Bezpieczny pacjent w cyfrowej ochronie zdrowia. Jak projekt SHIELD buduje cyberodporność?

dr Ilona Cieślak

Wyobraźmy sobie zwyczajny dzień w placówce medycznej. Pracownik kończy dokumentację, jednocześnie odbiera telefon, odpowiada na pytania współpracowników i przygotowuje się do kolejnego zadania. W skrzynce pocztowej pojawia się pilna wiadomość: „Dostęp do systemu zostanie zablokowany. Zaloguj się i potwierdź swoje dane”. Wiadomość wygląda wiarygodnie, zawiera logo instytucji i odwołuje się do rzekomego komunikatu działu informatycznego. Wystarczy jedno kliknięcie, aby dane logowania trafiły do przestępców. Konsekwencją może być przejęcie konta, dostęp do informacji o pacjentach, rozesłanie kolejnych fałszywych wiadomości, a w skrajnym przypadku – zablokowanie części systemów placówki. Taki incydent nie musi wynikać z lekkomyślności. Znacznie częściej wykorzystuje pośpiech, zmęczenie, presję odpowiedzialności i zaufanie do znanych symboli oraz procedur.

Gdy problem informatyczny staje się problemem klinicznym

W innych sektorach cyberatak kojarzy się przede wszystkim ze stratą finansową, niedostępnością strony internetowej albo ujawnieniem danych klientów. W ochronie zdrowia jego skutki mogą być znacznie bardziej złożone. Współczesna opieka zależy często od elektronicznej dokumentacji medycznej, systemów laboratoryjnych i diagnostycznych, elektronicznych zleceń, urządzeń podłączonych do sieci, telemedycyny oraz cyfrowej komunikacji pomiędzy członkami zespołu.

Jeżeli pracownik nie może uzyskać dostępu do historii choroby, wyników badań lub informacji o stosowanych lekach, awaria przestaje być wyłącznie problemem technicznym. Może wpłynąć na terminowość świadczeń, przepływ informacji, organizację pracy oraz możliwość podejmowania właściwych decyzji klinicznych. Z tego powodu cyberbezpieczeństwo coraz częściej jest rozumiane nie tylko jako kwestia ochrony danych, lecz także jako zagadnienie bezpieczeństwa pacjenta i zaufania do systemu opieki zdrowotnej. Bezpieczeństwo danych medycznych opiera się na trzech zasadach:

• poufności (dostęp tylko dla uprawnionych osób);
• integralności (brak nieuprawnionych zmian);
• dostępności (możliwość korzystania z danych wtedy, gdy są potrzebne).

Dobrze udokumentowanym przykładem jest atak ransomware WannaCry, który w maju 2017 roku zakłócił funkcjonowanie brytyjskiego National Health Service. W dotkniętych nim szpitalach odnotowano około 6-procentowy spadek liczby przyjęć, w tym 9-procentowy spadek przyjęć planowych. Odwołano 13,5 tysiąca wizyt ambulatoryjnych, część zespołów musiała powrócić do dokumentacji papierowej, a niektóre szpitale przekierowywały pacjentów wymagających pomocy w trybie nagłym.

Człowiek nie jest „najsłabszym ogniwem”

W debacie o cyberbezpieczeństwie często powtarza się, że człowiek jest najsłabszym ogniwem systemu. Sformułowanie to jest efektowne, ale nadmiernie upraszcza problem. Pracownicy nie działają przecież w próżni. Ich decyzje są podejmowane w konkretnych warunkach: przy dużym obciążeniu obowiązkami, licznych komunikatach, przerywaniu wykonywanych czynności, niejasnych procedurach i presji, aby jak najszybciej zająć się pacjentem. Jeśli wiadomość jest przygotowana tak, aby wywołać poczucie pilności, a jej treść odpowiada codziennym zadaniom odbiorcy, nawet osoba znająca ogólne zasady cyberbezpieczeństwa może popełnić błąd. Zamiast obarczać użytkownika całą odpowiedzialnością, należy więc zapytać, czy system pomaga mu podjąć właściwą decyzję.

