• Atak na MyDr stawia pod znakiem zapytania bezpieczeństwo danych niemal 19 mln Polaków. Sprawa pokazuje, że wraz z cyfryzacją ochrony zdrowia rośnie nie tylko wygoda pacjentów, lecz także skala ryzyka. 
• Choć cyberatak dotyczy firmy MyDr, to w praktyce obejmuje niemal 12 tys. placówek medycznych, które korzystały z jej systemu.
• Gigantyczna skala zagrożenia dla milionów Polaków jasno uświadamia, że to nie test z cyberodporności jednej firmy, a całego cyfrowego systemu ochrony zdrowia. Chodzi nie tylko o zabezpieczenia, ale też procedury reagowania i odpowiedzialność za poszanowanie prywatności pacjentów.  
• Eksperci w rozmowie z WNP wskazują, jakie wnioski można wyciągnąć z najpoważniejszego w historii kraju ataku. Czy sektor ochrony zdrowia, ale i państwo odrobi tę lekcję?

Trwa zabezpieczanie danych po ataku na MyDr

W WNP na bieżąco informujemy o nowych ustaleniach dotyczących cyberataku na firmę MyDr, który ma obejmować dane 19 mln Polaków. 

Jak ujawnił w czwartek wicepremier i minister cyfryzacji, „trwa zabezpieczanie danych, żeby nie były dostępne w darknecie i żeby nikt nie mógł ich kupić. (...) albo nie chciał ich sprzedać na przykład w dużej paczce”. Zastrzegł, że „nikt nie ma gwarancji, że ktoś gdzieś ich nie przekaże”, dlatego, jak zaznaczył, „chcą udostępnić informację obywatelom, czy byli na tej liście, a jednocześnie informować, jeżeli taka sytuacja będzie miała miejsce”.

Spółka, która oferuje oprogramowanie medyczne, łączące elektroniczną dokumentację, zarządzanie wizytami oraz obsługę placówek zdrowotnych także poinformowała w swoim oświadczeniu, że aktywnie monitoruje dark web i obecnie "nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie".

Naszym priorytetem jest zapewnienie bezpieczeństwa i integralności naszych systemów oraz pełne zbadanie tej sprawy. Dane objęte incydentem najprawdopodobniej mają charakter historyczny - pochodzą z 2024 r. oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów. Na obecnym etapie nadal prowadzimy postępowanie mające na celu ustalenie potencjalnego zakresu oraz wpływu incydentu. Będziemy przekazywać kolejne informacje, gdy tylko będzie to uzasadnione - wskazywała spółka w oficjalnym oświadczeniu.

O tym, kto w tym przypadku odpowiada za bezpieczeństwo danych osobowych Polaków i ich naruszenie w rozmowie z WNP opowiadał dr Paweł Litwiński, prawnik i ekspert w zakresie ochrony danych osobowych. 

- Jeśli incydent dotyczy około 12 tys. placówek, obowiązki wynikające z RODO będą zasadniczo spoczywały na każdej z nich indywidualnie. Placówki powinny przede wszystkim ustalić, co dokładnie się wydarzyło, jakie dane mogły zostać objęte incydentem oraz jakie ryzyko to zdarzenie niesie dla pacjentów. Jeżeli analiza wykaże, że ryzyko przekracza poziomy wskazane w art. 33 i 34 RODO, placówka powinna zgłosić naruszenie do Prezesa UODO oraz poinformować pacjentów - tłumaczył Litwiński w rozmowie z naszym serwisem.

Eksperci: Potrzebna edukacja

Jak incydent komentują eksperci, specjalizujący się w cyberbezpieczeństwie sektora ochrony zdrowia? 

Michał Zdunowski, CEO IS Consulting podkreśla, że świadomość obowiązków wynikających z różnych przepisów, w szczególności RODO i UKSC (nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa) jest dalej bardzo niska, co potwierdza brak komunikacji na wielu płaszczyznach.

Lekarze i placówki medyczne, którzy w świetle prawa są administratorami danych, muszą poinformować Urząd (PUODO - przyp. red.) jak i pacjentów o incydencie, z tym że procesor, czyli właściciel platformy MyDr, sam nie poinformował swoich klientów, tak więc mogą się jedynie opierać na doniesieniach medialnych. Klienci platformy to przede wszystkim małe placówki medyczne i lekarze prowadzący indywidualne praktyki, którzy znają się na leczeniu ludzi i nie są ekspertami od RODO czy cyberbezpieczeństwa - podkreśla rozmówca WNP. 

