Wi-Fi w gabinecie — jak oddzielić sieć dla pacjentów od urządzeń medycznych?

Dlaczego jedna wspólna sieć Wi-Fi to ryzyko?

W wielu gabinetach sieć wygląda tak samo: jeden router od operatora, jedno hasło Wi-Fi — to samo dla rejestracji, komputera z ProDentisem, kamery wewnątrzustnej i pacjentów w poczekalni. Problem w tym, że każde urządzenie w takiej sieci „widzi” wszystkie pozostałe. Zainfekowany telefon pacjenta lub laptop przedstawiciela handlowego pracuje wtedy w tej samej przestrzeni co baza danych medycznych. Konsekwencje są trojakie:

• RODO. Dane o zdrowiu to szczególna kategoria danych (art. 9 RODO). Udostępnianie osobom postronnym sieci, w której pracuje serwer z dokumentacją i EDM, trudno obronić przed UODO jako „odpowiedni środek techniczny”.
• Ransomware i ataki. Płaska sieć to autostrada dla złośliwego oprogramowania — infekcja jednego urządzenia może rozlać się na stanowiska, dysk sieciowy i archiwum zdjęć RTG.
• Wydajność. Pacjent oglądający filmy w poczekalni konkuruje o pasmo z transmisją pantomogramu. Efekt: „wolny program”, zrywane transfery, frustracja zespołu.

VLAN-y, czyli jak podzielić sieć w gabinecie

Rozwiązaniem nie są trzy osobne routery, lecz VLAN-y — wirtualne sieci lokalne działające na jednym, porządnym sprzęcie. Ten sam przełącznik i punkty dostępowe rozgłaszają kilka logicznie odseparowanych sieci. Sensowny podział dla placówki medycznej wygląda tak:

1. Sieć medyczna — serwer, stanowiska z programem gabinetowym, RTG, skanery, drukarki. Bez dostępu z pozostałych segmentów.
2. Sieć biurowa — komputery administracji, telefony służbowe; dostęp do internetu i wybranych zasobów, ale nie do urządzeń diagnostycznych.
3. Sieć gościnna dla pacjentów — tylko internet, z włączoną izolacją klientów (urządzenia nie widzą się nawzajem), limitem pasma i opcjonalnie stroną powitalną (captive portal) z regulaminem.
4. Sieć IoT — kamery, telewizor w poczekalni, inteligentne gniazdka; ten sprzęt bywa najsłabiej zabezpieczony, więc nie powinien sąsiadować z danymi pacjentów.

Między segmentami rządzą reguły zapory: domyślnie „nic nie przechodzi”, a wyjątki (np. dostęp stanowisk do serwera wydruku) dopisuje się świadomie i dokumentuje.

Jaki sprzęt sieciowy wybrać do gabinetu?

Router z pakietu operatorskiego zwykle nie obsługuje VLAN-ów ani izolacji gości. Potrzebny jest sprzęt klasy biznesowej — przykładowe klasy rozwiązań to ekosystem UniFi (prosty centralny zarząd, czytelne aplikacje) albo MikroTik (bardzo elastyczny, wymaga większej wiedzy przy konfiguracji). Kompletny zestaw dla gabinetu to router/zapora, przełącznik zarządzalny z zasilaniem PoE oraz 1–3 punkty dostępowe. Ważne, by konfiguracja była udokumentowana i objęta kopią zapasową — sieć „skonfigurowana kiedyś przez znajomego” jest nie do odtworzenia po awarii sprzętu.

Przy doborze punktów dostępowych liczy się nie tylko zasięg, ale i liczba jednoczesnych klientów: w klinice z poczekalnią na dwadzieścia osób tani punkt konsumencki po prostu się „zatka”. Warto też przewidzieć zapas portów na przełączniku — placówki rosną, a dokładanie kolejnego niezarządzalnego switcha „na chwilę” to najczęstszy początek sieciowego bałaganu, który później trudno posprzątać.

Szyfrowanie, hasła i higiena Wi-Fi

Minimalny standard na 2026 r. to WPA2, a najlepiej WPA3, długie hasła (osobne dla każdej sieci), wyłączony WPS oraz zmienione fabryczne hasło administratora urządzeń. Hasło sieci medycznej nie powinno być nikomu dyktowane — najlepiej, gdy zna je wyłącznie obsługa IT, a personel korzysta z sieci biurowej. Hasło dla pacjentów warto okresowo zmieniać. Dobrą praktyką jest też aktualizowanie oprogramowania układowego punktów dostępowych — to element, o którym bez monitoringu nikt nie pamięta. Jeżeli placówka korzysta ze zdalnego dostępu do sieci (np. serwisant oprogramowania gabinetowego), powinien on odbywać się przez szyfrowany tunel VPN z uwierzytelnianiem wieloskładnikowym, a nie przez port otwarty „na świat” — to jedna z najczęstszych dróg ataków na placówki medyczne.

Co podłączyć przewodem, a co przez Wi-Fi?

Zasada jest prosta: wszystko, co krytyczne, pracuje na kablu. Serwer, stanowiska z programem gabinetowym, RTG, pantomograf i skanery diagnostyczne powinny być podłączone przewodowo — Wi-Fi zostawiamy laptopom, tabletom i gościom. Duże pliki badań źle znoszą transmisję bezprzewodową, a zerwany transfer potrafi oznaczać powtarzanie zdjęcia. Szczegółowo opisujemy to w poradniku o integracji RTG i skanera wewnątrzustnego z oprogramowaniem gabinetu — sieć i diagnostyka obrazowa to system naczyń połączonych.

Ile kosztuje modernizacja sieci w 2026 r.?

Orientacyjne widełki: mały gabinet (1–3 stanowiska) — 2500–8000 zł za sprzęt klasy biznesowej z konfiguracją VLAN-ów i sieci gościnnej; klinika wielostanowiskowa z okablowaniem — 8000–20 000 zł. Ostateczna wycena zależy od metrażu, liczby urządzeń i zakresu SLA, a bieżąca opieka nad siecią zwykle mieści się w abonamencie. Projekt i wdrożenie warto powierzyć firmie specjalizującej się w obsłudze informatycznej gabinetów stomatologicznych i klinik — segmentacja sieci wykonana raz, porządnie i z dokumentacją, służy potem latami i realnie zmniejsza ryzyko incydentu RODO.