Segmentacja sieci w przychodni: urządzenia medyczne i Wi-Fi

Segmentacja sieci w przychodni to podział jednej sieci na kilka odseparowanych części. Osobne segmenty dostają stanowiska personelu, urządzenia medyczne, Wi-Fi dla pacjentów i gości oraz drukarki, kamery i inne urządzenia techniczne. Firewall między segmentami przepuszcza tylko ruch potrzebny do pracy. Urządzenia medyczne, których nie da się aktualizować, trafiają do możliwie wąskiego segmentu z dostępem wyłącznie do systemów, z którymi wymieniają dane.

Dzięki temu zainfekowany telefon pacjenta czy stary aparat nie stają się drogą do dokumentacji medycznej. Segmentację projektujemy i konfigurujemy w ramach budowy i rozwoju sieci dla szpitali i przychodni. Okablowanie, przełączniki i Wi-Fi dla personelu opisujemy na stronie o sieci informatycznej.

Dlaczego jedna wspólna sieć to ryzyko

W wielu przychodniach sieć rosła razem z nimi. Kolejne gabinety, drukarki, rejestrator kamer i nowy aparat USG trafiały do jednej sieci. Często personel i pacjenci korzystali nawet z tego samego hasła do Wi-Fi.

Taka płaska sieć działa, dopóki nic się nie dzieje. Gdy złośliwe oprogramowanie trafi na jeden komputer, może bez przeszkód próbować dostać się do serwera, udziałów z dokumentami i kopii zapasowych. Segmentacja zamyka takie zagrożenie w jednej części sieci.

Na jakie segmenty podzielić sieć przychodni

Segment	Co w nim jest	Do czego ma dostęp
Stanowiska personelu	komputery w rejestracji i gabinetach, laptopy	system HIS, drukarki, internet, wybrane usługi
Serwery	serwer systemu HIS (jeśli jest lokalny), serwer plików, kopie zapasowe	tylko ruch potrzebny do działania usług
Urządzenia medyczne	aparaty diagnostyczne, stacje producentów	tylko PACS (archiwum obrazów medycznych), HIS lub inne systemy, z którymi wymieniają dane
Drukarki i urządzenia techniczne	drukarki, rejestrator kamer, telefony IP, kontrola dostępu	tylko usługi, których wymagają
Zarządzanie	interfejsy administracyjne urządzeń sieciowych	wyłącznie administratorzy
Wi-Fi dla pacjentów i gości	telefony i laptopy gości	tylko internet, bez dostępu do sieci wewnętrznej

W mniejszej przychodni część segmentów można połączyć. Trzy rozdziały warto jednak zachować zawsze: personel, urządzenia medyczne i goście. Każdy segment to osobna sieć wirtualna (VLAN) na przełącznikach i osobna strefa na firewallu.

Jakie reguły ustawić między segmentami

Punktem wyjścia jest blokada całego ruchu między segmentami. Potem otwieramy tylko konkretne połączenia, każde z jasnym uzasadnieniem. Przykładowy zestaw reguł dla przychodni:

• stanowiska personelu łączą się z systemem HIS, drukarkami i internetem, ale nie z interfejsami urządzeń medycznych,
• urządzenia medyczne wysyłają badania do PACS i pobierają listę pacjentów z systemu, bez dostępu do internetu,
• drukarki i kamery przyjmują połączenia tylko od stanowisk i serwerów, które z nich korzystają,
• interfejsy administracyjne są dostępne wyłącznie z wydzielonych kont administratorów,
• Wi-Fi dla gości ma wyjście tylko do internetu.

Firewall zapisuje zablokowane próby połączeń. Logi pokazują, które urządzenie próbuje łączyć się tam, gdzie nie powinno. Reguły przeglądamy przy każdym nowym urządzeniu, żeby z czasem nie zamieniły się w listę wyjątków.

Ruch między segmentami kontroluje firewall klasy NGFW (Next-Generation Firewall), czyli urządzenie, które rozpoznaje aplikacje i blokuje znane ataki. Jesteśmy partnerem Fortinet i wdrażamy firewalle FortiGate, a nasi inżynierowie mają certyfikaty Fortinet. Szczegóły opisujemy na stronie cyberbezpieczeństwo w Conetso Group. Na tym samym firewallu konfigurujemy łącze zapasowe, ważne zwłaszcza dla systemu w chmurze. Pisaliśmy o tym we wpisie Optimed NXT w chmurze czy na własnym serwerze.

