„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność”
W pierwszej połowie sierpnia Ministerstwo Cyfryzacji poinformowało, że w wyniku cyberataku na firmę MyDr wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr.
Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych – podkreślił w oświadczeniu szef firmy MyDr, Piotr Miluski, w opublikowanym oświadczeniu.
Zaznaczył, że postępowanie w sprawie cyberataku prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa, a równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane objął incydent.
W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania – przekazał.
Ile osób może otrzymać informacje od placówek medycznych?
Miluski zaznaczył, że za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy firma nie może wykluczyć z zakresu incydentu. Wyjaśnił, że tak szeroka grupa „została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem”.
Podkreślił, że liczba ta nie oznacza jednak, że skradzione, odczytane lub upublicznione zostały dane 18 milionów osób. Dodał, że zespoły MyDr i zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.
Szef MyDr zapewnił też, że firma nadal będzie współpracować z właściwymi organami i przekazywać im niezbędne informacje.
Czy centralne usługi e-zdrowia są zagrożone?
Dochodzenie w sprawie wycieku danych z firmy MyDr – prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem warszawskiej prokuratury okręgowej – dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę. Wcześniej przełamała ona albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.
„Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia” – zaznaczył resort zdrowia.
Kontrolę w spółce MyDr zapowiedział Urząd Ochrony Danych Osobowych (UODO). Jej przedmiotem będą zastosowane środki techniczne i organizacyjne, w tym analiza ryzyka.
Warto zadbać o bezpieczeństwo w sieci
Ministerstwo zaleca – niezależnie od okoliczności incydentu – stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.
Rząd szykuje projekt zmian w przepisach o przetwarzaniu danych
Wiceminister cyfryzacji Dariusz Standerski zapowiedział w Porannej rozmowie w RMF FM przedstawienie projektu zmian legislacyjnych dotyczących przetwarzania danych.
Potrzebujemy uszczelnienia systemu, ponieważ 12 tys. podmiotów, które przekazały dane na portal MyDr podpisywały umowy, przekazując dane, ale jednocześnie zachowując status administratora – wskazał wiceminister cyfryzacji w Porannej rozmowie w RMF FM.
Zdaniem Dariusza Standerskiego sytuacja powinna działać na zasadzie: „przetwarzasz dane niezależnie od tego, jaką masz rolę ustawową”.
