Backup i ciągłość działania systemów medycznych

Kluczowe wnioski

• Backup i ciągłość działania systemów medycznych to nie opcja, ale wymóg prawny i kwestia bezpieczeństwa pacjentów – awaria może kosztować życie
• Systemy medyczne wymagają RTO (Recovery Time Objective) poniżej piętnastu minut dla aplikacji krytycznych i RPO (Recovery Point Objective) nie dłuższego niż pięć minut
• Strategia 3-2-1 (trzy kopie danych, dwa różne nośniki, jedna kopia poza siedzibą) to absolutne minimum w placówkach medycznych
• Testowanie procedur odzyskiwania danych musi odbywać się minimum raz na kwartał – nietestowany backup to iluzja bezpieczeństwa
• Wdrożenie kopii zapasowych w abonamencie kosztuje 0 zł, a poza abonamentem od 1 500 zł netto, więc barierą nie są pieniądze, tylko brak decyzji
• Regulacje RODO i ustawa o systemach informacji w ochronie zdrowia nakładają surowe wymogi na zabezpieczenie danych medycznych
• Redundancja infrastruktury (zasilanie, sieć, serwery) jest równie ważna jak sam backup danych
• Automatyzacja procesów backup i monitoringu to klucz do minimalizacji ryzyka ludzkiego błędu

Szybka odpowiedź

Backup i ciągłość działania systemów medycznych to zintegrowany zestaw procedur, technologii i polityk zapewniających, że dane pacjentów są regularnie kopiowane, a systemy informatyczne placówki mogą działać bez przerwy lub zostać szybko przywrócone po awarii. W praktyce oznacza to wdrożenie wielowarstwowej strategii obejmującej kopie zapasowe danych (backup), redundantną infrastrukturę IT, plany ciągłości działania (BCP) oraz procedury odzyskiwania po katastrofie (DRP). Dla placówek medycznych to nie luksus, ale absolutna konieczność – awaria systemu może uniemożliwić dostęp do historii choroby pacjenta w momencie krytycznym dla jego życia.

---

Poniedziałek, za kwadrans ósma. Rejestratorka włącza komputer i zamiast terminarza widzi komunikat o błędzie. W poczekalni siedzi już dwanaście osób, w gabinetach czekają lekarze, telefon dzwoni bez przerwy. Nikt nie wie, kto jest zapisany, o której i do kogo, bo cała wiedza o dzisiejszym dniu siedzi w systemie, który nie wstaje.

To nie jest scenariusz z filmu katastroficznego. To rzeczywistość, z którą mierzy się coraz więcej placówek medycznych w Polsce i na świecie. Widzieliśmy to nieraz, przejmując opiekę nad placówką, która przez lata radziła sobie sama. Backup i ciągłość działania systemów medycznych to nie temat dla informatyków-entuzjastów, tylko warunek tego, żeby w poniedziałek rano dało się przyjąć pacjentów.

W tym artykule dzielę się z Wami wszystkim, czego nauczyłem się przez ostatnie lata pracy z placówkami medycznymi. Pokażę Wam, dlaczego tradycyjne podejście do backupu (taśmy w szafie i modlitwa, żeby działały) to droga donikąd, jak zaplanować prawdziwą strategię ciągłości działania i – co najważniejsze – jak nie zbankrutować w trakcie jej wdrażania.

Chcesz od razu policzyć swój przypadek? Pod tekstem stoi kalkulator RTO i RPO, który wylicza wymagane RTO i RPO, miejsce potrzebne na kopie oraz koszt opieki po naszej stronie. Dalsza część artykułu tłumaczy, skąd te liczby się biorą.

Dlaczego backup i ciągłość działania systemów medycznych to sprawa krytyczna?

Backup i ciągłość działania systemów medycznych różni się fundamentalnie od zabezpieczania danych w typowej firmie, ponieważ awaria może bezpośrednio zagrażać życiu pacjentów. Gdy system księgowy w przedsiębiorstwie handlowym przestaje działać, firma traci pieniądze. Gdy pada system w przychodni, lekarze mogą podjąć błędną decyzję terapeutyczną z braku dostępu do krytycznych informacji.

Wielu z Was zapewne myśli teraz: „no dobrze, ale przecież placówki mają jakieś zabezpieczenia”. To prawda, większość ma. Problem w tym, że w większości przypadków te zabezpieczenia są niewystarczające, nieprzetestowane albo – co gorsza – oparte na założeniach sprzed dziesięciu lat, kiedy systemy medyczne były prostsze, a zagrożenia mniejsze.

Pozwólcie, że podzielę się konkretnym przykładem. Kiedyś miałem okazję audytować system backup w szpitalu powiatowym (nie podam nazwy, oczywiście). Dyrektor z dumą pokazywał mi szafę z taśmami LTO, które były wymieniane codziennie przez administratora. Zapytałem, kiedy ostatnio testowali odzyskiwanie danych z tych taśm. Zapadła cisza. Okazało się, że nigdy nie testowali. Zaproponowałem test – wybraliśmy losową taśmę sprzed trzech miesięcy. Nie dało się z niej odczytać danych. Napęd był źle skonfigurowany i przez pół roku „robili backup” na wadliwe nośniki.

Konsekwencje awarii systemów medycznych

Biorąc pod uwagę specyfikę placówek medycznych, konsekwencje awarii układają się w kilka kategorii:

Bezpośrednie zagrożenie dla pacjentów – brak dostępu do historii choroby, alergii, aktualnych zleceń lekarskich może prowadzić do podania niewłaściwego leku lub pominięcia krytycznej informacji. W efekcie mówimy o realnym zagrożeniu życia.

Paraliż operacyjny – nowoczesna przychodnia bez działających systemów IT to jak fabryka bez prądu. Rejestracja pacjentów, zlecanie badań, wypisywanie recept, rozliczenia z NFZ – wszystko to wymaga sprawnie działających systemów. Szczerze mówiąc, widziałem placówki, które musiały zawiesić przyjmowanie nowych pacjentów z powodu awarii IT.

