skomputeryzowane
i bez podłączenia do sieci nie działają. Należy
przypomnieć, że do wycieku czy kradzieży danych
nie musi dochodzić przy użyciu wyrafinowanych,
skomplikowanych, długo przygotowywanych
cyberataków, choć takowe często się zdarzają.
Najsłabszym ogniwem w najbardziej
zaawansowanych systemach bezpieczeństwa jest
człowiek. Na co z punktu widzenia przeciętnego
użytkownika komputera zwrócić szczególną
uwagę, aby nie paść ofiarą cyberprzestępców?
Jak wymagania dotyczące bezpieczeństwa
teleinformatycznego stosować w praktyce?
Jak uniknąć złośliwego
oprogramowania
Aby nie dopuścić do instalacji złośliwego
oprogramowania na naszym komputerze, nie
22
otwierajmy niesprawdzonych załączników czy
linków z niezamówionej czy podejrzanej kore-
spondencji e-mailowej, np. o niezapłaconej
fakturze, nieodebranej paczce, zawierającej
komunikat o zablokowaniu dostępu do ban-
kowości internetowej, a nawet zawiadomienie
o wszczęciu kontroli skarbowej. Może to spowo-
dować zainfekowanie komputerów złośliwym
oprogramowaniem szpiegującym. Umożliwi
ono hakerom przejęcie władzy nad naszym
komputerem, zablokuje lub zaszyfruje pliki.
Przy instalowaniu dodatkowych aplikacji często
ryzykujemy niejawną instalację takich progra-
mów (ang. spyware). Gdy nasz komputer np.
zaczyna działać zbyt wolno, cały czas poja-
wiają się wyskakujące reklamy, zmienione są
ustawienia, przeglądarka zawiera dodatkowe
składniki, których nie instalowaliśmy, może
padliśmy ofiarą ataku.
JAK UCHRONIĆ SIĘ PRZED CYBERATAKIEM
1. Nie otwierajmy niesprawdzonych załączni-
ków, linków z niezamówionej, czy podej-
rzanej korespondencji e-mailowej.
2. Dobrze przyjrzyjmy się adresowi nadawcy
e-maila.
3. Jeśli korzystamy z szyfrowanych stron,
pamiętajmy, że adres powinien się zaczy-
nać od https://.
4. Używajmy haseł lub innych środków kryp-
tograficznej ochrony do danych chronio-
nych, przekazywanych e-mailem.
Jak rozpoznać fałszywego
nadawcę
Często nasze dyski są szyfrowane. Jeśli nie
robimy regularnie kopii bezpieczeństwa, to
odzyskanie dostępu do danych może się wiązać
z zapłaceniem dużego haraczu. Dlatego dobrze
przyglądajmy się adresowi nadawcy. Cza-
sem dostrzeżemy w nim niewielkie różnice
w nazwie, inną literę czy domenę, a czasami

