Placówki medyczne muszą też zadbać o wydajną infrastrukturę IT, która pozwoli dostarczać im usługi w sposób optymalny, z korzyścią dla nich samych, a przede wszystkim dla pacjenta. Dlatego zanim dojdzie do upowszechnienia w ochronie zdrowia nowych, najbardziej zaawansowanych technologii, takich jak sztuczna inteligencja, IoT, edge computing czy wirtualna rzeczywistość, trzeba dostarczyć do szpitali te bardziej podstawowe narzędzia, które przyśpieszą ich cyfryzację.

Tablet zamiast kartki papieru

Pandemia pokazała, jak wielkie korzyści może przynieść cyfryzacja i jakim utrudnieniem jest jej brak. Piotr Skirski, Regional Manager Public Sector & Enterprise w Cisco, daje przykład wprowadzenia pewnej procedury związanej koronawirusem, w ramach której lekarze byli w szpitalach zmuszeni do przechodzenia przez tzw. śluzy, czyli pomieszczenia służące oddzieleniu poszczególnych obszarów szpitala. Izolacja miała na celu ograniczenie rozprzestrzeniania się wirusa. W praktyce cały proces bardzo opóźniał i utrudniał całą szpitalną logistykę, przez co personel medyczny znacznie mniej czasu mógł poświęcać pacjentom.

– Lekarz anestezjolog, znajdujący się przy łóżku pacjenta na OIOM-ie, musi ustawić szereg parametrów respiratora podtrzymującego życie chorego. Jednocześnie, wiele informacji z tym związanych powinien wprowadzić do systemu medycznego. Jest to koniecznie, aby mogła być na bieżąco prowadzona historia opieki nad pacjentem – tłumaczy Piotr Skirski.

Przed wprowadzeniem ścisłych obostrzeń wyglądało to tak, że lekarz zapisywał sobie w notesie potrzebne informacje i szedł do pomieszczenia służbowego, w którym siadał przy komputerze, by uzupełnić historię choroby i leczenia pacjenta.

– Gdy nastały ograniczenia, w jednym ze szpitali lekarz spisywał na kartce wszystkie wymagane dane, po czym podchodził do wielkiej szyby, przykładając do niej tę kartkę. Z drugiej strony ktoś z personelu medycznego przepisywał to do notesu. Następnie ta osoba szła do komputera i wprowadzała do systemu dane – opisuje niezwykłą sytuację ekspert Cisco.

Można by nawet uznać, że takie działanie ad hoc spełniało swoje zadanie, bo redukowało możliwość zakażania. Gdyby jednak lekarz miał przy sobie tablet podłączony do systemu szpitalnego, to siedząc przy łóżku pacjenta, mógłby od razu wszystkie dane wprowadzić do systemu. A przecież chodzi o czas, który personel medyczny może poświęcić na opiekę nad kolejnymi pacjentami. A ten jest po prostu bezcenny.

Problemy, które ujawniły się na skutek pandemii pokazały, jak bardzo dziś technologia jest w stanie lekarzom uprościć życie przy zachowaniu najwyższych poziomów bezpieczeństwa. Dostęp do sieci bezprzewodowej i systemów szpitalnych dla personelu medycznego na miejscu, przy łóżku pacjenta ma w takich sytuacjach znaczenie fundamentalne. Od dostępu do dokumentacji pacjenta na mobilnym komputerze albo tablecie przez uzyskiwanie danych telemetrycznych z aparatury medycznej po systemy przywoływania personelu i aplikacje do lokalizacji – wydajna i bezpieczna sieć Wi-Fi staje się podstawą funkcjonowania placówek.

Telemedycyna – wszędzie tam, gdzie można…

Z powodu lockdownu telemedycyna, która wcześniej była nie za często stosowanym dodatkiem do tradycyjnych usług, stała się usługą pierwszej potrzeby. W październiku 2020 r. Anna Goławska, zaraz po objęciu teki wiceministra ds. informatyzacji w Ministerstwie Zdrowia, zadeklarowała: „chcę, aby telemedycyna stała się powszechna w publicznym systemie, szczególnie w zakresie elektronicznej dokumentacji medycznej oraz narzędzi umożliwiających udzielanie świadczeń zdalnie”.

Pandemia jeszcze bardziej uwypukliła problem, z którym polski sektor ochrony zdrowia zmaga się od lat. Według danych OECD w 2018 r. na 1000 Polaków przypadało 2,4 praktykujących lekarzy, co było najniższym wynikiem wśród wszystkich państw Unii Europejskiej, dla której średnia wyniosła 3,8. Dlatego inwestowanie w telemedycynę w tych obszarach, w których może być stosowana, powinno stanowić priorytet. Nie będzie to łatwe. W raporcie Siemensa „Priority Investment. Top investment areas for digital transformation in healthcare” już w 2019 r. podkreślano istnienie olbrzymiego wyzwania inwestycyjnego na rzecz telemedycyny, które w okresie 2019 – 2022 oszacowano dla Polski na 517 mln dol. Można przyjąć, że obecnie – wobec zwiększonych potrzeb – suma ta jest znacznie wyższa.

