• Cyberprzestępcy, którzy zaatakowali system spółki MyDr, mogli przejąć dane nawet 19 mln pacjentów i informacje dotyczące nawet 12 tys. placówek medycznych
• Wśród danych mogą być nie tylko numery PESEL, ale także informacje o stanie zdrowia, notatki z wizyt lekarskich i dane o wystawionych receptach
• Dr Tomasz Zieliński wskazuje, że placówki wciąż nie mają pełnych informacji od firmy ani jasnych wytycznych od Ministerstwa Zdrowia i Centrum e-Zdrowia
• Jednym z największych problemów jest zgłaszanie incydentu do UODO: jeśli każdy podmiot będzie musiał zrobić to indywidualnie, urząd może zostać zasypany tysiącami podobnych zgłoszeń
• Nie wiadomo też, kto i w jaki sposób powinien poinformować pacjentów, zwłaszcza jeśli wyciek obejmuje dane historyczne, gromadzone przez wiele lat działania systemu
• Ekspert radzi, by już teraz rozważyć podstawowe działania bezpieczeństwa, m.in. zmianę haseł do systemów NFZ i wymianę certyfikatów do P1, ale podkreśla, że takie wytyczne powinny wyjść od instytucji państwa

Brak jasnych procedur

Cyberprzestępcy, którzy dokonali ataku hakerskiego na system spółki MyDr, mogli przejąć dane nawet 19 mln pacjentów; to m.in. PESEL-e w powiązaniu z informacjami o stanie zdrowia, takimi jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach. Może chodzić nawet o 12 tys. placówek medycznych, publicznych i prywatnych. Według Ministerstwa Cyfryzacji skradzionych danych nie ma w przestrzeni publicznej.

Skala możliwego wycieku danych medycznych może być największa z dotychczasowych, ale wciąż brakuje pełnych, oficjalnych informacji o jego zakresie i konsekwencjach.

- Na ten moment mamy bardzo szczątkowe informacje, bo tak naprawdę wiemy tyle, ile powiedział pan premier Gawkowski na konferencji prasowej. Wcześniej słyszeliśmy w artykułach o 18 milionach, na konferencji była mowa o 19 milionach osób, których dane wyciekły. Oczywiście pewnie wynika to z zaokrągleń, ale nie mamy pełnej informacji od firmy – komentuje sprawę Tomasz Zieliński, specjalista medycyny rodzinnej, ekspert do spraw informatyzacji i wiceprezes Federacji Związków Pracodawców Ochrony Zdrowia "Porozumienie Zielonogórskie".

Jak dodaje, firma opublikowała na swojej stronie oświadczenie, z którego wynika, że część informacji nie jest jeszcze potwierdzona, a zakres incydentu nie jest znany. Jednocześnie przedstawiciele środowiska medycznego próbują uzyskać wytyczne od instytucji publicznych i od samego dostawcy oprogramowania.

- W imieniu naszych członków występowałem do Ministerstwa Zdrowia i Centrum e-Zdrowia z prośbą o wytyczne postępowania. Do tej pory ich nie dostaliśmy. Wystąpiliśmy też do firmy, żeby przekazała nam bardziej szczegółowe informacje, ale również ich nie otrzymaliśmy. Rozumiem, że czas jest krótki, ale trudno mówić o szczegółach, jeżeli się ich nie zna – wskazuje Tomasz Zieliński.

W jego ocenie obecna sytuacja pokazuje jednak brak jasnej procedury na wypadek wycieku danych medycznych o tak dużej skali. Problem polega na tym, że użytkownikami oprogramowania są tysiące podmiotów: przychodnie, gabinety, poradnie, a także pojedynczy lekarze. Dane były przechowywane po stronie dostawcy systemu, a użytkownicy korzystali z niego online, logując się przez przeglądarkę. Nie mają więc technicznej możliwości samodzielnego zweryfikowania, co dokładnie wyciekło.

Kto ma zgłaszać incydent do UODO?

Jednym z największych problemów okazuje się realizacja w praktyce obowiązku zgłoszenia naruszenia ochrony danych osobowych. Urząd Ochrony Danych Osobowych wskazuje, że administratorzy danych powinni zgłaszać incydenty, ale w tej sytuacji nie jest jasne, kiedy i na jakiej podstawie mają to zrobić, skoro nie mają jeszcze oficjalnego potwierdzenia od dostawcy systemu.

- Skoro oficjalnie nie ma informacji, że ten wyciek nastąpił, to czy podmioty już powinny zgłaszać, czy jeszcze nie? Czy mają czekać na oficjalne potwierdzenie od dostawcy? – pyta.