zupełnie przypadkowe adresy e-mailowe
nadawcy. Przestępca może się też podszywać
pod inną osobę lub instytucję, żeby wyłudzić
określone informacje (np. dane logowania,
szczegóły karty kredytowej) bądź nakłonić
ofiarę do określonych działań.
Spotykamy również strony internetowe łudząco
podobne do niektórych firm, instytucji,
programów. Najczęściej ofiarami padają klienci
banków czy użytkownicy portali społeczno-
ściowych. Można spotkać się z fałszywymi
stronami np. programu Rodzina 500+ czy
rabatowymi kuponami o wartości 100 zł do
KFC i McDonald’s. Nie należy im wierzyć .
Pojawiały się też już fałszywe domeny jak np.
www.abwgov.pl, www.cbagov.pl czy nawet
www.gusgov.pl. Bez kropki przed gov. Ktoś,
kto na to nie zwrócił uwagi, wysyłał często
poufne informacje, bynajmniej nie do ABW czy
CBA. Nie logujmy się więc nigdzie z poziomu
wyszukiwarki. Uważajmy na to, co ściągamy
z Internetu, jakie strony odwiedzamy i jakie
aplikacje uruchamiamy.
WAŻNE
Nie ignorujmy komunikatów i ostrzeżeń typu „witryna
zgłoszona jako dokonująca ataków” z czerwoną ikonką
policjanta. Zgłaszajmy takie problemy informatykom.
Pamiętajmy, że oryginalna, szyfrowana strona
powinna zaczynać się od https:// (nie od http://
jak zwykle). Powinien znajdować się na niej
symbol zamkniętej kłódki widoczny na pasku
adresu wykorzystywanej przeglądarki. Po klik-
nięciu kłódki zapoznajmy się z informacjami
na temat certyfikatu bezpieczeństwa danej
witryny. Przed zalogowaniem się sprawdźmy, czy
w adresie strony nie ma literówki, cyfry udają-
cej literę itp. Cyberprzestępcy celowo rejestrują
domeny z literówkami w nazwach oraz bez
kropki między www a właściwą częścią adresu
(np. wwwgazeta.pl). Liczą na to, że użytkow-
nik oryginalnej witryny nie zauważy różnicy.
Jak uniknąć wycieku
informacji
Czasami nie trzeba programu szpiegującego,
aby ujawnić cenne czy chronione informacje.
Jeśli jesteśmy nieostrożni lub zbyt łatwowierni,
wystarczy, że otrzymamy e-maila o urzędo-
wej treści lub telefon od funkcjonariusza czy
inspektora.
Więcej porad na www.rodomed24.pl
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH
Następnie w zdenerwowaniu lub kierując się
chęcią pomocy, przekażemy informacje, któ-
rych nie powinniśmy przekazać, osobie nie-
uprawnionej. Miejmy zawsze na uwadze, że
nigdy do końca nie jest wiadomo, kto jest po
drugiej stronie telefonu czy skrzynki e-mailowej.
Do akcji dezinformacyjnych, SPAM-u czy nie-
uczciwych ofert handlowych służą m.in. przepisy
dotyczące ochrony danych i ich niedostateczna
znajomość. Nie dajmy się więc zastraszyć. Jeden
z najlepszych hakerów powtarzał: „nie trzeba łamać
haseł, wystarczy złamać (podejść) człowieka”.
Dlaczego warto szyfrować
pocztę elektroniczną
i załączniki
Używajmy odpowiednio silnych, trudnych
do złamania, ale łatwych do zapamiętania
haseł. Nie przyklejajmy karteczek z hasłami
do monitora czy obudowy komputera. Nie
ujawniajmy ich też w inny sposób, nie poży-
czajmy. Stosujmy także hasła lub inne środki
kryptograficznej ochrony do danych chronio-
nych, które przekazujemy drogą teletransmi-
sji. Zabezpieczmy załącznik e-maila hasłem,
które wyślemy inną drogą, np. SMS-em. Gdy
przesyłamy dane podlegające ochronie, kore-
spondencja e-mailowa nie jest bezpiecznym
kanałem komunikacji. Przy wysyłaniu wia-
domości drogą elektroniczną, zwłaszcza gdy
chce się jedną wiadomość przesłać do wielu
osób, często zdarza się karygodny błąd i adresy
wszystkich odbiorców wkleja się do paska
adresowego lub „do wiadomości”.
W cyfrowym świecie każdy adres e-mail to dane
osobowe i przy takiej wysyłce będą ujawnione.
Jeśli wiadomość dotyczy kwestii wrażliwych,
związanych chociażby ze stanem zdrowia,
ujawnimy też dane wrażliwe. Skutki i konse-
kwencje takiego błędu mogą być kosztowne,
zwłaszcza w perspektywie obowiązywania
ogólnego rozporządzenia Unii Europejskiej
o ochronie danych osobowych. Musimy więc
być świadomi zagrożeń, umieć bezpiecznie
korzystać z Internetu.
„ UWAGA
Zadbajmy o to, aby w naszej placówce wdrożyć zestaw
prostych i ważnych zasad korzystania z infrastruk-
tury teleinformatycznej i stosować je w praktyce.
Jeżeli padniemy ofiarą przestępstwa interne-
towego, napotkamy w sieci nielegalne bądź
obraźliwe treści, możemy zgłosić incydent do
jednego z funkcjonujących w Polsce Zespołów
23
CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

Reagowania na Incydenty Komputerowe (CERT 2) https://www.cert.orange.pl/ – dla użytkow-

– Computer Emergency Responce Team): ników sieci Orange Polska,
1) https://www.cert.pl/ – dla wszystkich użyt- 3) http://www.cert.gov.pl/ – dla użytkowni-
kowników polskiego Internetu, ków sieci administracji publicznej.

Lista kontrolna: Bezpieczeństwo danych przechowywanych w aplikacjach klasy EDM

Lp. Obszar kontrolny Tak/Nie
I. Ograniczenia w serwerowni
1. Czy przebywanie osób w pomieszczeniach o znaczeniu krytycznym ma ograniczenia:
a) podlega autoryzacji
b) jest dozwolone wyłącznie dla osób upoważnionych lub mających zezwolenia
wydane przez kierownika jednostki
c) jest możliwe wyłącznie w celu wykonywania obowiązków służbowych
d) nie wolno podłączać urządzeń mogących spowodować zakłócenia zasilania, lub
mogących mieć negatywny wpływ na dyski magnetyczne oraz sprzęt
e) obowiązuje zakaz posiłków, napojów, palenia papierosów oraz pozostawiania
odpadów
II. Bezpieczeństwo fizyczne gabinetu
1. Obszary o podwyższonym poziomie bezpieczeństwa typu: gabinet lekarski, laboratorium,
powinny spełniać następujące wymagania:
a) izolację fizyczną w postaci bezpiecznych drzwi
b) kontrole dostępu w postaci przynajmniej jednego z zabezpieczeń: karta dostępowa
z czytnikiem elektronicznym, przepustka
c) instalację przeciwpożarową
d) monitoring wizyjny drzwi wejściowych
e) zastosowanie monitoringu zdarzeń, systemu wykrywania włamań
f) stosowanie zabezpieczeń, np. krat w oknach
III. Źródła zasilania i UPS
1. Czy w celu zachowania ciągłości działania infrastruktury informatycznej zapewniłeś
w placówce więcej niż jedno źródło zasilania (np. dodatkowe niezależne przyłącze
energetyczne lub przez zakup generatora prądotwórczego)?
2. Czy zapewniłeś zasilanie gwarantowane (urządzenie UPS, agregaty prądotwórcze)?
3. Czy regularnie testujesz sprawność działania UPS-ów i generatorów
prądotwórczych?
IV. Niszczenie nośników danych
1. Czy likwidację sprzętu wykonujesz w obecności osób wyznaczonych przez
kierownika organizacji?
2. Czy przed przekazaniem sprzętu do niszczenia trwale usuwasz z niego dane (samo
wykasowanie danych z dysku przed oddaniem go do utylizacji nie powoduje
trwałego usunięcia)?
3. Czy niszczenie nośników danych zawierających dane medyczne odbywa się przez
ich fizyczne zniszczenie, np. przez fizyczne niszczenie talerzy dysku, połamanie,
zmielenie lub pocięcie nośników danych?
4. Czy niszczysz nośniki danych przez zastosowanie metody termicznej albo
chemicznej, powodującej zamianę dysków w ciecz, bez możliwości przywrócenia
struktur nośnika?
5. Czy po zakończonej procedurze brakowania sprzętu sporządzasz protokół
zniszczenia?

