Sekret antykruchości szpitali. Co robią przed cyberatakami?

🎯 Kiedy w marcu 2025 roku krakowski szpital MSWiA padł ofiarą cyberataku, system nie upadł od razu – zaczął się wykrwawiać. Podobnie jak ukraińskie placówki medyczne, które nauczyły się działać bez prądu, bez centralnych dostaw, bez idealnej koordynacji. A my wciąż wierzymy, że optymalizacja procesów i smukłe łańcuchy dostaw nas uratują. Nie uratują. Nadchodzi era, w której odporność to za mało.^[1]

📕 Zainteresowany/a tematem – czytaj dalej… ⬇️

Koniec epoki odporności – witaj w świecie antykruchości

Nassim Nicholas Taleb, autor „Antykruchości”, sformułował koncepcję wykraczającą poza tradycyjne pojmowanie odporności. System odporny wytrzymuje wstrząsy i pozostaje niezmieniony. System antykruchy – wzmacnia się pod ich wpływem. To nie semantyczna zabawa. To fundamentalna różnica między przetrwaniem a ewolucją pod presją chaosu.^[2][3]

W kontekście zarządzania kryzysowego w ochronie zdrowia różnica jest dramatyczna. System odporny odbudowuje się po ataku do stanu sprzed kryzysu. System antykruchy wykorzystuje każde zakłócenie jako okazję do budowania nowych zdolności, redundancji i alternatywnych ścieżek działania. W 2024 roku polskie szpitale doświadczyły 1028 incydentów cybernetycznych – 2,5 razy więcej niż rok wcześniej. Każdy z nich był lekcją, której większość placówek nie wykorzystała.^[4][1]

Aby dobrze zrozumieć pojęcie atykruchości porównajmy cyberatak na dwa szpitale: A oraz B

Szpital A (Odporny):

• Cyberatak → Paraliż systemów → Procedury awaryjne
• Po 48h → Systemy przywrócone
• Szpital wraca do normalności
• Wniosek: „Lepsze zabezpieczenia, to się nie powtórzy”
• REZULTAT: Przetrwał

Szpital B (Antykruchy):

• Cyberatak → Paraliż systemów → Procedury awaryjne
• Po 48h → Systemy przywrócone
• DODATKOWO: Buduje zdecentralizowane procedury
• DODATKOWO: Tworzy lokalne magazyny zapasów
• DODATKOWO: Szkolenia pracowników w autonomicznych decyzjach
• DODATKOWO: Dywersyfikuje dostawców
• Szpital wychodzi silniejszy
• Wniosek: „Ten atak nas wzmocnił. Teraz potrafimy działać w znacznie gorszych warunkach”
• REZULTAT: Przetrwał + Rozwinął się

Antykruchość wymaga paradoksalnego podejścia: systemy muszą być celowo niedoskonałe, zdecentralizowane, z wbudowanymi nadmiarowościami i lokalną autonomią. To przeciwieństwo wszystkiego, czego uczyła nas klasyczna optymalizacja procesów. I dokładnie tego wymaga współczesne pole walki – zarówno to dosłowne, jak i to hybrydowe, na którym operują dzisiejsze szpitale.^[5]

Just-in-Time to samobójstwo w strefie rażenia

Zanim pandemia pokazała kruchość globalnych łańcuchów dostaw, metoda Just-in-Time (dostawa na czas bez zapasów) była złotym standardem logistyki medycznej. Zero zapasów, maksymalna efektywność kosztowa, dostawy synchronizowane z zapotrzebowaniem w czasie rzeczywistym. Idealnie – dopóki system działa stabilnie.^[6][7]

Problem polega na tym, że stabilność przestała istnieć. Wojna hybrydowa nie atakuje bezpośrednio – paraliżuje infrastrukturę krytyczną, łańcuchy dostaw i systemy komunikacji. Podczas pandemii COVID-19 łańcuchy dostaw sprzętu medycznego załamały się w ciągu tygodni. Szpitale oparte na modelu Just-in-Time stanęły przed wyborem: improwizować lub zawiesić świadczenia.^[8][9]

