1 Introducere

Transformarea digitală a modificat profund exercitarea medicinei buco-dentare. Cabinetele stomatologice, la fel ca întregul sector al sănătății, se bazează din ce în ce mai mult pe tehnologiile digitale pentru gestionarea dosarelor pacienților, imagistica medicală, planificarea programărilor, facturarea și comunicarea. Această digitalizare, deși sursă de eficiență și de îmbunătățire a calității îngrijirilor, expune aceste structuri la vulnerabilități semnificative în materie de securitate cibernetică. Adoptarea crescândă a instrumentelor digitale, dacă optimizează funcționarea zilnică a cabinetelor, are drept corolar o creștere a suprafeței lor de atac. Fiecare sistem nou interconectat, fiecare nouă bază de date constituie un punct de intrare potențial pentru actori rău intenționați și o țintă de valoare. Există astfel o tensiune inerentă între beneficiile operaționale ale digitalizării și imperativul securității.

Acest articol propune o analiză aprofundată a provocărilor și soluțiilor de securitate cibernetică specifice cabinetelor stomatologice. Va examina peisajul amenințărilor, cadrul de reglementare aplicabil, strategiile de prevenire și protecție, gestionarea incidentelor, precum și resursele și sprijinul disponibile.

2 Peisajul amenințărilor cibernetice și vulnerabilitățile specifice cabinetelor stomatologice

Cabinetele stomatologice, în ciuda dimensiunii lor adesea modeste, constituie ținte preferate pentru infractorii cibernetici datorită naturii datelor pe care le procesează și anumitor vulnerabilități structurale.

De ce sunt cabinetele stomatologice ținte preferate?

Mai mulți factori explică atractivitatea cabinetelor stomatologice pentru atacatorii cibernetici.

• Valoarea datelor de sănătate: Dosarele medicale centralizează informații personale permanente și extrem de sensibile, precum antecedentele medicale, codul numeric personal, prescripțiile sau rezultatele analizelor. Aceste date pot fi revândute pe dark web la un preț semnificativ mai ridicat decât cel al informațiilor bancare, uneori de până la 50 de ori mai mult, datorită caracterului lor permanent și potențialului de utilizare pentru fraude complexe sau furt de identitate. Această valoare comercială ridicată constituie o incitare directă pentru infractorii cibernetici.
• Factori de risc inerenți structurilor mici: Cabinetele stomatologice, operând majoritar ca microîntreprinderi (IMM), prezintă vulnerabilități specifice. Dispun rareori de personal informatic sau de securitate cibernetică dedicat, iar bugetele alocate securității sunt adesea limitate în comparație cu marile instituții. În mod indicativ, dacă 40 % din spitalele europene nu dispuneau de un responsabil dedicat securității cibernetice în 2023, situația este probabil mai critică în cabinetele liberale. Uzura morală a sistemelor informatice este un alt factor agravant. Utilizarea de material sau software-uri neactualizate, chiar a unor sisteme de operare al căror suport tehnic a încetat (precum Windows 7, încă utilizat în anumite spitale în 2022 și potențial în cabinete mai vechi), generează breșe de securitate cunoscute și necorectate. Criticitatea operațiunilor face, de asemenea, cabinetele vulnerabile. Un atac cibernetic, în special prin ransomware, poate paraliza activitatea cabinetului, antrenând anularea programărilor și o ruptură în continuitatea îngrijirilor. Or, numeroase cabinete nu sunt pregătite adecvat pentru a face față unor astfel de incidente, lipsindu-le un plan de urgență formalizat și strategii de back-up al datelor robuste și testate periodic.

• Factorul uman ca verigă slabă: O proporție semnificativă a atacurilor cibernetice reușite, estimată la 70 % în sectorul spitalicesc și extrapolabilă la cabinetele stomatologice, este imputabilă unor erori umane. Lipsa formării și sensibilizării personalului la riscurile cibernetice este evidentă. Practici precum utilizarea de parole slabe sau reutilizate, o gestionare defectuoasă a drepturilor de acces sau necunoașterea tehnicilor de phishing deschid breșe exploatabile de către atacatori.

Panorama atacurilor cibernetice frecvente

Cabinetele stomatologice sunt expuse unei varietăți de atacuri cibernetice, dintre care unele sunt deosebit de frecvente și dăunătoare.

• Ransomware: Atacurile prin ransomware reprezintă amenințarea cea mai temută. Aceste programe malițioase criptează datele cabinetului, făcându-le inaccesibile, apoi solicită plata unei răscumpărări, adesea în criptomonedă, în schimbul unei chei de decriptare. Consecințele sunt adesea severe: paralizia sistemului informatic, revenirea forțată la dosarele pe hârtie, anularea masivă a programărilor și uneori amenințarea divulgării publice a datelor furate dacă răscumpărarea nu este plătită.

La nivel european, autoritățile cibernetice au raportat că aproximativ 11 % din incidentele informatice semnalate în 2023 priveau sectorul sănătății, ceea ce include numeroase cabinete stomatologice și de ortodonție.

• Phishing și inginerie socială: Phishing-ul este o tehnică de inginerie socială ce vizează înșelarea vigilenței utilizatorilor pentru a le extrage informații confidențiale (identificatori, parole) sau a-i determina să execute programe malițioase. Atacatorii se dau drept entități legitime (administrații, furnizori, confrați) prin e-mailuri, SMS-uri sau apeluri telefonice frauduloase. Mai mult de jumătate dintre profesioniștii din sănătate nu ar ști să identifice un e-mail fraudulos. Aceste atacuri pot duce la furtul dosarelor pacienților și la paralizia sistemelor informatice.
• Alte amenințări relevante: Pe lângă ransomware și phishing, cabinetele stomatologice pot fi victime ale furtului de date (intruziuni în bazele de date pentru a exfiltra informații sensibile) sau, mai rar pentru structurile mici, ale atacurilor prin refuz de serviciu (DDoS) care vizează să facă serviciile lor online (site web, programări) indisponibile.

