- Email: biuro@kicb.pl
- Rondo Organizacji Narodów Zjednoczonych 1, 00-124 Warszawa
Ostatnie kilkanaście tygodni w ochronie zdrowia upłynęły pod znakiem incydentów cyberbezpieczeństwa oraz masowych wycieków danych osobowych. Naruszenia, które objęły duże i znaczące podmioty przetwarzające dane wrażliwe skłoniły wiele instytucji do postawienia sobie pytania w jaki sposób chronione są dane Polaków.
Prezes UODO Mirosław Wróblewski, podczas niedawnej konferencji Cyber24 Days, wskazał na niebezpieczeństwo płynące z dużej koncentracji danych w jednym podmiocie. Poddał pod wątpliwość także jeden z zapisów Cyber Piątki, czyli zaproponowanych przez Ministerstwo Cyfryzacji zasad ochrony danych w obszarze zdrowia, które miałyby niebawem wejść w życie. Zdaniem prezesa UODO, zaproponowana granica 100 tys. rekordów, od której podmiot byłby objęty bardziej wymagającymi restrykcjami, w przypadku danych szczególnych być może mogłaby zostać obniżona.
Teraz, swoje wytyczne w zakresie ochrony zdrowia przed cyberatakami przedstawia Centrum eZdrowie. To 19 obszarów ochrony, które powinny być traktowane jako ciągły proces, a nie jednorazowe działanie. Regularne stosowanie opisanych praktyk ma minimalizować ryzyko utraty danych, zakłóceń systemów oraz strat finansowych. Zachęcamy do zapoznania się z tymi zapisami.
Aby skutecznie zarządzać kopiami zapasowymi, należy przede wszystkim sporządzić dokładną listę wszystkich baz danych, repozytoriów plików oraz plików konfiguracyjnych. Częstotliwość tworzenia kopii powinna być dostosowana do poziomu krytyczności systemu – dla systemów bardzo ważnych zaleca się tworzenie kopii codziennie lub nawet co godzinę, natomiast dla mniej istotnych wystarczy raz na tydzień lub miesiąc.
Kopie zapasowe należy przechowywać w różnych lokalizacjach, zarówno w chmurze, jak i lokalnie na dyskach fizycznie odłączonych od sieci. Ważne jest regularne przeprowadzanie testów odtwarzania danych z kopii, aby upewnić się, że są one kompletne i można je skutecznie przywrócić w razie potrzeby. Dostęp do kopii zapasowych powinien być zabezpieczony hasłem lub kluczem szyfrującym. Należy unikać używania tych samych poświadczeń, które są stosowane w innych systemach. Liczba osób uprawnionych do tworzenia, usuwania i odtwarzania kopii powinna być ograniczona do niezbędnego minimum.
Należy również określić okres przechowywania kopii oraz formę ich archiwizacji. Konieczne jest również prowadzenie szczegółowego rejestru wszystkich operacji wykonywanych na kopiach zapasowych, aby mieć pełną kontrolę nad ich zarządzaniem i historią.
Aby skutecznie zarządzać aktualizacjami oprogramowania, należy stosować automatyczne systemy, które regularnie sprawdzają i instalują najnowsze poprawki, minimalizując czas narażenia na luki. Priorytetowo traktuje się luki o wysokim CVSS, umożliwiające zdalne wykonanie kodu lub eskalację uprawnień. Weryfikuje się wersje oprogramowania na wszystkich urządzeniach, w tym systemach IT, OT, IoT oraz SCADA. Ustala się stałe okna czasowe na instalację aktualizacji i monitoruje ich realizację, przygotowując jednocześnie procedurę wycofania wadliwych poprawek oraz środowisko testowe do oceny ich wpływu. Informacje o lukach integruje się z bazami CVE/NVD, a inwentaryzację oprogramowania prowadzi się za pomocą narzędzi Software Asset Management, co zapewnia kompleksowe i bezpieczne zarządzanie aktualizacjami w organizacji.
Należy stosować zasadę najmniejszych uprawnień oraz Zero Trust, a takży wdrożyć MFA (tokeny sprzętowe lub aplikacje mobilne), zwłaszcza w systemach krytycznych. Wymuszona powinna być silna polityka haseł, przeprowadzane cykliczne rewizje kont i uprawnień, szczególnie po odejściu pracowników. Systemy powinny być monitorowane pod kątem nietypowych godzin i lokalizacji.