24
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: CZY PRZESTRZEGASZ

NAJWAŻNIEJSZYCH ZASAD OCHRONY DANYCH
PACJENTA
Gromadząc dane o pacjencie, w tym również dane o jego stanie zdrowia, należy pamiętać
o przestrzeganiu kilku podstawowych zasad przetwarzania danych osobowych zgodnych
z RODO. Dotyczą one przede wszystkim bezpieczeństwa. Poniższa lista kontrolna pomoże
zweryfikować poprawność praktyk w placówce.
Czy przestrzegasz najważniejszych zasad ochrony danych pacjenta – lista kontrolna

1. Czy do wykonywania jakichkolwiek operacji na danych osobowych dopuszczasz jedynie

osoby upoważnione?
2. Czy pamiętasz, że przyznany zbyt szeroki zakres uprawnień, zwłaszcza umożliwiający
dostęp do historii choroby pacjenta, narusza prawo pacjenta do zachowania w tajemnicy
wszelkich informacji z nim związanych?
3. Czy przypominasz lekarzom, że nie mogą udostępnić swojego konta użytkownika w syste-
mie informatycznym służącym do przetwarzania dokumentacji medycznej czy „pożyczyć”
swojego loginu i hasła innej osobie, aby ta za niego wprowadzała wpisy?
4. Czy uczulasz pracowników rejestracji, aby chronili nie tylko dane osobowe pacjentów, ale
również ich prawo do poszanowania intymności i godności?
5. Czy przypominasz, aby pracownicy rejestracji nie powtarzali tak głośno danych uzyska-
nych od pacjenta, że osoby postronne mogą je usłyszeć?
6. Czy monitory komputerów są ustawione w sposób uniemożliwiający wgląd osobom
postronnym w wyświetlane dane?
7. Czy przypominasz rejestratorkom, że nie mogą udostępnić dokumentacji osobie, która
nie jest upoważniona przez pacjenta i nie może też być przymuszona na przykład przez
lekarza słowami typu: „na moją odpowiedzialność proszę wydać tej pani dokumenty jej
męża”?
8. Czy przestrzegasz zasady, że dokumentację prowadzoną w postaci elektronicznej udostęp-
nia się z zachowaniem jej integralności oraz ochrony danych osobowych?
9. Czy w sytuacji, gdy dokumentację medyczną udostępniasz za pośrednictwem środków
komunikacji elektronicznej, szyfrujesz plik i zabezpieczasz hasłem załączniki?
10. Czy wysyłając e-maila do większej liczby pacjentów, na przykład z zaproszeniem na nie-
odpłatne badania profilaktyczne czy z życzeniami świątecznymi, nie zamieszczasz adresów
takich osób w pasku adresowym czy w okienku „do wiadomości”?
11. Czy pracownik rejestracji umie wskazać konkretną podstawę prawną nakładającą na
osobę korzystającą ze świadczeń zdrowotnych obowiązek podania określonych danych?
12. Czy w przypadku dłuższej nieobecności przy stanowisku pracy lub po jej zakończeniu
pracownicy umieszczają wszelkie dokumenty i nośniki zawierające dane osobowe w bez-
piecznym miejscu, np. w zamykanej szafce?
13. Czy w sytuacji, gdy opuszczasz stanowisko pracy, wylogowujesz się albo blokujesz dostęp
do pulpitu?
14. Czy pamiętasz, że nie można przechowywać haseł do systemów czy aplikacji w dostęp-
nych miejscach, np. na karteczkach przyklejonych do obudowy komputera?
15. Czy dokumentację medyczną przewidzianą do zniszczenia usuwasz lub poddajesz mody-
fikacji, aby nie można było ustalić tożsamości osób, których dane dotyczą?
16. Czy nie wyrzucasz na śmietnik dokumentacji zawierającej dane pacjentów?