Tabelul următor sintetizează principalele amenințări cibernetice pentru cabinetele stomatologice.

Amenințare	Descriere	Impact principal	Frecvență
Ransomware	Criptarea datelor, cerere de răscumpărare	Paralizie totală a cabinetului	Ridicată
Phishing	E-mailuri/SMS frauduloase pentru a fura identificatori	Furt de date, acces neautorizat	Foarte ridicată
Furt de date	Intruziune și exfiltrare de informații sensibile	Scurgere de dosare ale pacienților	Medie
Atac IoT	Compromiterea obiectelor conectate (imagistică, senzori)	Poartă de intrare către rețea	În creștere
Eroare umană	Manipulare greșită, parolă slabă	70% din incidentele din sănătate	Foarte ridicată

Amenințări emergente și tendințe viitoare

Peisajul amenințărilor cibernetice este în evoluție constantă, cu apariția de noi vectori de atac și sofisticarea tehnicilor existente.

• Internetul Obiectelor (IoT) în cabinetul stomatologic: Proliferarea obiectelor conectate (IoT) în mediul cabinetelor stomatologice – scaune inteligente, sisteme de radiografie digitală, senzori de monitorizare, camere de supraveghere, televizoare conectate în sălile de așteptare – introduce noi suprafețe de atac. Aceste aparate, adesea mai puțin securizate decât computerele tradiționale și dotate cu parole slabe din fabrică, pot fi porți de intrare facile pentru infractorii cibernetici. Odată compromis, un aparat IoT poate servi ca pivot pentru a infiltra rețeaua principală a cabinetului, a exfiltra date sau a perturba funcționarea altor echipamente. Securizarea acestor dispozitive trece prin măsuri de bază precum izolarea pe o rețea separată, modificarea identificatorilor din fabrică, aplicarea riguroasă a actualizărilor și dezactivarea funcționalităților neesențiale. Uzura morală a sistemelor informatice, deja o problemă pentru posturile de lucru, nu este doar o breșă tehnică, ci și simptomul unei decalaj între rapiditatea evoluției tehnologice și capacitatea de adaptare a structurilor mici din sănătate. Acest lucru evidențiază necesitatea unor mecanisme de sprijin mai structurale, financiare și formative, pentru menținerea unui nivel de securitate adecvat la scară națională.
• Inteligența artificială (IA): instrument de atac și de apărare: Inteligența artificială (IA) reprezintă o armă cu două tăișuri în domeniul securității cibernetice. Pe de o parte, este utilizată de atacatori pentru a crește sofisticarea și personalizarea atacurilor: generarea de e-mailuri de phishing ultra-realiste, crearea de deepfake-uri pentru furtul de identitate, automatizarea spargerii parolelor sau conducerea atacurilor coordonate împotriva obiectelor conectate. La nivel european, 82 % din întreprinderi ar fi fost deja confruntate cu atacuri cibernetice „augmentate cu IA". Pe de altă parte, IA oferă perspective promițătoare pentru consolidarea apărării: detectarea mai rapidă și mai precisă a amenințărilor datorită analizei comportamentale, automatizarea răspunsului la incidente și asistența decizională pentru echipele de securitate. IA este deci în același timp un vector de amenințare și o suprafață de atac potențială dacă sistemele de IA înseși sunt compromise. Introducerea IoT și a IA în cabinetele stomatologice, deși purtătoare de inovații pentru îngrijiri, va complica exponențial gestionarea securității cibernetice. Practicienii vor trebui să securizeze nu numai sistemele lor informatice tradiționale, ci și o multitudine de aparate interconectate și inteligente, ceea ce va cere o expertiză și o vigilență sporite, o provocare notabilă pentru structurile mici.

3 Cadru de reglementare și normativ: obligații și recomandări

Gestionarea securității cibernetice în cabinetele stomatologice este încadrată de un ansamblu de legi, regulamente și recomandări emise de autorități naționale și europene. Complexitatea acestui cadru poate reprezenta o provocare pentru structurile mici, dar înțelegerea sa este esențială pentru a asigura protecția datelor și conformitatea.

Regulamentul general privind protecția datelor (GDPR)

Intrat în vigoare la 25 mai 2018, GDPR (Regulamentul (UE) 2016/679) constituie piatra de temelie a protecției datelor cu caracter personal în Europa și se aplică direct cabinetelor stomatologice din România și din întreaga Uniune Europeană.

• Aplicabilitate și principii fundamentale pentru datele de sănătate: GDPR încadrează toate prelucrările de date cu caracter personal, fie sub formă digitală (software-uri de gestiune, dosare informatizate ale pacienților), fie pe hârtie. Datele de sănătate, datorită naturii lor intime, sunt calificate drept „categorii speciale de date" (anterior „date sensibile") și beneficiază de un nivel sporit de protecție. Prelucrarea lor este în principiu interzisă, cu excepția unor cazuri specifice enumerate la articolul 9 din GDPR, în special atunci când este necesară în scopuri de medicină preventivă, diagnostic medical, administrare a îngrijirilor sau a tratamentelor, sau gestionarea sistemelor și serviciilor de asistență medicală. Cabinetele stomatologice trebuie să respecte principiile fundamentale ale GDPR: legalitate, echitate și transparență a prelucrării; limitarea scopurilor (datele nu trebuie colectate decât pentru obiective determinate, explicite și legitime); minimizarea datelor (numai datele strict necesare trebuie prelucrate); exactitate; limitarea perioadei de stocare; integritate și confidențialitate (obligația de securitate); și responsabilitate (cabinetul trebuie să fie în măsură să demonstreze conformitatea sa).
• Obligații specifice pentru cabinetele stomatologice: Mai multe obligații concrete decurg din GDPR pentru medicii dentiști:
• Ținerea unui registru al activităților de prelucrare: Acest document intern trebuie să recenzeze ansamblul prelucrărilor de date cu caracter personal puse în aplicare de cabinet (ex: gestiunea dosarelor pacienților, facturarea, luarea programărilor). Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) propune modele pentru a facilita această sarcină.
• Informarea pacienților: Pacienții trebuie informați în mod clar și accesibil despre colectarea și utilizarea datelor lor, precum și despre drepturile lor (acces, rectificare, ștergere, limitare, portabilitate). Această informație poate lua forma unui afiș în sala de așteptare sau a unei mențiuni în documentele remise pacienților.
• Realizarea unei evaluări a impactului asupra protecției datelor (DPIA):

