Z Pawłem Dobrzańskim, Chief Defence Advisor, T-Mobile Polska, rozmawia Marcin Malinowski
Marcin Malinowski: Ataki na infrastrukturę krytyczną pokazują, że zagrożenia dla funkcjonowania ochrony zdrowia wykraczają poza cyberprzestrzeń. Jak zmienia to podejście do ochrony danych i cyberbezpieczeństwa, zwłaszcza w szpitalach?
Paweł Dobrzański (na zdjęciu): Dziś granica między bezpieczeństwem cyfrowym a fizycznym praktycznie się zaciera. Coraz częściej obserwujemy incydenty wymierzone jednocześnie w oba obszary. W ostatnich miesiącach ich celem była m.in. infrastruktura krytyczna i operatorzy telekomunikacyjni, czego przykładem jest podpalenie naziemnej infrastruktury Starlink w okolicach Grójca. To pokazuje, że musimy inaczej spojrzeć na kwestie bezpieczeństwa.
Przez lata skupialiśmy się głównie na cyberatakach, ale obecnie nie możemy ograniczać się wyłącznie do nich. Kluczowa staje się odporność całego środowiska w pełnym spektrum działania organizacji. Szpital może przez pewien czas funkcjonować bez części systemów IT, jednak dużo większym problemem będzie brak prądu, wody czy fizyczne uszkodzenie infrastruktury. Dlatego bezpieczeństwo trzeba budować kompleksowo, uwzględniając zarówno ryzyka cyfrowe i fizyczne, jak i zależności w łańcuchu dostaw. Ciągłość działania organizacji zależy dziś od wszystkich tych elementów jednocześnie.
MM: Jak ocenia Pan zaangażowanie państwa w podnoszenie bezpieczeństwa?
PD: Obserwuję stale rosnące zaangażowanie i wiele ważnych inicjatyw dotyczących cyberbezpieczeństwa. ABW i policja coraz aktywniej zajmują się incydentami, a ich kompetencje i praktyczne podejście wyraźnie wzrosły. Ważne jest, aby podejmowane działania rzeczywiście wzmacniały odporność na kryzysy, niezależnie od tego, czy mówimy o zagrożeniach wojennych, powodziach czy innych zdarzeniach zakłócających ciągłość działania.
Pomagają też dostosowywane do sytuacji przepisy. Przykładem jest nowelizacja ustawy o zarządzaniu kryzysowym z 29 maja 2026 roku, która weszła w życie w lipcu. Określa ona m.in. rolę osoby odpowiedzialnej za ochronę infrastruktury krytycznej i wzmacnia indywidualną ocenę ryzyka. Co istotne, ustawodawca dostrzegł, że zagrożenia zależą od lokalizacji i charakterystyki obiektu. Zagrożenia szpitala zlokalizowanego w pobliżu przesmyku suwalskiego będą inne niż na terenach szczególnie narażonych na powodzie. To ważna zmiana, której skuteczność zależy oczywiście od wdrożenia.
MM: Jaką rolę w budowaniu odporności szpitali mogą odgrywać firmy komercyjne? W czym operator telekomunikacyjny może pomóc placówkom w kryzysie?
PD: Przede wszystkim w zapewnieniu łączności. Za energię odpowiadają przedsiębiorstwa energetyczne, ale szpital potrzebuje także niezawodnej komunikacji, by zgłosić potrzeby i koordynować działania.
T-Mobile rozwija nie tylko sieć mobilną, lecz także światłowodową, również przez akwizycje. W ramach grupy Deutsche Telekom współpracujemy też z dostawcami łączności satelitarnej. Możemy przygotować niezależne sieci z własnym zasilaniem — generatorami i bateriami — działające przez wiele dni, zależnie od ryzyka, dostępności paliwa i czasu przywrócenia prądu. Samorządy i jednostki medyczne coraz częściej pytają właśnie o te możliwości.
Wspieramy również cyberbezpieczeństwo i sprawne funkcjonowanie placówek, czego przykładem są prywatne sieci kampusowe 5G. Zapewniają one bezpieczną, szyfrowaną komunikację, a jednocześnie umożliwiają monitorowanie dostępności sprzętu medycznego oraz usprawnienie procesów związanych z opieką nad pacjentami i zarządzaniem zasobami.
MM: Ostatnie miesiące to w szpitalach duża skala inwestycji. Jak środki z KPO i innych programów wpłynęły na poziom bezpieczeństwa systemów informatycznych i danych w szpitalach?
PD: Sytuacja się poprawia. Władze szpitali i samorządy coraz lepiej rozumieją skalę wyzwań, a kolejne incydenty i towarzysząca im debata publiczna wzmacniają tę świadomość. Potrzebne są również odpowiednie środki finansowe, które przełożą się na konkretne inwestycje i działania zwiększające odporność.
Nie wszystkie szpitale są jednak wystarczająco bezpieczne. Przygotowanie jest nierówne, a brak incydentu nie oznacza, że placówka jest dobrze chroniona. Dlatego kolejne inwestycje są zasadne. Ale nie zaczynałbym od zakupu konkretnego rozwiązania, lecz od audytu. Najpierw należałoby zidentyfikować luki, określić cele i dopiero na tej podstawie dobrać rozwiązania, które będą skuteczne i uzasadnione biznesowo. Nie warto podejmować decyzji wyłącznie pod wpływem obietnic producentów czy atrakcyjnych haseł marketingowych.