Więcej porad na www.rodomed24.pl 25

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: CZY NIE DOPUSZCZASZ SIĘ

NAJCZĘSTSZYCH UCHYBIEŃ W PROWADZENIU
DOKUMENTACJI MEDYCZNEJ
Podczas prowadzenia dokumentacji o stanie zdrowia pacjenta bardzo łatwo o pomyłkę,
a ta z kolei może mieć tragiczne skutki. Dlatego warto przestrzegać najważniejszych reguł,
aby uniknąć nieprawidłowości. Sprawdź poniższą listę kontrolną i uniknij błędów.
Lista kontrolna: Czy nie dopuszczasz się najczęstszych uchybień w prowadzeniu
dokumentacji medycznej

1. Nieprawidłowe prowadzenie dokumentacji medycznej to najczęściej:

a. brak wpisów o udzielonych świadczeniach

b. brak adnotacji o wystawionych receptach

c. brak autoryzacji poprawek

d. brak daty porady

e. brak numeracji stron

f. brak chronologii wpisów

g. nieprawidłowe oznaczenie pacjenta, personelu i podmiotu

h. brak czytelności

2. Nieprawidłowe wystawianie recept między innymi w zakresie:

a. poziomu odpłatności

b. wskazań refundacyjnych

c. nieprawidłowych uprawnień dodatkowych pacjenta

3. Niezgodności między wystawionymi dokumentami a dokumentacją medyczną

pacjenta

26
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

LISTA KONTROLNA: JAKIE ZABEZPIECZENIA

DANYCH ZASTOSOWAĆ ZGODNIE Z RODO
Jako administrator danych osobowych placówki leczniczej powinieneś pamiętać
o obowiązkach związanych z zabezpieczeniem danych przetwarzanych w tej placówce.
Zweryfikuj za pomocą poniższej listy kontrolnej, czy metody stosowane w Twojej placówce
są poprawne.
Lista kontrolna: Jakie zabezpieczenia danych zastosować zgodnie z RODO

Lp. Obszar kontrolny Tak/Nie

1. W każdym procesie przetwarzania danych osobowych uwzględnij ryzyko dla

praw i wolności osób fizycznych, jakie może nieść to przetwarzanie, wynikające
np. z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji
danych lub nieuprawnionego ujawnienia danych albo dostępu do nich.

2. Pamiętaj, że w sytuacji, gdy dojdzie do naruszenia ochrony danych osobowych,

które będzie powodowało ryzyko dla praw i wolności osób fizycznych, musisz
zawiadomić o nim organ nadzorczy.

3. W określonych sytuacjach o naruszeniu ochrony danych osobowych powiadom

osobę, której dane dotyczą.

4. Każdorazowo dostosowuj wykorzystywane narzędzia zabezpieczające dane oso-

bowe do ryzyka naruszenia praw i wolności osób fizycznych.

5. Decydując, jakie środki bezpieczeństwa wdrożyć, weź pod uwagę (zgodnie

z zasadą rozliczalności):
• aktualny stan wiedzy technicznej,
• koszt wdrażania,
• charakter, zakres i cele przetwarzania danych.
6. Zadbaj o to, by środki bezpieczeństwa – techniczne i organizacyjne – chroniły
dane osobowe przed:
• niedozwolonym lub niezgodnym z prawem przetwarzaniem,
• przypadkową utratą, zniszczeniem lub uszkodzeniem danych,
• nieuprawnionym udostępnieniem.
7. Ogólne rozporządzenie o ochronie danych (RODO) nie zawiera szczegółowych
wskazówek, jakie środki techniczne i organizacyjne należy wdrożyć, wskazując
jedynie na przykładowe rozwiązania. Zgodnie ze wskazówkami RODO zastosuj:
• pseudonimizację,
• szyfrowanie danych.
8. Zastosuj branżowy kodeks postępowania zatwierdzony przez organ nadzorczy.
Dokumenty te doprecyzowują przepisy ogólnego rozporządzenia o ochronie
danych, także te dotyczące bezpieczeństwa danych osobowych.

9. Uzyskaj certyfikat, który potwierdzi, że właściwie zabezpieczasz dane osobowe.

Dzięki niemu wykażesz, że wywiązujesz się z obowiązku zabezpieczania danych
osobowych.
Certyfikatów ma udzielać organ nadzorczy (Prezes Urzędu Ochrony Danych
Osobowych) i podmioty akredytowane przez Polskie Centrum Akredytacji.

10. Tworząc środki bezpieczeństwa danych osobowych i zarządzając nimi, skorzystaj

z krajowych, europejskich lub międzynarodowych norm, w tym normy ISO.

Więcej porad na www.rodomed24.pl 27

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

PROCEDURA NADAWANIA UPRAWNIEŃ

W SYSTEMIE INFORMATYCZNYM
W placówkach leczniczych przetwarzane są dane osobowe pacjentów w różnego rodzaju
systemach IT nie tylko przez administratora, ale również przez inne osoby na polecenie
ADO i według ustalonych przez niego reguł. W tym celu konieczne jest posiadanie
odpowiednich uprawnień. Warto zatem zadbać o przygotowanie stosownej procedury.

