Bezpieczna sieć i Microsoft 365 z rygorami ochrony danych dla domu opieki

Chronus Equity sp. z o.o. jest operatorem placówki Cudowny Poranek — prywatnego, całodobowego domu opieki w Zebrzydowicach w województwie śląskim. Placówka łączy opiekę stacjonarną z zapleczem terapeutycznym: rehabilitacją, terapią zajęciową i haloterapią w grocie solnej.

Specyfika obiektu opiekuńczego stawia przed infrastrukturą IT wymagania, których nie ma w typowym biurze: dokumentacja podopiecznych zawiera dane szczególnej kategorii w rozumieniu RODO, personel pracuje zmianowo na urządzeniach współdzielonych, a po budynku poruszają się rezydenci, ich rodziny i goście — każda z tych grup potrzebuje innego poziomu dostępu do sieci.

Przed wdrożeniem placówka korzystała z jednej płaskiej sieci bez separacji ruchu — komputery administracji, urządzenia personelu, monitoring i WiFi dla gości pracowały we wspólnej przestrzeni adresowej. Dokumentacja podopiecznych i korespondencja przechodziły przez rozproszone skrzynki pocztowe bez centralnych polityk dostępu.

Celem projektu było zbudowanie środowiska, w którym dane medyczne i opiekuńcze rezydentów są dostępne wyłącznie dla uprawnionego personelu, z zarządzanych urządzeń i z przewidywalnych lokalizacji — bez utrudniania codziennej pracy zespołu opiekuńczego.

Zaprojektowaliśmy i wdrożyliśmy od podstaw sieć LAN i WiFi na stacku Ubiquiti UniFi — od bramy i przełączników po punkty dostępowe pokrywające budynek i teren placówki.

Ruch został rozdzielony na odseparowane segmenty VLAN: administracja i dokumentacja, personel opiekuńczy, monitoring wizyjny, urządzenia techniczne oraz sieć gościnna dla rezydentów i odwiedzających. Między segmentami obowiązują reguły zapory ograniczające komunikację do niezbędnego minimum, a sieć gościnna jest w pełni odizolowana od zasobów placówki.

Sieć pracownicza wykorzystuje uwierzytelnianie WPA2-Enterprise powiązane z tożsamością pracownika — odejście z zespołu oznacza automatyczną utratę dostępu do sieci, bez konieczności zmiany współdzielonych haseł.

Pocztę i pracę grupową przenieśliśmy do Microsoft 365 z Exchange Online. Tożsamość zespołu zarządzana jest centralnie w Entra ID, a dostęp do danych placówki regulują polityki Conditional Access dopasowane do charakteru pracy z dokumentacją podopiecznych.

Dostęp do zasobów zawierających dokumentację opiekuńczą wymaga uwierzytelniania wieloskładnikowego oraz zgodnego, zarządzanego przez Intune urządzenia. Konta o podwyższonych uprawnieniach objęte są dodatkowymi ograniczeniami, a logowania z nietypowych lokalizacji są blokowane.

Urządzenia placówki — komputery dyżurek i stanowiska administracji — zostały objęte zarządzaniem Intune z wymuszonym szyfrowaniem dysków, politykami zgodności i możliwością zdalnego wyczyszczenia danych.

Dane podopiecznych placówki opiekuńczej to dane szczególnej kategorii — ich wyciek ma konsekwencje nieporównywalnie poważniejsze niż w typowej firmie. Wdrożyliśmy polityki DLP w Microsoft Purview, które rozpoznają dane osobowe i medyczne w wiadomościach oraz dokumentach.

Próba wysłania dokumentacji poza organizację lub udostępnienia jej niepowołanym odbiorcom jest blokowana albo wymaga świadomego potwierdzenia z uzasadnieniem — a każde takie zdarzenie trafia do dziennika audytu. Polityki działają w tle i nie zmieniają codziennych nawyków zespołu.