Badania przeprowadzone podczas pandemii COVID-19 w europejskich systemach ochrony zdrowia (Spieske i Gebhardt, 2022) wykazały, że skuteczniejsze od strategii gromadzenia zapasów okazały się działania wspierające – wsparcie dla dostawców, budowanie długoterminowych relacji partnerskich, rozszerzenie bazy dostawców i wymiana zasobów między placówkami medycznymi w ramach lokalnych sieci współpracy. Innymi słowy: zamiana centralnej koordynacji na zdecentralizowaną sieć wzajemnego wsparcia. To podejście bliższe logistyce partyzanckiej niż korporacyjnej doskonałości operacyjnej.^[10]

Ukraińskie doświadczenia poszły dalej. Wojna wymusiła całkowitą decentralizację logistyki medycznej – od dostaw po szkolenie personelu. Systemy oparte na centralnej dystrybucji zawiodły pierwszego dnia konfliktu. Przetrwały te, które nauczyły się funkcjonować autonomicznie, wykorzystując lokalne zasoby i krótkie łańcuchy dostaw. Lekcja dla cywilnych dyrektorów logistyki jest brutalna: jeśli Twoja placówka nie potrafi działać w oderwaniu od centralnego systemu przez 72 godziny, nie jest przygotowana na kryzys.^[11]

Logistyka partyzancka – działaj lokalnie, myśl systemowo

Termin „logistyka partyzancka” może brzmieć prowokacyjnie w kontekście nowoczesnego zarządzania szpitalem, ale opisuje dokładnie to, czego wymaga hybrydowe pole walki. Chodzi o budowanie systemów zdolnych do autonomicznego funkcjonowania, opartych na lokalnych zasobach, zdolnych do działania offline (bez dostępu do sieci) i odpornych na zewnętrzne zakłócenia.

Polski model organizacji opieki zdrowotnej w sytuacjach kryzysowych już zmierza w tym kierunku. Samorządy odpowiadają za materialne przygotowanie dodatkowych zasobów, tworzenie gminnych centrów operacyjnych i lokalnych magazynów kryzysowych. Problem w tym, że większość placówek traktuje to jako biurokratyczny obowiązek, a nie strategiczną zmianę paradygmatu zarządzania.^[12]

Zdecentralizowana logistyka w praktyce oznacza kilka kluczowych zasad. Po pierwsze, każda placówka powinna mieć strategiczne zapasy pozwalające na autonomiczną pracę przez minimum 72 godziny – nie tylko sprzętu jednorazowego, ale także leków, krwi, energii i wody. Po drugie, lokalne sieci współpracy między placówkami muszą być budowane jeszcze przed kryzysem, z jasno zdefiniowanymi procedurami wymiany zasobów. Po trzecie, personel musi być szkolony w podejmowaniu decyzji autonomicznych, bez oczekiwania na centralną koordynację.^[13][12]

Ukraińskie doświadczenia wykazały wartość bliższego umiejscowienia świadczeń medycznych przed frontem – decentralizacji punktów selekcji pacjentów (triażu), stabilizacji stanu zdrowotnego i pierwszej pomocy, zgodnie z założeniami medycyny taktycznej, jak dokumentuje raport Buszko (2025) na temat systemu ochrony zdrowia w warunkach wojny. ^[18] W kontekście cywilnym to oznacza wzmocnienie podstawowej opieki zdrowotnej i ambulatoriów jako pierwszej linii obrony przed przeciążeniem szpitali. To przeciwieństwo dominującego modelu koncentracji zasobów w dużych ośrodkach referencyjnych.^[14]