Autorzy badania przeprowadzonego wspólnie przez firmę EC2, zajmującą się projektami IT dla klientów z sektora medycznego, oraz akcelerator start-upów medycznych Tech Med House, stwierdzają: „Pandemia uświadomiła środowisku medycznemu, że e-rozwiązania są nie tylko niezwykle korzystne, lecz także niezbędne w systemie ochrony zdrowia. Bez nich świadczenie dużej części usług nie byłoby możliwe. Z kolei elektroniczna postać dokumentacji pozwala na efektywne realizowanie usług z zastosowaniem rozwiązań telemedycznych, ułatwia codzienną pracę placówek medycznych, a co najważniejsze, stawia pacjenta w centrum uwagi”.

Jakub Budziszewski, CEO EC2, podkreśla, że przyspieszenie cyfryzacji firm medycznych wiąże się z koniecznością znalezienia nowych kanałów komunikacji z pacjentami, klientami, kluczowymi partnerami biznesowymi czy dostawcami.

Zdaniem integratora

Tomasz Kiełbowski, dyrektor ds. klientów kluczowych, Vernity  

Fakt, że ochrona zdrowia to w zdecydowanej większości podmioty z sektora publicznego, determinuje zasady współpracy z nimi. W porównaniu z klientami biznesowymi mamy w tym przypadku dużo więcej procedur, których trzeba się trzymać. Dużo trudniej jest także przewidywać kierunki rozwoju tego rynku, zwłaszcza w sytuacji trwającej już od półtora roku pandemii. Szpitale zostały zaskoczone koniecznością przeniesienia części personelu do pracy zdalnej, a jednocześnie trafiało do nich mniej pacjentów z problemami niezwiązanymi z COVID-em, których trzeba było jakoś obsłużyć, chociażby poprzez zdalne konsultacje. Dlatego niektóre szpitale zakupiły rozwiązania, które pozwalają wykonywać część zadań, jak analiza zdjęć czy wyników z domu. Przykładowo, wdrożenie wirtualnych desktopów (VDI) rozwiązuje problemy z ograniczonym liczebnie personelem IT, co trafia do przekonania klienta. Nie zauważyłem natomiast, żeby szpitale były zainteresowane migracją infrastruktury do chmury, ponieważ posiadają zbyt wiele danych wrażliwych, które nie powinny być wynoszone na zewnątrz. Dlatego kupują serwery i pamięci masowe, po czym wdrażają je u siebie. Ponieważ szpitale korzystają z outsourcingu IT, to potrzebują także narzędzi do zarządzania i kontroli zdalnego dostępu na prawach administratora (typu PAM). Ostatecznie, pomimo zawirowań, w tej branży niezmiennie będzie występować zapotrzebowanie na moc obliczeniową czy storage. Pacjentów będzie tylko przybywać, a wraz z nimi rosnąć objętość dokumentacji.

  

Hybryda – modne słowo na nowe czasy

Również narzędzia do wideokonferencji mogą znakomicie usprawniać funkcjonowanie szpitali. Dzięki terminalom wideo pracownicy szpitala nie muszą przechodzić między poszczególnymi jego oddziałami i sekcjami, które często dzielą setki metrów. Lekarze, ale również pracownicy niemedyczni, używają terminali wideo, które są w różnych miejscach szpitala, żeby się komunikować. Co więcej, ta technologia sprawdza się również do konsultacji na zewnątrz, chociażby w przypadku, gdy lekarz z jednego szpitala chce porozumieć się z zewnętrznym specjalistą. Może w ten sposób uzgodnić zasadność wykonania konkretnych badań.

Oczywiście nie wszystko można załatwić w ramach konsultacji zdalnych. Dlatego potrzebne są rozwiązania hybrydowe, optymalnie łączące w sobie wykorzystanie technologii na odległość oraz na miejscu, w placówkach ochrony zdrowia. To nieuniknione, chociażby z powodu barier związanych z wiekiem części pacjentów i różnicami pokoleniowymi w obsłudze technologii. Choć dąży się do tego, żeby wizyt u lekarza było znów więcej, teleporady nie znikną.

– Część tych narzędzi, z których korzystaliśmy podczas pandemii, zostanie z nami na stałe. Także w przypadku ochrony zdrowia. Te wizyty, które nie wymagają konsultacji bezpośredniej z lekarzem, przykładowo związane z przedłużeniem recepty, będą mogły być świadczone w pełni zdalnie. W wielu innych sytuacjach będzie funkcjonować model hybrydowy – przewiduje Piotr Skirski.

Chmura raczej prywatna niż publiczna

Świadczenie usług telemedycznych i w ogóle cyfryzacja całego sektora powinna się opierać na rozwiązaniach chmurowych, umożliwiających gromadzenie, przetwarzanie i przechowywanie olbrzymich ilości danych o pacjentach. Musi odbywać się to w sposób zgodny z wymogami prawnymi w zakresie bezpieczeństwa przetwarzania wrażliwych danych osobowych. W tym kontekście wykorzystanie chmury publicznej robi się – w obecnej sytuacji prawnej – dość problematyczne.

