• admin@kibc
• 16 października 2026
• Brak komentarzy

Seria ataków na infrastrukturę podmiotów zajmujących się przetwarzaniem danych osobowych skłoniło Centrum e-Zdrowia do wydania rekomendacji mających na celu podniesienie poziomu cyberbezpieczeństwa w placówkach medycznych. Dziś swoje rekomendacje – adresowane są do wszystkich podmiotów krajowego systemu cyberbezpieczeństwa, wydał Minister Cyfryzacji Krzysztof Gawkowski. Mowa zatem nie tylko o podmiotach medycznych, ale również podmiotach ważnych i kluczowych zgodnie z nowelizacją ustawy KSC. Co warto wdrożyć w pierwszej kolejności i dlaczego?

Jak czytamy w dokumencie, to konkretny katalog środków organizacyjnych i technicznych, który ma pomóc podmiotom KSC realnie ograniczyć ryzyko skutecznego ataku i jednocześnie ułatwić wypełnianie obowiązków ustawowych. Rekomendacja opiera się w głównej mierze na art. 67a ustawy o krajowym systemie cyberbezpieczeństwa. Warto wspomnieć, że dokument ma charakter pomocniczy i nie zastępuje indywidualnej oceny ryzyka ani obowiązków prawnych. Wskazuje jednak, co w praktyce warto wdrożyć, żeby systemy informacyjne były wyraźnie trudniejsze do złamania.

Zarządzanie ryzykiem i realna odpowiedzialność kierownictwa

Szacowanie ryzyka ma być systematyczne, udokumentowane i aktualizowane co najmniej raz w roku (oraz po istotnych zmianach). Wyniki analizy mają być podstawą wyboru realnych zabezpieczeń. Kierownictwo powinno formalnie przypisać odpowiedzialność, mieć macierz RACI i regularnie otrzymywać raporty o poziomie ryzyka.

Kontrola dostępu i tożsamości

Zasada minimalnych uprawnień przestaje być opcją. Uwierzytelnianie wieloskładnikowe ma być obowiązkowe dla dostępu zdalnego, poczty, systemów krytycznych i kont uprzywilejowanych. Bezpośredni dostęp administracyjny z Internetu powinien zniknąć – tylko przez VPN zabezpieczony MFA. Konta domyślne i nieużywane należy blokować, a uprawnienia regularnie przeglądać.

Bezpieczeństwo w całym cyklu życia systemów + kryptografia

Należy zapewnić uwzględnienie wymogów bezpieczeństwa już od etapu planowania, przyjmując najwyższy poziom ochrony za domyślny standard. Należy wdrożyć systematyczne zarządzanie podatnościami poprzez regularne skanowanie systemów (w tym z wykorzystaniem państwowego narzędzia Artemis), sprawną realizację aktualizacji oraz skrupulatne prowadzenie rejestru działań naprawczych. Należy również zagwarantować pełne szyfrowanie danych — zarówno podczas ich przechowywania, jak i przesyłania — oraz ustanowić zasady zarządzania kluczami kryptograficznymi dostosowane do klasy i wartości zasobów.

Kopie zapasowe według zasady 3-2-1

Standardy w tym obszarze to trzy kopie, dwa różne nośniki/technologie, jedna offline lub poza lokalizacją. Środowisko backupowe powinno być odseparowane od produkcyjnego. Regularne testy odtwarzania, Plan Ciągłości Działania i Plan Odtwarzania po Awarii z określonymi RTO i RPO dla systemów kluczowych to realne wzmocnienie cyberodporności.

Łańcuch dostaw pod lupą

Należy zapewnić prowadzenie oceny ryzyka związanego z dostawcami — zarówno przed nawiązaniem współpracy, jak i na każdym jej etapie. Należy ściśle kontrolować oraz ograniczać nadawane dostawcom zakresy dostępu, a w umowach (SLA) bezwzględnie uwzględniać formalne wymagania z zakresu cyberbezpieczeństwa. Należy dbać o ograniczenie ryzyka koncentracji poprzez unikanie uzależnienia od jednego dostawcy oraz na bieżąco monitorować i uwzględniać oficjalne ostrzeżenia dotyczące podmiotów wysokiego ryzyka.

Monitorowanie i reagowanie

Należy zapewnić centralizację logów oraz wdrożenie systemu klasy SIEM (lub rozwiązania równoważnego), pozwalającego na ciągły monitoring krytycznych aktywów (w uzasadnionych przypadkach w trybie 24/7). Należy ustanowić jasne procedury obsługi incydentów, obejmujące precyzyjnie zdefiniowane ścieżki eskalacji oraz zasady zabezpieczania materiału dowodowego. Należy również zagwarantować terminowe zgłaszanie incydentów do właściwego zespołu CSIRT, uwzględniając obowiązek korzystania z systemu S46 od 3 kwietnia 2027 r. w odniesieniu do podmiotów kluczowych i zobowiązanych.

Ludzie i higiena cyfrowa

Należy zapewnić prowadzenie regularnych szkoleń z zakresu cyberbezpieczeństwa, dostosowanych do specyfiki poszczególnych ról w organizacji, a także realizację ćwiczeń praktycznych oraz kontrolowanych kampanii phishingowych. Należy ustanowić i egzekwować jasne zasady korzystania z urządzeń prywatnych do celów służbowych (BYOD) oraz zagwarantować mechanizm natychmiastowego zgłaszania wszelkich podejrzanych zdarzeń.

Nadzór i ciągłe doskonalenie

Należy wyznaczyć co najmniej dwie osoby odpowiedzialne za kontakty w sprawach cyberbezpieczeństwa. Należy również zadbać o przeprowadzanie okresowych audytów, regularnych testów skuteczności stosowanych zabezpieczeń oraz analizę przyczyn powstawania incydentów.

Wymienione wyżej środki należy dobierać proporcjonalnie do charakteru działalności, skali, poziomu ryzyka i potencjalnych skutków. Warto jednak pamiętać, że bez systematycznego zarządzania ryzykiem, kontroli dostępu, aktualizacji, kopii zapasowych i świadomości ludzi nawet najlepsze firewalle nie wystarczą.

We wszystkich wspomnianych formach zabezpieczeń służymy Państwu niezbędną pomocą – zarówno jeśli mowa o realizacji pojedynczych zadań, jak i wypełnieniu wszystkich obowiązków wynikających z nowelizacji KSC. W tej kwestii zachęcamy do zapoznania się z usługą zewnętrznego doradcy ds. cyberbezpieczeństwa w modelu abonamentowym. Dbamy o zgodność z przepisami, najwyższy poziom cyberochrony, a to wszystko w ramach miesięcznej opłaty abonamentowej.
Doradca cyberbezpieczeństwa – czytaj

Z oficjalnym dokumentem Ministerstwa można zapoznać się pod linkiem:
Rekomendacje dotyczące środków organizacyjnych i technicznych – czytaj