Un DPIA este necesar atunci când prelucrarea datelor este susceptibilă să antreneze un risc ridicat pentru drepturile și libertățile persoanelor. Manipularea la scară mare a datelor de sănătate poate intra în acest caz.

• Gestionarea încălcărilor de date: În caz de breșă de securitate care antrenează, de exemplu, scurgerea sau pierderea datelor pacienților, cabinetul trebuie să notifice incidentul la ANSPDCP în termen de 72 de ore dacă încălcarea prezintă un risc pentru drepturile și libertățile persoanelor. Dacă riscul este ridicat, pacienții vizați trebuie, de asemenea, informați.
• Încadrarea relațiilor cu împuterniciții: Cabinetele trebuie să se asigure că prestatorii lor (editori de software, furnizori de găzduire a datelor, servicii de programări online) oferă garanții suficiente în materie de protecție a datelor. Contracte scrise, conforme cu articolul 28 din GDPR, trebuie să formalizeze aceste relații.
• Desemnarea unui responsabil cu protecția datelor (DPO): Desemnarea unui DPO este obligatorie în anumite cazuri, în special pentru organismele a căror activitate de bază îi determină să prelucreze la scară mare date sensibile. Un cabinet de grup important (peste 10 000 de dosare ale pacienților, conform unei interpretări) ar putea fi vizat. DPO poate fi intern, extern sau mutualizat.

Sancțiuni în caz de neconformitate: Nerespectarea GDPR expune cabinetele stomatologice la sancțiuni severe. Acestea pot fi administrative, cu amenzi care pot atinge 20 de milioane de euro sau 4 % din cifra de afaceri anuală mondială. Sunt, de asemenea, prevăzute sancțiuni penale, de exemplu pentru deturnarea scopului datelor. ANSPDCP a sancționat deja actori din sectorul sănătății pentru abateri de la securitate care au condus la scurgeri de date medicale.

Găzduirea datelor de sănătate

Chestiunea găzduirii datelor de sănătate este crucială și reglementată specific la nivel european.

• Cerințe pentru furnizorii de găzduire: La nivelul UE, găzduirea datelor de sănătate cu caracter personal pentru contul unui terț este supusă unor cerințe stricte de conformitate cu GDPR și normele ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică). Acest lucru privește furnizorii de infrastructuri fizice sau virtuale, serviciile gestionate, editorii de software-uri în mod SaaS (Software as a Service) sau cloud, și prestatorii de servicii de back-up externalizat. Aceste standarde de conformitate vizează să garanteze un nivel înalt de securitate, confidențialitate, disponibilitate și trasabilitate a datelor de sănătate găzduite. Acoperă aspecte precum securitatea fizică a centrelor de date, securitatea logică a sistemelor, gestionarea accesului, back-up-urile, continuitatea activității și reversibilitatea datelor.
• Implicații pentru cabinetele stomatologice: Atunci când un cabinet stomatologic alege să externalizeze stocarea sau prelucrarea datelor de sănătate ale pacienților săi – de exemplu, utilizând un software profesional în mod cloud, o soluție de back-up online sau o platformă de partajare a documentelor medicale – are obligația de a recurge la un prestator care dispune de certificările adecvate (ISO 27001, ISO 27701 și, dacă este posibil, conformitatea cu standardele HDS franceze sau echivalente europene). Revine cabinetului să verifice validitatea și perimetrul certificărilor furnizorului său. Această obligație este o măsură puternică de securizare. Totuși, dacă deplasează o parte a responsabilității securității către prestator, nu exonerează cabinetul de propria sa diligență și responsabilitate în calitate de operator.

O înțelegere greșită a acestei împărțiri a responsabilității poate crea un fals sentiment de securitate, în timp ce cabinetul trebuie să se asigure contractual (prin clauzele GDPR) și prin vigilență continuă că împuternicitul său respectă angajamentele sale.

• Alegerea software-urilor și a soluțiilor de back-up conforme: Software-urile de gestiune a cabinetului trebuie să fie obligatoriu conforme cu GDPR. Dacă software-ul este propus în mod cloud și găzduiește date de sănătate, editorul sau prestatorul său de găzduire trebuie să dispună de certificări adecvate. Mai multe criterii trebuie luate în considerare la alegerea unui software, incluzând funcționalitățile sale, ergonomia, dar mai ales garanțiile sale în materie de securitate și conformitate. Este puternic recomandat să se găzduiască datele de sănătate în România sau, în lipsă, în Spațiul Economic European pentru a garanta aplicarea GDPR și pentru probleme de suveranitate a datelor.

Directive și referințe naționale și europene

Pe lângă GDPR și cerințele privind găzduirea datelor de sănătate, mai multe instanțe naționale și europene edictează reguli și recomandări pentru a ghida profesioniștii din sănătate în securizarea sistemelor lor informatice.

