Kybernetická bezpečnost v ambulanci: lidský faktor jako riziko i ochrana

Digitalizace zdravotnictví zásadně změnila každodenní provoz ordinací i nemocnic. Elektronická zdravotnická dokumentace, objednávkové systémy, elektronická komunikace s pacienty, eRecept nebo sdílení dat mezi poskytovateli péče zvyšují efektivitu, ale současně vytvářejí nové bezpečnostní nároky. Kybernetická bezpečnost proto již není výhradně technickým tématem pro IT oddělení. Stává se součástí provozní bezpečnosti zdravotnického zařízení.

To platí zvláště pro ambulantní sektor. Menší ordinace často pracují s omezeným personálním, finančním i technickým zázemím. Lékař a sestra zde vedle klinické práce zajišťují administrativu, komunikaci s pacienty, práci s informačními systémy a někdy i základní technickou správu ordinace. Přitom zpracovávají vysoce citlivá zdravotnická data a jejich provoz je na dostupnosti informačních systémů stále závislejší. Řada ambulancí současně nemá vlastní IT oddělení a spoléhá na externí dodavatele IT služeb, což může komplikovat rychlou reakci při incidentu nebo systematické řízení bezpečnosti.

Kybernetický incident v ambulanci nemusí znamenat pouze únik dat. Může vést k nedostupnosti dokumentace, narušení objednávkového systému, omezení provozu ordinace, zvýšení administrativní zátěže i ztrátě důvěry pacientů. Z praktického hlediska proto nestačí ptát se pouze na to, jaké technické zabezpečení ordinace používá. Stejně důležité je, jak se v běžném provozu chovají její uživatelé a zda mají vytvořené podmínky pro bezpečnou práci.

Bezpečnostní chování zdravotníků: dotazník HAIS-Q a rozhovory s experty

Šetření zaměřené na bezpečnostní chování zdravotnického personálu kombinovalo kvantitativní a kvalitativní přístup. Dotazníkového šetření se zúčastnilo 780 respondentů z různých profesních skupin ve zdravotnictví, včetně lékařů, ošetřujícího personálu, terapeutů, administrativních pracovníků a dalších pracovníků zdravotnických zařízení. Kvantitativní část využila zkrácenou behaviorální část standardizovaného nástroje HAIS-Q, tedy Human Aspects of Information Security Questionnaire, doplněnou o vlastní otázky zaměřené na praktické zkušenosti respondentů.
HAIS-Q sleduje lidské aspekty informační bezpečnosti, například práci s hesly, e-maily, internetem, mobilními zařízeními, nakládání s informacemi a hlášení incidentů. V tomto šetření byla použita část zaměřená na deklarované chování pracovníků. Výsledky proto nevypovídají o technické úrovni zabezpečení jednotlivých zdravotnických zařízení, ale o tom, jak respondenti popisují své bezpečnostní návyky v každodenní praxi.
Kvantitativní data byla doplněna devíti polostrukturovanými rozhovory s odborníky na IT a kybernetickou bezpečnost ve zdravotnictví. Tyto rozhovory pomohly zasadit dotazníková zjištění do širšího provozního kontextu. Ukázaly zejména to, jakou roli hraje pracovní prostředí, časový tlak, dostupnost IT podpory a způsob nastavení bezpečnostních pravidel.

Graf 1: Činnosti, které respondenti považují ve své práci ve zdravotnictví za nejrizikovější.

Respondenti nejčastěji označovali jako rizikové činnosti spojené s podezřelými e-maily a neoprávněným přístupem k pracovním zařízením. Některá každodenní rizika, například přenos dat mimo zabezpečené prostředí nebo používání přenosných médií, mohou být v praxi podceňována.

Školení jako významný faktor bezpečnostního chování

Jedním z nejvýraznějších zjištění je souvislost mezi absolvováním školení a vyšší úrovní bezpečnostního chování. Zkušenost se školením uvedlo 445 z celkových 780 respondentů, tedy 57 procent. Naopak 335 respondentů, tedy 43 procent, školení v oblasti kybernetické bezpečnosti neabsolvovalo.
Tento výsledek je důležitý zejména proto, že demografické charakteristiky respondentů, jako pohlaví, pracovní pozice nebo délka praxe, nevysvětlovaly rozdíly v bezpečnostním skóre tak přesvědčivě. Bezpečné chování tedy nelze jednoduše spojovat s určitou profesní skupinou, věkem nebo délkou zkušeností ve zdravotnictví. Podstatnější se jeví kontakt s praktickým vzděláváním, srozumitelnými pravidly a opakovaným připomínáním bezpečnostních zásad.
Z výsledků zároveň vyplývá, že samotná existence školení nestačí. Respondenti nejčastěji preferovali dostupné online formy vzdělávání, například e-learning, které jsou časově flexibilní a pro menší zařízení lépe organizačně zvládnutelné. Odborníci však v rozhovorech upozorňovali, že čistě formální e-learning může být vnímán pouze jako povinnost. Za vhodnější proto považovali kombinaci krátkého vzdělávacího modulu s praktickými ukázkami, nácvikem rozpoznání phishingu a jasným propojením školení s konkrétními situacemi v ordinaci.