Konsekwencje prawne i finansowe – RODO nakłada surowe kary za utratę danych osobowych (zwłaszcza tak wrażliwych jak dane medyczne). Mówimy o karach sięgających nawet dwudziestu milionów euro lub czterech procent rocznego obrotu organizacji. Do tego dochodzą koszty przywrócenia systemów, utracone przychody i potencjalne pozwy pacjentów.

Utrata reputacji – informacja o tym, że szpital „zgubił” dane pacjentów lub nie mógł ich leczyć przez awarię systemu, rozprzestrzenia się błyskawicznie. W dobie mediów społecznościowych taka wiadomość może zniszczyć reputację budowaną latami.

Wymogi prawne i regulacyjne

Z drugiej strony, nie działamy w próżni regulacyjnej. Polskie prawo (a właściwie prawo unijne i krajowe razem wzięte) nakłada na placówki medyczne konkretne obowiązki w zakresie zabezpieczania danych i ciągłości działania.

Rozporządzenie RODO wymaga od administratorów danych (czyli placówek medycznych) wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych. W praktyce oznacza to obowiązek posiadania skutecznych kopii zapasowych i procedur ich odzyskiwania.

Ustawa o systemach informacji w ochronie zdrowia (o czym już zresztą pisałem w kontekście elektronicznej dokumentacji medycznej) nakłada dodatkowe wymogi na systemy informatyczne w placówkach. Dokumentacja medyczna musi być przechowywana przez określony czas (zazwyczaj dwadzieścia lat), co wymaga długoterminowej strategii archiwizacji.

Normy i standardy branżowe – choć nie mają mocy prawnej, standardy takie jak ISO 27001 (bezpieczeństwo informacji) czy ISO 22301 (ciągłość działania) są często wymagane przez ubezpieczycieli i stanowią punkt odniesienia w przypadku audytów.

Warto dodać, że w dwutysięcznym dwudziestym piątym roku Ministerstwo Zdrowia opublikowało zaktualizowane wytyczne dotyczące cyberbezpieczeństwa w placówkach medycznych, które de facto podnoszą poprzeczkę wymagań dla systemów backup i ciągłości działania. Tym samym placówki, które do tej pory działały „na czuja”, muszą poważnie zrewidować swoje podejście.

Czym właściwie jest backup i ciągłość działania systemów medycznych?

Zanim przejdziemy do konkretów, musimy uporządkować terminologię. W większości przypadków ludzie używają słowa „backup” jako synonimu całej strategii ciągłości działania, co jest błędem prowadzącym do niepełnych rozwiązań.

Backup (kopia zapasowa) to proces tworzenia duplikatów danych, które można przywrócić w przypadku ich utraty. To fundament, ale tylko jeden z elementów większej układanki.

Ciągłość działania (Business Continuity) to znacznie szersze pojęcie obejmujące wszystkie procedury, technologie i zasoby potrzebne do utrzymania lub szybkiego przywrócenia krytycznych funkcji organizacji po wystąpieniu zakłócenia. W kontekście medycznym mówimy o zapewnieniu, że pacjenci będą mogli być leczeni niezależnie od awarii.

Odzyskiwanie po katastrofie (Disaster Recovery) to podzbiór ciągłości działania, koncentrujący się na przywracaniu systemów IT po poważnej awarii. To właśnie tutaj backup odgrywa kluczową rolę.

Kluczowe metryki: RTO i RPO

Jeśli śledzicie mojego bloga, wiecie, że uwielbiam konkretne liczby. W kontekście backup i ciągłości działania systemów medycznych dwie metryki są absolutnie kluczowe:

RTO (Recovery Time Objective) – maksymalny akceptowalny czas, w jakim system musi zostać przywrócony do działania po awarii. Dla głównego systemu gabinetowego RTO powinno wynosić maksymalnie piętnaście do trzydziestu minut dla funkcji krytycznych. Dla systemów mniej krytycznych (np. archiwum historyczne) może to być nawet dwadzieścia cztery godziny.

RPO (Recovery Point Objective) – maksymalna akceptowalna ilość danych, które mogą zostać utracone, mierzona w czasie. Innymi słowy, jak „stare” mogą być Wasze dane po przywróceniu. Dla danych pacjentów w systemie gabinetowym RPO powinno wynosić maksymalnie pięć do piętnastu minut. Utrata godziny danych może oznaczać brak informacji o podanych lekach, wykonanych zabiegach czy zmianie stanu pacjenta.

Ja osobiście zawsze proponuję klientom, żeby zaczęli od określenia RTO i RPO dla każdego systemu w ich infrastrukturze. To właśnie te liczby determinują, jakie rozwiązania technologiczne są potrzebne i ile będą kosztować. System z RTO równym piętnaście minut wymaga zupełnie innej architektury (i budżetu) niż system z RTO równym cztery godziny.

Warstwy ochrony w systemach medycznych

Profesjonalna strategia backup i ciągłości działania systemów medycznych opiera się na wielowarstwowym podejściu. Żadne pojedyncze rozwiązanie nie zapewni pełnej ochrony – potrzebujemy kilku linii obrony.

Warstwa pierwsza: redundancja w czasie rzeczywistym – replikacja danych między serwerami, macierze dyskowe z RAID, klastry serwerów. To ochrona przed awarią pojedynczego komponentu. Jeśli jeden dysk padnie, system działa dalej bez przerwy.

Warstwa druga: backup lokalny – regularne kopie zapasowe na urządzeniach w tej samej lokalizacji. Pozwala szybko przywrócić dane po przypadkowym usunięciu, ataku ransomware czy awarii całego serwera. Typowo mówimy o backupach co godzinę lub co kilka godzin.

Warstwa trzecia: backup zdalny – kopie danych przechowywane w innej lokalizacji fizycznej (inna lokalizacja w mieście lub w chmurze). Ochrona przed pożarem, powodzią, kradzieżą czy inną katastrofą dotykającą całą lokalizację.