• Directiva NIS2 și reglementările europene: Directiva UE 2022/2555 (NIS2) consolidează cerințele de securitate cibernetică pentru entitățile esențiale și importante, inclusiv în sectorul sănătății. Aceasta se aplică progresiv în statele membre și stabilește obligații de gestiune a riscurilor, notificare a incidentelor și cooperare cu autoritățile naționale competente.
• Recomandările Directoratului Național de Securitate Cibernetică (DNSC) și CERT-RO: DNSC este autoritatea națională din România în materie de securitate cibernetică. Publică numeroase ghiduri și bune practici, dintre care multe sunt relevante pentru cabinetele stomatologice, chiar dacă nu sunt întotdeauna vizate specific.

Printre cele mai importante se numără ghidurile de igienă informatică, ghidurile privind gestionarea atacurilor prin ransomware, pregătirea și gestionarea crizelor cibernetice, sau metodele de analiză a riscurilor. DNSC propune, de asemenea, sprijin pentru entitățile din sectorul sănătății, iar recomandările sale, precum modelul de securitate „Zero Trust", pot inspira demersurile cabinetelor.

• Rolul și recomandările ENISA: ENISA (Agenția UE pentru Securitate Cibernetică) joacă un rol motor în promovarea unei e-sănătăți securizate la nivel european. Furnizează ghiduri, publică referințe tehnice și organizează webinarii de sensibilizare și formare. Programele europene de securitate cibernetică pentru sănătate vizează ridicarea nivelului de securitate al entităților din sector.
• Directivele Colegiului Medicilor Dentiști din România (CMDR): CMDR, în calitate de instanță profesională, are, de asemenea, un rol de jucat în sensibilizarea și acompanierea practicienilor în chestiunile de securitate cibernetică. Difuzează recomandări specifice, precum bunele practici de securitate cibernetică pentru medicii dentiști sau ghiduri privind securitatea informatică pentru profesioniștii din sănătate în exercițiu liberal.

CMDR insistă în special asupra importanței formării personalului, utilizării mesageriilor sigure de sănătate și vigilenței în alegerea și contractarea cu prestatorii de servicii digitale.

• Recomandările ANSPDCP: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) este autoritatea română de control în materie de protecție a datelor cu caracter personal.

Aceasta veghează la aplicarea GDPR și acompaniază profesioniștii în punerea lor în conformitate. Publică numeroase resurse: ghiduri practice privind GDPR adaptate profesioniștilor din sănătate, recomandări privind aspectele tehnice ale securității (alegerea parolelor, realizarea back-up-urilor, securizarea site-urilor web), informații privind durata de păstrare a datelor (de exemplu, pentru dosarele medicale) și checkliste de autoevaluare.

4 Strategii de prevenire și protecție cibernetică pentru cabinetele stomatologice

A. Măsuri tehnice fundamentale

Punerea în funcțiune a unei infrastructuri informatice securizate constituie baza protecției.

• Securizarea infrastructurilor: Fiecare post de lucru și server trebuie să facă obiectul unei atenții speciale: sistemele de operare (OS) și software-urile menținute la zi prin aplicarea regulată a corecțiilor de securitate, soluții antivirus performante și actualizate, și configurații consolidate. Blocarea automată a sesiunilor după o perioadă de inactivitate este o măsură simplă, dar eficace, pentru a preveni accesele neautorizate în caz de absență momentană a utilizatorului. Rețeaua Wi-Fi a cabinetului, dacă există, trebuie să fie securizată printr-o criptare robustă (WPA2 sau, ideal, WPA3), parola din fabrică a routerului trebuie imperativ schimbată, iar difuzarea numelui rețelei (SSID) poate fi mascată. Crearea unei rețele Wi-Fi „de invitați", distinctă de rețeaua internă a cabinetului, este puternic recomandată pentru pacienți sau vizitatori. Un firewall, hardware sau software, este indispensabil pentru a filtra comunicațiile dintre rețeaua cabinetului și Internet, blocând tentativele de intruziune și controlând fluxurile de date de intrare și de ieșire. Firewall-ul integrat în Windows (Microsoft Defender Firewall) trebuie să fie activat și configurat corect.
• Gestiune riguroasă a accesului și a identităților: Robustețea parolelor este primordială. Acestea trebuie să fie lungi (minimum 12 caractere), complexe (combinând litere mari, mici, cifre și caractere speciale) și unice pentru fiecare serviciu sau aplicație. Utilizarea unui manager de parole este de acum o practică recomandată pentru a facilita crearea și memorarea parolelor puternice, fără a le nota sau stoca într-un mod nesigur. Parolele trebuie reînnoite regulat și nu trebuie înregistrate niciodată direct în browserele web.