Artykuł 32 ust. 4 RODO Treść procedury

Ogólne rozporządzenie o ochronie danych
(dalej: RODO) stanowi, że administrator danych
osobowych (dalej: ADO) oraz podmiot prze-
twarzający dane muszą podjąć odpowied-
MACIEJ LIPKA nie działania zapewniające, aby każda osoba
specjalista w zakresie fizyczna działająca z upoważnienia ADO lub
ochrony danych podmiotu przetwarzającego, która ma dostęp
osobowych do danych osobowych, przetwarzała je wyłącz-
nie na polecenie administratora danych oso-
bowych, chyba że wymaga tego od niej prawo
unijne lub krajowe.
Poniższa procedura to przykładowy zbiór zasad
dotyczących nadawania uprawnień do przetwa-
rzania danych osobowych w systemach informa-
tycznych. Może ona stanowić odrębną całość lub
wejść w skład większej procedury bezpieczeństwa.
Każdy ADO powinien taką przykładową proce-
durę dostosować zarówno do swoich potrzeb, jak
i do bieżącego postępu technologicznego. Nie-
mniej jednak systematyka poniższego wzoru ma
pomóc stworzyć przejrzystą procedurę realizującą
wymaganą przez RODO zasadę rozliczalności.

WZÓR
Procedura nadawania uprawnień w systemie informatycznym w (X Sp. z o.o.) z dnia (...)

§ 1. Zakres procedury
Niniejsza procedura opisuje proces nadawania, modyfikacji i odbierania uprawnień do pracy w systemach
informatycznych używanych w X Sp. z o.o.

§ 2. Definicje
Ilekroć w niniejszej procedurze jest mowa o:
1) ADO – należy przez to rozumieć administratora danych osobowych, tj. (X Sp. z o.o działającą poprzez jej
najwyższe kierownictwo);
2) danych osobowych – należy przez to rozumieć informacje o zidentyfikowanej lub możliwej do zidenty-
fikowania osobie fizycznej; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpo-
średnio lub pośrednio zidentyfikować, zwłaszcza na podstawie identyfikatora, takiego jak imię i nazwisko,
numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych
czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub
społeczną tożsamość osoby fizycznej;
3) IOD – należy przez to rozumieć inspektora ochrony danych zatrudnionego w (X Sp. z o.o.);
4) najwyższym kierownictwie – należy przez to rozumieć (np. wszystkich członków zarządu X sp. z o.o.);
5) systemie informatycznym – należy przez to rozumieć zarówno własne, jak i zewnętrzne systemy infor-
matyczne używane w organizacji ADO, a wymienione w załączniku nr 5 do procedury;
6) Upoważniającym – należy przez to rozumieć osobę wskazaną w załączniku nr 1, która ma prawo, z woli
ADO, nadawać, modyfikować i odbierać upoważnienia do pracy w danym systemie informatycznym;
7) Użytkowniku – należy przez to rozumieć osobę, w tym pracownika ADO, jak też inne osoby współpracu-
jące z ADO na innej niż umowa o pracę podstawie prawnej, w stosunku do których ADO i Upoważniający
poodejmują decyzje w zakresie ich dostępu do systemów informatycznych.

§ 3. Adresaci procedury
Z niniejszą procedurą ma obowiązek się zapoznać cały personel (X Sp. z o.o.), tj. wszyscy pracownicy, jak
też osoby współpracujące z (X Sp. z o.o.) na innej podstawie prawnej, które wykonują zadania wymagające
dostępu do systemów informatycznych.

§ 4. Upoważnienie do pracy w systemach informatycznych

1. Prace na jakimkolwiek systemie informatycznym można podjąć wyłącznie na pisemne upoważnienie do
wykonywania takich prac.
2. Najwyższe kierownictwo upoważnia pisemnie Upoważniających wskazanych w załączniku nr 1 do wyda-
wania Użytkownikom upoważnień do pracy w konkretnym systemie informatycznym oraz do modyfikacji
i odbierania tych upoważnień.
3. Najwyższe kierownictwo ma prawo modyfikować i cofać upoważnienia, o których mowa w ust. 2, oraz
– w związku ze zmianami w ich zakresie – także zmieniać treść niniejszej procedury.
4. Upoważniający każdorazowo zapewnia, aby zakres uprawnień nadawanych Użytkownikom odpowiadał
zakresowi ich obowiązków i aby nie otrzymywali oni uprawnień nieadekwatnych do takich obowiązków.

28
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

§ 5. Zapewnienie Użytkownikom dostępu do systemów informatycznych

1. Na polecenie Upoważniającego upoważnienie do pracy w konkretnym systemie informatycznym może
nadawać, modyfikować i odbierać (np. kierownik działu informatyki).
2. Upoważniający może również zmodyfikować lub odebrać uprawnienia do pracy w konkretnym systemie
informatycznym poprzez (np. skierowanie do upoważnionego oraz kierownika działu informatyki wiado-
mości e-mail, z której treści jasno wynika wola Upoważniającego).
3. Najwyższe kierownictwo może nakazać nadanie, modyfikację lub odebranie uprawnień Użytkowników
do pracy w konkretnym systemie informatycznym.