Infrastruktura krytyczna jako cel numer jeden

Współczesna wojna hybrydowa nie polega na bezpośrednim ataku na szpitale – polega na pozbawieniu ich warunków do funkcjonowania. Cyberatak paraliżuje systemy informatyczne. Atak na sieć energetyczną pozbawia placówkę zasilania. Dezinformacja podważa zaufanie pacjentów. Chociaż te operacje nie stanowią naruszenia międzynarodowego prawa humanitarnego (IHL), jeśli pozostają poniżej progu konfliktu zbrojnego, są regulowane przez inne gałęzie prawa międzynarodowego: Międzynarodowy Komitet Czerwonego Krzyża (ICRC) wyraźnie zakazuje cyberataków na infrastrukturę medyczną „w każdym momencie”. Mogą stanowić naruszenie suwerenności, mogą naruszać prawo do zdrowia i życia, a polskie prawo – zarówno kodeks karny, jak i przepisy wynikające z dyrektywy NIS2 – traktuje takie działania jako przestępstwo, niezależnie od tego, czy doszło do konfliktu zbrojnego.^[8]

Rząd polski ogłosił miliardowe inwestycje w cyberochronę szpitali po serii ataków w 2024 i 2025 roku. To konieczny krok, ale niewystarczający. Cyberbezpieczeństwo to tylko jeden wymiar zagrożenia. Co się stanie, gdy przeciwnik zaatakuje jednocześnie systemy informatyczne, infrastrukturę energetyczną i łańcuchy dostaw leków? Taki scenariusz nie jest teoretyczny – to standardowa taktyka działań hybrydowych obserwowana w konfliktach od Syrii po Ukrainę.^[15]

Odpowiedź nie leży tylko w lepszej obronie, ale w projektowaniu systemów zdolnych do funkcjonowania mimo ataku. Oznacza to autonomiczne źródła energii, lokalne zapasy, procedury offline, redundantne kanały komunikacji i personel przeszkolony w działaniu w warunkach chaosu. Rząd podkreślił znaczenie zabezpieczenia energetycznego i odporności łańcuchów dostaw leków. To właściwy kierunek, ale wymaga konsekwentnego wdrożenia na poziomie każdej placówki, nie tylko deklaracji strategicznych.^[15]

Kluczowym wyzwaniem pozostaje również kwestia logistyki pod presją. Ukraińskie doświadczenia pokazały, że załamanie się centralnych systemów dystrybucji wymusiło rozwój niskopoziomowych, zdecentralizowanych sieci dostaw opartych na lokalnych punktach przeładunkowych i krótkich trasach transportu. Polski system wciąż w dużym stopniu opiera się na centralnej koordynacji. Pytanie brzmi: co się stanie, gdy ta centralna koordynacja zostanie zaatakowana?^[16]

Od Lean do Antifragile (antykruchości) – zmiana paradygmatu

Lean Management (szczupłe zarządzanie) nauczyło nas eliminacji marnotrawstwa, optymalizacji przepływów i ciągłego doskonalenia. Te zasady pozostają wartościowe w stabilnym środowisku. Jednak świat przestał być stabilny. Geopolityka wkroczyła do sali operacyjnej szpitali. Pojawia się zatem kluczowe pytanie: jak być szczupłym, gdy system wokół płonie?^[6]

Odpowiedź leży nie w porzuceniu Lean, ale w jego ewolucji w kierunku antykruchości. Klasyczny Lean dąży do usunięcia wszystkich nadmiarowości jako formy marnotrawstwa. Antykruchy Lean rozróżnia marnotrawstwo operacyjne od strategicznej redundancji. Magazyn pełen nieużywanych zapasów to marnotrawstwo. Magazyn strategicznych rezerw na wypadek załamania łańcucha dostaw to inwestycja w antykruchość.^[17]

Podobnie z procesami. Klasyczny Lean standaryzuje i centralizuje dla maksymalnej efektywności. Antykruchy Lean buduje alternatywne ścieżki procesowe i zdecentralizowaną zdolność decyzyjną. Jeden sposób działania to punkt krytyczny podatny na atak. Wiele alternatywnych procedur to system zdolny do adaptacji pod presją.