Wojciech Janusz, EMEA Manufacturing Practice Lead w Dell Technologies, podkreśla, jak ważnym aspektem wykorzystania chmury w medycynie jest gromadzenie i współdzielenie informacji potrzebnych do badań medycznych. Precyzyjna medycyna czy diagnostyka wspierana sztuczną inteligencją wymagają dostępu do dobrej jakości danych. Tylko na ich podstawie i współdzieleniu ich pomiędzy ośrodkami możliwe stanie się opracowywanie odpowiednio skutecznych modeli leczenia.

– Niestety, o ile technologia do tego potrzebna już istnieje, to nadal brakuje nam regulacji prawnych umożliwiających jej pełne wykorzystanie – przyznaje Wojciech Janusz.

Na obecnym etapie transformacji bez wątpienia mamy do czynienia z dostępem i konsumpcją w modelu chmury publicznej takich rozwiązań, jak komunikatory, pakiety biurowe i inne tego typu aplikacje, potrzebne do codziennej pracy. Korzystają z nich lekarze i personel niemedyczny. Jeżeli chodzi natomiast o systemy medyczne, to model chmurowy jest już zgoła inny.

– Centrum e-Zdrowia, mając potężne własne zasoby, jest w pewnym sensie chmurą prywatną, wybudowaną przez polski rząd. Innym przykładem jest NFZ, który także ma swoje data center, w ramach którego tworzy różne systemy. Także szpitale mają swoje prywatne chmury, w których przechowują wrażliwe dane i systemy. Dlatego trudno spodziewać się, aby takie organizacje dążyły do transformacji do chmury publicznej – zauważa Piotr Skirski.

Ostatecznie chodzi o dane w najwyższym stopniu wrażliwe – o informacje dotyczące zdrowia pacjentów. Szybszej migracji do chmury publicznej można się natomiast spodziewać w obszarach „miękkich”, rozwiązaniach na potrzeby back office’u i usług, które nie dotyczą danych pacjentów.

– Obserwujemy wykorzystanie infrastruktury chmurowej do zapewnienia bezpiecznego dostępu, także dzięki uwierzytelnianiu wieloskładnikowemu. Inny przykład to przeniesienie do chmury portali do obsługi pacjenta, które jest wykonalne i możliwe do zabezpieczenia przez narzędzia typu Web Application Firewall – mówi Robert Dąbrowski, szef zespołu inżynierów w polskim oddziale Fortinetu.

Niektórzy liczą na zmianę w podejściu do chmury publicznej dzięki powołaniu spółki Krajowy Operator Chmury Medycznej (Chmura dla zdrowia), o czym w kwietniu tego roku poinformowały wspólnie Asseco Poland i Chmura Krajowa. Jej celem ma być „cyfryzacja służby zdrowia i umożliwienie jednostkom medycznym świadczenia e-Usług z zachowaniem najwyższych standardów bezpieczeństwa”. Chmura dla zdrowia będzie specjalizowała się w chmurowych wdrożeniach elektronicznej dokumentacji medycznej (EDM). Ma też zadbać o sprawne dostosowanie do regulacji prawnych i przyczyniać się do standaryzacji usług informatycznych w sektorze opieki zdrowotnej. Będzie działać w oparciu o platformę Google Cloud, które jest strategicznym partnerem Chmury Krajowej. Dane mają być przechowywane na terytorium Polski.

Zdaniem specjalisty

Piotr Skirski, Regional Manager Public Sector & Enterprise, Cisco  

Aby zapewnić równy dostęp do usług i technologii z tego zakresu dla wszystkich obiektów, cyfryzacja służby zdrowia powinna być jednym z kluczowych kierunków w planowaniu strategicznym Krajowego Planu Odbudowy. Nawet możliwość korzystania z podstawowej infrastruktury dostępu do sieci ma szansę w ogromnym stopniu ułatwić pracę lekarzy i całego personelu medycznego oraz podnieść poziom usług, które świadczą. Infrastruktura dostępowa zwiększa mobilność lekarzy, ułatwiając im pracę przy pacjencie, co jest szybsze, lepsze i tańsze. Drugą kluczową rzeczą jest bez wątpienia bezpieczeństwo w szpitalach – w tym wypadku chodzi o bezpieczeństwo w wymiarze cybernetycznym.

  

Wojciech Janusz, EMEA Manufacturing Practice Lead, Dell Technologies  

Jeśli chodzi o potrzeby polskich szpitali w obszarze IT, to odpowiedzią na nie może być to, co sprawdziło się już w innych gałęziach gospodarki. Chodzi o automatyzację procesów, najlepiej wspieraną przez sztuczną inteligencję. Czasochłonne i często uciążliwe czynności, takie jak gospodarowanie dostępnym sprzętem i pomieszczeniami, optymalizacja kalendarza dyżurów czy prowadzenie dokumentacji pacjenta można w dużej części wdrożyć w postaci bezobsługowej. Efektem takiego rozwiązania jest lepsze wykorzystanie istniejących zasobów oraz odciążenie personelu, który może skupić się na leczeniu.

