Cyberatak to realny wzrost śmiertelności wśród pacjentów

Cyberincydenty w szpitalu to spore kłopoty logistyczne związane z odcięciem od systemów, odwoływaniem wizyt i brakiem dostępu do dokumentacji. To jednak nie wszystko - przykłady amerykańskich placówek wyraźnie pokazują, że śmiertelność wśród pacjentów wzrasta o ponad jedną trzecią, istotnie zwiększa się także ryzyko poważniejszych powikłań neurologicznych. Dotyczy to nie tylko szpitala dotkniętego atakiem, ale też placówek sąsiednich. Dlatego tak ważna jest prewencja i monitorowanie zagrożeń przez całą dobę, nie tylko w godzinach roboczych.

O tym, jak w praktyce powtarzają się schematy w cyberatakach skierowanych na szpitale, mówił podczas konferencji „Zmiany w Ochronie Zdrowia: Jakość i bezpieczeństwo w działaniu” (organizowanej przez Wolters Kluwer Polska, przy wsparciu strategicznym Instytutu Zarządzania w Ochronie Zdrowia Uczelni Łazarskiego; Prawo.pl było patronem medialnym wydarzenia) gen. broni, prof. dr hab. n. med. Grzegorz Gielerak, dyrektor Wojskowego Instytutu Medycznego - Państwowego Instytutu Badawczego w Warszawie. Jak przypomniał, duże cyberincydenty, które w ciągu ostatnich dwóch lat wpłynęły na paraliż kilku dużych polskich szpitali, miały miejsce w czasie, w których obsada dyżurowa była naturalnie mniej liczna, a uwaga bardziej rozproszona (weekendy i/lub godziny nocne).

Czytaj także: Zakup oprogramowania i po kłopocie? Szpital też musi sprawdzić dostawcę 

Pięć działań do wdrożenia w najbliższym kwartale  

W marcu ubiegłego roku hakerzy próbowali zaatakować szpital MSWiA w Krakowie – miało to miejsce w sobotę, o drugiej w nocy, ale wówczas jedna z lekarek w porę zauważyła anomalię i atak został udaremniony, a systemy w porę odcięte. Nie udało się to w szpitalu wojewódzkim w Szczecinie, w którym, dokładnie rok później, skuteczny cyberatak wymusił całkowite czasowe przejście na „papier”. Tam również hakerzy wybrali sobotnią noc. Jak wskazał prof. Gielerak, przywrócenie pełnej funkcjonalności systemów w placówce zajęło około czterech miesięcy. – Dzieje się to w tych momentach, kiedy nasza czujność systemowa jest najbardziej ograniczona, a atakujący mają tego świadomość i będą to wykorzystywać – zaznaczył ekspert.

Prof. Gielerak wskazał też, że na przykładzie cyberataków przeprowadzonych w szpitalach w USA wyraźnie widać, że nie jest to tylko problem związany z brakiem dostępu do komputera. Statystyki ewidentnie pokazują, że odcięcie systemu to niższa skuteczność leczenia i wyższa śmiertelność wśród pacjentów – a, co szczególnie niepokojące, dotyczy to nie tylko zaatakowanej placówki, ale również tych znajdujących się w okolicy. W szpitalach dotkniętych cyberatakiem śmiertelność wzrasta średnio o 34-38 proc. Natomiast w placówkach sąsiednich zauważono znaczny spadek wskaźnika przeżycia w dobrym stanie neurologicznym po pozaszpitalnym epizodzie zatrzymania krążenia – podczas gdy normalnie oscylował on w okolicach 40 proc., w czasie cyberataku spadł do zaledwie ok. 4,5 proc. Również w sąsiednich szpitalach aktywacje kodów udarowych wzrastały w tym czasie niemal dwukrotnie (zauważono to na przykładzie szpitala w San Diego).

