Nemocnice – noční můra bezpečáka

Jedním z hlavních témat nedávného setkání ředitelů nemocnic, pořádaného agenturou Magnus Regio, bylo zvyšování bezpečnosti v nemocnicích. Rok 2019 přinesl dvě v tomto ohledu unikátní kazuistiky, o které se na setkání podělili zástupci přímo z nemocnic, kterých se týkaly. Mluvilo se o mimořádných událostech v nemocnicích v Benešově a v Ostravě a o tom, jak přecházet kybernetickým útokům a napadení útočníkem se střelnou zbraní.

Ředitel Fakultní nemocnice Ostrava MUDr. Jiří Havrlant shrnul tragickou událost, kdy útočník v budově tamní polikliniky zastřelil sedm lidí, dvě osoby zranil a následně mimo areál nemocnice spáchal sebevraždu. Samotná střelba trvala asi tři minuty. Útočník předtím procházel poliklinikou a vybíral si místo s větším množstvím lidí. Tím byla čekárna traumatologické ambulance.

Ředitel Havrlant uvedl, že nemocnice zvažuje přípravu komplexního velínu. Takové společné centrální pracoviště integruje informace technické, zdravotnické i krizové, a tím pomáhá rychle a efektivně reagovat v krizových situacích. Výhodou není jen to, že k sobě klíčoví pracovníci mají blízko, ale zejména možnost práce s různými daty v jednom informačním prostředí. Na stejném okně obrazovky jsou přehledně k dispozici záznamy z kamer i hlášení vad na kabelech, informace o aktuální pozici lidí z ochranky nebo požární poplach. Moderní systémy takového velínu mohou efektivně zpracovávat data z kamer. „Co potřebujeme pro lepší zabezpečení, je příprava komplexního velínu jako ve Fakultní nemocnici Brno nebo v IKEM, kde zdravotnický, krizový i technický dispečink sedí na jednom místě. Připravujme podmínky k tomu, abychom mohli využít nástavbu rozeznání pohybu osob a vytipovávat osoby s nestandardním pohybem po areálu,“ řekl Havrlant.

To není vše, o čem pro zvýšení fyzické bezpečnosti ve FN Ostrava aktuálně uvažují. Ředitel Havrlant také mluvil o možném posílení zabezpečení dveří tak, aby oddělovaly prostory s přístupem pro různé osoby a nedovolily člověku dostat se někam, kde nemá co dělat.

Podle Havrlanta byla při bezprostřední reakci na útok výhoda, že v nemocnici v průběhu roku dvakrát proběhla školení v rámci dotačního programu ochrany měkkých cílů v resortu zdravotnictví. Zaměstnanci tedy měli některá doporučení, jak se chovat při útoku, zažitá. Například princip, že v případě podobného útoku střelcem je vhodné se zabarikádovat a schovat, nikoli evakuovat. „Můžeme být rádi, že jsme se zapojili do projektu zvyšování ochrany měkkých cílů. Letos jsme se do dotačního programu znovu přihlásili,“ uvedl Havrlant.

Bezpečnost kyberprostoru

Na stejném setkání ředitelů nemocnic prezentovala informace o kybernetickém útoku na Nemocnici Rudolfa a Stefanie Benešov ze svého pohledu lékařky a manažerky pro lékařské obory MUDr. Markéta Bláhová. Když v noci 11. prosince IT specialista rozhodl vypnout všechny servery, počítače a přístroje, celá nemocnice se podle jejích slov přenesla o mnoho let zpátky. „Zbyla nám hlava, ruka, papír, tužka a telefon, nic jiného,“ uvedla Bláhová. Co všechno nefunguje, když je mimo provoz počítačová síť, přístroje napojené na síť a počítače, to by si těžko kdo dokázal představit. I když byl základní provoz nemocnice obnoven již po třech týdnech, některé funkce nejsou zprovozněny dodnes. „Praktických problémů byla spousta. Všechny přístroje musely mít přeinstalované ovladače. Když nám zprovoznili rentgeny, nefungovala síť. Když chtěl lékař z chirurgické ambulance vidět snímek, musel běžet na radiologické oddělení a podívat se na malou obrazovku, která je součástí přístroje,“ popsala MUDr. Bláhová. V laboratořích museli každou požadovanou hodnotu z papírové žádanky manuálně zadat do přístroje a pak stejně sepsat výsledky. Laboratoře sice začaly fungovat relativně brzy, byly ale schopné zpracovat desetinu odběrů. Velký problém měli v Benešově s krevními deriváty. Bez funkční sítě museli hledat ve spolupráci se Státním ústavem pro kontrolu léčiv mimořádný způsob, jak validovat a použít již odebrané a zpracované krevní přípravky, další odběry krve nemocnice neprováděla, musela krev nakupovat. Nefungovaly ani ekonomické systémy, velký provozní problém byl s rozesláním výplat, nefunguje objednávkový systém v jídelně.

Ve výsledku z nemocnice neunikla citlivá data, žádný pacient podle Bláhové nebyl poškozen, ale ekonomická ztráta je v desítkách milionů korun. Nemocnice vysledovala počítač, na kterém někdo otevřel infikovanou přílohu e‑mailu. Ten měl podobu výzvy k zaplacení faktury a vypadal realisticky včetně vlákna se známými e‑mailovými kontakty. Jak uvedla Bláhová, na kontakt uvedený při zavirování sítě nemocnice nereagovala a žádné výkupné neplatila.

Ministerstvo zdravotnictví požádalo nemocnice po benešovském útoku o vyplnění dotazníku o kyberbezpečnosti. „Je to poprvé, co probíhá tak detailní šetření. Na základě dotazníku budeme pořádat setkání se zástupci nemocnic. Dotazník vyhodnotíme a domluvíme se, co s tím dál,“ řekl Ing. Martin Zeman, ředitel ministerského Národního centra elektronického zdravotnictví.

„Musíme si přestat lhát v bezpečnosti, znát své slabiny,“ apeluje na nemocnice Ing. Aleš Špidla, prezident Českého institutu manažerů informační bezpečnosti. „Nemocnice je z hlediska bezpečnosti jedno z nejsložitějších prostředí, jaké si umíte představit. Pro každého bezpečáka je to zoufalé,“ uvádí. Ačkoli zákon o kybernetické bezpečnosti klade nejpřísnější nároky jen na šestnáct českých nemocnic, Špidla radí všem nemocnicím, aby se jím řídily. „Kybernetická bezpečnost není jen otázka zákonů, ale pudu sebezáchovy. Zdravotnické informační systémy jsou nejčastějším terčem útoků,“ řekl Špidla. Existuje pomůcka pro audit kybernetické bezpečnosti a ta může všem nemocnicím posloužit jako určitý soupis úkolů.

Zdroj: MT