Nassim Taleb w 'Antykruchości’ postuluje, że systemy powinny się uczyć poprzez MAŁE, NIEDROGIE błędy. W kontekście szpitala oznacza to: budowanie REDUNDANCJI (zapasowe łóżka, personel) zamiast formalnych planów awaryjnych, uczenie się z małych incydentów (near-misses) zanim staną się katastrofami, oraz improwizacja zespołu oparta na doświadczeniu. Taleb ostrzega przed formalnymi planami awaryjnymi – paradoksalnie mogą one zwiększać wrażliwość systemu na zakłócenia poprzez nadmierną komplikację. ^[18]

Koncepcja via negativa (łac. droga negatywna) – doskonalenia poprzez eliminację elementów niepotrzebnych lub szkodliwych, a nie poprzez dodawanie nowych rozwiązań – pozostaje aktualna. Każda zależność od jednego dostawcy, jednego systemu, jednej osoby to potencjalny punkt załamania. Antykruchy system identyfikuje i eliminuje te zależności, nawet kosztem krótkoterminowej efektywności.

VIA NEGATIVA NIE oznacza:

– USUWANIA redundancji (zapasowych zasobów, backup systemów) – to są DOBRE!

– USUWANIA nadmiarowości (zapasowe łóżka, personel, sprzęt) – to są INWESTYCJE!

VIA NEGATIVA oznacza:

– USUWANIE zależności od jedynego dostawcy

– USUWANIE zależności od jedynego systemu IT

– USUWANIE zależności od jedynego źródła energii

– USUWANIE KRYTYCZNYCH PUNKTÓW AWARII (Single Points of Failure)

W praktyce szpitalnej: Redundancja strategiczna to obrona. Zależności to słabość.

Taleb: „Jeśli eliminujesz 'marnotrawstwo’, ale zostawiasz zależności – robisz to źle!”^[4]

Strategia Sztangi – ekstremalne bezpieczeństwo i kontrolowana eksperymentacja

Nassim Taleb proponuje „strategię sztangi” jako receptę na budowanie odporności systemów. Jej istota? Radykalna dwubiegunowość – bez kompromisów pośrodku. Taleb ostrzega: „W środku czeka śmierć”.

Jak to działa w praktyce? Dzielimy zasoby ekstremalnie nierównomiernie: 90% wkładamy w absolutne bezpieczeństwo tam, gdzie nie możemy sobie pozwolić na błąd. Środek – wszystko, co „umiarkowane ryzyko” – całkowicie eliminujemy. To pułapka, która łączy wszystkie wady bez żadnych zalet. Pozostałe 10%? Rzucamy na głęboką wodę, ale tylko tam, gdzie porażka nas nie zniszczy.

To nie jest tradycyjne zarządzanie ryzykiem. To coś zupełnie innego: ograniczamy maksymalną stratę do 10% zasobów, jednocześnie otwierając się na nieograniczony potencjał wzrostu. Jak mówi Taleb: „Antykruchość to połączenie agresji i paranoi – przytnij straty, a zyski same o siebie zadbają”.^[4]

W kontekście zarządzania szpitalem oznacza to ochronę procesów podstawowych – opieki nad pacjentami, dostępu do leków ratujących życie, zabezpieczenia energetycznego – z maksymalną redundancją i wielowarstwowym zabezpieczeniem. Jednocześnie eksperymentowanie z nowymi modelami logistyki, alternatywnymi dostawcami, innowacyjnymi procedurami komunikacji w warunkach ograniczonych zasobów.

Większość organizacji robi dokładnie odwrotnie: oszczędza na zabezpieczeniach podstawowych funkcji i inwestuje w kosztowne, skomplikowane projekty optymalizacyjne o niewielkim potencjale realnej poprawy odporności. To odwrócona strategia sztangi – minimalne zabezpieczenie obszarów krytycznych i wysoki poziom ryzyka w obszarach o ograniczonym potencjale korzyści.

Praktyczne zastosowanie strategii sztangi w logistyce medycznej może wyglądać następująco: maksymalne zabezpieczenie dostaw leków i sprzętu ratującego życie poprzez dywersyfikację dostawców, lokalne magazyny i alternatywne procedury pozyskiwania. Jednocześnie eksperymentowanie z nowymi modelami dystrybucji mniej krytycznych zasobów – kooperacja międzyszpitalna, wymiana zasobów między szpitalami (peer-to-peer), zbiorowe pozyskiwanie informacji o dostępności sprzętu w regionie.