Jeżeli okaże się, że incydent dotyczy tysięcy placówek i gabinetów, każdy z tych podmiotów będzie musiał indywidualnie zgłosić naruszenie do UODO. To może oznaczać, że urząd zostanie zasypany setkami albo tysiącami zgłoszeń o podobnej treści. - Brakuje rozwiązania, w którym firma albo państwo mogłyby zgłosić incydent w imieniu wszystkich. Po co urząd ma otrzymywać, poprawiać i weryfikować tysiące zgłoszeń tej samej treści, zamiast jednego zbiorowego? – wskazuje doktor Zieliński.

Jego zdaniem w przyszłości potrzebna jest procedura pozwalająca na zbiorowe zgłoszenie naruszenia przez podmiot, który ma wiedzę techniczną i faktyczną o incydencie. Pojedynczy użytkownicy systemu nie wiedzą dziś, co dokładnie wpisać w formularzu, jakie informacje są pewne, a jakie jedynie domniemane.

Kto poinformuje pacjentów?

Drugi problem dotyczy obowiązku poinformowania pacjentów, których dane mogły zostać ujawnione. Jeżeli liczba osób objętych incydentem rzeczywiście idzie w miliony, klasyczne indywidualne powiadamianie może okazać się niewykonalne albo skrajnie trudne.

Nie wiadomo również, czy chodzi wyłącznie o dane aktualnych pacjentów, czy także o dane historyczne, zgromadzone przez lata działania systemu, również sprzed przejęcia oprogramowania przez obecnego właściciela.

– Pacjentów trzeba poinformować. Tylko kto ma to zrobić? Każdy podmiot swojego pacjenta? A co, jeśli ci pacjenci się powtarzają? Część pacjentów może być dziś niedostępna, trudno będzie ich znaleźć – podkreśla Tomasz Zieliński.

W jego ocenie w tak dużej skali państwo powinno rozważyć informowanie w szerszym zakresie, zamiast przerzucać cały ciężar na przychodnie, gabinety i lekarzy.

– Jeżeli to dotyczy prawie każdego Polaka, to może zamiast każdego indywidualnie informować, trzeba przez media zbiorowo poinformować: to dotyczy was wszystkich, wasze dane mogły wyciec, wejdźcie na tę stronę, pobierzcie poradnik, sprawdźcie, co zrobić - radzi doktor Zieliński.

Zwraca uwagę, że w podobnych sytuacjach rola państwa nie powinna ograniczać się do nakładania sankcji na podmioty, które same często nie miały wpływu na incydent. Jeżeli wyciek nastąpił po stronie dostawcy systemu, pojedynczy lekarze, gabinety i poradnie nie mieli realnej możliwości sprawdzenia zabezpieczeń serwerów ani zapobieżenia zdarzeniu:

– Bardzo brakuje mi tego, żeby państwo nas wspierało. Często państwo chętnie nakłada karę albo wskazuje palcem, że ktoś źle zrobił, ale brakuje edukacyjnej roli kontroli. Jeżeli widzimy, że coś jest nie tak, usiądźmy i powiedzmy, co zrobić, żeby było dobrze.

Co można zrobić już teraz?

Choć wciąż nie ma pełnych wytycznych, już teraz można wykonać pewne czynności, które mogą zwiększyć bezpieczeństwo. Chodzi m.in. o wymianę certyfikatów do P1, czyli plików identyfikujących przychodnię podczas komunikacji z platformą, oraz zmianę haseł do systemów NFZ, które często są zapisane w oprogramowaniu.

- Ponieważ nie wiemy, co wyciekło, nie ryzykujmy, zmieńmy je. To prosta czynność, można ją zrobić w trzy minuty Może niepotrzebnie, może to nie wyciekło, ale nic się nie stanie. I tak wymienia się je co dwa lata, więc wymieńmy je wcześniej - radzi ekspert.

Jego zdaniem podobne informacje powinny jednak wyjść od instytucji publicznych: Ministerstwa Cyfryzacji, Ministerstwa Zdrowia, Centrum e-Zdrowia, NASK, CERT Polska albo innych organów odpowiedzialnych za cyberbezpieczeństwo.

- Nawet jeśli część działań okaże się nadmiarowa, to w sytuacji niepewności lepiej wskazać podmiotom możliwe środki ostrożności niż czekać bezczynnie na pełny raport. Takich informacji mi brakuje. Powinny wyjść od naszych urzędów - podsumowuje Zieliński.

Materiał chroniony prawem autorskim - zasady przedruków określa regulamin.