Warstwa czwarta: archiwizacja długoterminowa – dane, które muszą być przechowywane przez lata (dokumentacja medyczna), często na taśmach lub w dedykowanych systemach archiwizacyjnych. Te dane nie muszą być szybko dostępne, ale muszą być bezpieczne przez dziesięć, dwadzieścia lub więcej lat.

Kiedyś miałem klienta, który uważał, że wystarczy mu backup na dysku USB podłączonym do serwera. Zapytałem go: „a co się stanie, jeśli ransomware zaszyfruje Ci dane na serwerze?”. Odpowiedział: „no to przywrócę z tego dysku”. Wtedy zadałem pytanie, które zmieniło jego perspektywę: „a co jeśli ransomware zaszyfruje też ten dysk, skoro jest cały czas podłączony?”. Zapadła cisza. Tydzień później wdrażaliśmy właściwe rozwiązanie z backupem offline i replikacją do chmury.

Jak zaplanować strategię backup dla placówki medycznej?

Planowanie strategii backup i ciągłości działania systemów medycznych nie zaczyna się od wyboru oprogramowania czy sprzętu. Zaczyna się od zrozumienia, co tak naprawdę musimy chronić i dlaczego.

Krok pierwszy: inwentaryzacja i klasyfikacja systemów

Pierwszą rzeczą, którą robię z każdym nowym klientem, jest szczegółowa inwentaryzacja wszystkich systemów IT w placówce. Nie chodzi tylko o główny system HIS – chodzi o wszystko, co przetwarza lub przechowuje dane.

Typowa średnia placówka medyczna ma dziś:

• System HIS (Hospital Information System) – centralny system zarządzania danymi pacjentów
• System RIS/PACS (radiologia i obrazowanie medyczne)
• System LIS (laboratorium)
• System apteczny
• System rozliczeń z NFZ
• System kadrowo-płacowy
• Systemy specjalistyczne (np. dla oddziału dializ, kardiologii)
• Poczta elektroniczna i systemy komunikacji
• Systemy kontroli dostępu i monitoringu

Każdy z tych systemów wymaga osobnej analizy pod kątem:

• Krytyczności – co się stanie, jeśli system przestanie działać?
• Zależności – które inne systemy przestaną działać razem z nim?
• Wymagań prawnych – jak długo muszę przechowywać te dane?
• Częstotliwości zmian – jak często dane się zmieniają (determinuje RPO)?

Ze swoich doświadczeń mogę powiedzieć, że ta faza zajmuje zwykle dwa do trzech tygodni w średniej placówce i jest absolutnie kluczowa. Widziałem projekty, które poległy, bo pominięto ten etap i okazało się w połowie wdrożenia, że „aha, mamy jeszcze ten stary system w piwnicy, którego używa kardiologia”.

Krok drugi: określenie RTO i RPO dla każdego systemu

Po zinwentaryzowaniu systemów przychodzi najważniejszy moment: trzeba ustalić, jak szybko każdy z nich musi wrócić do pracy i ile pracy wolno stracić.

To nie jest decyzja techniczna, tylko decyzja właściciela placówki. To lekarze i osoba prowadząca przychodnię mówią, że rejestracja ma działać zawsze i że nie wolno stracić więcej niż pięciu minut pracy. Informatyk dopiero potem tłumaczy, ile to kosztuje i jak to zrobić.

Oto przykładowa klasyfikacja dla przychodni i gabinetu:

Co przestaje działać	Krytyczność	RTO	RPO	Dlaczego
Rejestracja i terminarz wizyt	Krytyczna	15 min	5 min	Pacjenci stoją w kolejce, gabinety czekają
Dokumentacja medyczna, e-recepta, skierowania	Krytyczna	30 min	15 min	Lekarz nie może przyjąć i wypisać pacjenta
Wyniki badań i opisy	Wysoka	1 godz	30 min	Diagnostyka się zatrzymuje
Rozliczenia i sprawozdawczość	Średnia	4 godz	1 godz	Nie blokuje przyjmowania pacjentów
Poczta i dokumenty biurowe	Średnia	4 godz	1 godz	Praca administracji, nie gabinetu
Archiwum dokumentacji	Niska	24 godz	24 godz	Potrzebne na żądanie, nie na bieżąco

Te liczby to punkt wyjścia do rozmowy, nie gotowa odpowiedź. Warto usiąść na pół godziny z osobami, które awarię odczują najmocniej: właścicielem, kierownikiem rejestracji, lekarzem i osobą od rozliczeń, i przejść przez scenariusze. Co się stanie, jeśli rejestracja nie zadziała przez godzinę. Co przez cztery godziny. Co przez cały dzień roboczy. Odpowiedzi otwierają oczy szybciej niż jakakolwiek prezentacja.

Krok trzeci: wybór technologii i architektury

Dopiero teraz, mając jasno określone wymagania, możemy mówić o konkretnych rozwiązaniach technologicznych. Backup i ciągłość działania systemów medycznych wymaga zazwyczaj kombinacji kilku technologii.

Dla systemów krytycznych (RTO < 30 minut, RPO < 15 minut):

• Klastry serwerów z replikacją synchroniczną
• Macierze dyskowe z replikacją na poziomie storage
• Backup ciągły (CDP – Continuous Data Protection)
• Możliwość natychmiastowego uruchomienia z kopii zapasowej (instant recovery)

Dla systemów o wysokiej krytyczności (RTO < 2 godziny, RPO < 1 godzina):

• Backup co godzinę lub co kilka godzin
• Replikacja asynchroniczna do drugiej lokalizacji
• Możliwość szybkiego przywrócenia na zapasowy sprzęt

Dla systemów o średniej i niskiej krytyczności:

• Backup raz dziennie
• Przechowywanie kopii lokalnie i w chmurze
• Standardowe procedury odzyskiwania

Ja osobiście jestem zwolennikiem podejścia hybrydowego – część infrastruktury on-premise (w placówce), część w chmurze. Chmura daje elastyczność i geograficzną separację danych, ale dla systemów krytycznych potrzebujemy też lokalnej kontroli i szybkiego dostępu.

