Cyber Piątka ma lepiej chronić dane pacjentów

Po dużym wycieku danych z firmy MyDr rząd chce zmienić zasady ochrony informacji medycznych. Ministerstwo Cyfryzacji pokazało pakiet propozycji nazwany „Cyber Piątką”, który ma mocniej pilnować firm przetwarzających wrażliwe dane obywateli. Chodzi przede wszystkim o dane pacjentów, systemy używane przez placówki medyczne oraz szybsze informowanie ludzi, gdy z ich danymi dzieje się coś podejrzanego. Sprawa jest poważna, bo według rządowych informacji incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.

Wyciek MyDr pokazał słabe miejsca ochrony danych

Firma MyDr dostarczała oprogramowanie dla lekarzy i placówek ochrony zdrowia. Po cyberataku potwierdzono nieuprawniony dostęp do danych historycznych, które były przechowywane w jej systemach. Według Ministerstwa Cyfryzacji chodzi o dane do kwietnia 2024 roku. Jednocześnie rząd podkreślił, że incydent nie zatrzymał działania placówek medycznych, w tym wystawiania recept.

Dla pacjentów najważniejsze jest jednak nie to, gdzie dokładnie leżały dane, ale kto mógł je zobaczyć i jak mogą zostać użyte. Dane medyczne są szczególnie wrażliwe, bo mówią nie tylko o imieniu, nazwisku czy numerze PESEL, ale czasem także o leczeniu, wizytach i receptach. Tego typu informacje mogą być później wykorzystywane do oszustw, wyłudzeń albo prób podszywania się pod inną osobę. Dlatego po takim incydencie sama reakcja służb nie wystarczy, jeśli prawo i procedury nadal zostawiają zbyt dużo luk.

Rząd chce pięciu zmian po ataku na firmę

„Cyber Piątka” ma objąć cały proces przetwarzania danych. Oznacza to, że nowe zasady mają dotyczyć nie tylko placówki medycznej, ale także firmy zewnętrznej, której powierzono obsługę systemu. To ważne, bo pacjent zwykle widzi lekarza, przychodnię i aplikację, ale nie wie, ile podmiotów technicznych pracuje w tle. Najprościej pokazać propozycje rządu w pięciu punktach.

certyfikacja firm, które przetwarzają dane medyczne
minimalne wymagania techniczne dla systemów z takimi danymi
obowiązek informowania pacjenta, kto przetwarza jego dane
powiadomienia w mObywatelu i mojeIKP o zdarzeniach medycznych
nowe obowiązki dla podmiotów masowo przetwarzających dane

Ten pakiet ma sprawić, że odpowiedzialność za dane nie będzie rozmyta między placówką, dostawcą systemu i kolejnymi firmami po drodze. Ministerstwo chce, aby podmioty przetwarzające duże ilości danych musiały szybciej informować o naruszeniach i regularnie oceniać ryzyko. W praktyce oznacza to więcej formalnych obowiązków, ale także większą szansę, że problem zostanie wykryty wcześniej. Dla pacjentów ważne będzie przede wszystkim to, czy nowe zasady przełożą się na jasne komunikaty i realną ochronę.

Pacjent ma wiedzieć, kto dotyka jego danych

Jedna z propozycji dotyczy obowiązkowego informowania pacjentów o tym, komu powierzono przetwarzanie ich danych. Dziś wiele osób nie ma świadomości, że za systemem używanym w gabinecie może stać zewnętrzna firma informatyczna. Nowe przepisy mają dać pacjentowi prostszą informację o zakresie przetwarzania i danych kontaktowych takiego podmiotu. To nie rozwiąże wszystkich problemów, ale może zwiększyć przejrzystość.

Powiadomienia w aplikacji mogą szybciej zapalić alarm

Jednym z bardziej praktycznych pomysłów są powiadomienia o zdarzeniach medycznych. Ministerstwo proponuje, aby użytkownik dostawał informację w aplikacji mObywatel oraz mojeIKP, gdy pojawi się na przykład wizyta, recepta albo inne świadczenie medyczne. Szczegóły takiego zdarzenia byłyby dostępne po zalogowaniu do Internetowego Konta Pacjenta lub aplikacji mojeIKP. Dzięki temu człowiek mógłby szybciej zauważyć, że ktoś próbuje użyć jego danych.