Wi-Fi dla pacjentów i gości w osobnym segmencie

Wi-Fi dla pacjentów to wygoda, która nie może być furtką do sieci przychodni. Przy konfiguracji pilnujemy kilku zasad:

• osobna nazwa sieci (SSID) i osobny segment, bez żadnej drogi do sieci wewnętrznej,
• izolacja urządzeń, żeby telefony pacjentów nie widziały się nawzajem,
• limit przepustowości, żeby goście nie spowalniali rejestracji i wymiany danych z P1 (krajową platformą e-zdrowia),
• filtrowanie treści na firewallu,
• hasło zmieniane okresowo albo prosty ekran powitalny z regulaminem.

Personel nie powinien pracować w sieci dla gości. Prywatne telefony i laptopy pracowników też należą do segmentu gości, a nie do sieci z systemem HIS.

Przykład z naszej praktyki: w jednej z przychodni aparatura medyczna była podłączona do Wi-Fi dla gości, a z sieci gości był dostęp do zasobów wewnętrznych. Takie sytuacje rozwiązujemy właśnie segmentacją: aparatura dostaje własny segment, a sieć gości wychodzi tylko do internetu.

Urządzenia medyczne, których nie da się aktualizować

Oprogramowanie aparatów diagnostycznych aktualizuje zwykle producent lub jego serwis, poza Twoim działem IT. Dlatego część urządzeń pracuje na starszych wersjach systemów, a na wielu nie da się zainstalować programu antywirusowego. Takiego aparatu nie zabezpieczysz jak zwykłego komputera. Możesz natomiast ograniczyć, z czym w sieci się łączy.

Zaczynamy od listy urządzeń medycznych w przychodni. Przy każdym zapisujemy wersję systemu, firmę serwisową i systemy, z którymi wymienia dane. Od dostawców zbieramy wymagania sieciowe: adresy, porty i usługi. Bez tej listy segmentacja kończy się zwykle otwarciem całego ruchu, bo inaczej aparat przestaje działać.

W praktyce każde urządzenie bez aktualizacji trafia u nas do osobnego segmentu z zablokowanym wyjściem do internetu. Do tego zalecamy kilka zasad:

• osobny segment, a dla najstarszych aparatów nawet segment dla jednego urządzenia,
• dostęp tylko do PACS lub systemu, z którego aparat pobiera listę pacjentów,
• brak dostępu do internetu i do stanowisk personelu,
• serwis producenta łączy się przez VPN tylko na czas prac, a połączenie trafia do logów,
• zmiany w oprogramowaniu aparatu uzgadniasz z producentem lub serwisem.

Przy zakupie nowego aparatu warto zapytać producenta, jak długo będzie dostarczał poprawki bezpieczeństwa. Odpowiedź pomaga zaplanować, kiedy urządzenie trafi do ściśle zamkniętego segmentu.

Wymagania przepisów

Przepisy nie nakazują wprost segmentacji sieci, ale wymagają środków bezpieczeństwa adekwatnych do zagrożeń (stan prawny na 8 listopada 2026 r.). Rozporządzenie Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (t.j. Dz.U. 2026 poz. 1391) w § 1 ust. 4–5 wymaga m.in. dostępności dokumentacji wyłącznie dla osób uprawnionych. Wymaga też systematycznego szacowania ryzyka i stosowania środków bezpieczeństwa uwzględniających najnowszy stan wiedzy. Do tego dochodzi dbałość o aktualizację oprogramowania oraz bieżąca kontrola i okresowa ocena skuteczności zabezpieczeń.

Podobny obowiązek dla danych osobowych wynika z art. 32 RODO. Dane o zdrowiu należą do szczególnych kategorii danych osobowych (art. 9 RODO), dlatego ryzyko ich naruszenia ocenia się wyżej.

Centrum e-Zdrowia opublikowało też rekomendacje bezpieczeństwa dla dokumentacji medycznej w postaci elektronicznej.

Segmentacja sieci to jeden z prostszych środków, które możesz wskazać w analizie ryzyka. Wyraźnie ogranicza skutki incydentu, choć sama nie gwarantuje bezpieczeństwa. Zgodność z przepisami wykazujesz dokumentacją analizy ryzyka i wszystkich dobranych środków (art. 5 ust. 2 i art. 24 RODO).

Jeśli chcesz uporządkować segmenty w swojej przychodni, napisz do nas. Zaczniemy od listy urządzeń i przeglądu reguł na firewallu.