Szczerze mówiąc, jeszcze pięć lat temu byłem sceptyczny wobec chmury w medycynie. Obawy o bezpieczeństwo, zgodność z RODO, zależność od dostawcy – to wszystko były realne problemy. Po latach jednak widzę, że dobrze zaprojektowane rozwiązania chmurowe (zwłaszcza dedykowane chmury medyczne działające w Polsce) mogą być bezpieczniejsze niż przeciętna serwerownia szpitalna. Oczywiście, zwłaszcza że wymaga to odpowiedniego doboru dostawcy i skrupulatnej analizy umów.

Krok czwarty: wdrożenie zasady 3-2-1

Niezależnie od wybranych technologii, każda strategia backup i ciągłości działania systemów medycznych powinna realizować zasadę 3-2-1:

3 – trzy kopie danych (oryginał plus dwie kopie zapasowe)
2 – na dwóch różnych typach nośników (np. dysk + taśma, lub dysk lokalny + chmura)
1 – jedna kopia w innej lokalizacji geograficznej

To minimum. Ja osobiście polecam rozszerzoną wersję 3-2-1-1-0:

• 3 kopie danych
• 2 różne media
• 1 kopia offline (niedostępna dla sieci, chroni przed ransomware)
• 1 kopia off-site (w innej lokalizacji)
• 0 błędów podczas weryfikacji (regularne testy przywracania)

To ostatnie zero jest kluczowe. Muszę Wam powiedzieć, że widziałem dziesiątki przypadków, gdzie placówki miały pięknie skonfigurowane systemy backup, ale nigdy nie testowały przywracania danych. A jak mówi stare informatyczne porzekadło: „backup, którego nie przetestowałeś, to nie backup – to nadzieja”.

Najczęstsze błędy w zabezpieczaniu systemów medycznych

Po latach pracy z różnymi placówkami widzę, że te same błędy powtarzają się w kółko. Warto je poznać, żeby ich uniknąć (a właściwie, żeby sprawdzić, czy przypadkiem już ich nie popełniacie).

Błąd pierwszy: traktowanie backupu jako projektu, nie procesu

To chyba najczęstszy błąd. Placówka inwestuje w system backup, wdraża go, testuje raz podczas odbioru i… zapomina. Tymczasem backup i ciągłość działania systemów medycznych to proces ciągły wymagający stałej uwagi.

Systemy się zmieniają – dodajemy nowe aplikacje, aktualizujemy istniejące, zmieniają się przepisy prawne. Backup, który był adekwatny rok temu, może być niewystarczający dziś. Dlatego potrzebujemy:

• Regularnych przeglądów strategii backup (minimum raz na pół roku)
• Ciągłego monitorowania, czy backupy się wykonują
• Kwartalnych testów przywracania danych
• Aktualizacji procedur i dokumentacji

Kiedyś miałem sytuację, gdzie szpital przez dwa lata robił backup systemu HIS, ale po aktualizacji systemu ścieżka do bazy danych się zmieniła i backup przestał obejmować najważniejsze dane. Nikt tego nie zauważył przez osiem miesięcy, bo nikt nie sprawdzał, co faktycznie jest backupowane. Odkryliśmy to przypadkiem podczas audytu. Mega szczęście, że nie było awarii w tym okresie.

Błąd drugi: brak testowania procedur odzyskiwania

Piszę o tym po raz trzeci w tym artykule, bo to naprawdę kluczowa sprawa. Nietestowany backup to iluzja bezpieczeństwa. A jednak w większości placówek testy odzyskiwania danych traktuje się jako opcjonalną „fajną rzecz do zrobienia, jak będzie czas”.

Testy powinny być:

• Regularne – minimum raz na kwartał dla systemów krytycznych
• Kompleksowe – nie tylko „czy plik się przywraca”, ale czy cały system działa po przywróceniu
• Dokumentowane – każdy test powinien mieć protokół z wynikami i wnioskami
• Obejmujące różne scenariusze – przywrócenie pojedynczego pliku, całej bazy danych, całego serwera

Ze swoich doświadczeń mogę powiedzieć, że pierwszy test przywracania danych prawie zawsze ujawnia jakieś problemy. To normalne. Problem pojawia się, gdy pierwszy test odbywa się dopiero podczas prawdziwej awarii.

Błąd trzeci: zaniedbanie bezpieczeństwa kopii zapasowych

W dobie ransomware to krytyczny błąd. Atakujący doskonale wiedzą, że placówka zapłaci okup, jeśli nie będzie mogła przywrócić danych z backupu. Dlatego nowoczesne ransomware najpierw szuka i niszczy kopie zapasowe, a dopiero potem szyfruje dane produkcyjne.

Kopie zapasowe muszą być chronione:

• Fizycznie – dostęp tylko dla upoważnionych osób
• Logicznie – osobne konta i uprawnienia, nie te same co do systemów produkcyjnych
• Technologicznie – kopie offline lub w chmurze z niemutowalnym storage (immutable backup)
• Proceduralnie – monitoring prób nieautoryzowanego dostępu

Ja osobiście zawsze konfiguruję kopie zapasowe tak, żeby nawet administrator systemu produkcyjnego nie miał możliwości ich usunięcia bez drugiej osoby i opóźnienia czasowego. To może wydawać się przesadą, ale chroni zarówno przed zewnętrznym atakującym, jak i przed błędem ludzkim czy niezadowolonym pracownikiem.

Błąd czwarty: niedoszacowanie wymagań dotyczących przepustowości i czasu

Backup to nie tylko kwestia przechowywania danych – to też kwestia ich przesyłania. Widziałem placówki, które zaplanowały backup do chmury, ale nie wzięły pod uwagę, że ich łącze internetowe ma tylko dziesięć megabitów i przesłanie dwóch terabajtów danych zajmie… pięć dni.

