Backup danych pacjentów dotyczy całej placówki

Backup w placówce medycznej często kojarzy się z informatyką: serwerem, programem gabinetowym, chmurą albo kopią bazy danych. W rzeczywistości dotyka też organizacji pracy, bezpieczeństwa danych pacjentów i obowiązków wynikających z RODO.

Jeżeli system przestaje działać, problem szybko wychodzi poza dział IT. Rejestracja może nie widzieć zaplanowanych wizyt, lekarz może nie mieć dostępu do historii leczenia, a właściciel placówki nie wie, kiedy i w jakim zakresie uda się wrócić do normalnej pracy.

Dlatego pytanie nie powinno brzmieć wyłącznie: „czy mamy backup?”. Ważniejsze jest:

• co dokładnie jest kopiowane,
• jak często wykonywana jest kopia,
• gdzie jest przechowywana,
• kto ma do niej dostęp,
• czy kopia jest zabezpieczona,
• czy da się z niej odtworzyć dane,
• kiedy ostatnio to sprawdzono.

Przy danych pacjentów sama deklaracja „informatyk robi kopie” jest słabym punktem. Placówka powinna znać podstawowe zasady backupu i mieć dowody, że proces działa.

Co RODO mówi o kopiach zapasowych?

RODO nie podaje jednej gotowej instrukcji backupu dla placówki medycznej. Nie wskazuje też konkretnego programu, harmonogramu ani technologii. Wymaga natomiast, żeby administrator stosował środki techniczne i organizacyjne odpowiednie do ryzyka.

W art. 32 RODO wskazano między innymi na potrzebę zapewnienia poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania. Ten sam przepis mówi też o zdolności do szybkiego przywrócenia dostępności danych osobowych po incydencie fizycznym lub technicznym oraz o regularnym testowaniu i ocenianiu skuteczności zabezpieczeń.

Dla placówki oznacza to, że backup powinien być częścią realnego systemu bezpieczeństwa. Nie wystarczy mieć zapis w dokumentacji. Trzeba jeszcze umieć pokazać, że kopie są wykonywane, zabezpieczone i możliwe do odtworzenia.

Co powinno być objęte backupem w placówce medycznej?

Najczęstszy problem polega na tym, że placówka zakłada, że backup programu medycznego obejmuje wszystko. Po awarii okazuje się, że kopia zawiera tylko część danych.

W placówce medycznej warto sprawdzić przynajmniej:

• system gabinetowy lub przychodniany,
• elektroniczną dokumentację medyczną,
• bazę pacjentów,
• harmonogram wizyt,
• wyniki badań i załączniki,
• zdjęcia RTG, skany i pliki diagnostyczne,
• dokumenty rozliczeniowe,
• konfigurację programu medycznego,
• pocztę e-mail, jeżeli zawiera dane pacjentów,
• pliki lokalne na komputerach pracowników,
• ustawienia serwera, komputerów lub środowiska chmurowego.

Sama baza pacjentów może nie wystarczyć do odtworzenia pracy. Jeżeli brakuje załączników, skanów, plików diagnostycznych albo konfiguracji systemu, placówka nadal może mieć poważny problem organizacyjny.

Warto też sprawdzić, czy dane nie są trzymane „tymczasowo” poza głównym systemem: na pulpicie rejestracji, w folderze pobranych plików, w skrzynce e-mail albo na prywatnym dysku pracownika. Takie miejsca często umykają przy projektowaniu backupu.

Dwa pytania, które pokazują, czy backup ma sens

Właściciel placówki nie musi znać technicznych szczegółów każdego systemu. Powinien jednak znać odpowiedzi na dwa proste pytania.

Pierwsze: ile danych możemy stracić?

Jeżeli kopia jest wykonywana raz dziennie, awaria może oznaczać utratę danych wprowadzonych od ostatniego backupu. Mogą to być wizyty, opisy, dokumenty, załączniki albo zmiany w kartotece pacjenta.

Drugie: jak szybko musimy wrócić do pracy?

Mały gabinet może przez krótki czas działać awaryjnie. Większa przychodnia, w której system obsługuje rejestrację, gabinety i dokumentację, zwykle ma znacznie mniejszą tolerancję na przestój.

