W związku z cyberatakiem na systemy i dane firmy MyDr zwołano pilne Połączone Centrum Operacyjne Cyberbezpieczeństwa, by ustalić skutki tego incydentu. Co powinna zrobić osoba, która dowiaduje się, że jego dane mogły wyciec, ale nie dostał jeszcze żadnej informacji?
Jeżeli rzeczywiście mamy do czynienia z naruszeniem ochrony danych osobowych, to obowiązki spoczywają przede wszystkim na administratorze, czyli podmiocie, który decyduje o celach i sposobach przetwarzania – kto za nie odpowiada. To administrator powinien poinformować o tym, co się wydarzyło, i wskazać, jakie środki ostrożności dana osoba powinna podjąć. Zaczęłabym więc od dokładnego wczytania się w taką informację, jeżeli ona do nas trafi.
Natomiast przy tak dużej i medialnej sprawie wiele osób będzie się zastanawiało, co zrobić jeszcze zanim otrzyma indywidualne zawiadomienie lub doczeka się publicznego komunikatu. Jeżeli w grę wchodzą dane medyczne, zakres informacji może być bardzo szeroki. Sprawdziłabym przede wszystkim, czy mamy zastrzeżony PESEL i zachowałabym zwiększoną ostrożność w najbliższym czasie, a mówiąc to, mam na myśli raczej miesiące niż kilka dni. Nie wiemy przecież jeszcze, co dokładnie mogło się z tymi danymi wydarzyć ani kto i w jaki sposób może próbować z nich korzystać.
Czytaj więcej
Wicepremier, minister cyfryzacji Krzysztof Gawkowski zwołał pilne Połączone Centrum Operacyjne Cyberbezpieczeństwa. Ma to związek z cyberatakiem na...
Czy zastrzeżenie numeru PESEL wystarczy?
Nie, choć z perspektywy osoby fizycznej nasze możliwości są dość ograniczone, co nie znaczy, że nic nie możemy zrobić. Jeżeli okaże się, że wyciekły loginy albo hasła, siłą rzeczy należałoby je zmienić. I nie chodzi tylko o konto w jednym systemie. Takie dane mogą być później wykorzystywane do przejmowania kont w mediach społecznościowych czy w relacjach z różnymi usługodawcami.
Trzeba też być uwrażliwionym na wszelkie anomalie. Mogą pojawić się wzmożone telefony, wiadomości, próby phishingu. Ktoś, kto ma bardzo konkretne informacje na nasz temat, może dzięki nim wyglądać wiarygodnie i legitymizować kontakt z nami. To jest właśnie bardzo niebezpieczne: odbieramy telefon albo wiadomość i druga strona wie o nas tyle, że zaczynamy jej ufać. Dlatego przez dłuższy czas trzeba być szczególnie nieufnym wobec osób, które powołują się na informacje o nas i na tej podstawie próbują nakłonić nas do jakiegoś działania.
Czytaj więcej
Dane osobowe i finansowe blisko 400 żołnierzy z kluczowej dla cyberbezpieczeństwa armii jednostki wyciekły do wewnętrznej sieci. Mimo zagrożenia wy...
W tym przypadku mówimy o wycieku danych medycznych, co wydaje się szczególnie groźne.
Oczywiście, bo to są informacje wrażliwe. Imię, nazwisko czy nawet data urodzenia osoby publicznej bywają stosunkowo łatwe do ustalenia, ale zupełnie czym innym jest informacja o recepcie, przyjmowanym leku, chorobie albo wdrożonym leczeniu. Teoretycznie lek lekowi równy, bo jeśli się choruje, to zwykle bierze się jakieś leki, ale w praktyce ludzie zupełnie inaczej podchodzą do informacji o zwykłym antybiotyku, a inaczej do danych wskazujących na leczenie psychiatryczne, onkologiczne, ginekologiczne czy do innych problemów zdrowotnych, o których ktoś nie chce publicznie mówić.
Ludzie bardzo różnie traktują informacje o własnym zdrowiu. Jedni mówią o nim szeroko, inni uznają ten obszar za całkowicie prywatny. Dlatego w przypadku części osób takie dane mogą być wykorzystywane do zastraszania czy szantażu. Szczególne ryzyko może dotyczyć osób powszechnie znanych czy sprawujących funkcje publiczne, ale przecież dla zwykłego człowieka ujawnienie informacji o stanie zdrowia również może być bardzo dotkliwe.
Czytaj więcej
Chcielibyśmy, żeby urzędnik sięgnął po mSzyfr nie dlatego, że musi, ale dlatego, że nie wyobraża sobie innej komunikacji służbowej – mówi pułkownik...
Co w takiej sytuacji powinno zrobić państwo i instytucje nadzorujące tego rodzaju systemy danych?
Państwo ma przepisy dotyczące Krajowego Systemu Cyberbezpieczeństwa i powinno je bardzo skrupulatnie egzekwować, ma też przepisy o ochronie danych osobowych. Może tworzyć regulacje, nadzorować i kontrolować, ale nie ma takiej mocy sprawczej, żeby zagwarantować, że każdy system będzie nie do przełamania. Takiego „megabezpiecznego” systemu po prostu nie ma.
Dlatego bardzo dokładnie przyglądałabym się temu, jak konkretny system funkcjonował i jakie środki bezpieczeństwa zostały wdrożone. Przy ogromnych bazach znaczenie ma chociażby to, czy trzeba było przechowywać w jednym miejscu całą masę danych archiwalnych, czy można było rozdzielić zasoby i zastosować pseudonimizację. Kluczowa jest mechanika naruszenia: co dokładnie się wydarzyło i dlaczego zabezpieczenia nie zatrzymały ataku.
Niestety, czasem powodem okazuje się bardzo drobna rzecz, np. ktoś nie zmienił hasła, nie włączył zabezpieczenia, kliknął w link albo udostępnił dostęp osobie, która nie powinna go mieć. Dopiero ustalenie tego pozwoli ocenić, czy środki bezpieczeństwa były adekwatne.
Marlena Sakowska-Baryła
