O cyberataku na oprogramowanie MyDr, wykorzystywane przez około 12 tys. placówek medycznych, poinformował 10 sierpnia portal Zaufana Trzecia Strona. Przestępcy mogli uzyskać dostęp do danych nawet 19 mln osób. System służy m.in. do obsługi dokumentacji medycznej, recept i skierowań.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
Odpowiedzialność obejmie także dostawców oprogramowania
Wiceminister cyfryzacji Dariusz Standerski w rozmowie z Rynkiem Zdrowia przyznał, że resort pracuje nad zmianami ustawowymi, które mają ograniczyć ryzyko podobnych zdarzeń. Nowe regulacje obejmą podmioty masowo przetwarzające dane wrażliwe niezależnie od tego, czy formalnie są ich administratorami, czy jedynie je przetwarzają. Obecnie główną odpowiedzialność za bezpieczeństwo dokumentacji ponoszą administratorzy danych, czyli m.in. przychodnie, poradnie i indywidualne praktyki medyczne. Firmy dostarczające systemy informatyczne występują natomiast zazwyczaj jako podmioty przetwarzające dane na podstawie zawartych umów.
Zapowiadana reforma ma zmienić ten układ. Dostawcy oprogramowania przetwarzający informacje o dużej liczbie pacjentów również mieliby odpowiadać za stosowane zabezpieczenia. Wiceminister Standerski wspomniał o wymogach dotyczących każdorazowej oceny ryzyka, wdrożenia polityki zarządzania bezpieczeństwem informacji oraz infrastruktury i kontroli takich podmiotów.
Czytaj więcej
Osoby, których dane wykradziono z MyDr mają szansę na zadośćuczynienie. Kokosów jednak nie powinny się spodziewać, a jeśli zażądają zbyt wiele, to...
Próg ilości przetwarzanych danych, po którego przekroczeniu pojawiałyby się dodatkowe obowiązki, jest konsultowany z Urzędem Ochrony Danych Osobowych. Analizowana jest również zgodność proponowanych rozwiązań z regulacjami Unii Europejskiej.
Dane medyczne mają trafić pod większą kontrolę państwa
Zmiany będą dotyczyć także korzystania z zagranicznych usług chmurowych. Podmiot przetwarzający dokumentację będzie musiał ocenić ryzyko związane z przekazaniem jej kolejnemu wykonawcy. Jeżeli nie będzie można ustalić, gdzie dokładnie przechowywane lub przetwarzane są informacje, skorzystanie z takiej usługi nie będzie możliwe.
Standerski w rozmowie z Rynkiem Zdrowia przyznał również, że wyjęcie danych medycznych z publicznego systemu było poważnym błędem. Jego zdaniem powinny być one przetwarzane w systemie państwowym, podobnie jak dane dotyczące naszych samochodów, które znajdują się na serwerach publicznych (CEPiK). Taką możliwość ma w przyszłości zapewnić budowane za ponad miliard złotych Krajowe Centrum Przetwarzania Danych. Integracja systemów resortów zdrowia i cyfryzacji oraz uporządkowanie sposobu zarządzania dokumentacją może jednak potrwać jeszcze kilka lat.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