Cyberbezpieczeństwo szpitala zależy od współdziałania wielu elementów:

• infrastruktury technicznej,
• inwestycji,
• decyzji zarządczych,
• kompetencji personelu,
• procedur,
• komunikacji,
• stopnia złożoności wykorzystywanych urządzeń i systemów.

Cyberodporność nie oznacza zatem, że nigdy nie dojdzie do incydentu. Oznacza, że organizacja potrafi ograniczać ryzyko, wcześnie zauważać nieprawidłowości, reagować zgodnie z przygotowanym planem i bezpiecznie kontynuować najważniejsze działania. W takim ujęciu pracownik nie jest problemem, lecz pierwszą linią wykrywania zagrożeń – pod warunkiem że otrzymuje odpowiednią wiedzę, narzędzia i wsparcie.

Dlaczego tradycyjne szkolenie może nie wystarczyć?

W wielu instytucjach szkolenie z cyberbezpieczeństwa ma formę obowiązkowej prezentacji lub kursu, który należy ukończyć raz w roku. Taki kurs może zwiększać wiedzę, ale nie zawsze przygotowuje do działania w sytuacji rzeczywistej, w której wiadomość jest przekonująca, czasu jest niewiele, a błędna decyzja może mieć poważne konsekwencje.

Jednocześnie nie każde obowiązkowe szkolenie automatycznie prowadzi do trwałej zmiany zachowania. W badaniu przeprowadzonym w amerykańskim systemie ochrony zdrowia powtarzanie symulacji wiązało się ze zmniejszaniem podatności pracowników na phishing, jednak dodatkowy obowiązkowy kurs skierowany do osób uznanych za szczególnie narażone nie przyniósł wyraźnej dalszej poprawy. Wyniki te sugerują, że edukacja powinna być prowadzona systematycznie, odnosić się do kontekstu pracy i umożliwiać ćwiczenie konkretnych decyzji, zamiast ograniczać się do biernego przekazywania informacji. Pomocne mogą być krótkie scenariusze, symulacje, quizy i gry edukacyjne, w których uczestnik otrzymuje natychmiastową informację zwrotną. Grywalizacja nie oznacza jednak traktowania zagrożeń jako zabawy. Jej zadaniem jest stworzenie bezpiecznej przestrzeni, w której można popełnić błąd, zobaczyć jego konsekwencje i przećwiczyć właściwy sposób reagowania, zanim podobna sytuacja wystąpi w pracy.

SHIELD – od rozpoznania potrzeb do praktycznej edukacji

Na te wyzwania odpowiada projekt SHIELD (Securing Health & Social Care Institutions resilience to cybercrimes through Empowerment, Literacy and Digital skills of the workforce and students), realizowany w ramach programu Erasmus+ przez partnerów z: Czech, Francji, Grecji, Włoch, Malty, Polski i Portugalii. Polskę reprezentuje Warszawski Uniwersytet Medyczny. Celem projektu jest wzmacnianie cyberodporności instytucji ochrony zdrowia i opieki społecznej poprzez rozwijanie kompetencji cyfrowych studentów oraz pracowników. Założeniem SHIELD nie jest przygotowanie kolejnego szkolenia, którego najważniejszym komunikatem będzie nakaz tworzenia mocnych haseł i nieotwierania podejrzanych linków. Projekt rozpoczął się od rozpoznania rzeczywistych doświadczeń, potrzeb i barier w grupach docelowych. Dopiero na tej podstawie projektowane są program kształcenia, treści kursu, zgamifikowana platforma e-learningowa oraz aplikacja mobilna.