W języku technicznym mówi się o RPO i RTO. W codziennej rozmowie wystarczy ustalić konkretnie:

• ile maksymalnie danych placówka może utracić,
• ile maksymalnie może trwać przerwa w dostępie do systemu,
• kto ma podjąć działania po awarii,
• jak wygląda procedura odtworzenia.
• Bez tych odpowiedzi backup może istnieć, ale nie spełniać realnej funkcji.

Ransomware a dane pacjentów

Ransomware to szkodliwe oprogramowanie, które blokuje dostęp do danych, najczęściej przez ich zaszyfrowanie. Centrum e-Zdrowia wskazuje, że coraz częściej przed zaszyfrowaniem dane są także wykradane i wykorzystywane do szantażu.

Dla placówki medycznej oznacza to dwa równoległe problemy.

Pierwszy dotyczy dostępności. System nie działa, dokumentacja jest niedostępna, rejestracja nie może normalnie obsługiwać pacjentów, a lekarze mają ograniczony dostęp do informacji potrzebnych przy leczeniu.

Drugi dotyczy poufności. Jeżeli dane zostały skopiowane przez atakujących, backup nie zamyka sprawy. Placówka nadal musi ocenić, czy doszło do naruszenia ochrony danych, jakie jest ryzyko dla pacjentów i czy trzeba zgłosić incydent do UODO.

Centrum e-Zdrowia wskazywało również, że liczba incydentów cyberbezpieczeństwa w polskim sektorze ochrony zdrowia wzrosła z 405 w 2023 roku do 1028 w 2024 roku. W tym samym materiale opisano wzrost liczby ataków ransomware na placówki ochrony zdrowia na świecie.

Zasada 3-2-1 w backupie

Jedną z najprostszych zasad tworzenia kopii zapasowych jest model 3-2-1.

Oznacza on:

• 3 kopie ważnych danych,
• 2 różne nośniki lub środowiska,
• 1 kopię przechowywaną poza główną lokalizacją albo odseparowaną od głównej infrastruktury.

Zasada 3-2-1 jest opisana między innymi w rządowej bazie wiedzy dotyczącej kopii zapasowych. Centrum e-Zdrowia wskazuje ją również w zaleceniach dotyczących ransomware: minimum trzy egzemplarze kopii danych, dwa różne nośniki i jedna kopia offline, odseparowana od infrastruktury organizacji.

W placówce medycznej szczególnie ważna jest kopia odseparowana. Jeżeli backup jest stale podłączony do tej samej sieci, ransomware może zaszyfrować również kopie. W takim scenariuszu placówka odkrywa problem dopiero wtedy, gdy kopia jest najbardziej potrzebna.

Backup też zawiera dane pacjentów

Kopia zapasowa często zawiera bardzo szeroki zakres danych: dane identyfikacyjne, kontaktowe, dokumentację medyczną, wyniki badań, historię leczenia i dane rozliczeniowe. Jeżeli ktoś uzyska dostęp do backupu, może uzyskać dostęp do dużej części informacji o pacjentach.

Dlatego kopię zapasową trzeba chronić tak samo poważnie jak główny system.

Warto sprawdzić:

• czy kopie są szyfrowane,
• kto ma dostęp do backupu,
• czy dostęp wymaga MFA,
• czy używane są osobne konta administracyjne,
• czy kopie są odseparowane od głównej sieci,
• czy działania na kopiach są rejestrowane,
• jak długo kopie są przechowywane,
• jak usuwane są stare kopie.

Centrum e-Zdrowia w fundamentalnych wytycznych dotyczących ochrony przed cyberatakami wskazuje między innymi na tworzenie, przechowywanie i testowanie kopii zapasowych jako jeden z podstawowych obszarów bezpieczeństwa.

W praktyce oznacza to, że backup nie powinien być dostępny dla każdego pracownika, nie powinien leżeć na przypadkowym dysku i nie powinien być obsługiwany jednym wspólnym hasłem. Im więcej danych zawiera kopia, tym ważniejsza jest kontrola dostępu.

Test odtworzenia jest jednym z najważniejszych elementów

Backup, którego nikt nigdy nie odtworzył testowo, daje tylko częściową ochronę. System może pokazywać, że kopie wykonują się poprawnie, a po awarii okazuje się, że brakuje plików, kopia jest uszkodzona, hasło nie działa albo odtworzenie trwa znacznie dłużej, niż zakładano.