MM: Jak przygotować szpital na szybkie odtworzenie danych i przywrócenie systemów w przypadku wystąpienia incydentu i zaszyfrowania danych lub ich utraty?
PD: Kluczowe jest planowanie. Trzeba założyć, że atak nastąpi wcześniej czy później. Niezbędne są kopie zapasowe, procedury przywracania i ćwiczenia. Oczywiście same kopie bezpieczeństwa nie gwarantują sukcesu. Konieczne jest sprawdzenie czy działają i ile czasu zajmie odtworzenie systemów. Trzeba również ćwiczyć scenariusze awaryjne zakładające niedostępność systemów IT.
Pomagają w tym współpraca z profesjonalnymi partnerami i służbami oraz wymiana doświadczeń między placówkami. Ważne jest, aby szpitale nie uczyły się wyłącznie na własnych błędach, ale też z wniosków płynących z incydentów, które dotknęły inne organizacje.
MM: Podczas kwietniowej debaty „Bezpieczny Szpital (wobec zagrożeń) Przyszłości” sporo miejsca poświęcił Pan modelowi „Security as a Service”, zamiast budowania całego zaplecza sprzętowego i ludzkiego we własnym zakresie.
PD: Utrzymywanie zapasów sprzętu zwykle nie jest efektywne: urządzenia się starzeją, a poza nimi potrzebne są systemy, dane i procedury. Alternatywą może być wcześniejsze zabezpieczenie mocy obliczeniowej lub przestrzeni dyskowej w niezależnych centrach danych. Pozwala to szybciej uruchomić zasoby niż przy zamawianiu i wdrażaniu nowego sprzętu. Dostawca zapewnia też profesjonalistów w wielu niszowych specjalizacjach, wspieranych najnowszymi rozwiązaniami technologicznymi.
Zadaniem szpitala powinno być określenie potrzeb, przygotowanie kopii danych, łączy, wypracowanie procedur oraz ustalenie zasad współpracy z dostawcą. Partner prywatny może zapewnić zasoby rezerwowe, łączność i kompetencje, pod warunkiem, że placówka wcześniej zaplanuje ich wykorzystanie.
Cieszy mnie, że o outsourcing mocy obliczeniowej coraz częściej pytają przedstawiciele instytucji centralnych, odpowiedzialni za działania antykryzysowe.
MM: Jeśli pojawią się kolejne budżety lub dofinansowania, na jakie obszary szpitale powinny przeznaczyć środki w pierwszej kolejności?
PD: Najpierw na analizę ryzyka i audyt, a potem na rozwiązania dopasowane do potrzeb i budżetu. Szczególny nacisk położyłbym na awaryjną łączność. Szpital powinien wiedzieć, z kim skontaktuje się podczas przerwy w zasilaniu, jakie kanały pozostaną dostępne i czy potrzebuje transmisji danych, czy tylko połączeń głosowych.
Ważny jest też łańcuch dostaw: nie tylko leków i materiałów medycznych, lecz także paliwa, sprzętu, usług IT i łączności. Trzeba wiedzieć, gdzie mogą powstać przerwy, kto i kiedy zapewni zasoby oraz czy umowy obejmują wsparcie kryzysowe. Szpital powinien móc działać samodzielnie przez pierwsze dni kryzysu, zanim nadejdzie pomoc.
MM: Dużo mówimy o sprzęcie i usługach, ale równie ważni są ludzie. Jaką rolę odgrywają edukacja pracowników i budowanie kompetencji?
PD: Edukacja musi być stała i konsekwentna. Po dłuższym okresie bez incydentów czujność słabnie, dlatego potrzebne są kampanie, przypominanie zasad cyberhigieny i ćwiczenia. Pomocne są kontrolowane testy phishingowe, które wskazują, które osoby czy zespoły wymagają dodatkowego szkolenia.
Oczywiście szkolenia nie wyeliminują wszystkich błędów, ale ograniczą liczbę prostych incydentów. Wiadomym jest, że skuteczność narzędzi zależy od ludzi, którzy potrafią właściwie ocenić sytuację i podjąć odpowiednie działania. Dlatego inwestycjom w technologie musi towarzyszyć rozwój kompetencji oraz wymiana doświadczeń między szpitalami.
MM: Jakie nowe rozwiązania mogą wspierać bezpieczeństwo fizyczne szpitali, zwłaszcza w obiektach o dużym natężeniu ruchu?
PD: Warto rozważać inteligentne systemy ochrony fizycznej, w tym narzędzia wykorzystujące sztuczną inteligencję do analizy obrazu z kamer i wskazywania sytuacji wymagających reakcji. W obiektach o dużym natężeniu ruchu mogą one wspierać w szybszym identyfikowaniu potencjalnych zagrożeń.
Trzeba jednak pamiętać, że bezpieczeństwo fizyczne nie zaczyna się od technologii. Kluczowe są analiza ryzyka, procedury, przygotowanie personelu oraz zdolność organizacji do działania w sytuacjach kryzysowych. Dopiero na tym fundamencie warto budować rozwiązania technologiczne, ponieważ nie ma jednego rozwiązania odpowiedniego dla wszystkich szpitali.
MM: Dziękuję za rozmowę.
