Przy kolejnej modernizacji polskiej placówki warto zacząć od danych, które mają pozostać poufne przez lata. Dla jednego przepływu dokumentacji manager powinien ustalić z dostawcą, jak długo trzeba chronić informacje i czy zabezpieczenia urządzeń po drodze da się aktualizować.

Szyfrowanie zapisuje dane w postaci nieczytelnej bez odpowiedniego klucza; chroni je podczas przechowywania lub przesyłania. AI (sztuczna inteligencja) może pomóc uporządkować dokumentację techniczną, ale nie potwierdzi, jakie zabezpieczenia faktycznie działają. Nowy raport Forescout pokazuje, dlaczego taką rozmowę z dostawcą trzeba uwzględnić w planie wymiany sprzętu.

Raport Forescout pokazuje problem z przygotowaniem urządzeń

6 października 2026 r. Forescout ogłosił analizę ponad 2,5 mln urządzeń w ponad 50 organizacjach medycznych. Dwa dni później opisał ją Healthcare Dive. Według dostawcy urządzenia medyczne pozostają mniej przygotowane do nowych metod ochrony kryptograficznej niż zwykłe komputery i serwery. To obserwacja infrastruktury objętej badaniem, nie wynik dla polskich placówek ani dowód, że każde starsze urządzenie trzeba natychmiast wymienić.

Chodzi o kryptografię postkwantową, czyli metody zabezpieczania informacji projektowane tak, by opierały się także atakom przyszłych komputerów kwantowych. Takie komputery wykorzystują inne zasady obliczeń i przy dostatecznej mocy mogłyby złamać część obecnych zabezpieczeń. Nie wiadomo, kiedy powstanie urządzenie zdolne do takiego ataku. Sam raport nie ustanawia polskiego terminu wymiany systemów.

Dokumentacja może wymagać ochrony dłużej niż urządzenie

Instytut Łączności już 26 czerwca 2026 r. wskazywał dane medyczne jako informacje, które muszą pozostać poufne przez wiele lat. Problem polega na tym, że ktoś może przechwycić zaszyfrowaną transmisję dziś i zachować ją, licząc na możliwość odczytania za wiele lat. Późniejsza modernizacja placówki nie zmieni kopii, którą wcześniej zebrał atakujący. Nie oznacza to jednak, że wszystkie metody szyfrowania są jednakowo zagrożone.

Z tego wynika różnica między terminem wymiany urządzenia a czasem ochrony dokumentacji. Wynik badania przesłany przed wymianą może nadal wymagać poufności, gdy starego sprzętu nie będzie już w pracowni. W harmonogramie, łatwo pominąć ten odstęp. Dlatego ocenę trzeba zacząć od drogi danych, a dopiero potem przypisać do niej urządzenia i terminy zmian.

Dla przepływu wyników z pracowni do systemu dokumentacji administrator ustala, gdzie informacje są zapisywane i przesyłane oraz które elementy zapewniają ochronę. Dostawca powinien wyjaśnić, co można zaktualizować, a co wymaga wymiany, wraz z okresem wsparcia. Specjalista sprawdza, czy aktualizacje zabezpieczeń będą dostępne przez czas wymaganej poufności danych, a jeśli nie, które urządzenia trzeba będzie wcześniej wymienić. Sam okres przechowywania wyniku nie przesądza o wyborze technologii.

Sprawdź z dostawcą możliwość aktualizacji urządzeń

Na najbliższym spotkaniu wybierz z administratorem jeden przepływ wyników lub obrazów i poproś dostawcę o opis jego zabezpieczeń oraz możliwości aktualizacji. Na spotkaniu, przyda się jedna wspólna notatka. Rozróżnijcie w niej informacje potwierdzone dla używanej wersji systemu od zapowiedzi producenta. Ogólna deklaracja gotowości produktu nie potwierdza ustawień konkretnej instalacji.

NIST (amerykański instytut opracowujący standardy techniczne) zaleca rozpoznanie miejsc użycia kryptografii oraz testy współdziałania nowych rozwiązań w osobnym systemie testowym, który nie służy do bieżącej obsługi pacjentów. Do próby aktualizacji można przejść po ustaleniu jej zakresu, sposobu sprawdzenia i powrotu do poprzedniej wersji. Nie zmieniaj zabezpieczeń urządzenia obsługującego pacjentów na podstawie samej odpowiedzi modelu AI; specjalista z dostawcą muszą najpierw ocenić wpływ na ciągłość świadczeń.

AI można powierzyć porównanie publicznych instrukcji i opisów wersji, bez danych pacjentów, haseł czy kluczy. Administrator sprawdza wskazane fragmenty i ustawienia systemu w placówce, a manager zatwierdza uzgodniony plan prac. Jeżeli okaże się potrzebny zakup, wymagania dotyczące aktualizacji warto przenieść do całego procesu zamówienia systemu. Wynikiem rozmowy ma być ustalenie, który element wymaga aktualizacji lub wymiany i co sprawdzić przed wyborem terminu.

Źródła