Wyciek danych medycznych. Krzysztof Gawkowski zapowiada zmiany w cyberbezpieczeństwie
Dane przechowywane przez placówki medyczne należą do najbardziej wrażliwych informacji, jakie trafiają do systemów informatycznych. Oprócz nazwiska czy numeru PESEL mogą obejmować szczegóły dotyczące stanu zdrowia, przyjmowanych leków, recept i odbytych wizyt. Ostatnie miesiące pokazały jednak, że sektor ochrony zdrowia staje się coraz częstszym celem cyberprzestępców. Kolejne incydenty sprawiły, że problemem ponownie zajęły się instytucje odpowiedzialne za ochronę danych i cyberbezpieczeństwo.
Skala zagrożenia sprawia, że działania nie ograniczają się już wyłącznie do wyjaśniania pojedynczych przypadków. Kontrole obejmują kolejnych uczestników rynku, a administracja przygotowuje rozwiązania, które mają zmienić sposób zabezpieczania informacji o pacjentach. Szczególna uwaga skupia się na prywatnych firmach, które przetwarzają duże zbiory danych na potrzeby placówek medycznych.
Dane medyczne wymagają szczególnej ochrony. Ich wyciek może mieć skutki długo po samym cyberataku
Cyfryzacja ochrony zdrowia sprawiła, że ogromna część informacji o pacjentach jest dziś przechowywana i wymieniana elektronicznie. Ułatwia to lekarzom dostęp do dokumentacji i pozwala korzystać z takich rozwiązań jak e-recepty czy Internetowe Konto Pacjenta, ale jednocześnie powoduje, że systemy medyczne gromadzą bardzo atrakcyjne z punktu widzenia przestępców zbiory informacji.
Dane osobowe związane ze zdrowiem mają szczególny charakter. W jednej bazie mogą znajdować się jednocześnie imię i nazwisko, PESEL, adres, numer telefonu oraz szczegóły leczenia. W przeciwieństwie do hasła do konta informacji o historii chorób czy przebytym leczeniu nie można po prostu zmienić po ujawnieniu.
Skutki naruszenia nie muszą również kończyć się na samym wycieku danych. Pozyskane informacje mogą zwiększać wiarygodność prób phishingu i oszustw, ponieważ przestępca jest w stanie wykorzystać prawdziwe dane dotyczące pacjenta. W przypadku ujawnienia numeru PESEL pojawia się także ryzyko prób wykorzystania cudzej tożsamości.
Właśnie dlatego sektor zdrowotny znalazł się pod większą kontrolą Urzędu Ochrony Danych Osobowych. Po sierpniowym incydencie dotyczącym MyDr prezes UODO zdecydował o przeprowadzeniu dodatkowych kontroli podmiotów ochrony zdrowia jeszcze w 2026 roku. Urząd chce sprawdzać m.in. stosowane zabezpieczenia techniczne i organizacyjne oraz sposób przeprowadzania analizy ryzyka.
W ostatnich tygodniach pojawiły się kolejne incydenty. Służby badają system używany do dokumentacji pacjentów
Jednym z największych tegorocznych zdarzeń był sierpniowy cyberatak na firmę MyDr, która dostarcza oprogramowanie placówkom medycznym. Ministerstwo Cyfryzacji informowało wówczas, że nieuprawniony dostęp do historycznych danych mógł dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek. Prokuratura potwierdziła, że w przejętych zasobach znajdowały się m.in. dane identyfikacyjne pacjentów, numery PESEL oraz informacje dotyczące zdrowia, recept i wizyt lekarskich.
Teraz służby zajmują się również incydentem dotyczącym oprogramowania Medyc, tworzonego przez spółkę Qbusoft. System jest wykorzystywany do obsługi dokumentacji medycznej. UODO poinformował 25 września, że według pojawiających się informacji potencjalny incydent może obejmować dane nawet kilku milionów osób, ale dokładna skala nadal wymaga ustalenia. Prezes urzędu zapowiedział kontrolę firmy, a działania prowadzi także Centralne Biuro Zwalczania Cyberprzestępczości.
Osobny incydent zgłosiło Centrum Medyczne Enel-Med. Spółka podała, że wieczorem 24 września dowiedziała się o naruszeniu bezpieczeństwa IT i poufności danych. Zawiadomiono CBZC, CSIRT Centrum e-Zdrowia, CERT Polska oraz prezesa UODO. Na obecnym etapie firma nie podała jednak publicznie, jakie konkretnie dane zostały objęte naruszeniem ani ilu osób może ono dotyczyć. Dlatego nie należy łączyć tego zdarzenia ze skalą podawaną przy wcześniejszych wyciekach.
Zobacz też: Ta noc będzie o godzinę dłuższa. Zbliża się coroczna zmiana czasu
Krzysztof Gawkowski zapowiada zmiany. Firmy przetwarzające dane medyczne mają zostać objęte nowymi wymaganiami
Na serię incydentów zareagował wicepremier i minister cyfryzacji Krzysztof Gawkowski. Wskazał, że podmioty medyczne i dostawcy wykorzystywanego przez nie oprogramowania powinny wzmacniać zabezpieczenia oraz zgłaszać cyberataki odpowiednim zespołom reagowania. W przypadku sprawy Qbusoft minister przekazał, że według posiadanych informacji firma nie zgłosiła wcześniej incydentu do CERT Polska ani CSIRT Centrum e-Zdrowia. UODO przytoczył również zapowiedź konsekwencji w przypadku stwierdzenia naruszeń procedur bezpieczeństwa.
Równolegle rząd pracuje nad szerszym pakietem zmian dotyczących ochrony danych medycznych. Podczas wrześniowego posiedzenia sejmowej Komisji Cyfryzacji przedstawiciel Ministerstwa Cyfryzacji potwierdził prace m.in. nad dodatkowymi wymogami dla firm przetwarzających duże zbiory danych oraz obowiązkową certyfikacją podmiotów zajmujących się danymi medycznymi. Planowane jest też zwiększenie przejrzystości dostępu do informacji pacjentów i wykorzystanie IKP oraz aplikacji mObywatel do informowania o zdarzeniach związanych z ich danymi. Są to na razie przygotowywane rozwiązania legislacyjne, a nie obowiązujące przepisy.
Krzysztof Gawkowski podkreślił też konieczność zgłaszania incydentów, zamiast ukrywania ich z obawy o reputację przedsiębiorstwa. Jego zdaniem brak szybkiej informacji zwiększa zagrożenie dla osób, których dane mogły zostać przejęte. Ministerstwo i instytucje zajmujące się cyberbezpieczeństwem zalecają placówkom m.in. stosowanie uwierzytelniania wieloskładnikowego, właściwe zabezpieczanie kopii zapasowych, kontrolę dostępu i monitorowanie nietypowych operacji na danych.
Dopiero kolejne ustalenia służb i UODO pokażą, jak szeroki był najnowszy incydent i ilu pacjentów rzeczywiście dotyczy. Obecnie nie ma podstaw, aby wszystkie pojawiające się w ostatnich dniach przypadki traktować jako jeden wyciek danych - dotyczą różnych podmiotów i są wyjaśniane w odrębnych postępowaniach.
Obserwuj w Google News