Biorąc pod uwagę wymagania dotyczące RPO, musimy upewnić się, że:

• Backup zdąży się wykonać w oknie czasowym (np. między backupami)
• Przywrócenie danych zajmie mniej niż RTO
• Infrastruktura sieciowa i storage mają odpowiednią wydajność

To wymaga obliczeń i testów. Nie można zakładać „na czuja”, że „jakoś to będzie”. Trzeba zmierzyć, ile danych się zmienia dziennie, jak szybko można je przesłać, ile czasu zajmuje przywrócenie. I zaplanować infrastrukturę z odpowiednim zapasem (ja polecam minimum trzydzieści procent rezerwy).

Błąd piąty: brak planu ciągłości działania poza IT

Backup i ciągłość działania systemów medycznych to nie tylko kwestia techniczna. Co się stanie, jeśli system będzie niedostępny przez godzinę? Czy personel medyczny wie, jak pracować bez systemu? Czy są procedury awaryjne? Gdzie są formularze papierowe? Kto podejmuje decyzje?

Kompleksowy plan ciągłości działania (BCP – Business Continuity Plan) powinien obejmować:

• Procedury awaryjne dla personelu medycznego
• Łańcuch decyzyjny i komunikację kryzysową
• Alternatywne sposoby rejestracji i dokumentowania opieki nad pacjentem
• Procedury przywrócenia normalnego działania po awarii

Kiedyś byłem świadkiem sytuacji, gdzie szpital miał doskonały system backup i przywrócił dane w dwadzieścia minut po awarii. Ale przez następne trzy godziny panował chaos, bo nikt nie wiedział, co robić z danymi wprowadzonymi na papierze podczas awarii. Nie było procedury ich przepisania do systemu, nie było przydzielonych ludzi do tego zadania. W efekcie część danych się zduplikowała, część zaginęła.

Ile kosztuje backup w przychodni i gabinecie

Przy każdej rozmowie pada to samo pytanie: ile to kosztuje. Odpowiedź jest prostsza, niż się wydaje, bo koszt dzieli się na dwie części i warto je rozdzielić od początku. Za jedną płacicie nam, drugą kupujecie na siebie.

Co płacicie nam

Świadczymy wyłącznie usługę. Nie sprzedajemy urządzeń ani licencji, więc nie doliczamy do nich marży.

• Stała opieka informatyczna – 89, 139 albo 199 zł miesięcznie za stanowisko, zależnie od pakietu, przy minimalnym abonamencie 800 zł
• Wdrożenie kopii zapasowych – 0 zł, jeśli jesteście w abonamencie. Poza abonamentem od 1 500 zł
• Audyt otwarcia – 2 000 zł, jeśli chcecie najpierw zobaczyć, co właściwie macie

Wszystkie ceny są cenami netto, do których doliczamy podatek VAT 23%.

Gabinet z pięcioma stanowiskami i przychodnia z czterdziestoma zapłacą różne kwoty, ale mechanizm jest ten sam: liczba stanowisk razy stawka pakietu, nie mniej niż minimum. Wynik dla swojej placówki policzycie w kalkulatorze pod tekstem.

Co kupujecie na siebie

Nośniki i licencje są Waszą własnością i Waszym kosztem. Nie podajemy tu widełek, bo ceny sprzętu zmieniają się z miesiąca na miesiąc, a potrzebna pojemność zależy od tego, ile danych macie dzisiaj i jak szybko przyrastają. Kalkulator pod tekstem wyliczy pojemność, z którą pójdziecie do dowolnego sklepu.

• Dyski zewnętrzne do rotacji – komplet, który wymieniacie i wynosicie poza placówkę
• NAS – jeśli macie drugą lokalizację albo chcecie trzymać kopię kopii poza serwerownią
• Licencje – jeśli wymaga ich Wasz system gabinetowy albo serwer

Tak to wygląda w praktyce: kopia schodzi na osobny nośnik, komplet dysków rotuje i jest wynoszony poza placówkę, a tam, gdzie jest druga lokalizacja, stawiamy w niej NAS i trzymamy kopię kopii. Najczęściej kopie leżą na nośnikach, które da się fizycznie wynieść poza budynek, bo odtworzenie kilkuset gigabajtów z dysku trwa krócej niż przez łącze. Backup w chmurze również prowadzimy, jeśli u Was sprawdzi się lepiej.

Koszt przestoju liczycie sami

Nie powiemy Wam, ile kosztuje dzień przestoju w Waszej przychodni, bo tego nie wiemy, a każda liczba wpisana tu z góry byłaby zgadywaniem. Policzcie ją sami, to kwadrans pracy:

• wynagrodzenia osób, które w czasie awarii nie mogą pracować, przeliczone na godzinę
• wizyty, których nie przyjmiecie, i świadczenia, których nie rozliczycie
• czas na nadrobienie dokumentacji po odzyskaniu dostępu, bo ten koszt wraca już po awarii
• kary z RODO, gdzie górna granica to dwadzieścia milionów euro albo 4% rocznego obrotu, oraz roszczenia pacjentów

Tę jedną liczbę, koszt godziny przestoju, wpisujecie do kalkulatora pod tekstem. Zestawi ją z czasem odtworzenia wymaganym przez Wasz system i pokaże stratę przy jednej awarii obok miesięcznego kosztu opieki. Dopiero takie porównanie ma sens, bo obie strony równania pochodzą z Waszych danych.

Nie chodzi o straszenie, tylko o świadomą decyzję. Kopia zapasowa jest jak ubezpieczenie: płacicie za to, żeby nigdy nie musieć z niej skorzystać, a jej wartość poznajecie w jednym jedynym dniu.

Jak wybrać dostawcę i rozwiązanie?

Rynek rozwiązań do backup i ciągłości działania jest ogromny i chaotyczny. Mamy dostawców globalnych, lokalnych, specjalizujących się w medycynie i ogólnych. Jak się w tym wszystkim odnaleźć?