§ 6. Działania przed wydaniem upoważnienia

1. Przed wydaniem upoważnienia do pracy w systemach informatycznych należy przeszkolić przyszłego
Użytkownika z korzystania z danego systemu informatycznego oraz z ochrony danych osobowych.
2. Przed wydaniem upoważnienia użytkownik podpisuje oświadczenie, w którym oświadcza, że:
a) został przeszkolony w zakresie, o którym mowa w ust. 1;
b) zobowiązuje się do zachowania w tajemnicy wszelkich informacji, w jakich posiadanie wszedł w związku
z uzyskaniem upoważnienia do korzystania z danego systemu informatycznego, oraz
c) zobowiązuje się zachować te informacje w tajemnicy również po zakończeniu współpracy z (X Sp. z o.o.).
3. Wzór oświadczenia, o którym mowa w ust. 1, stanowi Załącznik nr 2 do niniejszej procedury.

§ 7. Forma upoważnienia
1. Upoważnienie do pracy w systemie informatycznym nadaje się Użytkownikom w (np. pisemnej formie
elektronicznej).
2. Wzór upoważnienia do pracy w systemie informatycznym stanowi Załącznik nr 3 do niniejszej procedury.

§ 8. Przechowywanie upoważnień
Każde nadane upoważnienie należy przechowywać w [np. biurze informatyki, w szafach zamykanych na
klucz/w folderze Y zabezpieczonym hasłem, do którego dostęp mają wyłącznie (...)].

§ 9. Uzyskanie, modyfikacja i utrata dostępu do systemów informatycznych

1. Każdy Upoważniający powinien niezwłocznie poinformować o zamiarze nadania, modyfikacji lub ode-
brania upoważnienia Użytkownikowi do pracy w konkretnym systemie informatycznym (np. kierownika
działu informatyki).
2. W przypadku zaistnienia jakiejkolwiek podstawy do nadania, modyfikacji lub odebrania uprawnień (np.
kierownik działu informatyki), niezwłocznie po powzięciu informacji o ich nadaniu, modyfikacji lub odebra-
niu, nadaje, modyfikuje lub odbiera te uprawnienia we właściwym systemie informatycznym. Wspomniane
czynności obejmują również zablokowanie możliwości zalogowania się w systemie użytkownika, który
utracił do niego dostęp.

§ 10. Ewidencja uprawnień

1. (np. kierownik działu informatyki) prowadzi w formie elektronicznej i na bieżąco ewidencję uprawnień
według wzoru wskazanego w załączniku nr 4.
2. Ewidencję uprawnień (np. kierownik działu informatyki) udostępnia na każde żądanie (np. Upoważniają-
cego, IOD, najwyższego kierownictwa), z tym że na żądanie Upoważniającego (np. kierownik działu infor-
matyki) udostępnia mu tylko te fragmenty ewidencji uprawnień, które dotyczą systemu informatycznego,
w ramach którego ten Upoważniający może nadawać, modyfikować lub cofać uprawnienia.
3. Każdą zmianę w zakresie uprawnień (np. kierownik działu informatyki) powinien niezwłocznie odnoto-
wać w ewidencji uprawnień.

§ 11. Historia działań w systemach informatycznych

(np. kierownik działu informatyki) zapewnia możliwość przeglądania historii operacji przeprowadzanych
przez Użytkowników w systemach informatycznych.

§ 12. Szczegółowe procedury informatyczne

1. (np. kierownik działu informatyki) opracowuje w formie pisemnej szczegółowe zasady zapewniające
realizację niniejszej procedury, w tym sposoby zapewnienia i skutecznej blokady dostępu użytkowników
lub byłych użytkowników do systemów informatycznych.
2. Zasady, o których mowa w ust. 1, podlegają stałemu udoskonalaniu, z uwzględnieniem postępu tech-
nologicznego.

§ 13. Dane do logowania

1. Każdy Użytkownik uzyskujący uprawnienia do pracy w konkretnym systemie otrzymuje do niego unikalny
i niepowtarzalny identyfikator oraz unikalne hasło, nadawane przez (np. kierownika działu informatyki).
2. Hasło, o którym mowa w ust. 1, użytkownik musi zmienić przy pierwszym logowaniu do systemu informatycznego.

§ 14. Polityka zarządzania hasłami

1. W związku z nadawanymi uprawnieniami obowiązuje polityka zarządzania hasłami do kont utworzonych
w związku z nadaniem konkretnych uprawnień.
2. Hasła powinny składać się (np. z co najmniej 9 znaków, zawierać małe i duże litery oraz znaki specjalne).
3. (np. kierownik działu informatyki) pełni nadzór nad polityką zarządzania hasłami i zapewnia jej realizację
poprzez wprowadzenie rozwiązań informatycznych wymuszających cykliczną zmianę haseł na hasła wcze-
śniej nieużywane.

§ 15. Obowiązki Użytkowników

Upoważnieni Użytkownicy:
a) powinni zachować w tajemnicy unikalne identyfikatory i hasła nadane w ramach przyznanych uprawnień;
b) powinni niezwłocznie zgłaszać (np. kierownikowi działu informatyki) wszelkie zaobserwowane nieprawi-
dłowości związane z użytkowanymi systemami informatycznymi, w tym awarie i zaobserwowane próby
ingerencji w system osób nieuprawnionych.

Więcej porad na www.rodomed24.pl 29

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

§ 16. Kontrola
1. (np. najwyższe kierownictwo oraz IOD) mogą w każdej chwili żądać dostępu do ewidencji uprawnień
oraz do systemów informatycznych w celu sprawdzenia, komu uprawnienia nadano oraz czy zarządzanie
uprawnieniami następuje zgodnie z zasadami opisanymi w niniejszej procedurze.
2. W przypadku opisanym w ust. 1 polecenia związane z kontrolą wydaje się (np. kierownikowi działu infor-
matyki).