Test odtworzenia powinien odpowiedzieć na konkretne pytania:

• czy kopia się otwiera,
• czy dane są kompletne,
• czy odtwarzają się załączniki i pliki pacjentów,
• czy odtworzony system działa poprawnie,
• ile trwa przywrócenie danych,
• kto potrafi wykonać odtworzenie,
• jakie hasła, klucze i dostępy są potrzebne,
• czy test został udokumentowany.

Centrum e-Zdrowia wskazuje testowanie kopii zapasowych jako część fundamentalnych działań ochronnych. Chodzi nie tylko o samo wykonanie kopii, ale też o sprawdzenie, czy odzyskiwanie danych działa w praktyce.

Test nie musi od razu oznaczać pełnej symulacji awarii całej placówki. Można zacząć od odtworzenia wybranych danych albo uruchomienia testowego środowiska. Ważne, żeby wynik był zapisany: kiedy test wykonano, co odtwarzano, kto brał udział i czy pojawiły się problemy.

Co z dostawcą programu medycznego albo firmą IT?

Wiele placówek korzysta z zewnętrznego programu medycznego, hostingu, chmury albo firmy IT. To normalne. Problem zaczyna się wtedy, gdy nikt po stronie placówki nie wie, jak backup faktycznie działa.

Właściciel placówki powinien ustalić:

• kto wykonuje kopie,
• jak często są wykonywane,
• gdzie są przechowywane,
• jak długo są przechowywane,
• czy są szyfrowane,
• kto ma do nich dostęp,
• jak wygląda procedura odtworzenia,
• ile może potrwać przywrócenie pracy,
• czy dostawca testuje odtwarzanie,
• jak placówka zostanie poinformowana o awarii lub incydencie.

Sformułowanie „system jest w chmurze” nie wyjaśnia jeszcze, jak wygląda backup. Chmura może być dobrze zabezpieczona, ale placówka powinna znać zasady usługi i mieć je opisane w umowie, regulaminie, dokumentacji technicznej albo załączniku dotyczącym bezpieczeństwa.

UODO w swoich decyzjach zwraca uwagę, że administrator powinien wykazać dobór odpowiednich środków technicznych i organizacyjnych oraz udokumentować analizę ryzyka. Sama ogólna deklaracja może być niewystarczająca, jeżeli nie ma pokrycia w realnych działaniach i dokumentach.

Przy zewnętrznym dostawcy warto więc mieć nie tylko fakturę za usługę, ale też jasne zasady: co jest kopiowane, kto odpowiada za odtworzenie i jakie są czasy reakcji.

Backup a dokumentacja RODO

Dokumentacja RODO powinna pokazywać, jak placówka faktycznie chroni dane pacjentów. Backup jest jednym z elementów tej ochrony.

W dokumentacji warto uwzględnić:

• listę systemów i danych objętych backupem,
• harmonogram wykonywania kopii,
• miejsce przechowywania kopii,
• osoby lub podmioty odpowiedzialne,
• zasady dostępu do kopii,
• okres przechowywania kopii,
• procedurę odtworzenia danych,
• potwierdzenia testów,
• opis działań po awarii lub cyberataku.

Jeżeli dokumentacja mówi, że kopie są testowane, powinien istnieć ślad testu. Jeżeli kopie są szyfrowane, placówka powinna potrafić to potwierdzić. Jeżeli odtworzenie wykonuje firma IT, powinno być wiadomo, kto ją zawiadamia i jaki jest dalszy schemat działania.

Jakie dowody warto przechowywać?

Przy kontroli albo po incydencie najważniejsze są konkretne dowody. Nie chodzi o rozbudowane opisy, tylko o materiały, które pokazują, że backup rzeczywiście działa.

Warto przechowywać:

• harmonogram backupu,
• raporty z systemu backupowego,
• potwierdzenia udanych kopii,
• protokół testowego odtworzenia,
• listę systemów objętych backupem,
• potwierdzenie szyfrowania kopii,
• listę osób z dostępem do kopii,
• umowę z firmą IT lub dostawcą programu,
• instrukcję odtworzenia danych,
• notatkę po awarii albo incydencie.

Dobry dowód jest prosty: data, zakres, osoba odpowiedzialna, wynik i ewentualne wnioski. Ogólne zdanie „backup działa” nie daje takiej wartości.

Najczęstsze błędy w placówkach medycznych

W backupie placówek medycznych często powtarzają się te same problemy.