• Politica de back-up: Back-up-urile regulate și fiabile sunt cea mai bună protecție împotriva pierderii de date, fie că este cauzată de o defecțiune hardware, o eroare umană sau un atac cibernetic precum un ransomware. Back-up-urile trebuie să fie frecvente (zilnice pentru datele critice) și automatizate pe cât posibil. Este recomandată utilizarea mai multor suporturi de back-up (discuri externe, servere NAS) și diversificarea lor (de exemplu, o copie locală și o copie externalizată într-un cloud securizat și certificat dacă datele de sănătate sunt stocate acolo). Regula „3-2-1" (cel puțin trei copii ale datelor, pe două tipuri de suporturi diferite, dintre care o copie în afara sitului) este o bună practică. În mod esențial, suporturile de back-up locale trebuie izolate de rețeaua informatică principală după fiecare operațiune de back-up pentru a evita ca acestea să fie criptate ele însele de un ransomware. În sfârșit, este imperativ să se testeze regulat restaurarea datelor din back-up pentru a se asigura de integritatea lor și de funcționalitatea procesului de recuperare. Neglijarea igienei informatice de bază, precum actualizările sau back-up-urile fiabile, adesea din lipsă de timp sau de sensibilizare, revine la a lăsa ușa larg deschisă infractorilor cibernetici și constituie o legătură directă cu vulnerabilitatea la atacurile frecvente.
• Criptarea datelor sensibile: Criptarea transformă datele într-un format ilizibil fără cheia de decriptare adecvată. Trebuie aplicată datelor în tranzit (atunci când circulă pe o rețea), de exemplu prin utilizarea protocolului HTTPS pentru toate comunicațiile web și aplicațiile online, și prin criptarea atașamentelor e-mailurilor care conțin date de sănătate dacă o mesagerie nesecurizată este utilizată excepțional. Datele trebuie, de asemenea, criptate în repaus (atunci când sunt stocate), în special pe discurile dure ale laptopurilor, cheile USB și suporturile de back-up. • Actualizări software și gestionarea corecțiilor de securitate: Editorii de software publică regulat actualizări pentru a corecta breșele de securitate descoperite. Este vital să se aplice sistematic și rapid aceste corecții pentru toate componentele sistemului informatic: sisteme de operare, antivirus, browsere web, software-uri profesionale și orice altă aplicație utilizată. Este recomandat să se planifice timp dedicat acestor operațiuni de mentenanță.
• Alegerea și configurarea sigură a software-urilor profesionale și a echipamentelor specifice: Alegerea software-ului profesional este strategică. Trebuie să fie conform cu GDPR și, dacă este găzduit în cloud, furnizorul de găzduire trebuie să dispună de certificări adecvate. Compatibilitatea cu serviciile naționale de e-sănătate este, de asemenea, un criteriu important. Este preferabil să se opteze pentru software-uri care au primit o certificare sau o referențiere din partea unor organisme recunoscute. Echipamentele de imagistică sau de radiologie digitală, care sunt din ce în ce mai conectate (ținând de IoT), trebuie securizate ca orice alt obiect conectat: modificarea identificatorilor din fabrică, actualizări regulate ale firmware-ului și, dacă este posibil, izolarea pe un segment de rețea dedicat. Terminalele de plată electronică (POS) trebuie, de asemenea, configurate și utilizate într-un mod sigur pentru a proteja datele tranzacțiilor.

Măsuri organizaționale și umane

Tehnologia singură nu este suficientă; securitatea se bazează, de asemenea, pe procese clare și pe un personal sensibilizat.

• Elaborarea unei politici de securitate a sistemelor informatice (PSSI) adaptate:

Chiar și pentru o structură mică precum un cabinet stomatologic, formalizarea unei PSSI, chiar simplificate, este un demers structurant. Acest document strategic, elaborat de practicianul responsabil, eventual cu ajutorul unui consilier extern, definește obiectivele de securitate, regulile de respectat, responsabilitățile fiecăruia și procedurile în caz de incident. Trebuie să se bazeze pe o analiză a riscurilor proprii cabinetului și să fie actualizată regulat. O PSSI, chiar concisă, constituie un angajament formal față de securitate, care poate, de asemenea, liniști pacienții în ceea ce privește protecția datelor lor.

• Formarea și sensibilizarea continuă a personalului la riscurile cibernetice și la bunele practici: Personalul cabinetului (asistenți, secretari, alți practicieni) se află în prima linie în fața amenințărilor cibernetice. O formare regulată și amintiri frecvente privind bunele practici sunt deci indispensabile. Temele de abordat includ recunoașterea e-mailurilor de phishing, crearea și gestionarea parolelor, securitatea posturilor de lucru, utilizarea adecvată a mesageriilor sigure și procedura de semnalare a unui incident suspect. Există resurse pedagogice, precum webinarii, instrumente ludice precum „escape game-uri" de sensibilizare la securitatea cibernetică, campanii de fals phishing pentru testarea vigilenței sau afișe de amintire.
• Securizarea schimburilor: Utilizarea mesageriilor sigure de sănătate este o obligație pentru schimbul de date de sănătate cu caracter personal între profesioniștii din sănătate, precum și cu pacienții. Aceste sisteme garantează criptarea și autentificarea corespondenților. Pe de altă parte, reguli de bază de confidențialitate trebuie respectate, precum a nu înscrie niciodată numele pacienților pe documente nesecurizate care circulă împreună cu protezele sau modelele din ghips, pentru a păstra secretul profesional.
• Gestionarea prestatorilor și a subcontractării: Cabinetele stomatologice apelează adesea la prestatori externi pentru software-urile lor, găzduirea datelor, mentenanța informatică sau serviciile de programare online. Este crucial să se asigure conformitatea GDPR a acestor împuterniciți și să se formalizeze relația prin contracte scrise care includ clauzele specifice ale articolului 28 din GDPR, care definesc obligațiile fiecărei părți în materie de protecție a datelor.
• Igienă informatică generală: Reguli simple de igienă digitală trebuie adoptate de toți: a nu utiliza computerele profesionale în scopuri personale, a fi vigilent la navigarea pe Internet și a refuza sistematic cookie-urile neesențiale pe site-urile nepotrivite. Securizarea fizică a localurilor și echipamentelor (blocarea birourilor, controlul accesului) este, de asemenea, un aspect al protecției datelor. Trebuie să existe proceduri clare pentru scoaterea din uz în siguranță a vechilor echipamente informatice, incluzând ștergerea ireversibilă a datelor pe care le conțin.

5 Gestionarea incidentelor de securitate cibernetică și continuitatea activității

A. Detectare, analiză și prime reflexe în caz de atac

Identificarea rapidă a unui atac este crucială pentru a-i limita impactul.

• Semne de alertă: O încetinire neobișnuită a sistemelor, apariția unor mesaje de eroare suspecte, inaccesibilitatea fișierelor (uneori redenumite cu extensii ciudate), o cerere de răscumpărare afișată pe ecran sau o activitate de rețea anormală pot indica o compromitere.