Załącznik nr 1:
Osoby uprawnione do wydawania upoważnień (Upoważniający)

Stanowisko Zakres uprawnień do wydawania upoważnień

np. Kierownik działu informatyki Nadaje uprawnienia w systemie Windows
np. Kierownik działu sprzedaży Nadaje uprawnienia do pracy w systemie e-klient
(…) (...)

Załącznik nr 2:
Oświadczenie użytkownika składane przed przystąpieniem do pracy w danym systemie
informatycznym

Miejscowość i data, (...)

Imię i nazwisko użytkownika (...)
Stanowisko (…)

Oświadczam, że w związku z planowanym nadaniem mi upoważnienia do pracy w systemie informatycz-

nym (…):

• zapoznałem się z zasadami ochrony danych osobowych obowiązującymi w X Sp. z o.o. zawartymi w mate-
riałach (np. Polityka bezpieczeństwa);
• zobowiązuję się zachować w tajemnicy wszelkie informacje uzyskane w związku z korzystaniem z systemu
informatycznego (…), również po ustaniu współpracy z X Sp. z o.o.

Podpis użytkownika

Załącznik nr 3:
Wzór upoważnienia

Upoważnienie do przetwarzania danych osobowych w systemach informatycznych, których używa

(X sp. z o.o.)
Numer upoważnienia

Z upoważnienia (X sp. z o.o.) nadaję Użytkownikowi poniższe upoważnienie:

Imię i nazwisko
upoważnionego Użytkownika
np. Albin Bielecki
Stanowisko zajmowane przez Identyfikator
upoważnionego w chwili otrzymany w systemie
nadania uprawnień teleinformatycznym
np. starszy specjalista ds. sprze- np. albin_bielecki
daży

w następującym zakresie:
System Data nadania Zakres czynności Data obowiązywania Uwagi
informatyczny, upoważnienia w ramach upoważnienia
do którego systemu,
przyznawany jest których dotyczy
dostęp upoważnienie
np. System e-klient 16.09.2022 r. Wprowadzanie, Do czasu rozwiązania n/d
edycja, podgląd umowy o pracę
i usuwanie danych
(...)

Osoba wydająca upoważnienie:

Imię i nazwisko Stanowisko Data i czytelny podpis
Upoważniającego
(np. kierownik działu sprzedaży)

Informacja o faktycznym wydaniu upoważnienia:

Imię i nazwisko Stanowisko Data i czytelny podpis
(np. kierownik działu informatyki)

30
 CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

Załącznik nr 4:

Ewidencja uprawnień

Arkusz 1: np. System e-klient

Czy użyt-
Dane
Informacje
kow-
identy-
Imię Obecny o mody-
nik ma
fikujące Data nada- Upo-
i nazwi- zakres fikacji
obecnie Historia
użytkow- nia upraw- ważnia-
sko Użyt- upraw- uprawnień
dostęp uprawnień
nika (np. nienia jący
kownika nienia lub ich cof-
do sys-
nazwa sta-
nięciu
temu?
nowiska)
TAK/NIE
Albin Starszy 16.03.2019 r. Np. kie- Brak Uprawnie- NIE 16.03.2019
Bielecki specjalista rownik upraw- nia cofnięto – nadano upraw-
ds. sprze- działu nień w pełnym nienie w zakresie
daży sprze- zakresie „Wprowadza-
daży 31.12.2020 r. nie i podgląd
danych” w syste-
mie e-klient
16.04.2019 r.
– rozszerzono
uprawnienia na
„Wprowadza-
nie, edycja, pod-
gląd i usuwanie
danych” w syste-
mie e-klient

31.12.2020 r.
– umowę
o pracę rozwią-
zano z dniem
31.12.2020 r.
31.12.2020 r.
– cofnięto
wszystkie upraw-
nienia w systemie
e-klient
(…) (…) (…)
(…) (…) (…)

Arkusz nr 2: np. system e-PUAP

(…)

Załącznik nr 5:
Systemy informatyczne używane w organizacji ADO

Dział wiodący
Do czego dany system
Nazwa systemu w użytkowaniu Upoważniający
służy
systemu
np. system Windows System operacyjny do tworze- Dział informatyki Np. kierownik działu informatyki Podstawa prawna:
nia podstawowej dokumentacji f rozporządzenie Parlamentu
elektronicznej oraz wymiany Europejskiego i Rady (UE)
informacji w (X Sp. z o.o.) 2016/679 z 27 kwietnia
np. e-klient System do podtrzymywania Dział sprzedaży Np. kierownik działu sprzedaży 2016 r. w sprawie ochrony
relacji z klientem osób fizycznych w związku
z przetwarzaniem danych
np. e-PUAP Krajowa platforma teleinforma- Dział prawny Np. kierownik działu prawnego osobowych i w sprawie
tyczna służąca do komunikacji swobodnego przepływu
obywateli z jednostkami admi- takich danych oraz uchy-
nistracji publicznej lenia dyrektywy 95/46/WE
(...) (...) (...) (ogólne rozporządzenie
o ochronie danych).