Prof. Gielerak podał pięć rodzajów działań, które szpital powinien podjąć w ciągu najbliższych 90 dni w kontekście cyberodporności. Są to:

1. monitorowanie systemów 24 godziny na dobę, siedem dni w tygodniu jako standard;
2. przeprowadzanie ćwiczeń „48 godzin bez szpitalnego systemu informatycznego” co kwartał, tak, by wiedzieć, jak szpital funkcjonuje w momencie konieczności przejścia na dokumentację papierową w razie cyberataku;
3. tworzenie kopii zapasowych odizolowanych od sieci, których czas odtworzenia jest sprawdzany w praktyce (próby raz na kwartał);
4. przeanalizowanie mapy zależności od dostawców zewnętrznych i obecności klauzul bezpieczeństwa w umowach, np. prawa audytu;
5. sprawdzenie rejestru narzędzi AI z właścicielem klinicznym i zasadami użycia.

Nowe regulacje na horyzoncie, warto już teraz weryfikować dostawców

Jak podkreśla dr Aleksandra Auleytner, partner, kierująca praktyką IP&TMT w kancelarii DZP, obecność klauzul umożliwiających okresowe sprawdzanie dostawców jest kluczowa. Nie oznacza jednak przeniesienia całej odpowiedzialności, bo ta cały czas spoczywa w dużej mierze na podmiocie leczniczym. - Kontrakt ma zapewnić narzędzia do ich realizacji, a nie zastąpić własny nadzór nad bezpieczeństwem. Ustawa o Krajowym Systemie Cyberbezpieczeństwa wymaga środków odpowiednich i proporcjonalnych do ryzyka, nie zaś absolutnej gwarancji, że nigdy nie wystąpi cyberincydent. Dlatego istotne jest nie tylko posiadanie odpowiednich klauzul, lecz także wykazanie, że placówka rzeczywiście oceniała ryzyko i reagowała na ujawnione zagrożenia – wyjaśnia ekspertka.

Jak przypomina z kolei dr Mateusz Mądry, partner, szef praktyki Life Sciences w DZP, zarówno przepisy RODO, jak i regulacje z obszaru cyberbezpieczeństwa, opierają się na tej samej zasadzie: odpowiedzialność za właściwy dobór, nadzór i kontrolę dostawców pozostaje po stronie placówki medycznej.

Posiadanie certyfikatów bezpieczeństwa przez dostawcę technologii medycznych lub usług IT może być istotnym argumentem przemawiającym za wyborem danego rozwiązania, jednak nie zwalnia podmiotu leczniczego z obowiązku przeprowadzenia własnej oceny ryzyka. RODO wprost wskazuje, że certyfikacja może stanowić jeden z elementów potwierdzających spełnianie wymagań przez podmiot przetwarzający, jednak administrator nadal ponosi odpowiedzialność za prawidłowy wybór i nadzorowanie dostawcy – wyjaśnia dr Mądry.

 Zaznacza również, ze znaczenie tego zagadnienia dodatkowo wzrośnie w związku z wejściem w życie Europejskiej Przestrzeni Danych Zdrowotnych (EHDS). Chociaż zasadnicze obowiązki wynikające z rozporządzenia będą wdrażane etapowo od 2027 r., już dziś wiadomo, że producenci określonych systemów elektronicznej dokumentacji medycznej będą zobowiązani do przeprowadzenia oceny zgodności i wykazania spełnienia wymogów dotyczących bezpieczeństwa, integralności danych, interoperacyjności oraz ochrony poufności informacji zdrowotnych.

 - Z perspektywy podmiotów leczniczych oznacza to konieczność bardziej strategicznego podejścia do zakupów technologicznych. Przy wyborze nowych systemów warto już obecnie weryfikować nie tylko ich funkcjonalność, ale również możliwość dostosowania do wymagań EHDS, w szczególności w zakresie interoperacyjności, rejestrowania dostępu do danych zdrowotnych, zarządzania uprawnieniami użytkowników oraz zgodności z europejskimi standardami bezpieczeństwa. W przeciwnym razie placówki mogą w najbliższych latach stanąć przed koniecznością kosztownej modernizacji lub nawet wymiany wykorzystywanych rozwiązań – podsumowuje ekspert.