System EDM i baza pacjentów
Sprawdzam: aktualizacje, uprawnienia użytkowników, kopie konfiguracji.
Typowy problem: konta współdzielone, nieaktualny system lub serwer bazy.
Audyt cyberbezpieczeństwa gabinetu medycznego w 1 dzień
Sprawdzam na miejscu system elektronicznej dokumentacji medycznej (EDM), rejestrację, kopie zapasowe, pocztę i nawyki zespołu. Dostajesz raport z priorytetami i planem na 30 i 60 dni. Bez technicznego bełkotu.
Dlaczego gabinety medyczne są na celowniku
Placówki medyczne przetwarzają dane o zdrowiu, czyli szczególną kategorię danych osobowych. Przerwa w dostępie do EDM i rejestracji uderza bezpośrednio w ciągłość opieki nad pacjentami, dlatego atakujący liczą na presję czasu.
- Fałszywe wiadomości podszywające się pod NFZ, laboratoria lub dostawcę EDM („wyniki w załączniku”, „aktualizacja e-recepty”).
- Ransomware szyfrujący bazę EDM i serwer plików, często z kradzieżą danych.
- Zdalny dostęp bez dodatkowego potwierdzania logowania (MFA), np. przez zdalny pulpit (RDP) lub VPN, oraz słabe hasła na recepcji.
- Urządzenia medyczne w jednej sieci z komputerami biurowymi.
Co dokładnie sprawdzam w ciągu 1 dnia
Rejestracja i recepcja
Sprawdzam: komputery, konta, blokada ekranu, nośniki, ekrany widoczne dla pacjentów.
Typowy problem: jedno hasło na recepcji, brak blokady ekranu.
Dostęp do usług publicznych
Sprawdzam: MFA i przechowywanie danych logowania do P1 i innych usług.
Typowy problem: dane logowania w notatce lub wspólne konto całego zespołu.
Urządzenia medyczne i sieć
Sprawdzam: podział sieci na osobne części, Wi-Fi dla pacjentów, router i zapora sieciowa (firewall).
Typowy problem: urządzenia medyczne w tej samej sieci co komputery biurowe.
Backup
Sprawdzam: zasada 3-2-1 (trzy kopie, na dwóch rodzajach nośników, jedna poza firmą), szyfrowanie kopii, próba odtworzenia danych z EDM.
Typowy problem: kopia istnieje, ale nikt nie sprawdził jej odtworzenia.
Poczta i domena
Sprawdzam: SPF, DKIM i DMARC (ustawienia utrudniające podszywanie się pod adres firmy), filtry antyphishingowe.
Typowy problem: brak DMARC, łatwe podszycie się pod placówkę lub NFZ.
Konta, hasła i zdalny dostęp
Sprawdzam: menedżer haseł, MFA, VPN, konta byłych pracowników.
Typowy problem: zdalny pulpit (RDP) dostępny z internetu, brak MFA.
Zespół
Sprawdzam: rozpoznawanie fałszywych załączników (wyniki, skierowania, e-recepty), zasady przyjmowania plików.
Typowy problem: otwieranie załączników bez weryfikacji nadawcy.
Dane o zdrowiu i tajemnica lekarska
Dane o zdrowiu to szczególna kategoria danych osobowych, a oprócz RODO obowiązuje tajemnica lekarska. W audycie sprawdzam, czy szyfrowanie, kontrola dostępu i kopie zapasowe chronią je w codziennej pracy gabinetu. To przegląd techniczny, a nie ocena zgodności z przepisami.
Jak wygląda audyt i co dostajesz
- Kontakt i ustalenie terminu online lub telefonicznie.
- Dzień audytu na miejscu w Twojej siedzibie (województwo mazowieckie): przegląd sieci, urządzeń, stacji, backupu i nawyków zespołu.
- Raport PDF z listą ryzyk (wysokie, średnie, niskie), szybkimi poprawkami i planem na 30 i 60 dni.
- Krótkie szkolenie zespołu z rozpoznawania phishingu.
Cena i zakres
1 500 zł netto, stała cena. Obejmuje 1 dzień audytu na miejscu, raport PDF i mini-szkolenie zespołu. To przegląd konfiguracji i praktyk, a nie test penetracyjny.
Najczęstsze pytania
Ile kosztuje audyt cyberbezpieczeństwa gabinetu medycznego?
Stała cena: 1 500 zł netto. Cena obejmuje 1 dzień audytu na miejscu, raport PDF z listą ryzyk i planem na 30/60 dni oraz krótkie szkolenie zespołu z phishingu. Bez ukrytych kosztów.
Czy audyt odbywa się na miejscu, czy zdalnie?
Na miejscu, w Twojej siedzibie, na terenie województwa mazowieckiego. Zakres i termin ustalamy wcześniej online lub telefonicznie.
Czy audyt zakłóci przyjmowanie pacjentów?
Termin ustalamy z Tobą z wyprzedzeniem, tak aby nie kolidował z godzinami przyjęć. Audyt polega na przeglądzie konfiguracji i praktyk, nie na atakowaniu systemów, więc nie wyłącza pracy gabinetu.
Czy będziecie mieć wgląd w dane pacjentów?
Dostęp do systemów jest minimalny i tylko na czas audytu. Po audycie wszystkie dostępy są usuwane. Do oceny zabezpieczeń nie potrzebuję treści dokumentacji medycznej.
Co dostanę po audycie?
Raport PDF z listą ryzyk (wysokie, średnie, niskie), szybkimi poprawkami do wdrożenia od razu oraz planem działań na 30 i 60 dni.
Czy to jest test penetracyjny?
Nie. To przegląd konfiguracji, ustawień i nawyków pracy zespołu, dopasowany do branży. Jego celem jest wskazanie, co naprawić najpierw, a nie symulacja ataku.