Ambulance nemají nutně horší skóre, častěji však slabší zázemí

Na první pohled by se mohlo zdát, že nemocnice s větším technickým a organizačním zázemím budou dosahovat lepšího bezpečnostního chování než menší ambulance. Výsledky však tuto jednoduchou představu nepotvrdily. Celkové bezpečnostní skóre se mezi ambulantním a nemocničním prostředím výrazně nelišilo.
Toto zjištění je pro ambulantní sektor důležité. Neznamená, že ambulance jsou automaticky méně bezpečné nebo že jejich pracovníci přistupují ke kybernetické bezpečnosti méně odpovědně. Rozdíly se ukázaly spíše v podpůrném zázemí než v samotném deklarovaném bezpečnostním chování.
V doplňujících otázkách se ukázalo, že ambulantní pracovníci častěji postrádají školení, metodické materiály a jistotu při řešení incidentů. Z celkového počtu 75 respondentů, kteří uvedli, že nevědí, na koho se mají v případě kybernetického incidentu obrátit, pracovalo 61 respondentů v ambulancích. To představuje 81,3 procenta této skupiny. Dále ze 442 pracovníků ambulantních zařízení uvedlo 398 respondentů, tedy přibližně 90 procent, že nezná dostupné kybernetické příručky nebo metodické materiály pro ambulantní zařízení.
Právě tato zjištění mají pro praxi zásadní význam. Ukazují, že slabým místem nemusí být ochota zdravotníků chovat se bezpečně, ale spíše nedostatek jasných postupů, dostupné podpory a prakticky uchopitelných informací.

Rizikové chování není jen důsledkem neznalosti

Výsledky šetření i rozhovorů s odborníky upozorňují na důležitý interpretační posun: rizikové chování zdravotnického personálu nelze vysvětlovat pouze neznalostí nebo nezájmem. Významnou roli hraje pracovní prostředí, časová tíseň, stres, snaha udržet plynulost provozu a omezená dostupnost IT podpory.
V ambulanci může být bezpečnostní pravidlo vnímáno jako překážka, pokud není přizpůsobeno provozu. Příliš složité přihlašování, časté změny hesel bez podpůrného nástroje, nejasný postup při sdílení dokumentace nebo nedostupný IT kontakt mohou vést k obcházení pravidel. Sdílená hesla, ponechaný přihlášený počítač, přeposílání dokumentace běžným e-mailem nebo používání USB médií pak nemusí být projevem lhostejnosti, ale snahou zvládnout provoz v podmínkách, které bezpečné chování dostatečně nepodporují.
Z pohledu řízení rizik je proto vhodnější nevnímat zdravotnický personál jako „slabý článek“, ale jako klíčovou ochrannou vrstvu. Aby však tuto roli mohl plnit, musí být bezpečnostní opatření srozumitelná, technicky proveditelná a slučitelná s běžnou organizací práce v ordinaci.

Phishing je viditelné riziko, každodenní návyky se však mohou podceňovat

Zajímavé je srovnání rizik, která pracovníci vnímají jako zjevně nebezpečná, s riziky, jež jsou součástí běžné každodenní praxe. Otevření přílohy v podezřelém e-mailu bylo respondenty vnímáno jako jedno z nejrizikovějších chování. To odpovídá zkušenosti zdravotnictví s phishingem a ransomwarem, kdy může jediný škodlivý e-mail vést k závažnému narušení provozu. Odborníci zároveň upozorňují na rostoucí kvalitu phishingových útoků využívajících nástroje generativní AI, které jsou pro uživatele stále obtížněji rozpoznatelné.
Současně však odborníci v rozhovorech upozorňovali i na méně nápadná, ale opakovaná rizika: ponechávání přihlášených pracovních stanic bez dozoru, sdílení přihlašovacích údajů, používání společných účtů, ukládání dokumentů na osobní zařízení, využívání neautorizovaných komunikačních kanálů nebo přenos dat přes USB média.
Tato rizika nemusí působit dramaticky, ale z hlediska ochrany pacientských dat a dohledatelnosti činností jsou významná. Sdílený účet například komplikuje zpětné určení, kdo s dokumentací pracoval. Neuzamčený počítač umožňuje neoprávněný přístup k citlivým údajům. Zasílání dokumentace přes osobní e-mail nebo komunikační aplikace může vést k porušení pravidel ochrany osobních údajů. V každodenním provozu ordinace proto mohou být právě rutinní a zdánlivě drobné návyky stejně důležité jako ochrana před zjevnými kybernetickými útoky.