To rozwiązanie można porównać do powiadomień z banku po płatności kartą. Jeśli pacjent dostanie informację o recepcie, której nie zamawiał, szybciej zareaguje i zgłosi problem. Sama wiadomość nie zatrzyma każdego oszustwa, ale skróci czas między nadużyciem a reakcją. W przypadku danych medycznych taki czas ma duże znaczenie, bo oszust może próbować zdobyć leki, świadczenie albo dodatkowe informacje.

Duże firmy z danymi mają dostać większe obowiązki

Nowe przepisy mają szczególnie dotyczyć podmiotów, które przetwarzają dane na dużą skalę. Chodzi o firmy świadczące usługi dla więcej niż 100 administratorów albo przetwarzające dane ponad 100 tys. osób. Takie podmioty miałyby szybciej przekazywać informacje o naruszeniu do CSIRT NASK za pośrednictwem Policji. W minimalnym zakresie miałyby trafiać tam imię, nazwisko i numer PESEL osób objętych naruszeniem.

Ministerstwo chce też, aby takie firmy przekazywały placówkom informacje potrzebne do oceny poziomu bezpieczeństwa. Mogłoby to dotyczyć zabezpieczeń, miejsc przetwarzania danych, dalszych podwykonawców, testów i audytów. Do tego dochodzi obowiązkowa ocena ryzyka przed rozpoczęciem przetwarzania danych. Taka ocena miałaby być aktualizowana co najmniej raz na dwa lata oraz po ważnych zmianach w sposobie działania systemu.

Bezpiecznedane.gov.pl ma pomagać sprawdzić ryzyko

Po identyfikacji osób objętych incydentem dane mają trafiać do serwisu bezpiecznedane.gov.pl. Dzięki temu obywatel może sprawdzić, czy konkretny wyciek dotyczy także jego. To ważne, bo przy dużych incydentach ludzie często nie wiedzą, czy mają powód do niepokoju. Oficjalny serwis zmniejsza też ryzyko, że ktoś skorzysta z fałszywej strony podszywającej się pod państwową usługę.

Ministerstwo Zdrowia uspokaja w sprawie e-zdrowia

Ministerstwo Zdrowia poinformowało, że incydent dotyczący MyDr nie naruszył centralnych usług e-zdrowia. Według resortu sprawa nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie zdrowia. Centrum e-Zdrowia zwiększyło jednak monitoring i pozostaje w wyższej gotowości. To pokazuje, że państwo próbuje ograniczyć skutki incydentu, nawet jeśli główny problem dotyczył prywatnej firmy.

UODO przypomina przy tej okazji o podstawowych zasadach bezpieczeństwa po naruszeniu danych. Warto zastrzec numer PESEL, uważać na podejrzane SMS-y, e-maile i telefony oraz nie podawać dodatkowych informacji osobom, których tożsamości nie da się sprawdzić. Cyberprzestępcy często wykorzystują wycieki nie od razu, ale po czasie, gdy ludzie tracą czujność. Dlatego ochrona danych nie kończy się na jednym komunikacie urzędu albo jednorazowym sprawdzeniu strony.

Nowe prawo ma zmusić firmy do większej ostrożności

Najważniejsza zmiana polega na tym, że firmy obsługujące wrażliwe dane mają nie tylko działać szybciej po awarii, ale też lepiej przygotować się przed nią. Certyfikacja, minimalne wymagania i ocena ryzyka mają utrudnić sytuację, w której ogromna baza danych jest chroniona zbyt słabo. Dla zwykłego pacjenta brzmi to technicznie, ale sens jest prosty. Jeśli firma zarabia na obsłudze danych medycznych, musi brać większą odpowiedzialność za ich bezpieczeństwo.

To nie oznacza, że po wejściu nowych przepisów wycieki nagle znikną. Cyberataki będą się zdarzać, bo dane są dla przestępców zbyt cenne. Różnica ma polegać na tym, że system szybciej wykryje problem, szybciej poinformuje obywateli i mocniej rozliczy podmioty, które źle pilnowały powierzonych informacji. Po sprawie MyDr rząd chce więc przesunąć ciężar z samego gaszenia pożaru na wcześniejsze zabezpieczenie całego budynku.

Źródło: