Drukarka w Twoim szpitalu nie jest zagrożeniem dla bezpieczeństwa – do chwili pozostawienia jej bez nadzoru
Kamil Majchrzak, Country Office Print Category Manager w HP Inc Poland
Drukarki są elementem niemal każdego procesu klinicznego, obsługują wszystko, od kart wypisu i recept po wyniki badań laboratoryjnych i dokumentację pacjentów. Personel polega na nich, dzięki czemu informacje mogą swobodnie krążyć i wspierać terminową opiekę nad pacjentem.
Jednocześnie drukarki i urządzenia wielofunkcyjne tworzą, odbierają, przesyłają, a czasem także przechowują dane osobowe dotyczące zdrowia pacjentów zawarte w dokumentacji medycznej (tzw. dane medyczne), podlegające szczególnej ochronie na mocy RODO oraz ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Mimo to poświęca się im często mniej uwagi pod względem bezpieczeństwa niż elektronicznej dokumentacji medycznej, tradycyjnym punktom końcowym czy infrastrukturze sieciowej, co tworzy potencjalną lukę w szerszym ekosystemie technologicznym szpitala.
Gdzie druk tworzy ryzyko
Braki w zabezpieczaniu urządzeń w środowiskach druku mogą tworzyć luki bezpieczeństwa w całym środowisku szpitalnym:
- Niezałatane oprogramowanie układowe: drukarki są często pomijane w cyklach aktualizacji, przez co pozostają podatne na ataki wykorzystujące luki w zabezpieczeniach
- Nieszyfrowane pamięci: urządzenia mogą przechowywać zeskanowane i wydrukowane dokumenty na wewnętrznych dyskach, a bez szyfrowania wycofana z użytku lub odsprzedana drukarka może ujawnić tysiące rekordów danych
- Dokumenty pozostawione bez nadzoru: poufne informacje pozostawione we wspólnych tacach odbiorczych mogą zostać przejrzane lub zabrane przez nieuprawnione osoby
- Ruch poprzeczny (lateral movement): jedna przejęta drukarka może posłużyć atakującym jako punkt wejścia do dalszej infiltracji sieci i rozprzestrzeniania złośliwego oprogramowania
- Brak scentralizowanej widoczności: rozproszone zarządzanie i ograniczone monitorowanie sprawiają, że przejęte urządzenia mogą pozostać niewykryte, a organizacja nie ma kontroli nad tym, jakie działania są na nich wykonywane
Wszystkie te problemy łączy ta sama słabość: druk jest wbudowany w opiekę nad pacjentem, ale nie jest zarządzany jak inne podłączone do sieci urządzenia drukujące. Podczas gdy organizacje ochrony zdrowia wzmocniły zabezpieczenia elektronicznej dokumentacji medycznej, systemów tożsamości i bezpieczeństwa sieci, druk wciąż jest często traktowany jako infrastruktura biurowa „zaplecza”, mimo swojej roli klinicznej.
Starzejące się, słabo monitorowane lub niezarządzane drukarki generują ryzyko, którego można uniknąć, mogą narazić na ujawnienie dane pacjentów, zwiększyć obciążenie działów IT oraz zakłócić procesy kliniczne, takie jak wypis, identyfikacja pacjenta czy podawanie leków. Rozproszone floty urządzeń bez scentralizowanego nadzoru stają się martwym polem zarówno dla zgodności z RODO oraz ustawą o Krajowym Systemie Cyberbezpieczeństwa (wdrażającą unijną dyrektywę NIS2) jak i dla szerszej strategii cyberbezpieczeństwa organizacji.
Druku zdecydowanie nie należy dłużej pomijać
Zagrożenia nie istnieją w próżni. Ochrona zdrowia to jedna z najbardziej regulowanych branż i jeden z najczęstszych celów cyberprzestępców. Incydenty obejmują m.in. atak na platformę MyDr, w wyniku którego przestępcy twierdzą, że wykradli dane nawet 19 mln Polaków – w tym numery PESEL – co byłoby jednym z największych wycieków danych w historii kraju, a napastnicy zapowiadają, że to dopiero początek i szykują ujawnienie „czegoś większego”, oraz kradzież dysku twardego z komputera służącego do logowania się do systemu pacjentów w Wojewódzkim Szpitalu Specjalistycznym we Włocławku. Wzorzec jest jasny: żadna organizacja nie jest ani zbyt duża, ani zbyt mała, by stać się celem ataku.
W miarę jak opieka zdrowotna staje się coraz bardziej cyfrowa i rozproszona, infrastruktura druku nie zawsze nadąża za tymi zmianami. Samo bezpieczeństwo sieci to za mało. Organizacje ochrony zdrowia potrzebują również mechanizmów kontroli dotyczących poszczególnych użytkowników, urządzeń i zadań drukowania, które pozwolą zarządzać drukarkami jak podłączonymi do sieci punktami końcowymi i chronić je na wypadek ataku.
RODO (art. 32) w połączeniu z ustawą o systemie informacji w ochronie zdrowia obejmuje drukarki i urządzenia wielofunkcyjne, które tworzą, odbierają, przechowują lub przesyłają dane medyczne pacjentów. Może to obejmować dane medyczne zawarte w zeskanowanych dokumentach, kolejkach wydruku oraz kopiach przechowywanych na wewnętrznych nośnikach.
