Audyt cyberbezpieczeństwa dla gabinetu medycznego: prewencja

Co zagraża dokumentacji pacjentów i pracy gabinetu, jakie luki są typowe i co sprawdza jednodniowy audyt.

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja: 19 października 2026 r.

Spis treści

1. Gabinet medyczny na celowniku cyberprzestępców

Placówki medyczne przetwarzają wyjątkowo wrażliwe dane o stanie zdrowia. To atrakcyjny cel dla atakujących, zarówno ze względu na wartość danych, jak i podatność na przestoje (teleporady, rejestracja, elektroniczna dokumentacja medyczna, w skrócie EDM).

• Phishing i wyłudzenia przelewów (BEC): podszywanie się pod NFZ, dostawców systemów EDM, laboratoria („pilna aktualizacja e-recepty”, „wyniki pacjenta w załączniku”).
• Ransomware: szyfrowanie baz EDM, systemów do obsługi wizyt, serwerów plików i PACS; często z jednoczesną kradzieżą danych.
• Ataki na zdalny dostęp: zdalny pulpit (RDP) lub VPN bez dodatkowego potwierdzania logowania (MFA), słabe hasła do recepcji lub gabinetu.
• Urządzenia medyczne/IoT: słabe aktualizacje, domyślne hasła, wspólna sieć z komputerami biurowymi.
• Łańcuch dostaw: błędy w wtyczkach, modułach EDM czy integracjach (P1, e-Recepta, e-Skierowanie).

2. Audyt cyberbezpieczeństwa, na czym to polega

Audyt cyberbezpieczeństwa w gabinecie medycznym to techniczno-organizacyjny przegląd systemów oraz praktyk pracy całego zespołu (rejestracja, gabinet, administracja).

• Systemy i aplikacje: wersje oprogramowania EDM, aktualizacje, program ochronny (antywirus lub EDR), kopie konfiguracji, kontrola integralności.
• Sieć i dostęp: podział sieci na osobne części (oddzielenie recepcji, gabinetów i urządzeń medycznych), Wi-Fi dla gości odizolowane od sieci firmowej, zapora sieciowa (firewall), VPN z MFA, wyłączony zdalny pulpit (RDP) dostępny z internetu.
• Tożsamość: polityka haseł i menedżer haseł; MFA do poczty, chmur i usług publicznych (P1, gabinet.gov.pl, eWUŚ).
• Dane i backup: kopie 3-2-1 (w tym odłączone od sieci lub niemodyfikowalne), szyfrowanie kopii, regularne testy odtworzeniowe EDM, przechowywanie wcześniejszych wersji.
• Poczta i domena: SPF, DKIM, DMARC, filtrowanie phishingu, ochrona przed spoofingiem.
• Procedury: plan reagowania na incydenty, rejestry naruszeń RODO, dostępy przy przyjęciu i odejściu pracownika, zasady pracy zdalnej i nośników.
• Świadomość personelu: rozpoznawanie fałszywych załączników (wyniki, skierowania), bezpieczne korzystanie z EDM i e-recepty.

Efektem audytu jest raport z priorytetami: co poprawić od razu, co zaplanować w kolejnych tygodniach, a także lista kontrolna do utrzymania poziomu bezpieczeństwa.

3. Typowe luki w zabezpieczeniach placówek medycznych

Typowe słabe punkty w gabinetach:

• Brak MFA do poczty, chmur i gabinet.gov.pl; współdzielone konta recepcji.
• Zdalny pulpit (RDP) lub VPN dostępny z internetu bez MFA, słabe hasła, brak blokady logowań z zagranicy i listy zaufanych adresów.
• Nieaktualny EDM/Windows/serwer baz, brak łat i kopii konfiguracji.
• Słaba ochrona poczty: brak ustawień SPF, DKIM i DMARC, łatwy spoofing (np. „NFZ”).
• Backup nieskuteczny: brak modelu 3-2-1, brak szyfrowania, brak testów odtwarzania EDM.
• Brak podziału sieci: urządzenia medyczne i komputery biurowe w jednej sieci.
• Uprawnienia „wszyscy wszystko”: brak zasady, że każdy ma dostęp tylko do tego, czego potrzebuje, brak przeglądu dostępów.
• Brak programu ochronnego klasy biznesowej i blokady makr z internetu.
• Brak procedur i szkoleń: brak planu reagowania na incydenty, brak zasad przyjmowania załączników (wyniki, skierowania).

Dobra wiadomość: większość luk można szybko usunąć, audyt wskaże priorytety i plan działań.

4. Poufność danych, RODO i tajemnica lekarska

Dane o zdrowiu to szczególna kategoria danych osobowych. RODO wymaga adekwatnych środków technicznych i organizacyjnych oraz prowadzenia rejestru naruszeń. W razie naruszenia, zgłoszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin i, gdy ryzyko jest wysokie, powiadomienia osób, których dane dotyczą. Niezależnie od przepisów prawnych obowiązuje tajemnica lekarska: ujawnienie informacji medycznych to nie tylko ryzyko kary, ale i utraty zaufania pacjentów.

Audyt pomaga upewnić się, że szyfrowanie, kontrola dostępu, rejestrowanie zdarzeń i dokumentacja są na właściwym poziomie, a personel zna procedury reagowania na incydenty.

5. Dlaczego warto zrobić to przed incydentem

Przestój rejestracji, odwołane wizyty, koszty odtworzenia EDM i utrata zaufania pacjentów, to realne skutki incydentu. Inwestycja w audyt, poprawne konfiguracje (MFA, kopie 3-2-1, podział sieci) oraz szkolenia znacząco ogranicza ryzyko i zapewnia ciągłość pracy gabinetu.

1-dniowy przegląd cyberbezpieczeństwa gabinetu medycznego

Zabezpiecz dane pacjentów i uniknij kosztownych incydentów. Mój 1-dniowy audyt IT dla gabinetów medycznych obejmuje:

• Przegląd infrastruktury IT (routery, sieć, Wi-Fi, serwery, komputery w gabinetach i rejestracji)
• Weryfikację zabezpieczeń systemu EDM (Elektronicznej Dokumentacji Medycznej) oraz baz danych pacjentów
• Konfigurację poczty (SPF/DKIM/DMARC), VPN/MFA i bezpiecznego zdalnego dostępu dla personelu
• Ocenę kopii zapasowych (model 3-2-1), szyfrowania danych i test odtworzeniowy
• Szkolenie zespołu w rozpoznawaniu phishingu, fałszywych e-recept i ataków socjotechnicznych
• Raport z priorytetami działań i harmonogramem wdrożeń

Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla małych firm. Aktualizacja: 19.10.2026 r.

Zobacz też

• Audyt dla gabinetu medycznego: zakres i cena
• Phishing w firmie: sygnały ostrzegawcze + checklista
• Backup 3-2-1 dla MŚP
• Audyt cyberbezpieczeństwa w 1 dzień