Kryteria wyboru rozwiązania

Ze swoich doświadczeń mogę powiedzieć, że najważniejsze kryteria to:

Zgodność z wymaganiami medycznymi – czy rozwiązanie jest certyfikowane do użytku w ochronie zdrowia? Czy dostawca rozumie specyfikę medyczną (RODO, wymogi prawne, integracja z systemami medycznymi)?

Skalowalność – czy rozwiązanie będzie działać, gdy placówka się rozrośnie? Czy można je łatwo rozszerzyć o nowe systemy?

Łatwość obsługi – czy Wasz zespół IT będzie w stanie to obsługiwać, czy będziecie potrzebować zewnętrznych specjalistów na każdym kroku?

Wsparcie techniczne – czy jest dostępne 24/7? W jakim języku? Jaki jest czas reakcji?

Referencje – czy dostawca ma doświadczenie z podobnymi placówkami? Możecie porozmawiać z jego klientami?

Całkowity koszt posiadania (TCO) – nie tylko cena zakupu, ale wszystkie koszty przez pięć lat (licencje, utrzymanie, szkolenia, aktualizacje).

Warto dodać, że najtańsze rozwiązanie prawie nigdy nie jest najlepszym wyborem. Z drugiej strony, najdroższe też nie musi być optymalne. Ja osobiście zawsze proponuję klientom przygotowanie szczegółowego RFP (Request for Proposal) i porównanie co najmniej trzech ofert.

Pytania do dostawcy

Kiedy rozmawiamy z potencjalnym dostawcą, warto zadać konkretne pytania:

• Jak Wasze rozwiązanie zapewnia RTO poniżej trzydziestu minut dla systemów krytycznych?
• Jakie macie doświadczenie z placówkami medycznymi w Polsce?
• Jak wygląda proces przywracania danych krok po kroku?
• Jakie są gwarancje SLA (Service Level Agreement)?
• Gdzie fizycznie są przechowywane dane w chmurze?
• Jak często aktualizujecie oprogramowanie i czy aktualizacje są wliczone w cenę?
• Jakie szkolenia zapewniacie dla naszego personelu?
• Czy możemy zobaczyć działające wdrożenie u innego klienta?

Jeśli dostawca nie potrafi odpowiedzieć na te pytania jasno i konkretnie, to czerwona flaga. Biorąc pod uwagę stawkę (życie pacjentów), nie możemy sobie pozwolić na eksperymenty z nieprzetestowanymi dostawcami.

Wdrożenie krok po kroku

Samo wdrożenie systemu backup i ciągłości działania systemów medycznych to proces, który typowo trwa od trzech do sześciu miesięcy. Ja osobiście zawsze dzielę go na etapy:

Etap pierwszy: analiza i projektowanie (cztery do sześciu tygodni)

• Szczegółowa inwentaryzacja
• Określenie wymagań RTO/RPO
• Projekt architektury
• Wybór technologii

Etap drugi: wdrożenie infrastruktury (sześć do ośmiu tygodni)

• Instalacja sprzętu
• Konfiguracja oprogramowania
• Integracja z istniejącymi systemami
• Testy podstawowe

Etap trzeci: wdrożenie procedur (cztery tygodnie)

• Opracowanie procedur backup i recovery
• Szkolenie personelu
• Dokumentacja
• Testy procedur

Etap czwarty: testy i odbiór (cztery tygodnie)

• Kompleksowe testy przywracania
• Test planu ciągłości działania
• Poprawki i optymalizacja
• Formalny odbiór

Etap piąty: stabilizacja (trzy miesiące)

• Monitoring działania
• Drobne poprawki
• Dodatkowe szkolenia
• Przejęcie pełnej odpowiedzialności przez zespół placówki

Warto dodać, że w trakcie wdrożenia niemal zawsze pojawiają się niespodzianki – nieudokumentowane systemy, niestandardowe konfiguracje, problemy z kompatybilnością. Dlatego zawsze zakładam dwadzieścia do trzydziestu procent buforu czasowego i budżetowego.

Przyszłość backup i ciągłości działania w medycynie

Nie mogę zakończyć tego artykułu bez spojrzenia w przyszłość. Technologia się zmienia, a wraz z nią zmieniają się możliwości i zagrożenia dla backup i ciągłości działania systemów medycznych.

Trendy technologiczne

Sztuczna inteligencja w zarządzaniu backupem – już teraz widzimy systemy, które automatycznie optymalizują harmonogramy backup, przewidują awarie i rekomendują działania prewencyjne. W dwutysięcznym dwudziestym szóstym roku to staje się standardem.

Immutable backup i ochrona przed ransomware – kopie zapasowe, których nie można zmienić ani usunąć przez określony czas, stają się koniecznością. Większość nowoczesnych rozwiązań już to oferuje.

Edge computing i rozproszone systemy – w miarę jak systemy medyczne stają się bardziej rozproszone (telemedycyna, urządzenia IoT, aplikacje mobilne), backup też musi stać się bardziej rozproszony i inteligentny.

Blockchain w archiwizacji – technologia blockchain może zapewnić niezmienność i weryfikowalność długoterminowych archiwów medycznych. To jeszcze niszowe rozwiązanie, ale obserwuję jego rozwój z zainteresowaniem.

Zmieniające się zagrożenia

Z drugiej strony, zagrożenia też ewoluują. Ataki ransomware stają się coraz bardziej wyrafinowane. Widzimy już przypadki „double extortion” (podwójnego wymuszenia), gdzie atakujący nie tylko szyfrują dane, ale też grożą ich publikacją. To sprawia, że sam backup nie wystarczy – potrzebujemy też ochrony przed wyciekiem danych.

Kolejnym trendem są ataki na łańcuch dostaw – zamiast atakować bezpośrednio placówkę, atakujący kompromitują dostawcę oprogramowania lub usług IT. Dlatego coraz większą wagę przykładamy do bezpieczeństwa całego ekosystemu, nie tylko naszych własnych systemów.