Zdecentralizowana koordynacja – paradoks kontrolowanego chaosu

Najtrudniejszym elementem przejścia od odporności do antykruchości jest akceptacja paradoksu: skuteczna koordynacja w warunkach kryzysu wymaga decentralizacji podejmowania decyzji. Systemy ściśle kontrolowane z centrum są szybkie i efektywne w stabilnym środowisku. Rozpadają się natychmiast, gdy centralna koordynacja zostaje zaatakowana lub przeciążona.

Polski model organizacji opieki w sytuacjach kryzysowych już częściowo realizuje tę zasadę. Samorządy otrzymują autonomię w zakresie operacyjnym, ale działają według planów wojewódzkich koordynowanych przez wojewodów. To hybryda centralnego planowania i lokalnej realizacji. Problem pojawia się, gdy centralne planowanie staje się niemożliwe – podczas cyberataku, przeciążenia systemów komunikacji lub dezinformacji paraliżującej proces decyzyjny.^[12]

Prawdziwie antykruchy system wymaga jeszcze głębszej decentralizacji. Lokalne jednostki muszą mieć nie tylko autonomię operacyjną, ale także zdolność do strategicznego podejmowania decyzji bez oczekiwania na centralne dyrektywy. Oznacza to standardowe protokoły działania w sytuacjach kryzysowych, ale także swobodę ich adaptacji do lokalnych warunków i kulturę organizacyjną nagradzającą inicjatywę, a nie ślepą realizację procedur.

Doświadczenia z medycyny pola walki pokazują wartość „przesunięcia kompetencji” – szkolenia personelu pierwszej linii w podejmowaniu decyzji tradycyjnie zarezerwowanych dla wyższych poziomów hierarchii. Ratownik medyczny szkolony w triażu bojowym podejmuje decyzje o alokacji zasobów, które w cywilnym szpitalu należą do lekarza lub administratora. To nie anarchia – to kontrolowana decentralizacja kompetencji oparta na jasnych zasadach i intensywnym szkoleniu.^[14]

Offline jako strategiczna zdolność, nie awaryjny plan B

Większość systemów zarządzania szpitalem zakłada ciągłą łączność, dostęp do centralnych baz danych i elektroniczną dokumentację medyczną. Cyberatak lub awaria infrastruktury IT natychmiast paraliżuje takie środowisko. Procedury awaryjne wprawdzie istnieją, ale są traktowane jako tymczasowe obejście problemu, a nie jako strategiczna zdolność organizacji.

Antykruche podejście wymaga odwrócenia tej logiki. Zdolność do działania offline nie jest awaryjnym planem B – to równorzędny tryb operacyjny, regularnie testowany i utrzymywany w gotowości. Oznacza to kompletne, aktualizowane procedury papierowe, lokalne kopie krytycznych informacji medycznych, autonomiczne systemy wspomagania decyzji i personel regularnie szkolony w pracy bez dostępu do systemów centralnych.

Koszt utrzymania takiej redundancji jest znaczący. Ale jest to koszt ubezpieczenia, nie marnotrawstwo. Podczas ataku na szpital w Krakowie procedury awaryjne pozwoliły na kontynuację opieki bez zagrożenia dla życia pacjentów. Placówki bez takich procedur stanęłyby przed wyborem między chaosem a zawieszeniem przyjęć.^[1]

Kluczowe jest również rozróżnienie między „trybem awaryjnym” a „trybem zdegradowanym”. Tryb awaryjny zakłada krótkotrwałe przejście na uproszczone procedury do czasu przywrócenia normalnego funkcjonowania. Tryb zdegradowany zakłada długoterminowe działanie w warunkach ograniczonych zasobów i łączności. Współczesne zagrożenia hybrydowe wymagają przygotowania na ten drugi scenariusz.