Prime reflexe

• Izolarea sistemelor afectate: Prima și cea mai urgentă măsură este deconectarea imediată a mașinilor suspecte sau vizibil infectate de la rețeaua cabinetului (deconectarea cablului Ethernet, dezactivarea Wi-Fi). Aceasta vizează să împiedice propagarea atacului, în special în cazul ransomware-urilor care se pot răspândi rapid la celelalte posturi și servere conectate.
• Nu stingeți imediat mașina compromisă (cu excepția avizului contrar al unui expert): Deși instinctul poate fi de a stinge computerul, această acțiune ar putea șterge informații volatile din memorie (RAM) care ar fi prețioase pentru o analiză criminalistică ulterioară care vizează înțelegerea atacului.

Izolarea rețelei este prioritară.

• Contactați experții și autoritățile: Este esențial să se apeleze rapid la profesioniști. Poate fi vorba de un prestator de servicii informatice specializat în securitate cibernetică, de CERT-RO sau DNSC dacă incidentul este major.
• Documentarea incidentului: Încă din primele momente, trebuie să începeți să documentați tot ce se observă: ora descoperirii, simptomele precise, mesajele afișate, acțiunile deja întreprinse etc. Aceste informații vor fi utile intervenienților și declarațiilor ulterioare.

B. Elaborarea și punerea în aplicare a unui plan de răspuns la incidente (PRI)

Un plan de răspuns la incidente (PRI) este un document care formalizează modul în care cabinetul va reacționa la un atac cibernetic. Existența sa și cunoașterea sa de către echipă permit o acțiune coordonată și eficace, reducând astfel daunele și timpul de indisponibilitate. DNSC și ENISA propun ghiduri pentru gestionarea crizelor cibernetice care pot inspira redactarea sa.

• Etape cheie ale unui PRI:
• Pregătire: Identificarea activelor informaționale critice ale cabinetului (dosare ale pacienților, software profesional, back-up-uri), definirea unei mici echipe de răspuns (practicianul, un asistent referent), clarificarea rolurilor și responsabilităților fiecăruia și listarea contactelor cheie (prestator IT, expert în securitate cibernetică, asigurător, ANSPDCP, CMDR).
• Detectare și analiză: Confirmarea că un incident de securitate a avut loc, identificarea naturii sale (ransomware, phishing reușit etc.), evaluarea amplorii sale (ce mașini, ce date sunt impactate) și a gravității sale.
• Conținere: Luarea măsurilor pentru a împiedica propagarea atacului (de exemplu, izolarea altor segmente ale rețelei dacă este necesar, blocarea conturilor de utilizatori compromise).
• Eradicare: Odată atacul conținut, identificarea și eliminarea cauzei sale de origine (eliminarea malware-ului, corectarea vulnerabilității exploatate, revocarea accesurilor frauduloase).
• Recuperare: Restaurarea sistemelor și datelor afectate la o stare de funcționare normală, în general pornind de la back-up-uri sănătoase și verificate.
• Lecții învățate (post-incident): După rezolvarea incidentului, efectuarea unei analize „la rece" pentru a înțelege ce s-a întâmplat, evaluarea eficacității răspunsului și identificarea îmbunătățirilor care trebuie aduse atât PRI, cât și măsurilor de prevenire.

Comunicarea de criză: Gestionarea comunicării este un aspect esențial al răspunsului la incident.

Comunicare internă: Informarea clară a personalului cabinetului despre măsurile luate și instrucțiunile de urmat.

Comunicare cu pacienții: Dacă încălcarea datelor este susceptibilă să antreneze un risc ridicat pentru drepturile și libertățile pacienților (de exemplu, scurgerea dosarelor medicale), GDPR impune informarea acestora. Această comunicare trebuie să fie transparentă și să indice măsurile luate.

Comunicarea cu autoritățile: În funcție de natura și gravitatea incidentului, mai multe notificări pot fi obligatorii sau recomandate: notificare la ANSPDCP în 72 de ore în caz de încălcare a datelor cu caracter personal care prezintă un risc; semnalare la DNSC/CERT-RO pentru incidente majore; depunere de plângere la serviciile de poliție.

Decizia de a plăti sau nu răscumpărarea: În cazul unui atac prin ransomware, chestiunea plății răscumpărării se pune inevitabil. Autoritățile, în special DNSC, descurajează puternic plata. Plata nu oferă nicio garanție de recuperare a datelor (infractorii cibernetici pot să nu furnizeze cheia de decriptare, sau să furnizeze o cheie care nu funcționează sau funcționează doar parțial), încurajează atacatorii să își continue activitățile criminale și nu protejează împotriva atacurilor viitoare. Această recomandare se lovește uneori de realitatea unei paralizii totale a activității și absenței back-up-urilor funcționale, punând victimele în fața unei dileme etice, financiare și operaționale complexe. Dacă plata este avută în vedere ca ultim recurs (date critice irecuperabile altfel), nu trebuie făcută decât după consultarea experților în securitate cibernetică și a autorităților competente.

Plan de continuitate a activității (PCA) și plan de reluare a activității (PRA)

Dincolo de răspunsul imediat la incident, este crucial să se fi reflectat asupra modului în care cabinetul poate continua să funcționeze, chiar în mod degradat, și cum poate reveni la o situație normală.

• Obiectiv: PCA vizează menținerea activităților critice ale cabinetului pe durata crizei (de exemplu, gestionarea urgențelor), în timp ce PRA detaliază etapele pentru restaurarea ansamblului sistemelor și operațiunilor după incident.