Kopie są wykonywane, ale nikt ich nie testuje. Placówka zakłada, że wszystko działa, dopóki nie przyjdzie awaria.

Backup jest stale podłączony do tej samej sieci. Przy ransomware kopia może zostać zaszyfrowana razem z głównymi danymi.

Nie wiadomo, kto odpowiada za odtworzenie. Właściciel, firma IT i dostawca programu mają różne założenia.

Kopia obejmuje tylko część danych. Baza pacjentów jest zabezpieczona, ale brakuje załączników, poczty albo plików lokalnych.

Brakuje dowodów. Nie ma harmonogramu, raportów, protokołu testu ani potwierdzenia ustawień.

Dostęp do kopii ma zbyt wiele osób. Backup zawiera dane pacjentów, więc dostęp powinien być ograniczony i kontrolowany.

Co powinno zostać po uporządkowaniu backupu?

Po wdrożeniu albo przeglądzie backupu placówka powinna mieć uporządkowany zestaw informacji i dowodów.

Powinny zostać między innymi:

• opis, jakie dane i systemy są kopiowane,
• harmonogram wykonywania kopii,
• informacja, gdzie kopie są przechowywane,
• informacja, kto ma dostęp do backupu,
• procedura odtworzenia danych,
• dowód testu odtworzenia,
• ustalenia z dostawcą programu lub firmą IT,
• lista ryzyk i zaleceń po przeglądzie,
• plan działań po awarii albo cyberataku.

Taki materiał pomaga nie tylko przy kontroli. Ułatwia też działanie wtedy, gdy naprawdę dochodzi do awarii. W stresie liczy się jasna instrukcja, sprawdzony kontakt do osoby technicznej i pewność, że kopia faktycznie nadaje się do odtworzenia.

Checklista: Backup w placówce medycznej – co warto sprawdzać?

Ta checklista pomaga szybko ocenić, czy backup danych pacjentów jest przemyślany, zabezpieczony i możliwy do odtworzenia.

1. Zakres backupu
Sprawdź, czy backup obejmuje:

• system gabinetowy lub przychodniany,
• elektroniczną dokumentację medyczną,
• bazę pacjentów,
• harmonogram wizyt,
• wyniki badań i załączniki,
• zdjęcia RTG, skany i pliki diagnostyczne,
• dokumenty rozliczeniowe,
• konfigurację programu medycznego,
• pocztę e-mail, jeżeli zawiera dane pacjentów,
• pliki lokalne na komputerach pracowników,
• ustawienia serwera, komputerów lub środowiska chmurowego.

2. Częstotliwość kopii
Ustal:

• jak często wykonywane są kopie,
• ile danych placówka może utracić między jedną kopią a drugą,
• czy częstotliwość kopii odpowiada realnej pracy placówki,
• czy inne systemy wymagają innej częstotliwości backupu.

3. Miejsce przechowywania kopii
Sprawdź:

• gdzie fizycznie lub logicznie przechowywane są kopie,
• czy co najmniej jedna kopia jest poza główną lokalizacją,
• czy co najmniej jedna kopia jest odseparowana od głównej sieci,
• czy backup nie jest stale podłączony jako zwykły zasób sieciowy.

4. Zabezpieczenie kopii
Zweryfikuj:

• czy kopie są szyfrowane,
• kto ma dostęp do backupu,
• czy dostęp wymaga MFA,
• czy używane są indywidualne konta administracyjne,
• czy działania na kopiach są rejestrowane,
• jak długo kopie są przechowywane,
• jak usuwane są stare kopie.

5. Test odtworzenia
Sprawdź:

• kiedy ostatnio wykonano test odtworzenia,
• co dokładnie odtwarzano,
• czy dane były kompletne,
• czy odtworzyły się załączniki i pliki pacjentów,
• czy system działał po przywróceniu,
• ile trwało odtworzenie,
• kto wykonywał test,
• czy wynik testu został zapisany.

6. Odpowiedzialność
Ustal:

• kto odpowiada za wykonywanie kopii,
• kto sprawdza raporty z backupu,
• kto uruchamia procedurę odtworzenia po awarii,
• kto kontaktuje się z dostawcą programu lub firmą IT,
• kto podejmuje decyzję o działaniach po cyberataku,
• kto ocenia, czy doszło do naruszenia ochrony danych.