  

Przede wszystkim bezpieczeństwo

Cyfryzacja służby zdrowia oczywiście niesie za sobą cyberzagrożenia. Dlatego istotne jest wypracowanie dobrych praktyk i koncentracja na kwestiach cyberbezpieczeństwa już na wczesnym etapie projektowania systemów i doboru technologii. Szpitale muszą zadbać o zabezpieczenie wszystkich urządzeń końcowych. Muszą pamiętać o wprowadzeniu segmentacji sieci, rozdzieleniu urządzeń medycznych od dostępu z urządzeń peryferyjnych typu tablet czy komputer. Powinny również zadbać o to, żeby móc sprawnie bronić się przed atakami typu ransomware. Zdaniem wielu specjalistów pomocne w radzeniu sobie z tymi wyzwaniami może być podejście Zero Trust, czyli ochrona już na poziomie DNS. Odpowiedzialne za technologię zespoły powinny zatroszczyć się również o autoryzację tego, kto ma dostęp do sieci.

Inwestycje w bezpieczeństwo IT będą w najbliższych latach kluczowe dla transformującej się branży medycznej. W tym kontekście zwraca się uwagę na fakt, że placówki ochrony zdrowia potrzebują wdrażania rozwiązań do segmentacji sieci, ale także inwestycji w wydajne firewalle następnej generacji (NGFW). Niezmiernie ważny jest też bezpieczny dostęp do sieci, który zapewnią rozwiązania takie jak NAC czy VPN.

– Wszędzie tam, gdzie tylko jest to możliwe, powinny być wykorzystywane rozwiązania zapewniające dwuskładnikową weryfikację dostępu do konta z zastosowaniem protokołu SAML – mówi Robert Dąbrowski.

W zapewnieniu bezpieczeństwa dużą rolę odgrywają także bramy skanujące pocztę elektroniczną, ponieważ e-mail nadal jest jednym z najczęściej wykorzystywanych narzędzi do cyberataków. Aplikacje internetowe chronione mogą być za pomocą zapory typu WAF. Kolejną warstwę zabezpieczającą przed atakami stanowią bardziej zaawansowane narzędzia typu sandbox oraz EDR (Endpoint Detection and Response).

Rzecz jasna, sama ochrona środowiska IT to jednak nie wszystko. Ponieważ przyczyną większości ataków jest ludzki błąd, tak ważną sprawą niezmiennie pozostaje szkolenie pracowników pod kątem ewentualnych zagrożeń.

Szpitale na celowniku hakerów

Niestety, szpitale i inne placówki opieki zdrowotnej muszą się liczyć z dużym zagrożeniem związanym z ransomware i innymi ukierunkowanymi na nie cyberatakami. Wynika to poniekąd z charakteru samej branży – dużego zdecentralizowania procesów w szpitalach i wykładniczo rosnącej ilości danych o stanie zdrowia pacjentów, gromadzonych i przechowywanych w formie elektronicznej dokumentacji medycznej (EDM) przez systemy medyczne.

Także COVID-19 przyczynił się do wzrostu ataków ransomware na służbę zdrowia. Wybuch pandemii zmusił dostawców usług medycznych do natychmiastowego tworzenia rozwiązań awaryjnych i dodatkowych placówek, więc brakowało czasu na zaplanowanie solidnej infrastruktury bezpieczeństwa IT w celu ochrony takich obiektów. Przejście praktycznie z dnia na dzień na pracę zdalną i szybkie wdrażanie elementów telemedycyny otworzyły dziesiątki nowych luk w zabezpieczeniach, które są równie szybko wykrywane przez cyberprzestępców.

Co gorsza, towarzyszy temu rosnące wyrafinowanie grup przestępczych wykorzystujących oprogramowanie ransomware. Z przeprowadzania ataków typu brute force o dużej skali szybko przeszły one na bardziej skoncentrowane, starannie zaplanowane i wykonywane uderzenia, które są dużo trudniejsze do wykrycia oraz neutralizowania.

Artykuł Rozwiązania IT dla placówek medycznych pochodzi z serwisu CRN.

Jeśli chodzi o cyberbezpieczeństwo w branżach regulowanych, to Jakub Jagielak, dyrektor ds. rozwoju cyberbezpieczeństwa w Atende, wskazuje na dwa dokumenty. Pierwszym jest ustawa o krajowym systemie cyberbezpieczeństwa (KSC), której przepisy teoretycznie powinny być bezwzględnie stosowane przez podmioty nią objęte, ale nierzadko są traktowane na równi z dobrymi praktykami.

– Przepisy wymagają dopracowania, a wiele firm, które powinny być objęte regulacjami KSC, nie dostało decyzji stwierdzającej, że z punktu działania państwa świadczą tzw. usługi kluczowe. W rezultacie procedury nie nadążają za rzeczywistością i dokonującymi się zmianami – mówi Jakub Jagielak.

Autorem drugiego dokumentu jest Komisja Nadzoru Finansowego, który to organ nie ma mocy sprawczej na poziomie ustaw, więc wydaje rekomendacje. A te, z punktu widzenia sektora finansowego, są de facto dobrymi praktykami. Przyjęło się jednak, że banki traktują rekomendacje KNF jako wytyczne, wychodząc z założenia, że lepiej nie mieć później kłopotów z regulatorem.

