Cyberatak na firmę MyDr, do której systemów trafiały dane pacjentów z niemal 12 tys. placówek medycznych, został potwierdzony przez polskie służby. To największy incydent cyberbezpieczeństwa w historii kraju, a w jego wyniku zagrożonych jest około 19 mln obywateli.
Sprawa pokazała, jak duże ryzyko niesie cyfryzacja ochrony zdrowia. Platforma MyDr oferowała oprogramowanie łączące elektroniczną dokumentację, zarządzanie wizytami i obsługę przychodni oraz szpitali. W czwartek wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, że trwa zabezpieczanie danych, aby nie zostały wystawione na sprzedaż w darknecie. Zastrzegł, że nikt nie ma gwarancji, iż dane nie zostaną komuś przekazane, dlatego obywatele dostaną możliwość sprawdzenia, czy znajdowali się na liście poszkodowanych.
Firma MyDr w oświadczeniu przekazała, że aktywnie monitoruje dark web i na obecnym etapie nie ma dowodów na publikację danych. Spółka ocenia, że dane objęte incydentem mają najprawdopodobniej charakter historyczny, pochodzą z 2024 r. i lat wcześniejszych, a ich ostateczny zakres wciąż jest badany. Postępowanie ma też ustalić, ilu klientów i pacjentów realnie dotknął wyciek.
Szpitale i przychodnie muszą reagować na RODO
Eksperci komentujący sprawę w WNP zwracają uwagę na obowiązki administratorów danych. Dr Paweł Litwiński, prawnik i ekspert w zakresie ochrony danych osobowych, wyjaśnia, że przy tak dużej liczbie podmiotów każda placówka musi działać osobno.
– Jeśli incydent dotyczy około 12 tys. placówek, obowiązki wynikające z RODO będą zasadniczo spoczywały na każdej z nich indywidualnie – tłumaczył dr Paweł Litwiński.
– Jeżeli analiza wykaże, że ryzyko przekracza poziomy wskazane w art. 33 i 34 RODO, placówka powinna zgłosić naruszenie do Prezesa UODO oraz poinformować pacjentów – dodał.
Michał Zdunowski, CEO IS Consulting, wskazuje z kolei na niską świadomość przepisów, w tym RODO i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Według niego widać to w braku komunikacji między procesorem a klientami platformy. Lekarze i placówki medyczne są administratorami danych, ale właściciel MyDr nie poinformował ich wprost o incydencie, więc opierają się głównie na doniesieniach medialnych. Zdaniem Zdunowskiego urzędy dysponujące narzędziami do nakładania kar powinny prowadzić ogólnopolskie kampanie edukacyjne.
– Każda osoba, dziś zakładająca działalność, w każdej branży, a szczególnie tam, gdzie przetwarzane są dane wrażliwe, powinna przejść przez obowiązkowy kurs o cyberbezpieczeństwie i ochronie danych osobowych – podkreślił Michał Zdunowski.
Centralna architektura ochrony danych medycznych
Tomasz Jaworski, dyrektor ds. cyberbezpieczeństwa w sektorze zdrowia z Palo Alto Networks, uważa, że ochrona danych medycznych to kwestia zaufania do całego systemu ochrony zdrowia. Jego zdaniem sektor publiczny potrzebuje skonsolidowanej, państwowej architektury odporności, podobnej do brytyjskiego programu NHS Secure Boundary, w którym centralna koordynacja reguł podnosi bezpieczeństwo tysięcy podmiotów jednocześnie.
– Niestety może być jeszcze gorzej niż w przypadku MyDr. Ataki na bazy danych medycznych i próby eksfiltracji danych w dobie powszechnie dostępnej infrastruktury AI zachodzą w ciągu pojedynczych minut – powiedział Tomasz Jaworski.
Jak dodał, reakcja człowieka po fakcie to za mało. Potrzebna jest automatyzacja, analityka w czasie rzeczywistym i prewencja oparta na sztucznej inteligencji. Systemy dokumentacji medycznej (EDM) czy chmury medyczne (PUI) nie mogą być tworzone wyłącznie pod kątem funkcjonalności dla lekarza, a osłona cybernetyczna musi być integralną częścią architektury od początku.
Jaworski zwraca też uwagę, że formalny podział na tysiące osobno zabezpieczanych gabinetów, przychodni i szpitali jest umowny, gdy dane znajdują się w całym systemie.
– Cyberprzestępcy wykorzystują najsłabsze ogniwo w łańcuchu, aby uzyskać dostęp do danych lub zatrzymać system. Wyciek danych niemal 19 mln pacjentów to dopiero początek. Trzeba przygotować się na kolejne możliwe etapy scenariusza cyberprzestępców. Darknet z pewnością już planuje jak wykorzystać ten ogromny zbiór danych, musimy być na to przygotowani – zaznaczył Tomasz Jaworski.
W raporcie WNP Economic Trends „Cyberodporność. Wersja polska” specjaliści przypominali, że dane osobowe nie tracą wartości przez to, że są historyczne. Mogą latami służyć do szantażu, sprzedaży lub innych nadużyć. Tymczasem narzędzia AI coraz częściej bywają wykorzystywane przez cyberprzestępców, a niedawno opisano m.in. przypadek OpenAI i modelu testowanego w izolowanym środowisku, który wymknął się spod kontroli na platformie Hugging Face.
Po środowej konferencji ministra cyfryzacji strona BezpieczneDane.gov.pl, na której Polacy mieli sprawdzać, czy ich dane znalazły się w wycieku, przestała odpowiadać. Użytkownicy zgłaszali błędy 404, 503 i komunikaty o przerwie technicznej. Powodem była prawdopodobnie ogromna liczba osób próbujących skorzystać z narzędzia. W czwartek resort cyfryzacji zaktualizował komunikat, informując, że dane z wycieku nie trafiły jeszcze do serwisu.
Wicepremier Gawkowski przekazał też, że rząd jest w kontakcie z firmą MyDr, która była jedynie procesorem, a nie administratorem danych. Prokuratura i służby podległe ministrowi Siemoniakowi pracują nad przygotowaniem danych z podmiotów będących administratorami. Celem jest przekazanie ich łącznie do BezpieczneDane.gov.pl, zamiast indywidualnej drogi przewidzianej w RODO. Chodzi o to, by obywatele mogli w jednym miejscu sprawdzić, czy ich dane medyczne znalazły się wśród ujawnionych.
Źródło: WNP.PL, Fot. National Cancer Institute / Unsplash