Zaproponowana przez Ministerstwo Cyfryzacji w 2026 roku, w reakcji na wyciek danych z platformy MyDr „Cyber Piątka” może sprawić, że wymagania bezpieczeństwa staną się bardziej jednoznaczne. Pakiet pięciu zasad ochrony danych medycznych przewiduje m.in. obowiązkowe certyfikaty bezpieczeństwa powiązane z Krajowym Systemem Cyberbezpieczeństwa dla podmiotów przetwarzających dane medyczne, minimalne standardy techniczne dla systemów IT, szybkie zgłaszanie incydentów do CSIRT NASK oraz dodatkowe obowiązki dla dużych podmiotów przetwarzających dane (obsługujących ponad 100 administratorów lub ponad 100 tys. osób). Kolejnym krokiem mają być prace nad szczegółowymi rozwiązaniami legislacyjnymi. Równolegle ustawa o Krajowym Systemie Cyberbezpieczeństwa (wdrażająca dyrektywę NIS2) nakłada już na szpitale obowiązek prowadzenia analizy ryzyka obejmującej cały cykl życia systemów IT, zgłaszania incydentów w ciągu 24 godzin od wykrycia oraz przeprowadzania audytów bezpieczeństwa co trzy lata. Floty urządzeń drukujących często nie są uwzględniane w inwentaryzacji zasobów i są aktualizowane rzadziej niż pozostałe urządzenia. Nowe przepisy sprawią, że te luki trudniej będzie zignorować.
Zgodnie z art. 83 ust. 2 RODO, przy ustalaniu wysokości administracyjnej kary pieniężnej Prezes Urzędu Ochrony Danych Osobowych (UODO) musi uwzględniać m.in. stopień odpowiedzialności administratora oraz zastosowane przez niego środki techniczne i organizacyjne. Uwzględnienie flot urządzeń drukujących w analizie ryzyka, mechanizmach kontroli bezpieczeństwa i monitoringu może pomóc organizacjom wykazać, że takie praktyki obejmują całe środowisko. Takie samo podejście może również wspierać zgodność z ustawą o Krajowym Systemie Cyberbezpieczeństwa, która przewiduje kary do 10 mln euro lub 2% rocznego obrotu dla podmiotów kluczowych oraz do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych.
Obronna strategia bezpieczeństwa druku
Przykład opisany przez ekspertów Niebezpiecznik.pl – prywatna uczelnia w Olsztynie, która kupiła używaną kserokopiarkę zawierającą na dysku twardym około 60 GB danych z przychodni medycznej – pokazuje konsekwencje traktowania urządzeń drukujących jako sprawy drugorzędnej.
Wyprzedzenie ryzyka związanego z drukiem zaczyna się od objęcia całej floty urządzeń spójnym zarządzaniem. Scentralizowana konfiguracja pomaga konsekwentnie wdrażać szyfrowanie, uwierzytelnianie i kontrolę dostępu we wszystkich działach i lokalizacjach. Wydruk uwalniany na podstawie tożsamości użytkownika wstrzymuje dokumenty do momentu fizycznej obecności uprawnionej osoby, co zmniejsza ryzyko pozostawienia poufnych informacji bez nadzoru we wspólnych przestrzeniach klinicznych.
Ochrona musi obejmować także to, co znajduje się poniżej interfejsu użytkownika. Kontrole integralności urządzeń pomagają wykryć przejęte oprogramowanie układowe lub niebezpieczne konfiguracje, a szyfrowanie chroni dane zarówno w spoczynku, jak i podczas przesyłania. Mechanizmy bezpiecznego nadpisywania danych zmniejszają ryzyko, że dane medyczne pozostaną na wewnętrznej pamięci urządzenia przed jego ponownym przydzieleniem, zwrotem, odsprzedażą lub utylizacją, a dzienniki audytowe przypisane do poszczególnych użytkowników dają zespołom bezpieczeństwa jasny zapis tego, kto drukował, skanował lub kopiował poufne informacje. Razem te mechanizmy wykraczają poza samą politykę i monitoring, zamieniając bezpieczeństwo druku w egzekwowany i podlegający audytowi element szerszej strategii bezpieczeństwa organizacji.
Zabezpiecz infrastrukturę druku
Drukarki znajdują się na kluczowych ścieżkach opieki nad pacjentem, od przyjęcia, przez wypis, po rozliczenia, co sprawia że bezpieczeństwo druku to coś więcej niż tylko kwestia IT czy zgodności z przepisami. Rozproszone, słabo kontrolowane floty urządzeń narażają dane pacjentów, zakłócają procesy kliniczne i generują dodatkowe, możliwe do uniknięcia obciążenie dla zespołów bezpieczeństwa i IT.
Dyrektorzy IT (CIO) i dyrektorzy ds. bezpieczeństwa (CISO) w ochronie zdrowia powinni traktować drukarki jako część klinicznej i technologicznej infrastruktury organizacji. Jasno określona odpowiedzialność, egzekwowane mechanizmy kontroli dostępu, spójna konfiguracja, regularne aktualizacje oraz scentralizowany nadzór mogą zamknąć luki bezpieczeństwa, zanim wpłyną one na opiekę nad pacjentem. Bezpieczeństwo i zgodność z przepisami dają mandat do działania. Bezpieczny i niezawodny druk pozwala informacjom swobodnie krążyć, pomagając zapobiec sytuacji, w której pominięty punkt końcowy staje się poważnym zagrożeniem bezpieczeństwa pacjentów.
Obserwuj nas na Google News
Zobacz również:
- Rewolucja w kuchni: Testujemy multicooker Panasonic NF-GM600 z funkcją ekstrakcji dymu
- Który wybrać: JIGOO C200 czy Xiaomi G20 Lite? Sprawdziłam je w praktyce
- AI gotuje za mnie?! Unboxing GÖTZE & JENSEN AF850T + pierwsze frytki
- Test POCO X8 Pro – moc, bateria i ekran KOZAK, ale foto…
- Test 70mai T400: kamera, która pracuje za Ciebie. 3 kamery, pełna kontrola i dowody w każdej sytuacji