– Dlatego szybciej wprowadzane są mechanizmy i zmiany sugerowane przez KNF niż wytyczne z ustawy o KSC. Jeśli jednak porównać oba dokumenty, to widać, że są one bardzo do siebie podobne. Twórcy ustawy o KSC w dużej mierze oparli się na rekomendacjach KNF, przenosząc je na obszar bardziej technologiczny – zauważa specjalista Atende.

Także Bartosz Dzirba, CTO w Passus SA, wskazuje na odnoszące się do Operatorów Usług Kluczowych (OUK) przepisy o zachowaniu ciągłości działania. Chociaż dotyczą znacznie szerszego obszaru, to bez wątpienia brak przygotowania i zaniechania w zakresie cyberbezpieczeństwa prędzej czy później przyczynią się do powstania zagrożeń skutkujących przerwaniem tej ciągłości. W rezultacie Ustawa o krajowym systemie cyberbezpieczeństwa może być dla integratorów ważnym argumentem sprzedażowym.

Regulacje unijne

W tym zakresie powstały dokumenty, takie jak dyrektywa NIS (z aktualizacją NIS 2), które są wdrażane na poziomie krajowym. Podmioty regulowane, których realnie dotyczą te przepisy, to sektory związane z bezpieczeństwem państwowym, energetycznym, szeroko rozumianymi finansami, zdrowiem, transportem itd. To zatem bardzo pokaźna lista przedsiębiorstw i instytucji. Drugą kategorią są dostawcy usług cyfrowych, do których w teorii również można by zaliczyć bardzo dużo firm. W praktyce chodzi jednak przede wszystkim o międzynarodowe koncerny, których zakres działania wiąże się z trzema rzeczami: dostawą platform internetowych, chmurą i wyszukiwarkami. Dlatego w tym drugim przypadku trudno spodziewać się wysypu polskich przedsiębiorstw.

– Oczywiście są też organizacje, które chcą i rozumieją potrzebę zabezpieczenia infrastruktury, bez względu na przepisy tworzone na poziomie krajowym czy unijnym. Wśród nich takie, które w ten sposób zamierzają uzyskać przewagę konkurencyjną – podkreśla Bartosz Dzirba.

Sprzedaż regulowana: ani łatwo, ani przyjemnie?

W teorii dbałość o cyberbezpieczeństwo powinna cechować każdego klienta z branży regulowanej, ale w praktyce nie zawsze tak bywa… „Do tej pory nic mi się nie stało. Szacuję, że ryzyko jest niewielkie i nic się nie zdarzy jeszcze przez długi czas. Odłożę więc wdrożenie systemu cyberbezpieczeństwa na później i zaoszczędzone pieniądze przeznaczę na coś innego…” – w ten sposób Jakub Jagielak przedstawia tok myślenia, który nie jest wcale spotykany tak rzadko, jak mogłoby się wydawać.

Nieważne, że odsuwanie w czasie wdrożenia ochrony może mieć poważne konsekwencje, chociażby w postaci olbrzymiej kary finansowej, którą nałoży regulator, gdy dojdzie do wycieku danych. A przecież nie mniejsze straty dotyczyć będą reputacji. Przykładowo, kancelaria prawna, w której doszło do wycieku poufnych danych, będzie się być może musiała zamknąć, bo żaden klient już nigdy jej nie zaufa.

Do wcale nierzadkiej beztroski może przyczyniać się to, że regulator daje obecnie zbyt duży margines w interpretowaniu przepisów. Przepisy sprowadzają się do tego, co należałoby zrobić i jakie procedury wprowadzić, ale nie precyzują, jak to powinno zostać zrealizowane. Przykładowo, jeśli zobowiązują do monitorowania logów, czyli aktywności urządzeń, to można to robić na wielu poziomach. A zatem zbierać i przeglądać ręcznie albo automatycznie łączyć, korelować i uzyskiwać informacje wskazujące na zaawansowane zagrożenia, które za chwilę doprowadzą do nieszczęścia.

– Weźmy wytyczną dotyczącą ochrony stacji końcowych. Z jednej strony może to być zainstalowanie antywirusa i poprzestanie na tym, z drugiej dodanie do niego innych, zaawansowanych mechanizmów, które znacznie podniosą poziom bezpieczeństwa – mówi Jakub Jagielak.

Monitorowanie logów jest co prawda tożsame z zastosowaniem takiego rozwiązania, jak SIEM-a (Security Information and Event Management), ale tylko i wyłącznie w środowisku specjalistów ds. bezpieczeństwa. Gdy potrzeba wdrożenia SIEM trafi na zarząd, to często będzie kwestionowana zasadność zakupu takiego systemu.

– Pojawią się wątpliwości, czy konieczne jest zastosowanie tak potężnego narzędzia, które w dodatku jest drogie. Dlatego wcale nierzadko, zamiast kupić zaawansowane rozwiązanie do monitorowania logów, klient ogranicza się tylko do podstawowej funkcjonalności zarządzania logami, co kosztuje bez porównania mniej, a wymóg regulatora zostaje spełniony – tłumaczy specjalista Atende.

I tego może nie zmienić nawet audyt, który wykaże konieczność zastosowania SIEM-a. Wciąż pozostaje bowiem furtka: w przypadku braku jakichś systemów, można wytłumaczyć regulatorowi, dlaczego do tej pory ich nie wdrożono i liczyć na to, że takie wyjaśnienie zostanie przyjęte. Można przy tym usprawiedliwić się ograniczonymi budżetami i przedstawić rozciągnięty w czasie plan wdrażania – krok po kroku. To dodatkowo da takiej firmie większe pole manewru w kontekście dalszych audytów.