Regulacje i standardy

Spodziewam się, że w najbliższych latach zobaczymy zaostrzenie wymogów regulacyjnych dotyczących backup i ciągłości działania systemów medycznych. Unia Europejska pracuje nad dyrektywą NIS2, która nałoży dodatkowe obowiązki na placówki medyczne w zakresie cyberbezpieczeństwa. Polska będzie musiała to implementować, co prawdopodobnie oznacza nowe wymogi dla systemów backup.

Ja osobiście uważam, że to dobry kierunek. Zbyt długo traktowaliśmy bezpieczeństwo IT w medycynie po macoszemu. Czas to zmienić, zwłaszcza że stawka jest tak wysoka.

Podsumowanie i następne kroki

Reasumując, backup i ciągłość działania systemów medycznych to nie opcja, ale absolutna konieczność w nowoczesnej placówce medycznej. To nie tylko wymóg prawny, ale przede wszystkim kwestia bezpieczeństwa pacjentów i ciągłości działania placówki.

Kluczowe wnioski, które chciałbym, żebyście zapamiętali:

Po pierwsze, backup to proces, nie projekt. Wymaga ciągłej uwagi, regularnych testów i aktualizacji.

Po drugie, każda placówka jest inna i wymaga indywidualnego podejścia. Nie ma uniwersalnego rozwiązania, które będzie optymalne dla wszystkich.

Po trzecie, koszt wdrożenia dobrego systemu backup jest niewielki w porównaniu z kosztem poważnej awarii. To inwestycja, która się zwraca – choćby poprzez uniknięcie jednej katastrofy.

Po czwarte, technologia to tylko część rozwiązania. Równie ważne są procedury, szkolenia i świadomość personelu.

Po piąte, nie można tego robić „na czuja”. Potrzebujemy konkretnych metryk (RTO, RPO), regularnych testów i dokumentacji.

Co możecie zrobić już dziś?

Jeśli jesteście odpowiedzialni za IT w placówce medycznej albo podejmujecie decyzje o inwestycjach w tym obszarze, oto konkretne kroki, które możecie podjąć już teraz:

Krok pierwszy – przeprowadźcie audyt obecnego stanu. Co macie, jak to działa, czy to wystarczy? Jeśli nie macie kompetencji wewnętrznych, zleccie audyt na zewnątrz. U nas audyt otwarcia kosztuje 2 000 zł netto i kończy się listą tego, co macie, czego nie macie i co trzeba zrobić w pierwszej kolejności.

Krok drugi – określcie priorytety. Które systemy są najbardziej krytyczne? Jakie są akceptowalne RTO i RPO? Zorganizujcie warsztat z kluczowymi interesariuszami i podejmijcie świadome decyzje.

Krok trzeci – przetestujcie to, co macie. Nie czekajcie na prawdziwą awarię. Wybierzcie jeden system i spróbujcie przywrócić go z backupu. Zobaczcie, ile to zajmie czasu i czy w ogóle działa.

Krok czwarty – zaplanujcie budżet i harmonogram. Jeśli potrzebujecie nowego rozwiązania, zacznijcie planować już teraz. Wdrożenie zajmie minimum pół roku, więc im wcześniej zaczniecie, tym lepiej.

Krok piąty – edukujcie zespół. Organizujcie szkolenia, dzielcie się wiedzą, budujcie świadomość. Najlepszy system backup nie pomoże, jeśli ludzie nie wiedzą, jak go używać.

Ja osobiście jestem mega dumny, kiedy widzę placówki, które traktują backup i ciągłość działania systemów medycznych poważnie. To pokazuje dojrzałość organizacji i troskę o pacjentów. Z drugiej strony, martwię się, gdy widzę placówki, które ignorują ten temat albo traktują go jako „coś dla informatyków”. To nie jest temat tylko dla informatyków – to temat dla całej organizacji, od zarządu po personel medyczny.

Mam nadzieję, że ten artykuł pomógł Wam zrozumieć, dlaczego to takie ważne i jak się za to zabrać. Jeśli macie pytania albo chcecie podzielić się swoimi doświadczeniami, zapraszam do komentarzy. Uczmy się od siebie nawzajem – to najlepszy sposób, żeby podnosić standardy bezpieczeństwa w całej branży.

Pamiętajcie: backup, którego nie przetestowaliście, to nie backup – to nadzieja. A w medycynie nie możemy polegać na nadziei. Musimy mieć pewność.

---

FAQ – najczęściej zadawane pytania

Jak często należy testować procedury odzyskiwania danych w systemach medycznych?

Dla systemów krytycznych (HIS, PACS) minimum raz na kwartał, dla systemów mniej krytycznych minimum dwa razy do roku. Każdy test powinien być dokumentowany i wyciągane powinny być wnioski. Nie wystarczy sprawdzić, czy plik się przywraca – trzeba przetestować przywrócenie całego systemu i upewnić się, że działa poprawnie po odzyskaniu.

Ile kosztuje backup w gabinecie, a ile w przychodni?

Płacicie za usługę, nie za sprzęt. Opieka informatyczna to 89, 139 albo 199 zł miesięcznie za stanowisko, zależnie od pakietu, przy minimalnym abonamencie 800 zł. Gabinet na pięć stanowisk zapłaci więc minimum, przychodnia na czterdzieści stanowisk odpowiednio więcej. Wdrożenie kopii zapasowych w abonamencie kosztuje 0 zł, poza abonamentem od 1 500 zł. Dyski i NAS kupujecie na siebie. Wszystkie ceny są cenami netto, do których doliczamy podatek VAT 23%.

Czy backup w chmurze jest bezpieczny dla danych medycznych?

Tak, pod warunkiem wyboru odpowiedniego dostawcy i właściwej konfiguracji. Kluczowe jest, aby dostawca oferował serwery w Polsce lub UE, był zgodny z RODO, oferował szyfrowanie danych i miał odpowiednie certyfikaty bezpieczeństwa. Chmura może być nawet bezpieczniejsza niż przeciętna serwerownia szpitalna, ale wymaga starannego doboru dostawcy i odpowiednich zapisów umownych.

