Incydent w gabinecie medycznym: plan reakcji 0-72 h

Jeśli to dzieje się teraz, zacznij od sekcji 1. W gabinecie liczy się zatrzymanie ataku i jak najszybszy dostęp do dokumentacji pacjentów.

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja: 19 października 2026 r.

Spis treści

1. Pierwsze 24 godziny

W pierwszych dwóch godzinach

• Odłącz zainfekowane komputery i serwer od sieci: wyciągnij kabel i wyłącz Wi-Fi. Z wyłączaniem ich z prądu poczekaj na decyzję informatyka, który może chcieć zapisać ich stan.
• Z innego, niezainfekowanego urządzenia zmień hasła do poczty, VPN, systemu EDM i kont administracyjnych oraz włącz dodatkowe potwierdzanie logowania (MFA).
• Wstrzymaj zdalny dostęp (RDP, VPN) do czasu wyjaśnienia sprawy.
• Informatyk zabezpiecza ślady: kopie logów (zapora sieciowa, program antywirusowy, system), listę uruchomionych programów i połączeń, a jeśli się da, kopię dysku lub maszyny wirtualnej.

Od 2 do 24 godzin

• Ustal, jakie dane pacjentów mogły zostać naruszone: EDM, rejestracja, rozliczenia, e-recepty.
• Informatyk sprawdza, czy atakujący zostawił sobie furtkę: nowe konta, zaplanowane zadania, reguły poczty przekierowujące wiadomości, nowe klucze dostępu.
• Dane przywracaj z kopii na czystym środowisku i najpierw przetestuj je bez podłączenia do sieci. Dopiero potem podłącz do sieci.
• Uruchom plan reagowania na incydenty, jeśli go masz, i powiadom osoby odpowiedzialne w placówce.

2. Najczęstsze scenariusze ataku

• Ransomware w systemie EDM: szyfrowanie baz pacjentów i folderów sieciowych, często razem z kradzieżą danych.
• Phishing i wyłudzenia (BEC): przejęcie poczty rejestracji lub lekarza, reguły przekierowujące wiadomości, podszywanie się pod placówkę.
• Luka w zdalnym dostępie: RDP lub VPN bez MFA, domyślne porty, brak blokady logowań z zagranicy.
• Złośliwe oprogramowanie z urządzeń zewnętrznych: niesprawdzone pendrive’y, aktualizacje z niepewnych źródeł.

Każdy z tych scenariuszy można znacząco utrudnić dzięki MFA, podziałowi sieci na części, ochronie komputerów (EDR) i ustawieniom poczty SPF, DKIM i DMARC.

3. Zgłoszenia i obowiązki (RODO i UODO)

• Oceń ryzyko dla pacjentów: czy dane mogły zostać ujawnione lub utracone i jakie mogą być tego skutki.
• RODO wymaga zgłoszenia naruszenia do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia nie trzeba składać, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla osób, których dane dotyczą. W razie wątpliwości skonsultuj to z inspektorem ochrony danych lub prawnikiem. Zgłoszenie opisuje zdarzenie, skutki i działania naprawcze.
• Gdy ryzyko jest wysokie, poinformuj pacjentów prostym językiem: co się stało, jakich danych dotyczy, co powinni zrobić (np. zmienić hasła) i gdzie zadać pytania.
• Prowadź rejestr naruszeń: zapisuj czynności, decyzje i oś czasu.

Warto wcześniej przygotować wzór zgłoszenia do UODO i wzór informacji dla pacjentów. W razie incydentu nie stracisz na to czasu.

4. Odtwarzanie i wzmocnienie systemów

Odtwarzanie

• Przywracaj dane z czystej, sprawdzonej kopii (zasada 3-2-1, kopie, których nie da się zmienić).
• Przed ponownym podłączeniem do sieci zaktualizuj system, EDM i program antywirusowy.
• Sprawdź, czy dane pacjentów i historia wizyt są kompletne.

Wzmocnienie

• MFA do poczty, EDM i VPN, zmiana haseł i kluczy dostępu.
• Osobna sieć dla recepcji, EDM i baz danych, oddzielona od sieci dla gości.
• Program ochronny klasy biznesowej (EDR lub antywirus), wyłączone makra z internetu i zablokowany RDP z zewnątrz.
• Poczta: SPF, DKIM i DMARC oraz blokada automatycznego przekazywania poczty poza domenę firmy.

5. Rozmowa z pacjentami i zespołem

• Informuj otwarcie o zdarzeniu i krokach naprawczych. To pomaga utrzymać zaufanie.
• Przygotuj dla rejestracji krótką ściągę: jak odpowiadać na pytania pacjentów i pod jakie numery ich kierować.
• Wyznacz jedną osobę odpowiedzialną za komunikację i zatwierdzanie treści.

1-dniowy przegląd cyberbezpieczeństwa gabinetu medycznego (po incydencie)

Potrzebujesz szybkiej, uporządkowanej reakcji i planu odbudowy po ataku? Mój 1-dniowy audyt powłamaniowy obejmuje:

• Forensyka wstępna: zebranie i analiza logów, identyfikacja wektora ataku, ocena zakresu naruszenia danych pacjentów.
• Kontrola szkód: zamknięcie wektorów, rotacja poświadczeń, weryfikacja reguł poczty i dostępów zdalnych.
• Odtworzenie krytycznych usług: bezpieczne przywracanie EDM i systemów rejestracji z kopii (test integralności).
• Wsparcie RODO: checklisty zgłoszenia do UODO i szablony komunikatów dla pacjentów.
• Twardnienie: MFA, segmentacja, EDR, polityki kopii 3-2-1, blokady makr.
• Raport i plan działań: priorytety „na już”, mapa ryzyk i rekomendacje wdrożeń.

Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla małych firm. Aktualizacja: 19.10.2026 r.

Zobacz też

• Audyt dla gabinetu medycznego: zakres i cena
• Ransomware w firmie: reakcja i odzyskiwanie
• Phishing w firmie: sygnały ostrzegawcze + checklista
• Backup 3-2-1 dla MŚP
• Audyt cyberbezpieczeństwa w 1 dzień