Do takich sytuacji dochodzi rzadziej w sektorze finansowym (szczególnie bankowym), w którym sprzedaż security w dużym stopniu determinują rekomendacje KNF dotyczące stosowania rozwiązań mających zapewnić ochronę i bezpieczeństwo danych, zarówno on-premise, jak i w chmurze. Banki muszą brać pod uwagę wytyczne mówiące, jakiego rodzaju działania mogą czy wręcz powinny być podejmowane, a jakie nie.

– Na tę warstwę regulacji wprowadzonych przez KNF, nakłada się dodatkowy czynnik w postaci ogólnie bardzo wysokiego poziomu świadomości technologicznej oraz innowacyjności polskiego sektora finansowego, który jest jednym z wiodących pod tym względem w Europie, a nawet na świecie. To sprawia, że bardzo dobrze pracuje się z klientami z tej branży, a sam rynek jest w miarę stabilny – mówi Piotr Skirski, Regional Manager Public & Enterprise w Cisco.

Pandemia w jakimś sensie zachwiała tą stabilnością i wymusiła na bankach wprowadzenie dodatkowych rozwiązań bezpieczeństwa, które pozwoliły przenieść pracowników na pracę zdalną, przy jednoczesnym zachowaniu wszelkich procedur dla zabezpieczenia danych wrażliwych w środowisku domowego biura.

– Banki zaczęły inwestować w rozwiązania VPN, ochronę DNS czy dodatkowe bezpieczeństwo urządzeń końcowych. Popularność zyskują też rozwiązania analityczne zapewniające pełną widoczność aplikacji w infrastrukturze IT banku – twierdzi przedstawiciel Cisco.

Dobry rynek do rozwoju usług

Rozwój rynku IT i coraz częstsze incydenty stanowiły już wystarczające argumenty do zainteresowania się cyberbezpieczeństwem, ale przepisy realnie to jeszcze wzmocniły. Już samo RODO zmusiło do większego niż wcześniej inwestowania w cyberbezpieczeństwo, co nie oznacza jednak od razu zakupu konkretnych rozwiązań.

– Przepisy to głównie procedury, regularne audyty, zarządzanie ryzykiem, szkolenia, co nie przekłada się jeszcze na wdrożenie systemu „klasy X” – zauważa Bartosz Dzirba.

Dlatego regulacje bardziej napędzają sprzedaż firmom audytorskim czy firmom świadczącym outsourcing cyberbezpieczeństwa. Co ma swoją dobrą stronę, bo nawet świetnie wdrożone narzędzie nie zabezpieczy użytkownika, jeśli tzw. czynnik ludzki nie będzie odpowiednio wyedukowany.

– Często więc przy okazji projektów IT zajmujemy się nie tylko ich wsparciem, ale ciągłym utrzymaniem i analizą danych. Zdarzają się też usługi, w ramach których próbujemy świadomie ten „czynnik ludzki” przetestować. W ostatnim czasie obserwujemy duży wzrost zainteresowania systemami do automatycznego testowania podatności, choć nie zawsze wyniki są wykorzystywane do realnych działań i poprawy bezpieczeństwa – mówi CTO Passusa.

Jeśli chodzi o wdrożenia, to każdy przypadek powinien być traktowany indywidualnie, a system bezpieczeństwa szyty na miarę realnego ryzyka, oczekiwań, kosztów i możliwości zespołu ds. bezpieczeństwa w danej firmie. Jednak bywa, że dyrektorzy IT oczekują gotowych rozwiązań. Dlatego niektórzy producenci stworzyli „czarne skrzynki”, które są połączeniem wielu ich produktów z zakresu security i obejmują swoim działaniem możliwie szeroki obszar cyberbezpieczeństwa w organizacji.

– Jednak vendorów o bardzo szerokiej ofercie nie ma dużo, za to na rynku funkcjonuje wielu producentów mocno wyspecjalizowanych narzędzi. Dlatego to integratorzy podejmują się tworzenia takich „czarnych skrzynek”, aby rósł zarówno poziom realnej ochrony, jak i możliwości „odhaczania” kolejnych pozycji z listy audytora – twierdzi Bartosz Dzirba.

Regulacje wymagają dopracowania

Zdaniem Jakuba Jagielaka dwa najważniejsze dokumenty – ustawa o KSC i rekomendacje KNF – to wciąż za mało, jeśli chodzi o obszar cyberbezpieczeństwa w państwie. Problemem jest chociażby to, że wytyczne nie przekładają się na wiedzę, w jaki sposób budować system cyberbezpieczeństwa. Ma to zmienić nowelizacja ustawy o KSC, która powinna być niedługo przesłana do sejmu, więc jest szansa, że wkrótce wejdzie w życie.

– A to jest konieczne, ponieważ na wielu konferencjach podsumowywano efekty dotychczasowej ustawy i nie wypadało to dobrze. Ze wszystkich firm, które powinny być zaklasyfikowane jako kluczowe dla systemu cyberbezpieczeństwa, taki status ma dziś jakieś 40 procent – szacuje Jakub Jagielak.