Więcej porad na www.rodomed24.pl 31

CYBERBEZPIECZEŃSTWO W PLACÓWKACH LECZNICZYCH

ZASADY KORZYSTANIA Z POCZTY

ELEKTRONICZNEJ
Personel placówki ochrony zdrowia musi pamiętać o najważniejszych zasadach
dotyczących ochrony danych osobowych i ich bezpieczeństwa. Odnosi się to m.
in. do urządzeń teleinformatycznych i korzystania z poczty elektronicznej.
Poznaj najważniejsze reguły.

WZÓR
Zasady korzystania z poczty elektronicznej
1. System Poczty Elektronicznej jest przeznaczony wyłącznie do wykonywania obowiązków służ-
bowych.
2. Przy korzystaniu z Systemu Poczty Elektronicznej Użytkownicy mają obowiązek przestrzegać
prawa własności przemysłowej i prawa autorskiego.
3. Użytkownicy mają prawo korzystać z Systemu Poczty Elektronicznej do celów prywatnych
wyłącznie okazjonalnie i powinno być to ograniczone do niezbędnego minimum.
4. Korzystanie z Systemu Poczty Elektronicznej do celów prywatnych nie może wpływać na jakość
i ilość świadczonej przez Użytkownika pracy oraz na prawidłowe i rzetelne wykonywanie przez
niego obowiązków służbowych, a także na wydajność Systemu Poczty Elektronicznej.
5. Użytkownik jest świadomy, że wszelkie wiadomości o charakterze prywatnym utworzone lub
odebrane za pośrednictwem Systemu Poczty Elektronicznej Pracodawcy przetwarzane są wyłącznie
na jego własną odpowiedzialność. Użytkownik jest świadomy możliwości prowadzenia kontroli
tych wiadomości przez Pracodawcę. Pracodawca nie będzie w tej sytuacji odpowiadać za przypad-
kowe naruszenie dóbr osobistych Użytkownika w postaci naruszenia tajemnicy korespondencji.
6. Użytkownicy nie mają prawa korzystać z Systemu Poczty Elektronicznej w celu przeglądania
lub rozpowszechniania treści o charakterze obraźliwym, niemoralnym lub niestosownym wobec
powszechnie obowiązujących zasad postępowania.
7. Użytkownik nie ma prawa wysyłać wiadomości zawierających informacje poufne w rozumie-
niu tajemnicy przedsiębiorstwa, jego pracowników, klientów, dostawców lub kontrahentów za
pośrednictwem Internetu, w tym przy użyciu prywatnej elektronicznej skrzynki pocztowej.
8. Zakazuje się uczestnictwa w tzw. łańcuszkach szczęścia.
9. Użytkownicy nie powinni otwierać przesyłek od nieznanych sobie osób, których tytuł nie suge-
ruje związku z wypełnianymi przez nich obowiązkami służbowymi.
10. Użytkownicy nie powinni uruchamiać wykonywalnych załączników dołączonych do wiado-
mości przesyłanych pocztą elektroniczną.
11. Użycie systemów teleinformatycznych i zasobów systemowych Pracodawcy dla własnych
celów komercyjnych jest zakazane.
12. Zakazane jest wygłaszanie prywatnych opinii jako oficjalnego stanowiska Pracodawcy.
13. W przypadku przesyłania plików danych osobowych do podmiotów zewnętrznych Użytkow-
nik zobowiązany jest do ich spakowania i opatrzenia silnym hasłem (duże i małe litery i cyfry lub
znaki specjalne). Hasło należy przesłać odrębnym e-mailem.
14. Cała korespondencja wpływająca na służbową skrzynkę jest korespondencją służbową.

32
 SERWIS ZOZ .PL
ZARZĄDZANIE W OCHRONIE ZDROWIA

NOWOŚĆ! APLIKACJA DLA MENEDŻERÓW OCHRONY ZDROWIA „TWÓJ ASYSTENT”

Zarządzaj placówką efektywnie i skutecznie

BEZPŁATNE KONTO TESTOWE
na SerwisZOZ.pl 24 h/7 dostęp do pełnych zasobów portalu!
Możesz z niego korzystać na swoim
laptopie, tablecie czy telefonie

nielimitowany dostęp
wideoporady do 6000 porad ekspertów
naszych ekspertów
aktualne informacje
o zmianach
w przepisach
i alert prawny

800 wzorów
dokumentów

3 pytania
do eksperta
na e-mail w każdym
miesiącu
co miesiąc
1BV0135

nowy top temat i e-booki

do pobrania bezpłatny udział w cyklicznych
webinariach
z czatem na żywo

Jesteś zainteresowany płatną subskrypcją? Zadzwoń do nas lub napisz e-mail.

Nasi konsultanci dopasują najlepszą dla Ciebie ofertę.
SerwisZOZ.pl dostępny jest 24 h/7 dni w tygodniu na laptopie, telefonie i tablecie.
Korzystaj wygodnie z wiedzy, gdziekolwiek jesteś!
Zamówienia przyjmuje Centrum Obsługi Klienta: 22 518 29 29, e-mail: cok@wip.pl.