• Elemente ale unui PCA/PRA pentru un cabinet stomatologic:

• Identificarea activităților și datelor absolut critice pentru funcționare.
• Punerea în funcțiune a procedurilor manuale alternative (de exemplu, utilizarea temporară a fișelor de pacient pe hârtie, gestionarea manuală a agendei, formulare de consimțământ pe hârtie).◦ Strategii clare de restaurare a datelor pornind de la back-up-uri (definirea priorităților, estimarea termenelor de restaurare).
• Plan de comunicare pentru informarea pacienților cu privire la perturbări și modalitățile de gestionare temporare.
• Planurile trebuie documentate, cunoscute de echipă și mai ales testate regulat (de exemplu, prin simulări) și actualizate în funcție de evoluțiile cabinetului și de feedback-ul experiențelor. Absența unui plan de urgență este o vulnerabilitate majoră identificată în numeroase structuri.

Aportul asigurării cibernetice

Contractarea unei polițe de asigurare cibernetică poate constitui o completare la măsurile de prevenire și răspuns.

• Acoperire propusă: Contractele de asigurare cibernetică pot acoperi diverse costuri asociate unui atac cibernetic: cheltuieli de experți în securitate cibernetică pentru investigare și remediere, costuri de restaurare a datelor și sistemelor, pierderi de exploatare datorate întreruperii activității, cheltuieli de notificare a pacienților și autorităților, și răspunderea civilă a cabinetului în caz de prejudiciu suferit de terți în urma unei scurgeri de date. În 2023, 69% din întreprinderile europene (toate sectoarele combinate) contractaseră o asigurare cibernetică.
• Servicii asociate: Anumiți asigurători propun, de asemenea, servicii de prevenire, precum audituri de vulnerabilitate, formări privind securitatea cibernetică pentru personal sau acces la o linie telefonică de asistență în caz de incident.
• Puncte de atenție: Este crucial să se citească cu atenție condițiile generale și particulare ale contractului de asigurare pentru a înțelege bine întinderea acoperirii, excluderile, franșizele, plafoanele de despăgubire și obligațiile asiguratului în materie de măsuri de securitate preventive.

Gestionarea eficace a unui incident major depășește adesea capacitățile interne ale unui cabinet stomatologic, subliniind dependența sa de un ecosistem de sprijin extern (prestatori specializați, DNSC, CERT-RO, asigurători). Cunoașterea prealabilă a acestor actori și a modalităților de a-i solicita este deci o componentă cheie a pregătirii pentru incidente.

6 Resurse și sprijin disponibile

În fața provocărilor securității cibernetice, cabinetele stomatologice nu sunt singure. Numeroase organisme publice și instanțe profesionale propun resurse, ghiduri și acompaniere pentru a le ajuta să-și consolideze securitatea digitală. Bogăția acestor resurse este un atu, dar diversitatea lor poate uneori face informația dificil de accesat pentru un practician care caută sfaturi prioritizate.

A. Organisme publice și platforme de ajutor

• Directoratul Național de Securitate Cibernetică (DNSC) și CERT-RO: DNSC este autoritatea națională de referință în România în materie de securitate cibernetică și cyber-apărare. Are misiunea de a preveni și reacționa la incidentele informatice. Pentru profesioniști și întreprinderi, inclusiv cabinetele stomatologice, DNSC pune la dispoziție o vastă gamă de resurse:
• Ghiduri și bune practici: Ghidurile de igienă informatică și publicațiile tematice privind prevenirea atacurilor prin ransomware, gestionarea crizelor cibernetice și securizarea sistemelor informatice industriale sunt documente fundamentale.
• Formări și sensibilizare: Deși formările sale sunt adesea destinate unor publicuri specializate, principiile și recomandările DNSC irigă numeroase acțiuni de sensibilizare.

ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică): ENISA are misiunea de a acompania transformarea digitală securizată la nivel european, veghind în special la securitatea și interoperabilitatea sistemelor.

Resurse documentare: ENISA publică referințe, mementouri, referențiale tehnice și organizează webinarii de sensibilizare și formare. Programele europene vizând ridicarea nivelului de securitate al entităților esențiale pot, de asemenea, fi utile.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): ANSPDCP este autoritatea română de protecție a datelor cu caracter personal. Veghează la aplicarea GDPR și acompaniază profesioniștii în demersul lor de conformitate.

Ghiduri și recomandări GDPR: ANSPDCP propune numeroase conținuturi destinate specific profesioniștilor din sănătate pentru a-i ajuta să înțeleagă și să aplice GDPR. Acestea includ fișe practice privind drepturile pacienților, ținerea registrului prelucrărilor, realizarea DPIA, gestionarea încălcărilor de date etc.

Sfaturi de securitate: ANSPDCP publică, de asemenea, recomandări privind aspectele tehnice ale securității, precum alegerea unor parole robuste, bunele practici de back-up, securizarea site-urilor web și protecția împotriva ransomware-urilor.

Platforme europene și resurse anti-cybermalveillance: La nivel european, mai multe platforme au ca misiune asistarea victimelor actelor de răuvoință cibernetică (persoane fizice, întreprinderi, colectivități), sensibilizarea lor la riscurile digitale și observarea amenințării.

Asistență pentru victime: Aceste platforme propun instrumente de diagnostic online pentru identificarea tipului de răuvoință cibernetică întâlnit și furnizează sfaturi adaptate. Permit, de asemenea, punerea în relație cu prestatori de servicii de proximitate referențiați, capabili să intervină pentru a rezolva incidentul.

Sensibilizare: Publică numeroase fișe practice și fișe-reflex pe subiecte variate (phishing, ransomware, securitatea obiectelor conectate, parole, back-up-uri), precum și kituri de sensibilizare.

Instanțe profesionale și asociații

Colegiul Medicilor Dentiști din România (CMDR): CMDR joacă un rol important în informarea și sensibilizarea membrilor săi la obligațiile deontologice și de reglementare, inclusiv cele privind securitatea cibernetică și protecția datelor.