Takie zaklasyfikowanie pociąga za sobą konieczność przeprowadzenia audytów i sporządzenia rekomendacji, które następnie zostaną wdrożone. Największe firmy, takie jak producenci i dystrybutorzy energii, od początku musiały stawiać sobie wysoko poprzeczkę, budując system cyberbezpieczeństwa. Dlatego były pod tym względem zgodne z oczekiwaniami regulatora jeszcze przed wejściem w życie ustawy. Gorzej z mniejszymi organizacjami i takimi sektorami, jak kanalizacja czy wodociągi – one mają sporo do nadrobienia. Dlatego branże regulowane to rynek, na którym pracy integratorom zajmującym się cyberbezpieczeństwem nie powinno zabraknąć jeszcze długo. Muszą być jednak przygotowani na szereg wyzwań i edukowanie rynku.

Zdaniem integratora

Jakub Jagielak, dyrektor ds. rozwoju cyberbezpieczeństwa, Atende  

Dwa dokumenty – ustawa o KSC i rekomendacje KNF – to wciąż za mało, jeśli chodzi o obszar cyberbezpieczeństwa w państwie. Organizacje funkcjonują w ramach długich i złożonych łańcuchów dostaw i to właśnie one są źródłem potencjalnych zagrożeń. Nietrudno sobie wyobrazić taką sytuację, w której zewnętrzny dostawca, dajmy na to grupy energetycznej czy zbrojeniowej, nie stosuje się do przepisów KSC, bo nie ma takiego obowiązku. W rezultacie staje się furtką dla cyberprzestępców, bo najłatwiej jest im złamać jego zabezpieczenia. Problemem jest także to, że wytyczne nie przekładają się na wiedzę, w jaki sposób budować system cyberbezpieczeństwa. Ma to zmienić nowelizacja ustawy o KSC, która powinna być niedługo przesłana do sejmu, więc jest szansa, że wkrótce wejdzie w życie.

  

Bartosz Dzirba, CTO i członek zarządu, Passus SA  

W odpowiedzi na ewolucję zagrożeń i postępującą cyfryzację wszystkiego rynek cyberbezpieczeństwa rozwija się nieustannie i zmienia bardzo szybko. Większość organizacji, czy to tych wymienionych w regulacjach prawnych, czy też nie, już od dawna świadomie i poważnie podchodzi do obszaru security. To w zasadzie dziś pewien standard, bo chodzi o ich własne bezpieczeństwo, zabezpieczenie danych, o zaufanie klientów itp. Choć przepisy wspomagają pewne działania, to nie są głównym motywatorem – no chyba, że dla kogoś najważniejsze staje się zaliczenie audytu… To przekłada się na realne i w miarę ciągłe wzrosty sprzedaży produktów, usług, ale i doradztwa w tym zakresie. Jeśli dostawcy potrafią być na bieżąco i mają kompetencje, jest to bardzo dobry rynek do wykazania się.

  

Artykuł Cyberbezpieczeństwo w branżach regulowanych pochodzi z serwisu CRN.

Dariusz Fabiszewski, jest dyrektorem generalnym Cisco w Polsce. Dołączył do zespołu w marcu 2011 r. Wcześniej przez dwa lata pracował w Ernst & Young jako kierownik i ekspert w grupie doradztwa informatycznego w Dziale Doradztwa Biznesowego. W latach 2003-2009 był dyrektorem generalnym IBM Polska, a do 2003 r. – dyrektorem zarządzającym w Fujitsu Siemens Computers, gdzie odpowiadał za region obejmujący Polskę, Czechy, Rosję oraz kraje WNP. W 1996 roku dołączył do Siemens Nixdorf Information Systems AG, piastując stanowisko dyrektora zarządzającego. W latach 1998-1999 był dyrektorem zarządzającym w Siemens Business Services and Information & Communications Products w Polsce.

Dariusz Fabiszewski jest absolwentem Politechniki Warszawskiej na kierunku Telekomunikacja. Ukończył również szkolenie menedżerskie Executive Business Education w Babson College (Boston).

Marcin Chudak, w sierpniu 2012 r. został Dyrektorem ds. Współpracy z Partnerami Handlowymi. Jest odpowiedzialny za tworzenie polityki rozwoju, zarządzanie relacjami partnerskimi, rozwój programów partnerskich, a także szkolenia i certyfikację nowych firm. Jednocześnie zarządza sprzedażą do klientów z sektora komercyjnego.
Marcin Chudak jest związany z Cisco od 2006 r. W latach 2003-2006 pracował w SAP, odpowiadając za sprzedaż do małych i średnich przedsiębiorstw, a wcześniej  m.in. w HP i Compfort Meridian.

Menedżer jest absolwentem Instytutu Informatyki na Wydziale Elektroniki Politechniki Warszawskiej, posiada także tytuł MBA Wyższej Szkoły Przedsiębiorczości i Zarządzania im. L. Koźmińskiego.