Jego zdaniem to właśnie urzędy, które dziś mają prawo do nakładania potężnych kar za naruszenia (ochrony danych osobowych/ medycznych) powinny "zakasać rękawy i rozpocząć ogólnopolskie kampanie edukacyjne". - Każda osoba, dziś zakładająca działalność, w każdej branży, a szczególnie tam, gdzie przetwarzane są dane wrażliwe, powinna przejść przez obowiązkowy kurs o cyberbezpieczeństwie i ochronie danych osobowych - podkreśla Michał Zdunowski. 

Gra toczy się o bezpieczeństwo danych, ale i zaufanie

Z kolei Tomasz Jaworski, dyrektor ds. cyberbezpieczeństwa w sektorze zdrowia z Palo Alto Networks, ocenia, że ochrona danych medycznych to nie tylko wymóg formalny czy techniczny, ale przede wszystkim kwestia bezpieczeństwa pacjentów i zaufania do całego systemu ochrony zdrowia.

- Sektor publiczny i ochrona zdrowia potrzebują skonsolidowanej, państwowej architektury odporności i obrony przed cyberzagrożeniami. Doświadczenia brytyjskich lekarzy z NHS Secure Boundary pokazują, że centralna koordynacja reguł i jednolite środowisko ochronne pozwalają podnieść poziom bezpieczeństwa tysięcy podmiotów jednocześnie - wskazuje.

Jak dodaje, docenia działania podjęte przez instytucje państwowe i służby, Ministerstwo Cyfryzacji, Prezesa Urzędu Ochrony Danych Osobowych, Centralne Biuro Zwalczania Cyberprzestępczości oraz właściwe CSIRT-y (Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego). - Szybka koordynacja działań zaradczych, weryfikacja skali oraz transparentna komunikacja ze społeczeństwem są w takich momentach kluczowe - komentuje Tomasz Jaworski dla naszego serwisu. 

Ryzyko przez lata

Dane medyczne nie tracą wartości tylko dlatego, że są historyczne - przypominaliśmy w WNP. Na to, że dane osobowe mogą przez lata służyć do szantażu, sprzedaży czy innych nadużyć zwracali uwagę specjaliści ds. cyberbezpieczeństwa w naszym raporcie WNP Economic Trends „Cyberodporność. Wersja polska”.

Tomasz Jaworski nie ma złudzeń w kwestii tego, jak przedstawia się przyszłość cyberochrony sektora ochrony zdrowia. Sprawę bowiem komplikuje sztuczna inteligencja, która już służy jako narzędzie ataku. Można się jedynie spodziewać, że cyberprzestępcy będą z niej korzystali coraz częściej. Niedawno opisywaliśmy także przypadek m.in. OpenAI, które ujawniło szczegóły ataku na platformę Hugging Face, kiedy to model testowany w izolowanym środowisku "wymknął się spod kontroli". 

- Niestety może być jeszcze gorzej niż w przypadku MyDr. Ataki na bazy danych medycznych i próby eksfiltracji danych w dobie powszechnie dostępnej infrastruktury AI zachodzą w ciągu pojedynczych minut. Mogą nie tylko skutkować wyciekiem danych, ale krytycznymi skutkami dla zdrowia i życia pacjentów lub zakłóceniem ciągłości działania całych ścieżek zdrowia pacjenta. Reakcja człowieka po fakcie to za mało - potrzebna jest automatyzacja, analityka w czasie rzeczywistym i prewencja oparta na sztucznej inteligencji. Systemy dokumentacji medycznej (EDM) czy chmury medyczne (PUI) nie mogą być tworzone wyłącznie pod kątem funkcjonalności użytkowych dla lekarza - osłona cybernetyczna musi być integralną częścią architektury od samego początku - podkreśla dyrektor ds. cyberbezpieczeństwa w sektorze zdrowia, Palo Alto Networks. 

