Audyt cyberbezpieczeństwa dla gabinetu medycznego — prewencja

Konkretne ryzyka, konkretne działania i konkretny plan. Bez technicznego bełkotu.

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja: 22 maja 2026.

Spis treści

1. Gabinet medyczny na celowniku cyberprzestępców

Placówki medyczne przetwarzają wyjątkowo wrażliwe dane o stanie zdrowia. To atrakcyjny cel dla atakujących – zarówno ze względu na wartość danych, jak i podatność na przestoje (teleporady, rejestracja, EDM).

• Phishing i BEC – podszywanie się pod NFZ, dostawców systemów EDM, laboratoria („pilna aktualizacja e-recepty”, „wyniki pacjenta w załączniku”).
• Ransomware – szyfrowanie baz EDM, systemów do obsługi wizyt, serwerów plików i PACS; często z jednoczesną kradzieżą danych.
• Ataki na zdalny dostęp – RDP/VPN bez MFA, słabe hasła do recepcji lub gabinetu.
• Urządzenia medyczne/IoT – słabe aktualizacje, domyślne hasła, wspólna sieć z komputerami biurowymi.
• Łańcuch dostaw – błędy w wtyczkach, modułach EDM czy integracjach (P1, e-Recepta, e-Skierowanie).

2. Audyt cyberbezpieczeństwa – na czym to polega

Audyt cyberbezpieczeństwa w gabinecie medycznym to techniczno-organizacyjny przegląd systemów oraz praktyk pracy całego zespołu (rejestracja, gabinet, administracja).

• Systemy i aplikacje – wersje oprogramowania EDM, aktualizacje, EDR/antywirus, kopie konfiguracji, kontrola integralności.
• Sieć i dostęp – segmentacja (oddzielenie recepcji, gabinetów i urządzeń medycznych), Wi-Fi gościnne z izolacją, firewall, VPN z MFA, wyłączony RDP z internetu.
• Tożsamość – polityka haseł i menedżer haseł; MFA do poczty, chmur i usług publicznych (P1, gabinet.gov.pl, eWUŚ).
• Dane i backup – kopie 3-2-1 (w tym offline/immutable), szyfrowanie kopii, regularne testy odtworzeniowe EDM, wersjonowanie.
• Poczta i domena – SPF, DKIM, DMARC, filtrowanie phishingu, ochrona przed spoofingiem.
• Procedury – plan reagowania na incydenty (IRP), rejestry naruszeń RODO, onboarding/offboarding, zasady pracy zdalnej i nośników.
• Świadomość personelu – rozpoznawanie fałszywych załączników (wyniki, skierowania), bezpieczne korzystanie z EDM i e-recepty.

Efektem audytu jest raport z priorytetami: co poprawić od razu, co zaplanować w kolejnych tygodniach, a także lista kontrolna do utrzymania poziomu bezpieczeństwa.

3. Typowe luki w zabezpieczeniach placówek medycznych

Najczęściej spotykamy w gabinetach:

• Brak MFA do poczty, chmur i gabinet.gov.pl; współdzielone konta recepcji.
• RDP/VPN z internetu bez MFA, słabe hasła, brak geoblokady i list zaufanych adresów.
• Nieaktualny EDM/Windows/serwer baz, brak łat i kopii konfiguracji.
• Słaba ochrona poczty – brak SPF/DKIM/DMARC, łatwy spoofing (np. „NFZ”).
• Backup nieskuteczny – brak modelu 3-2-1, brak szyfrowania, brak testów odtwarzania EDM.
• Brak segmentacji – urządzenia medyczne i komputery biurowe w jednej sieci.
• Uprawnienia „wszyscy wszystko” – brak zasady „need-to-know”, brak przeglądu dostępów.
• Brak EDR/AV klasy biznes i blokady makr z internetu.
• Brak procedur i szkoleń – brak IRP, brak zasad przyjmowania załączników (wyniki, skierowania).

Dobra wiadomość: większość luk można szybko usunąć – audyt wskaże priorytety i plan działań.

4. Poufność danych, RODO i tajemnica lekarska

Dane o zdrowiu to szczególna kategoria danych osobowych. RODO wymaga adekwatnych środków technicznych i organizacyjnych oraz prowadzenia rejestru naruszeń. W razie naruszenia – zgłoszenie do UODO w ciągu 72 godzin i, gdy ryzyko jest wysokie, powiadomienia osób, których dane dotyczą. Niezależnie od przepisów prawnych obowiązuje tajemnica lekarska – ujawnienie informacji medycznych to nie tylko ryzyko kary, ale i utraty zaufania pacjentów.

Audyt pomaga upewnić się, że szyfrowanie, kontrola dostępu, rejestrowanie zdarzeń i dokumentacja są na właściwym poziomie, a personel zna procedury reagowania na incydenty.

5. Prewencja się opłaca – lepiej zapobiegać niż leczyć

Przestój rejestracji, odwołane wizyty, koszty odtworzenia EDM i utrata zaufania pacjentów – to realne skutki incydentu. Inwestycja w audyt, poprawne konfiguracje (MFA, kopie 3-2-1, segmentacja) oraz szkolenia znacząco ogranicza ryzyko i zapewnia ciągłość pracy gabinetu.

Podsumowanie: audyt to fundament profilaktyki. Daje klarowny obraz sytuacji i listę działań naprawczych, które realnie wzmacniają odporność Twojego gabinetu medycznego.

📅 1-dniowy przegląd cyberbezpieczeństwa gabinetu medycznego

Zabezpiecz dane pacjentów i uniknij kosztownych incydentów. Nasz 1-dniowy audyt IT dla gabinetów medycznych obejmuje:

• Przegląd infrastruktury IT (routery, sieć, Wi-Fi, serwery, komputery w gabinetach i rejestracji)
• Weryfikację zabezpieczeń systemu EDM (Elektronicznej Dokumentacji Medycznej) oraz baz danych pacjentów
• Konfigurację poczty (SPF/DKIM/DMARC), VPN/MFA i bezpiecznego zdalnego dostępu dla personelu
• Ocenę kopii zapasowych (model 3-2-1), szyfrowania danych i test odtworzeniowy
• Szkolenie zespołu w rozpoznawaniu phishingu, fałszywych e-recept i ataków socjotechnicznych
• Raport z priorytetami działań i harmonogramem wdrożeń

Opracowanie: AudytBiura.pl — bezpieczeństwo IT dla małych firm. Aktualizacja: 25.01.2026 r.

Zobacz też

• Phishing w firmie: sygnały ostrzegawcze + checklista
• Backup 3-2-1 dla MŚP
• Audyt cyberbezpieczeństwa w 1 dzień