Piotr Skirski jest Dyrektorem działu Sektor Publiczny i Przedsiębiorstwa. Zajmuje się strategią sprzedaży, kieruje zespołem obsługującym klientów w sektorach: publicznym, finansów, energetyki, paliw oraz transportu kolejowego. Piotr Skirski ma 16-letnie doświadczenie w branży IT, w tym od ponad 13 lat jest w Cisco. Przez lata był związany z działem sprzedaży. Swoją karierę zawodową rozpoczął w JTT Computer.

Piotr Skirski jest absolwentem Wydziału Elektroniki ze specjalizacją Robotyka na Politechnice Wrocławskiej. 

Kamil Ciukszo to Dyrektor Działu Service Providers. W Cisco jest od 6 lat. Poprzednio odpowiadał za współpracę z telewizjami kablowymi, a potem z operatorami mobilnymi. Menedżer od 10 lat pracuje w branży telewizyjnej i telekomunikacyjnej. Doświadczenia zdobywał jako Account Manager oraz Business Development Director w firmie Vector. Jako Sales Development Manager w Sprincie zarządzał siecią sprzedaży pośredniej usług B2B dla sieci Era, budował pośrednią sieć sprzedaży dla platformy N, a następnie wdrażał regionalne struktury sprzedaży dla rynku B2B w Netii.

Kamil Ciukszo jest absolwentem Telekomunikacji o specjalności Inżynieria Dźwięku i Obrazu Politechniki Gdańskiej.

Łukasz Bromirski – Dyrektor Techniczny – pracuje w Cisco od 2005 r. Awansował od inżyniera wspierającego partnerów (Channel System Engineer), przez pozycję Dyrektora Technicznego działu Wsparcia Partnerów i Operatorów Telekomunikacyjnych aż do Dyrektora Technicznego. Kieruje zespołem architektów sieciowych, dostarczającym usługi i rozwiązania klientom biznesowym i instytucjom. Zarządza relacjami z klientami i partnerami. Kieruje również czterema zespołami architektonicznymi, składającymi się z departamentów konsultacyjnych i sprzedażowych – odpowiedzialnych za obszary technologii Collaboration, Borderless Network, Data Center i IP NGN. Zespół ten udziela wsparcia technicznego wszystkim działom Cisco w Polsce, koordynując współpracę działów technicznego i sprzedaży. Odpowiada on za kontakty ze współpracownikami, klientami i partnerami zewnętrznymi. Prowadzi z ramienia Cisco współpracę z uczelniami wyższymi w Polsce.

Menedżer ponadto kieruje klubem CCIE Polska – płaszczyzną wymiany poglądów na tematy technologiczne. Jest współtwórcą konferencji PLNOG, zrzeszającego operatorów telekomunikacyjnych z Polski, oraz EuroNOG, federacji NOG w Europie.

Łukasz Bromirski rozpoczął karierę zawodową w 1997 r. Pracował między innymi w Tech Dacie jako konsultant do spraw rozwiązań sieciowych oraz w Protechnice, gdzie zajmował się analizą potrzeb klienta i tworzeniem wysoko specjalizowanego oprogramowania.

W Cisco Poland Agnieszka Jabłońska awansowała na stanowisko Menedżera ds. Dystrybucji do Małych i Średnich Przedsiębiorstw, a Anna Janas została szefową ds. marketingu.

Agnieszka Jabłońska będzie odpowiedzialna za tworzenie i koordynację strategii firmy w zakresie dystrybucji oraz za zespół obsługujący klientów w małych i średnich przedsiębiorstwach. Menedżer jest związana z branżą informatyczną od 1995 r. Pierwsze doświadczenia zawodowe zdobywała w firmie Internet Technologies Poland. Później pracowała w Carlberg & Son Electronic jako Menadżer ds. Logistyki i Zakupów zajmując się rozwojem i wdrażaniem polityki ds. logistyki i zakupów, negocjowaniem umów z dostawcami oraz nadzorowaniem obsługi klientów. W Cisco jest od 1999 r. Odpowiadała m.in. za zarządzanie relacjami w kanale partnerskim, w tym, wdrażanie w Polsce programu ACE (Accelerate Channels) dla regionu Europy, Bliskiego Wschodu oraz Afryki (EMEA). 

Agnieszka Jabłońska ma wyższe wykształcenie ekonomiczne, w tym tytuł MBA Strategic Management Oxford Brookes University. 

Anna Janas jest związana z Cisco Systems Poland od 2010 r., od sierpnia 2012 r. objęła funkcję Dyrektora ds. Marketingu. Odpowiada za tworzenie i nadzorowanie polityki firmy w zakresie marketingu, za ustalanie celów, wdrażanie i kontrolę wykonania planów marketingowych.
W latach 2009-2010, była menadżerem ds. marketingu na Europę Środkowo-Wschodnią w Tandbergu. Wcześniej pracowała m.in. w firmach Mitac i iiyama.

Anna Janas jest absolwentką Uniwersytetu Ekonomicznego we Wrocławiu oraz Instytutu Nauk Politycznych w Strasburgu. Ukończyła także studia Charted Institute of Marketing (CIM) w ramach Wyższej Szkoły Przedsiębiorczości i Zarządzania im. L. Koźmińskiego.

Artykuł Nowe kadry Cisco pochodzi z serwisu CRN.