Czym różni się RTO od RPO?

RTO (Recovery Time Objective) to maksymalny akceptowalny czas, w jakim system musi zostać przywrócony po awarii. RPO (Recovery Point Objective) to maksymalna ilość danych, które możemy stracić, mierzona w czasie. Przykład: RTO równe trzydzieści minut oznacza, że system musi działać ponownie w pół godziny; RPO równe piętnaście minut oznacza, że możemy stracić maksymalnie piętnaście minut danych (czyli backup musi być nie starszy niż piętnaście minut).

Jak chronić kopie zapasowe przed ransomware?

Kluczowe są trzy elementy: kopie offline (fizycznie odłączone od sieci), immutable backup (kopie, których nie można zmienić ani usunąć przez określony czas) oraz osobne uprawnienia (administrator systemu produkcyjnego nie powinien mieć pełnego dostępu do systemu backup). Dodatkowo warto stosować wieloskładnikowe uwierzytelnianie i monitoring prób nieautoryzowanego dostępu do kopii zapasowych.

Czy mała przychodnia też potrzebuje profesjonalnego systemu backup?

Tak, choć w mniejszej skali. Nawet mała przychodnia przetwarza wrażliwe dane medyczne i musi spełniać wymogi RODO. Rozwiązanie może być prostsze i tańsze niż w dużej placówce, ale podstawowe elementy muszą być: regularne kopie zapasowe, przechowywanie w dwóch lokalizacjach, szyfrowanie danych i regularne testy przywracania. U nas wdrożenie kopii zapasowych w abonamencie kosztuje 0 zł, a poza abonamentem od 1 500 zł netto. Dochodzi koszt dysków, które kupujecie na siebie.

Jak długo należy przechowywać kopie zapasowe dokumentacji medycznej?

Dokumentacja medyczna musi być przechowywana zgodnie z przepisami – zazwyczaj dwadzieścia lat od ostatniego wpisu, a w przypadku niektórych rodzajów dokumentacji (np. zdjęcia rentgenowskie) dziesięć lat. Kopie zapasowe bieżące (operacyjne) można przechowywać krócej – typowo trzydzieści do dziewięćdziesięciu dni. Starsze dane powinny być archiwizowane w dedykowanych systemach długoterminowego przechowywania.

Co to jest zasada 3-2-1 w backupie?

To podstawowa zasada bezpieczeństwa kopii zapasowych: 3 kopie danych (oryginał plus dwie kopie), 2 różne typy nośników (np. dysk i taśma, lub dysk lokalny i chmura), 1 kopia w innej lokalizacji geograficznej (ochrona przed pożarem, powodzią itp.). Rozszerzona wersja 3-2-1-1-0 dodaje: jedną kopię offline (ochrona przed ransomware) i zero błędów podczas weryfikacji (regularne testy).

Ile czasu zajmuje wdrożenie kopii zapasowych w przychodni?

Typowe wdrożenie trwa od trzech do sześciu miesięcy i składa się z etapów: analiza i projektowanie (cztery do sześciu tygodni), wdrożenie infrastruktury (sześć do ośmiu tygodni), wdrożenie procedur (cztery tygodnie), testy i odbiór (cztery tygodnie), stabilizacja (trzy miesiące). Czas może się wydłużyć, jeśli infrastruktura jest bardzo złożona lub jeśli w trakcie pojawią się niespodzianki.

Czy można wdrożyć backup etapami?

Tak i często jest to najlepsze podejście. Można zacząć od zabezpieczenia najbardziej krytycznych systemów (HIS, PACS), a następnie stopniowo rozszerzać ochronę na pozostałe systemy. To pozwala rozłożyć koszty w czasie i zdobyć doświadczenie na mniejszej skali przed pełnym wdrożeniem. Ważne, żeby od początku mieć jasną wizję docelową i nie tworzyć rozwiązań tymczasowych, które później trzeba będzie całkowicie przebudować.

Kto w przychodni powinien odpowiadać za backup i ciągłość działania?

To wymaga współpracy kilku ról: dział IT odpowiada za techniczne aspekty wdrożenia i utrzymania, kierownictwo medyczne określa wymagania (RTO/RPO) dla poszczególnych systemów, zarząd zapewnia budżet i nadzoruje strategię, administrator bezpieczeństwa monitoruje zgodność z wymogami prawnymi. Dobrą praktyką jest powołanie zespołu ds. ciągłości działania z przedstawicielami wszystkich tych obszarów, który spotyka się regularnie (np. co kwartał) i nadzoruje całość.

Jak przekonać właściciela przychodni do inwestycji w backup?

Najskuteczniejszy jest rachunek ekonomiczny pokazujący koszt awarii vs koszt zabezpieczeń. Liczba musi jednak pochodzić z Waszej placówki, nie z cudzego opracowania. Policzcie koszt jednej godziny przestoju: wynagrodzenia osób, które nie mogą pracować, świadczenia, których nie rozliczycie, i odwołane wizyty. Tę liczbę wpiszcie do kalkulatora pod tekstem, a zobaczycie stratę przy jednej awarii obok kosztu opieki nad kopiami. Do tego dochodzą kary z RODO, gdzie górna granica to dwadzieścia milionów euro albo 4% rocznego obrotu, oraz roszczenia pacjentów. Warto też pokazać wymogi prawne (RODO, ustawa o systemach informacji w ochronie zdrowia) i ryzyko osobistej odpowiedzialności członków zarządu. Konkretne przykłady awarii w innych placówkach też pomagają uświadomić realne zagrożenie.

---

Ułóż własną procedurę: kreator procedury backupu.

Co dalej z ciągłością działania w Twojej placówce

Zobacz też: ochrona przed ransomware oraz obsługa IT przychodni i gabinetów.