7. Dostawca programu lub firma IT
Sprawdź, czy wiesz:

• kto po stronie dostawcy odpowiada za backup,
• jak często dostawca wykonuje kopie,
• gdzie są przechowywane dane,
• czy kopie są szyfrowane,
• jak wygląda procedura odtworzenia,
• jaki jest przewidywany czas przywrócenia pracy,
• czy dostawca testuje odtwarzanie,
• czy zasady backupu są opisane w umowie, regulaminie albo dokumentacji.

8. Dowody wdrożenia
Zadbaj, aby placówka miała:

• harmonogram backupu,
• raporty z wykonanych kopii,
• potwierdzenia udanych backupów,
• protokół testowego odtworzenia,
• listę systemów objętych backupem,
• listę osób z dostępem do backupu,
• procedurę odtworzenia danych,
• ustalenia z dostawcą IT lub programu medycznego,
• notatkę z przeglądu backupu.

9. Sygnały ostrzegawcze
Backup wymaga uporządkowania, jeżeli:

• nikt nie wie, kiedy ostatnio testowano odtworzenie,
• kopia obejmuje tylko część danych,
• backup jest stale podłączony do tej samej sieci,
• dostęp do kopii ma zbyt wiele osób,
• nie ma harmonogramu ani raportów,
• placówka nie wie, ile potrwa powrót do pracy,
• dostawca mówi ogólnie „system jest w chmurze”, ale nie podaje szczegółów,
• nie wiadomo, kto podejmuje działania po awarii.

10. Minimum, które warto mieć
Na podstawowym poziomie placówka powinna mieć:

• określony zakres backupu,
• ustaloną częstotliwość kopii,
• co najmniej jedną kopię odseparowaną od głównego środowiska,
• zabezpieczony dostęp do backupu,
• wykonany i opisany test odtworzenia,
• procedurę przywracania danych,
• jasną odpowiedzialność po stronie placówki i dostawcy,
• dowody, że backup działa.

Podsumowanie

Backup w placówce medycznej ma znaczenie prawne, techniczne i organizacyjne. RODO wymaga zdolności do przywrócenia dostępności danych po incydencie oraz regularnego sprawdzania skuteczności zabezpieczeń. Przy danych pacjentów ma to szczególne znaczenie, bo awaria systemu może szybko zakłócić pracę gabinetu, przychodni albo kliniki.

Dobrze przygotowany backup powinien obejmować ważne dane i systemy, być zabezpieczony przed nieuprawnionym dostępem, odseparowany od głównego środowiska i regularnie testowany. Placówka powinna też mieć dowody: harmonogram, raporty, procedurę odtworzenia i protokoły testów.

Największy błąd to traktowanie backupu jako jednorazowego ustawienia. Kopia zapasowa ma sens wtedy, gdy placówka wie, co chroni, jak szybko może wrócić do pracy i kiedy ostatnio sprawdziła odtworzenie danych.

Źródła

1. EUR-Lex – RODO, art. 32: bezpieczeństwo przetwarzania – https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679

2. Centrum e-Zdrowia – ransomware: czym jest i jak działa – https://www.cez.gov.pl/pl/page/o-nas/aktualnosci/ransomware-czym-jest-i-jak-dziala

3. Centrum e-Zdrowia – wzrost incydentów cyberbezpieczeństwa w ochronie zdrowia – https://www.cez.gov.pl/pl/page/o-nas/aktualnosci/csirt-cez-ostrzega-wzrasta-liczba-incydentow-cyberbezpieczenstwa-w-ochronie

4. Gov.pl – jak nie stracić swoich danych, czyli kopie zapasowe w pigułce – https://www.gov.pl/web/baza-wiedzy/jak-nie-stracic-swoich-danych-czyli-kopie-zapasowe-w-pigulce

5. Centrum e-Zdrowia – fundamentalne wytyczne w zakresie ochrony przed cyberatakami – https://cez.gov.pl/pl/page/o-nas/aktualnosci/fundamentalne-wytyczne-w-zakresie-ochrony-przed-cyberatakami

6. UODO – decyzja dotycząca analizy ryzyka i środków bezpieczeństwa – https://orzeczenia.uodo.gov.pl/document/urn%3Andoc%3Agov%3Apl%3Auodo%3A2022%3Adkn_5131_47/content?query=