Aby skutecznie zabezpieczyć stacje robocze, należy wdrożyć rozwiązania do automatycznego przygotowywania, konfiguracji i wycofywania zmian na komputerach (np. GPO). Na liście zaleceń znajdują się także nowoczesne narzędzia ochrony przed zagrożeniami, takie jak NGAV i EDR, lista dozwolonych aplikacji (Application Whitelisting), skanowanie urządzeń w poszukiwaniu zagrożeń, pełne szyfrowanie dysków (np. BitLocker, LUKS) oraz konfiguracja lokalnych zapor sieciowych. Administratorzy systemów powinni rozważyć ograniczenie dostępu do portów USB i nośników wymiennych. Tylko niezbędne oprogramowanie, regularne restarty systemów i ograniczenie dostępu do portów zdalnych (RDP, SSH, SMB) do zaufanych adresów IP to kolejne zalecenie w tym obszarze działań.
To jeden z kluczowych obszarów, a jednocześnie jak wynika z naszego doświadczenia, często pięta achillesowa podmiotów zdrowia, dlatego należy wydzielić strefy sieciowe, aby krytyczne zasoby takie jak serwery bazodanowe czy systemy szpitalne były oddzielone od stref ogólnodostępnych. Zaleca się stosować listy ACL na routerach i przełącznikach, IDS/IPS do monitorowania i blokowania ataków w czasie rzeczywistym oraz VLAN-y do logicznego podziału ruchu.
Aby skutecznie chronić pocztę, kluczowe jest stosowanie systemów antyspamowych i antyphishingowych, które od razu wyłapują podejrzane wiadomości oraz szkodliwe załączniki. Podstawę bezpieczeństwa stanowi poprawna konfiguracja rekordów SPF, DKIM i DMARC, a także wdrożenie sandboxingu do bezpiecznego testowania przesyłanych plików. Na bramkach pocztowych warto uruchomić skanowanie załączników w czasie rzeczywistym i stale monitorować logi serwera, by szybko reagować na ewentualne nieprawidłowości. W przypadku przesyłania danych wrażliwych dobrym rozwiązaniem jest zastosowanie szyfrowania S/MIME lub PGP. Wszystkie te techniczne zabezpieczenia muszą jednak iść w parze z regularną edukacją użytkowników, bo to oni są pierwszą linią obrony przed cyberzagrożeniami.
Kluczem do sprawnego wykrywania zagrożeń jest centralizacja logów z serwerów, urządzeń sieciowych, aplikacji oraz systemów operacyjnych w jednym systemie SIEM. Aby skutecznie reagować na nieprawidłowości, definiuje się alerty ostrzegające o podejrzanych zdarzeniach, takich jak seria nieudanych prób logowania czy gwałtowny wzrost zużycia zasobów, a całą analitykę wspiera się modułami UEBA do wykrywania nietypowych zachowań użytkowników. Ważne jest także odpowiednie skonfigurowanie poziomu logowania, tak aby rejestrować dostęp do kluczowych plików czy zmiany w rejestrze. Dopełnieniem całego procesu pozostaje regularny przegląd historycznych zapisów – ślady zaawansowanych ataków często stają się widoczne dopiero po wielu tygodniach lub miesiącach.
Fundamentem sprawnego zarządzania incydentami jest regularnie aktualizowany plan postępowania, który krok po kroku określa działania w sytuacji kryzysowej. Precyzyjnie przypisuje się w nim role oraz odpowiedzialności – od zarządzania operacyjnego po komunikację z zarządem i organami ścigania – co eliminuje chaos w kluczowych momentach. Cały proces usprawniają wcześniej przygotowane szablony powiadomień oraz cykliczne ćwiczenia scenariuszowe, które weryfikują gotowość zespołu w praktyce. Istotną częścią strategii jest również plan odtworzenia kluczowych systemów z jasno określonymi priorytetami ich przywracania. Równolegle dba się o sprawny przepływ informacji: wdraża się proste i czytelne kanały zgłaszania incydentów, takie jak dedykowana infolinia czy adres e-mail do zespołu SOC/IT, oraz wprowadza zasadę niekarania osób zgłaszających potencjalne naruszenia, co buduje kulturę otwartości i pozwala na szybszą reakcję.
