• Cyberprzestępcy mogli wykraść nawet 19 mln rekordów pacjentów przez oprogramowanie dostarczone przez firmę MyDr
• Jest ono wykorzystywane przez placówki medyczne i gabinety lekarskie
• Rynek Zdrowia zapytał Centrum e-Zdrowia, czy do przetwarzania danych medycznych pacjentów przez firmy wymagane są certyfikaty
• CeZ odpowiedziało, że zabezpieczenie systemu informatycznego leży po stronie dostawcy
• W czwartek (13 sierpnia) prezes UODO zdecydował o przeprowadzeniu kontroli w spółce MyDr

CeZ: systemy publiczne nie zostały naruszone

Rynek Zdrowia zapytał Centrum e-Zdrowia, czy rozwiązania MyDr miały odpowiednie certyfikaty bezpieczeństwa związane z przetwarzaniem danych medycznych, a także, czy takie certyfikaty są wymagane. 

- Zabezpieczenie systemu informatycznego leży po stronie dostawcy – firmy świadczącej daną usługę - odpowiedziało CeZ.

Zapytaliśmy także, czy dane lekarzy, np. certyfikaty ZUS, którymi podpisują recepty, skierowania, zwolnienia, są bezpieczne. 

Odpowiedź CeZ:

Incydent dotyczy firmy MyDr i nie obejmuje centralnych usług e-zdrowia. Zadaniem Centrum e-Zdrowia jest zabezpieczenie publicznego systemu e-zdrowia. Należy podkreślić, że nie doszło do naruszenia bezpieczeństwa systemów publicznych, a pacjenci zachowują pełny dostęp do świadczeń, e-recept i pozostałych usług realizowanych w publicznym systemie ochrony zdrowia.

CeZ zaznaczyło, że z informacji przekazywanych przez firmę MyDr wynika, iż pełna wiedza dotycząca skali incydentu będzie znana po zakończeniu analizy śledczej oraz uzyskaniu absolutnego potwierdzenia tych informacji.

Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków.

Zasady cyberbezpieczeństwa po ataku

CeZ podkreślił, że niezależnie od zakresu incydentu w firmie MyDr, należy pamiętać o zasadach cyberbezpieczeństwa:

• zastrzeżeniu numeru PESEL, np. za pośrednictwem aplikacji mObywatel;
• stosowaniu silnych i unikalnych haseł do poszczególnych usług;
• korzystaniu z uwierzytelniania wieloskładnikowego (MFA);
• zachowaniu ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych;
• regularnym monitorowaniu aktywności na swoich kontach internetowych.

W związku z cyberatakiem na oprogramowanie firmy MyDr wykorzystywanym przez placówki medyczne do zarządzania dokumentacja medyczną, firma zostanie skontrolowana przez Urząd Ochrony Danych Osobowych (UODO). 

Kontrolerzy sprawdzą, jakie środki techniczne i organizacyjne spółka zastosowała w celu zapewnienia bezpieczeństwa przetwarzanych danych oraz czy zabezpieczenia te były regularnie testowane pod kątem zmieniających się zagrożeń.

Materiał chroniony prawem autorskim - zasady przedruków określa regulamin.