Zwraca uwagę na jeszcze jeden problem: w sytuacji, kiedy dane medyczne są dostępne w całym systemie, formalny podział na tysiące osobno zabezpieczanych gabinetów, przychodni czy szpitali jest umowny. - Cyberprzestępcy wykorzystują najsłabsze ogniwo w łańcuchu, aby uzyskać dostęp do danych lub zatrzymać system. Wyciek danych niemal 19 mln pacjentów to dopiero początek. Trzeba przygotować się na kolejne możliwe etapy scenariusza cyberprzestępców. Darknet z pewnością już planuje jak wykorzystać ten ogromny zbiór danych, musimy być na to przygotowani - zaznacza.

Bierzmy przykład z Brytyjczyków?

Incydent w firmie MyDr zwraca uwagę na ryzyka związane z cyfryzacją ochrony zdrowia, zbierania danych wrażliwych pacjentów i ich koncentracji. To problem nie tylko jednej z placówek wchodzących w skład całego systemu, ale też dostawców technologii. Jak temu zaradzić?

- Nie trzeba wyważać otwartych drzwi. Doświadczenia innych państw pokazują, jak skutecznie zarządzić takim wyzwaniem. Przykładem jest brytyjski program NHS Secure Boundary, przy którym od lat współpracuje Palo Alto Networks. Wielka Brytania zmierzyła się z problemem fragmentacji ochrony danych medycznych i odpowiedziała na niego stworzeniem jednolitego, hybrydowego parasola ochronnego dla całego ekosystemu. Lekcje odrobione przez NHS powinny być dziś dla nas drogowskazem. Budowanie spójnych, centralnie koordynowanych standardów bezpieczeństwa dla ochrony zdrowia to jedyna droga, by skutecznie chronić dane Polaków przed rosnącą falą cyberzagrożeń. Nowoczesną odpowiedzią jest tzw. platformizacja, to znaczy przejście od rozproszonych narzędzi, różnorodnych reguł bezpieczeństwa, wielu standardów organizacyjnych i modeli działania do jednolitej platformy, która daje pełną widoczność w całym ekosystemie zdrowia, tj. spójny obraz bezpieczeństwa z punktu widzenia odporności państwa i suwerenności danych zdrowotnych - ocenia Tomasz Jaworski. 

Problemy z serwisem BezpieczneDane.gov.pl

W środę - tuż po konferencji prasowej wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego - po komunikacie o możliwości sprawdzenia czy dane Polaków znajdują się w wycieku - strona BezpieczneDane.gov.pl przestała odpowiadać. Użytkownicy zgłaszali liczne błędy: "404 - nie można znaleźć strony", "przerwa techniczna" czy "błąd 503 - serwer chwilowo niedostępny". Problemy pojawiły się prawdopodobnie w związku z faktem gigantycznego zainteresowania, a co z tym związane - ruchem na stronie.

W czwartek resort cyfryzacji zaktualizował komunikat, który wskazuje, że dane z wycieku MyDr nie trafiły jeszcze do serwisu.

Zrzut ekranu ze strony BezpieczneDane.gov.pl. Fot. Materiały prasowe / BezpieczneDane.gov.pl / Ministerstwo Cyfryzacji

W czasie czwartkowej konferencji prasowej w siedzibie Wojsk Obrony Cyberprzestrzeni wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał, że polski rząd jest w kontakcie z firmą MyDr, która przetwarzała dane. 

Prokuratura i służby podległe panu ministrowi Siemoniakowi pracują nad tym, żeby przygotować paczki (danych) z tych podmiotów, (które były administratorami danych - przyp. red.). Gdyby trzeba było to robić dzisiaj (dostępną) drogą prawą (tj. na podstawie RODO), trzeba byłoby te wszystkie dane przekazywać indywidualnie. My chcemy je łącznie przekazać do (serwisu) BezpieczneDane.gov.pl. Teraz trwają prace nad tym, żebyśmy zgodnie z prawem wydobyli te dane, które były w firmie przetwarzającej. To była jedynie firma przetwarzająca dane, a nie administrator. Chodzi o to, żebyśmy mogli je bezpiecznie włożyć do systemu państwowego, gdzie obywatele będą mogli sprawdzać czy (w wycieku) były ich dane - objaśniał Gawkowski. 

Poprosiliśmy resort cyfryzacji o komentarz do sprawy, czekamy na odpowiedź.