Lekcja z frontu wschodniego – działaj dziś, nie czekaj na kryzys

Ukraińskie szpitale nie przygotowywały się na wojnę. Zmuszone zostały do radykalnej adaptacji pod ostrzałem, dosłownie i metaforycznie. Decentralizacja, lokalne magazyny, autonomiczne procedury, szkolenie w medycynie taktycznej – wszystko to powstało w odpowiedzi na kryzys, nie przed nim. Cena tej reaktywnej adaptacji to setki przypadków, w których system zawiódł zanim nauczył się funkcjonować w nowej rzeczywistości.^[11]

Polskie placówki mają przywilej czasu. Zagrożenie jest realne i rosnące – 2,5-krotny wzrost cyberataków rocznie, rosnąca liczba incydentów w infrastrukturze krytycznej, eskalacja działań hybrydowych w regionie. Ale wciąż jest czas na proaktywną adaptację, budowanie zdolności przed kryzysem, a nie podczas niego.^[1]

Pierwszym krokiem jest realistyczna ocena gotowości. Czy Twoja placówka może działać autonomicznie przez 72 godziny bez dostępu do centralnych systemów? Czy lokalne zapasy są wystarczające? Czy personel jest szkolony w procedurach awaryjnych? Czy istnieją alternatywni dostawcy kluczowych zasobów? Jeśli odpowiedź na którekolwiek z tych pytań brzmi „nie”, placówka nie jest przygotowana na realistyczny scenariusz kryzysu.

Drugim krokiem jest budowanie zdolności antykruchych – nie tylko odpornych, ale wzmacniających się pod presją. To wymaga zmiany kultury organizacyjnej: traktowania każdego incydentu jako okazji do nauki, nagradzania inicjatywy i adaptacji, akceptacji kontrolowanej redundancji jako inwestycji strategicznej. To także wymaga inwestycji finansowych – w zapasy, w szkolenia, w redundantne systemy. Alternatywa jest znacznie droższa: organizacja, którą paraliżuje pierwszy poważny kryzys, ponosi o wiele wyższe straty.

Zakończenie

Kiedy dziesięć lat temu po raz pierwszy przeczytałem „Antykruchość” Taleba, traktowałem ją jako fascynującą teorię filozoficzną. Nie myślałem, że będę pisał o jej praktycznym zastosowaniu w kontekście polskich szpitali pod presją wojny hybrydowej. Rzeczywistość nas dogoniła szybciej niż oczekiwaliśmy.

Współczesne pole walki nie ogranicza się do strefy konfliktu zbrojnego. Rozciąga się na infrastrukturę krytyczną, łańcuchy dostaw, systemy komunikacji i nasze placówki medyczne. Działania hybrydowe są skuteczne, ponieważ atakują najsłabsze punkty systemów optymalizowanych pod kątem efektywności, nie odporności. I właśnie dlatego potrzebujemy zmiany paradygmatu – od Lean do Antifragile (antykruchości), od odporności do wzmacniania się pod presją chaosu.

Geopolityka weszła do sal operacyjnych naszych szpitali. Pytanie brzmi: czy jesteśmy gotowi zmienić sposób, w jaki zarządzamy naszymi organizacjami? Czy potrafimy zaakceptować, że idealna optymalizacja to krucha iluzja w świecie pełnym Czarnych Łabędzi? Czy potrafimy zbudować systemy, które nie tylko przetrwają atak, ale wyjdą z niego silniejsze?

Nie mam złudzeń – zmiana kultury organizacyjnej w kierunku antykruchości to proces wieloletni, wymagający konsekwentnych inwestycji i radykalnej zmiany myślenia o zarządzaniu ryzykiem. Ale alternatywa – kontynuacja optymalizacji systemów coraz bardziej kruchych w coraz bardziej nieprzewidywalnym świecie – to gwarancja katastrofy. Nie pytanie „czy”, ale „kiedy”.

Lekcje z frontu wschodniego są jasne: decentralizacja, autonomia, lokalne zasoby, zdolność do działania w warunkach chaosu. To nie teoria zarządzania, to warunek przetrwania. Czas zastosować je w praktyce, zanim zmusi nas do tego następny kryzys.

🤔 Z pewnością nie wyczerpałem tematu. Ciekaw jestem czy zgadzasz się moim podsumowaniem. Podziel się proszę w komentarzu. Bądź inspiracją dla innych! ✍️

🎁 Wygraj 1 z 21 nagród! – WEŹ UDZIAŁ W KONKURSIE 🛑