W pierwszym etapie projektu SHIELD przeprowadzono badania wśród studentów, pracowników ochrony zdrowia i opieki społecznej, a także wśród nauczycieli akademickich i osób zajmujących się cyberbezpieczeństwem. Choć wielu uczestników miało już doświadczenia ze szkoleniami z cyberbezpieczeństwa, nadal nie czuło się w pełni przygotowanych do reagowania na bardziej złożone zagrożenia. Około trzech czwartych respondentów deklarowało, że potrafiło samodzielnie poradzić sobie z phishingiem lub smishingiem, czyli oszustwem wykorzystującym fałszywe wiadomości SMS. Znacznie większe trudności pojawiały się jednak przy bardziej złożonych sytuacjach, takich jak złośliwe oprogramowanie, nieuprawniony dostęp do systemu, przejęcie konta lub wyciek danych.

Uczyć tego, co potrzebne – w sposób, który można zastosować

Uczestnicy diagnozy wyraźnie wskazywali, że chcą uczyć się ochrony danych prywatnych i zawodowych, reagowania na cyberatak, rozpoznawania phishingu i dezinformacji oraz bezpiecznego postępowania z informacjami o pacjentach. Równie istotny jak zakres treści okazał się sposób nauczania. Preferowane były krótkie, interaktywne moduły, konkretne przykłady, materiały wizualne, quizy i scenariusze przypominające sytuacje spotykane w codziennej pracy.

Najczęściej wskazywaną barierą był brak czasu. Pracownicy ochrony zdrowia i studenci koncentrują się przede wszystkim na opiece nad pacjentem i obowiązkach zawodowych, dlatego szkolenie postrzegane jako dodatkowe, teoretyczne i oderwane od rzeczywistości łatwo schodzi na dalszy plan. Wskazywano także na nadmiar komunikatów, szybkie tempo zmian technologicznych oraz przekonanie, że cyberbezpieczeństwo jest dziedziną zbyt techniczną dla osób, które nie są informatykami.

Cyberbezpieczeństwo zaczyna się od codziennych decyzji

Nie każdy pracownik musi zostać specjalistą od zabezpieczeń informatycznych. Każdy powinien jednak znać kilka podstawowych zasad:

• zatrzymać się przed wykonaniem polecenia wywołującego presję czasu,
• zweryfikować nietypową prośbę innym kanałem,
• nie udostępniać danych logowania,
• znać procedurę zgłaszania incydentów
• natychmiast informować właściwe osoby o popełnionej pomyłce.

Najważniejszą kompetencją może okazać się nie zdolność samodzielnego rozwiązania każdego problemu, lecz umiejętność rozpoznania momentu, w którym należy przerwać działanie i poprosić o pomoc.

Tak jak higiena rąk, prawidłowa dokumentacja i właściwa komunikacja są częścią bezpiecznej opieki, tak samo higiena cyfrowa staje się współczesną kompetencją zawodową. Cyberbezpieczeństwo nie jest dodatkiem do ochrony zdrowia ani zadaniem przeznaczonym wyłącznie dla działów informatycznych. Jest jednym z warunków, dzięki którym opieka może pozostać bezpieczna, ciągła i godna zaufania.

Piśmiennictwo

1. Coventry L, Branley D. Cybersecurity in healthcare: A narrative review of trends, threats and ways forward. Maturitas. 2018;113:48–52. doi: 10.1016/j.maturitas.2018.04.008.
2. Ghafur S, Kristensen S, Honeyford K, et al. A retrospective impact analysis of the WannaCry cyberattack on the NHS. NPJ Digital Medicine. 2019;2:98. doi: 10.1038/s41746-019-0161-6. (Nature)
3. Jalali MS, Kaiser JP. Cybersecurity in Hospitals: A Systematic, Organizational Perspective. Journal of Medical Internet Research. 2018;20(5):e10059. doi: 10.2196/10059.
4. Gordon WJ, Wright A, Glynn RJ, et al. Evaluation of a mandatory phishing training program for high-risk employees at a US healthcare system. Journal of the American Medical Informatics Association. 2019;26(6):547–552. doi: 10.1093/jamia/ocz005.
5. van Steen T, Deeleman JRA. Successful Gamification of Cybersecurity Training. Cyberpsychology, Behavior, and Social Networking. 2021;24(9):593–598. doi: 10.1089/cyber.2020.0526.