• Publicații și ghiduri: Colegiul difuzează regulat informații prin publicațiile sale, care abordează subiecte de securitate cibernetică. Pune, de asemenea, la dispoziția practicienilor documente specifice precum fișe practice de securitate cibernetică sau mementouri de securitate informatică.
• Acompaniere: CMDR colaborează cu instanțe precum autoritățile naționale de sănătate pentru a face să evolueze instrumentele digitale ale profesiei.

• Alte asociații profesionale sau sindicate stomatologice: Organizații precum asociațiile de sănătate buco-dentară propun, de asemenea, resurse și informații privind securitatea cibernetică și gestionarea digitală a cabinetului stomatologic. Pot transmite recomandările autorităților sau să dezvolte propriile instrumente de sensibilizare.

Eficacitatea acestui ecosistem de sprijin se bazează în mare măsură pe un demers proactiv al medicilor dentiști înșiși. Simpla existență a ghidurilor și platformelor nu este suficientă; o conștientizare individuală și colectivă a mizelor, precum și un angajament activ în căutarea de informații și în punerea în aplicare a recomandărilor, sunt indispensabile. Instanțele profesionale și programele de formare continuă au un rol crucial de jucat pentru a încuraja acest angajament. În plus, o colaborare strânsă între entitățile publice și reprezentanții profesiei este esențială pentru ca mesajele de prevenire și asistență să fie adaptate realităților și constrângerilor specifice cabinetelor stomatologice. Tabelul următor recapitulează principalii actori și contribuțiile lor.

Organism	Misiune principală	Resurse / sprijin	Site web
DNSC (Directoratul Național de Securitate Cibernetică)	Definirea standardelor și bunelor practici de securitate cibernetică, prevenirea amenințărilor	Ghiduri tehnice (igienă informatică, ransomware, gestionarea crizelor), metode de analiză a riscurilor	dnsc.ro
CERT-RO	Centrul național de răspuns la incidente de securitate cibernetică	Alerte, bulletine de informare, asistență la incidente	cert.ro
ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal)	Veghează la respectarea GDPR și la protecția datelor cu caracter personal	Ghiduri GDPR pentru profesioniștii din sănătate, recomandări de securitate (parole, back-up-uri), instrumente	dataprotection.ro
CMDR (Colegiul Medicilor Dentiști din România)	Încadrarea profesiei, difuzarea bunelor practici deontologice și de reglementare	Fișe practice de securitate cibernetică, articole de informare, recomandări specifice profesiei	cmdr.ro
ENISA	Asistarea victimelor de răuvoință cibernetică, sensibilizarea la riscurile digitale	Diagnostic online, fișe-reflex, punere în relație cu prestatori, campanii de sensibilizare	enisa.europa.eu

7 Concluzie

Securitatea cibernetică a devenit o miză incontestabilă pentru cabinetele stomatologice. Digitalizarea crescândă a profesiei, dacă aduce beneficii incontestabile în termeni de eficacitate și calitate a îngrijirilor, se însoțește de o expunere crescută la amenințările cibernetice. Criticitatea datelor de sănătate manipulate, valoarea comercială a acestor informații și vulnerabilitățile inerente structurilor mici fac din cabinetele stomatologice ținte atractive pentru atacuri cu consecințe potențial severe, mergând de la paralizia activității la atingeri grave ale confidențialității datelor pacienților. Amenințări precum ransomware-ul și phishing-ul sunt deosebit de îngrijorătoare, iar apariția noilor vectori de atac legați de Internetul Obiectelor și inteligența artificială complică și mai mult peisajul.

În fața acestor provocări, un cadru de reglementare strict, articulat în jurul GDPR și cerințelor specifice privind găzduirea datelor de sănătate, impune practicienilor obligații precise în materie de protecție a datelor și securitate a sistemelor informatice. Conformarea la acesta nu este doar o necesitate legală, ci un imperativ etic și o garanție a încrederii față de pacienți. Securitatea cibernetică nu mai trebuie percepută ca o constrângere tehnică sau o cheltuială superfluă, ci ca o investiție strategică esențială pentru durabilitatea și reputația cabinetului.

Pentru a naviga în acest mediu complex, medicii dentiști pot conta pe o panoplie de măsuri preventive și protectoare, atât tehnice (securizarea infrastructurilor, gestionarea accesului, back-up-uri robuste, criptare), cât și organizaționale (politică de securitate, formare a personalului, gestionarea prestatorilor). Elaborarea planurilor de răspuns la incidente și de continuitate a activității este, de asemenea, crucială pentru a minimiza impactul unui atac reușit. Numeroase resurse și structuri de acompaniere există în România și la nivel european

– DNSC, CERT-RO, ENISA, ANSPDCP, CMDR – pentru a ghida profesioniștii în acest demers.

În definitiv, securitatea cibernetică în cabinetele stomatologice ilustrează provocările mai largi ale transformării digitale a sectorului sănătății. Un echilibru trebuie să fie căutat constant între adoptarea inovațiilor tehnologice pentru îmbunătățirea îngrijirilor, protecția intangibilă a datelor personale și medicale, constrângerile economice ale practicienilor și respectarea unui cadru de reglementare dens. Reziliența viitoare a cabinetelor în fața amenințărilor în continuă evoluție va depinde nu numai de adoptarea soluțiilor tehnologice de securitate, ci mai fundamental de capacitatea lor de a ancora o adevărată cultură a securității cibernetice în practica lor zilnică. Aceasta implică o vigilență permanentă, o formare continuă a întregii echipe, o adaptare agilă la noile amenințări și o colaborare activă în cadrul ecosistemului de sănătate pentru a împărtăși cunoștințele și bunele practici. Cu acest preț, cabinetele stomatologice vor putea continua să își practice arta în deplină seninătate, garantând securitatea și încrederea pacienților lor într-o lume din ce în ce mai conectată.