CSIRT e-Zdrowia: Blisko 1400 incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia

Rośnie liczba incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia. Do końca września było ich blisko 1400, tyle, co przez cały zeszły rok – powiedział Jeremi Olechnowicz z Centrum e-Zdrowia.

Dane stały się nowym złotem

Wiceminister Zdrowia, Tomasz Maciejewski powiedział podczas spotkania z dziennikarzami w Centrum e-Zdrowia, że incydenty cyberbezpieczeństwa stanowią problem na całym świecie i nie dotyczą tylko ochrony zdrowia.

„Dane stały się nowym złotem” – powiedział wiceminister. Zaznaczył, że cyberataki są wynikiem działalności przestępców, ale także elementem wojny hybrydowej, ich celem jest osłabianie atakowanych państw. 

Maciejewskie przypomniał, że w połowie września CSIRT (Cyber Security Incident Response Team) Centrum e-Zdrowia opublikował zalecenia dla dostawców oprogramowania medycznego. 

„Mamy dużych, silnych dostawców, ale mamy również mniejsze firmy, które dostarczają oprogramowanie do mniejszych podmiotów medycznych. Tam  trzeba wykształcić właściwe zachowania, po stronie dostawców oprogramowania” – powiedział wiceminister. 

Dyrektor Pionu Eksploatacji Systemów Teleinformatycznych w Centrum e-Zdrowia Jeremi Olechnowicz powiedział, że Centrum e-Zdrowia od kilku lat rejestruje wszystkie incydenty w sektorze ochrony zdrowia. Ich liczba rośnie. Do końca września było blisko 1400. Tyle samo zarejestrowano w całym 2025 r. 

„Monitorujemy też incydenty poza Polską. Tendencja wzrostowa jest na całym świecie” – wskazał Olechnowicz. Zaznaczył, że ma to związek z postępującą digitalizacją. 

Olechnowicz powiedział, że w naszym kraju wzrost liczby incydentów wynika m.in. z uwarunkowań geopolitycznych, bo dobrze zorganizowane grupy hakerów działają na zlecenie innych rządów. Ponadto znaczenie ma także rosnące PKB Polski – bogacenie się społeczeństwa oznacza większe zyski w przypadku sprzedaży danych lub wyłudzeń.

Oszustwa sieciowe najczęstszą przyczyną incydentów

„To tak zwana socjotechnika, czyli próby nadużywania zaufania użytkowników końcowych, administratorów systemów, pracowników podmiotu, czasem też pacjentów czy choćby lekarzy w sektorze” – tłumaczył dyrektor. W 2026 r. takich incydentów było 389. Kolejne często powtarzające się przyczyny ataków, to podatność (269), wycieki poświadczeń (110) i złośliwe oprogramowanie (79).

Olechnowicz powiedział, że rośnie nie tylko liczba, ale i złożoność ataków. Wskazał, że w skrajnych przypadkach cyberataki mogą wpłynąć na zdrowie i życie pacjentów.

„Takie przypadki u nas w kraju jeszcze nie miały miejsca, ale zdarzały się na świecie” – powiedział dyrektor. 

Olechnowicz tłumaczył, że cyberbezpieczeństwo składa się z wielu elementów, zaczynając od świadomości zagrożeń, przez technologię, właściwe prawo, kompetencje ludzi po ciągłe monitorowanie systemów i reagowanie. Przypomniał, że ostatnie ataki nie miały wpływu na centralny system P1. Miały miejsce w podmiotach, które z systemem centralnym się integrują.

„Między innymi dlatego przyspieszyliśmy nasze działania w zakresie zaleceń dla dostawców. Wysłaliśmy je do producentów oprogramowania, dostawców platform, do stowarzyszeń, które grupują takich producentów. Zalecenia opublikowaliśmy też na naszych portalach: e-Zdrowiu i CSIRT CeZ” – wymienił dyrektor. 

Zaznaczył, że zalecenia stanowią „podsumowanie najlepszych praktyk”. Chodzi m.in. o zarządzanie bezpieczeństwem, ochronę danych i architekturę systemu czy monitorowanie i reagowania na incydenty. 

Zalecenia te są skierowane m.in. do dostawców systemów gabinetowych, których dotyczyły ostatnie wycieki danych. Jak poinformował dyrektor Departamentu e-Zdrowia Ministerstwa Zdrowia Łukasz Sosnowski w Polsce jest 46 dostawców systemów gabinetowych oraz kilku (ok 8-9) dostawców systemów szpitalnych. Sosnowski zaznaczył, że w perspektywie roku zalecenia mają stanowić obligatoryjny wymóg. 

Olechnowicz zaznaczył, że CSIRT e-Zdrowia nie monitoruje, co się dzieje w każdym podmiocie. 

„Zgodnie z przepisami każdy podmiot buduje swoje cyberbezpieczeństwo. My wspieramy, podpowiadamy, pomagamy w obsłudze incydentów. Jesteśmy swego rodzaju konsultantem, kimś, kto monitoruje, ostrzega” – wyjaśnił dyrektor. Natomiast CSIRT m.in. monitoruje opublikowane podatności, informuje podmioty medyczne o tych, które mogą ich dotyczyć. Publikuje ostrzeżenia na stronie. Monitoruje kradzieże loginów i haseł, informuje, jeśli pojawią się w tak zwanym dark webie.

Wspieranie podmiotów po zaistnieniu incydentu

CSIRT e-Zdrowia także szkoli podmioty medyczne. W tym roku takie szkolenia przeszło ok. 2 tys. osób. 

„Korzystamy też ze środków z KPO, które udało się pozyskać na potrzeby CSIRT-u. To ok. 13 mln zł.” – powiedział Olechnowicz. Pieniądze te są przeznaczone na cztery projekty. Jednym z nich jest „cyberkaretka”.

„To mobilne centrum reagowania na incydenty cyberbezpieczeństwa” – powiedział dyrektor. Wskazał, że pojazd jest wyposażony w mobilną serwerownię, dostęp do Internetu (starlinki), własnego zasilania i infrastruktury sieciowej.  

„Celem jest wspieranie podmiotów, w szczególności szpitali, w pierwszych dniach, czy nawet tygodniach po zaistnieniu incydentu. Szpital może potrzebować użyczenia sprzętu, serwerów, macierzy, udostępnienia np. Internetu, jeśli ma np. skompromitowane urządzenia brzegowe. Nasza mobilna serwerownia może bardzo szybko pojawić się w podmiotach sektora ochrony zdrowia, użyczyć ten sprzęt razem ze wsparciem naszych specjalistów. Mamy m.in. zakupione urządzenia do analizy śledczej, kopiowania szybkiego materiałów dowodowych. Co ważne, w związku z tym, że jesteśmy podmiotem publicznym, usługa jest bezpłatna” – powiedział Olechnowicz.

CSIRT (Cyber Security Incident Response Team) Centrum e-Zdrowia powstał w grudniu 2023 r. Jest jedynym CSIRT-tem sektorowym w obszarze ochrony zdrowia w Polsce. Współpracuje z CSIRT MON, CSIRT NASK i CSIRT GOV w zakresie koordynowania obsługi incydentów poważnych. (PAP)