Regulatorní rámec a praktická realita ordinací

Kybernetická bezpečnost zdravotnictví se vyvíjí také pod vlivem regulatorních změn. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, implementuje požadavky evropské směrnice NIS2 a rozšiřuje požadavky na řízení kybernetických rizik u organizací poskytujících významné služby, včetně části zdravotnického sektoru. Cílem nové právní úpravy je posílení kybernetické odolnosti a bezpečnosti těchto organizací vůči narůstajícím kybernetickým hrozbám.
Menší ambulance nemusí vždy spadat přímo mezi regulované subjekty ve stejném režimu jako velká zdravotnická zařízení, přesto se jich kybernetická bezpečnost prakticky týká. Jednak pracují s citlivými zdravotnickými údaji, jednak jsou napojeny na širší digitální infrastrukturu zdravotnictví a dodavatelské systémy. Pro malé ordinace je proto důležitá zejména metodická a praktická podpora. V českém prostředí k ní patří například „Kybernetická příručka pro lékaře – 10 + 1 kroků k ochraně ordinace“, která nabízí prakticky proveditelná opatření pro ordinace praktických lékařů a malé ambulance.

Proč vzniká rizikové bezpečnostní chování v ordinaci

Rizikové chování nevzniká pouze z neznalosti. V ambulantní praxi se často uplatňuje kombinace časového tlaku, snahy zachovat plynulý provoz, omezené IT podpory a bezpečnostních pravidel, která nejsou dostatečně srozumitelná nebo použitelná v běžném provozu.

Co z výsledků plyne pro ambulantní praxi

Praktické závěry lze shrnout do tří oblastí: vzdělávání, organizační pravidla a základní technickoprovozní opatření.
V oblasti vzdělávání je vhodné preferovat krátká, pravidelná a prakticky zaměřená školení. Neměla by se omezit na obecná poučení, ale měla by vycházet z konkrétních situací: podezřelý e-mail, neznámá příloha, požadavek pacienta na zaslání dokumentace, používání USB média, práce na sdíleném počítači nebo podezření na napadení systému.
Organizační pravidla by měla být jednoduchá a snadno dostupná. Každá ambulance by měla mít jasně stanovený postup hlášení incidentu: koho kontaktovat, co odpojit, co nemačkat, co neotevírat a jak situaci zaznamenat. Stejně tak je vhodné mít pravidla pro práci s přihlašovacími údaji, sdílení dokumentace, používání osobních zařízení a přenosných médií.
Technická opatření nemusí být v ambulanci složitá, ale měla by být důsledná. Patří sem individuální uživatelské účty, silná hesla, vícefaktorové ověřování alespoň u vzdálených přístupů, pravidelné aktualizace, antivirová ochrana, firewall, automatické uzamykání pracovních stanic, oddělení pracovní a veřejné wi-fi sítě a pravidelné zálohování s ověřením možnosti obnovy.
Podstatné je, aby opatření nebyla pouze formální. Bezpečnostní pravidlo, které nikdo v reálném provozu nedokáže dodržet, nevede k vyšší bezpečnosti. Naopak může zvyšovat tendenci k obcházení systému. Cílem by proto měla být přiměřená a provozně zvládnutelná bezpečnost, nikoliv administrativně dokonalý, ale nepraktický soubor zákazů.

Co by měla mít každá ambulance nastaveno

Závěr

Výsledky šetření ukazují, že kybernetická bezpečnost ve zdravotnictví je sociotechnický problém. Technická opatření jsou nezbytná, ale sama o sobě nestačí. Rozhodující je také chování uživatelů, dostupnost školení, jasnost procesů a reálné podmínky, ve kterých zdravotnický personál pracuje.
Ambulance nemají nutně horší bezpečnostní chování než nemocnice. Častěji však mohou postrádat organizační zázemí, metodickou podporu a jistotu při řešení incidentů. Právě zde je prostor pro cílená, realistická a finančně dostupná opatření, která mohou významně zvýšit bezpečnost každodenního provozu.
Zdravotnický personál by neměl být vnímán pouze jako riziko. Při dobře nastavených pravidlech, pravidelném vzdělávání a dostupné IT podpoře se může stát jednou z nejdůležitějších ochranných vrstev zdravotnického zařízení. Pro každodenní ambulantní praxi to znamená především jednoduchá, opakovaná a skutečně použitelná opatření, která bezpečnost nezvyšují jen formálně, ale reálně.