Podstawą dojrzałego podejścia do ochrony danych jest wdrożenie i stałe utrzymywanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Całość opiera się na jasnych, spisanych politykach oraz regulaminach, które wyznaczają standardy pracy w organizacji. Aby zachować najwyższy poziom ochrony i zgodność z przepisami, przeprowadza się regularne audyty pod kątem wymogów RODO, normy ISO 27001 czy innych właściwych branżowo regulacji. Kluczowym elementem jest również precyzyjny plan zgłaszania naruszeń do organów nadzorczych, takich jak UODO, pozwalający na sprawną reakcję w ustawowych terminach. Dopełnieniem tych działań pozostaje rzetelne dokumentowanie wszystkich procesów związanych z bezpieczeństwem, co ułatwia weryfikację procedur i buduje pełną rozliczalność organizacji.
Kluczowym elementem ochrony przed złośliwym oprogramowaniem jest wdrożenie polityki domyślnego blokowania makr w pakiecie Office (za pomocą GPO lub Intune) dla wszystkich plików pobranych z sieci. Wewnątrz organizacji dopuszcza się wyłącznie skrypty podpisane cyfrowo, co drastycznie ogranicza ryzyko wykonania nieautoryzowanego kodu. Równolegle prowadzi się stałe działania edukacyjne, uświadamiające użytkowników o zagrożeniach związanych z plikami z niepewnych źródeł, a systemy bezpieczeństwa zbierają i analizują logi uruchomień makr. Dopełnieniem tej ochrony jest stosowanie sandboxingu w czasie rzeczywistym oraz systemów reputacji plików, które automatycznie porównują sumy kontrolne (hashe) z globalnymi bazami znanego złośliwego oprogramowania.
Podstawą bezpiecznego dostępu zdalnego jest wymuszenie wyłącznie szyfrowanych połączeń, wykorzystujących protokoły TLS lub IPsec. Wszystkie sesje VPN oraz RDP zabezpiecza się obowiązkowym uwierzytelnianiem wieloskładnikowym (MFA), a bezpośredni dostęp do RDP z poziomu publicznego internetu zostaje wyłączony lub ściśle ograniczony do zaufanych adresów IP za pomocą bramy RDP Gateway. Dodatkowo ruch z połączeń zdalnych kieruje się do odizolowanych segmentów sieci i autoryzuje za pomocą certyfikatów cyfrowych. Całość procesu podlega ciągłemu monitoringowi, który analizuje czas trwania sesji oraz wykrywa próby logowania w nietypowych godzinach.
Skuteczne weryfikowanie odporności infrastruktury opiera się na regularnym zlecaniu testów penetracyjnych, zarówno od strony wewnętrznej, jak i zewnętrznej. Kluczowe jest przy tym precyzyjne określenie ich zakresu, tak aby badanie objęło wszystkie krytyczne systemy i aplikacje w organizacji. Testy realizuje się co najmniej raz w roku lub po każdej znaczącej zmianie w architekturze IT, a ich zwieńczeniem są szczegółowe raporty oraz harmonogram wdrażania poprawek z konkretnymi terminami realizacji. Dopełnieniem tych działań są cykliczne audyty konfiguracji urządzeń sieciowych, serwerów oraz samych narzędzi bezpieczeństwa, które pozwalają wyeliminować błędy i luki zanim zostaną one wykorzystane.
Kluczem do zabezpieczenia urządzeń mobilnych jest wdrożenie odpowiednich profili bezpieczeństwa, które wymuszają stosowanie silnych haseł, automatyczną blokadę ekranu oraz pełne szyfrowanie pamięci. W przypadku zgubienia lub kradzieży sprzętu kluczowa staje się możliwość natychmiastowego, zdalnego wymazania danych firmowych. Równolegle kontroluje się instalowane oprogramowanie, dopuszczając wyłącznie zatwierdzone aplikacje, oraz stosuje ścisły podział na przestrzeń prywatną i służbową (np. poprzez konteneryzację). Całość systemu uzupełnia ciągłe monitorowanie aktualności poprawek systemowych oraz automatyczna blokada i wykrywanie wszelkich prób rootowania lub wykonania jailbreaku, które mogłyby naruszyć integralność urządzenia.
Bezpieczną współpracę z zewnętrznymi podmiotami opiera się na wydzieleniu dedykowanej strefy do wymiany danych oraz wymuszeniu korzystania wyłącznie z szyfrowanych kanałów komunikacji, takich jak SFTP czy HTTPS. Aby zminimalizować ryzyko w łańcuchu dostaw, regularnie audytuje się partnerów, a w umowach precyzyjnie określa standardy bezpieczeństwa (SLA), zasady zgłaszania incydentów oraz zakres odpowiedzialności. Dostęp do zasobów przyznaje się zgodnie z zasadą minimalnych uprawnień – partnerom udostępnia się wyłącznie niezbędne informacje, ściśle określając zarówno rodzaj przyznanych dostępów, jak i czas ich obowiązywania.
Skuteczną ochronę przed nowymi zagrożeniami opiera się na ciągłym śledzeniu krajobrazu cyberbezpieczeństwa, włączając do strategii stałą subskrypcję alertów i raportów branżowych, na przykład z CERT Polska. Równolegle nawiązuje się współpracę z zewnętrznymi organizacjami specjalizującymi się w analizie zagrożeń (Threat Intelligence), co pozwala na szybsze wykrywanie zwiastunów nadchodzących ataków. Pozyskane w ten sposób wskaźniki kompromitacji (IoC) – takie jak podejrzane adresy IP, domeny czy sumy kontrolne złośliwego oprogramowania – są na bieżąco gromadzone i analizowane. Na ich podstawie natychmiast aktualizuje się reguły oraz procedury w systemach ochronnych, w tym filtry pocztowe, sygnatury IDS/IPS oraz bazy definicji antywirusowych.
Ochronę przed zjawiskiem Shadow IT opiera się na stałym monitorowaniu ruchu sieciowego, co pozwala szybko wykryć niezatwierdzone aplikacje SaaS używane w firmie. Aby zachować pełną kontrolę nad oprogramowaniem, wdraża się politykę zezwalającą na instalację aplikacji wyłącznie z zaufanych źródeł, takich jak oficjalne sklepy czy centralne repozytoria, a wszelkie próby instalacji spoza firmowego katalogu są automatycznie blokowane. Kluczowym dopełnieniem technicznych ograniczeń jest stworzenie przejrzystego i sprawnego procesu zgłaszania oraz zatwierdzania nowych narzędzi, dzięki czemu pracownicy nie muszą szukać rozwiązań na własną rękę. Całość wspiera się regularną edukacją zespołu, uświadamiającą ryzyka i zagrożenia wynikające z korzystania z nieautoryzowanego oprogramowania.
Podstawą bezpiecznego środowiska chmurowego jest rygorystyczne stosowanie zasady najmniejszych uprawnień w ramach ról i polityk IAM (dla AWS, Azure czy Google Cloud), przy jednoczesnym wymuszeniu pełnego szyfrowania danych – zarówno w spoczynku, jak i podczas ich przesyłania. Cała infrastruktura podlega ciągłemu monitoringowi za pomocą natywnych narzędzi, takich jak AWS CloudTrail, Azure Monitor czy Google Cloud Logging, co zapewnia pełną widoczność zdarzeń operacyjnych i próby nieautoryzowanego dostępu. Aby utrzymać najwyższy poziom zgodności ze standardami, przeprowadza się regularne audyty konfiguracji z wykorzystaniem usług AWS Config czy Azure Security Center.
Bezpieczeństwo fizyczne infrastruktury IT opiera się na ścisłej kontroli dostępu do serwerowni za pomocą kart zbliżeniowych, systemu CCTV oraz szczegółowego rejestru wejść i wyjść. Aby zagwarantować stabilną pracę urządzeń, zapewnia się odpowiednie warunki środowiskowe, instalując precyzyjną klimatyzację, czujniki dymu i wody oraz automatyczne systemy gaszenia gazem. Ciągłość działania zabezpiecza się poprzez wdrożenie zasilania awaryjnego w postaci jednostek UPS i generatorów prądotwórczych.
Podstawą budowania budowania odporności organizacji jest regularne szkolenie pracowników z zakresu aktualnych zagrożeń – w tym phishingu, ransomware czy wyrafinowanych ataków socjotechnicznych – połączone z nauką dobrych praktyk bezpieczeństwa. Pozyskaną wiedzę weryfikuje się w praktyce poprzez testowe kampanie phishingowe, których wyniki są szczegółowo omawiane z zespołem, aby wskazać obszary do poprawy. Aby wiedza była stale dostępna, udostępnia się materiały edukacyjne, takie jak poradniki, checklisty czy plakaty, w łatwo dostępnych miejscach w firmie.
Powyższe wytyczne tworzą jednolity, wielowarstwowy system ochrony, który obejmuje zarówno aspekty techniczne, takie jak aktualizacje, segmentację czy kopie zapasowe, jak i aspekty organizacyjne w postaci polityk, szkoleń, kontroli oraz zarządzania ryzykiem. Tylko konsekwentne podejście do tematu i cykliczne działania są w stanie faktycznie ograniczyć ryzyka ataków oraz zminimalizować skutki ewentualnych naruszeń.
Najnowsze komentarze