Z tego artykułu dowiesz się:
- Na czym polega plan resortu cyfryzacji, który ma zatamować wycieki danych medycznych?
- Jakie nowe obowiązki czekają firmy przetwarzające dane pacjentów?
- W jaki sposób aplikacje mObywatel i mojeIKP pomogą chronić przed wyłudzeniami świadczeń?
- Jaka jest skala cyberzagrożeń dla sektora medycznego i kto najczęściej za nimi stoi?
Rząd ma plan, jak załatać dziurawy system, w którym placówki medyczne i dostarczające im oprogramowanie firmy IT nie potrafią zapanować nad wrażliwymi danymi pacjentów – Ministerstwo Cyfryzacji opracowało pięciopunktowy program. „Rzeczpospolita” jako pierwsza poznała założenia projektu. W skrócie chodzi o dopuszczenie wyłącznie certyfikowanych podmiotów, a także wykorzystanie aplikacji mObywatel i mojeIKP do kontrolowania świadczeń medycznych. Jak się dowiedzieliśmy, pomysły firmowane przez wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego miałyby zostać uchwalone jeszcze w tym roku.
Obowiązkowa certyfikacja
Tzw. Cyberpiątka Gawkowskiego to konsekwencja rekordowego wycieku (wykradziono dane medyczne co najmniej 18 mln pacjentów), do którego doszło w wyniku ataku hakerów na MyDr, jedną z największych polskich firm zajmujących się prowadzeniem elektronicznej dokumentacji medycznej. Aby uniknąć podobnych incydentów w przyszłości wicepremier planuje zmienić ustawę o prawach pacjenta. Chodzić ma o rozszerzenie przepisu o dodatkowe warunki, jakie musi spełniać podmiot, któremu powierzono „przetwarzanie danych zawartych w dokumentacji medycznej” lub zbieranych „w związku ze świadczeniem usług zdrowotnych”. Lekiem ma być więc certyfikacja podmiotów przetwarzających dane medyczne oraz ustalenie minimalnych wymagań technologicznych dla podmiotów, którym je powierzono.
Jak tłumaczy nam Dariusz Standerski, wiceminister cyfryzacji, katalog warunków, jakie musi spełniać podmiot będzie rozszerzony m.in. o kwestie polityki zarządzania bezpieczeństwem informacji i certyfikację w zakresie zabezpieczenia danych, precyzyjnie określone będą też standardy technologiczne przy przetwarzaniu danych medycznych.
– Robimy to w przypadku Krajowego Systemu Cyberbezpieczeństwa, ale trzeba zejść niżej, do tych mniejszych firm technologicznych, które przetwarzają dane wrażliwe. Mamy działający system w ramach ustawy o KSC i certyfikacji cyberbezpieczeństwa, nie tworzymy tutaj nowego mechanizmu, tylko wchodzimy w ten, który już funkcjonuje – mówi Standerski.
Większe obowiązki mają spoczywać na podmiotach masowo przetwarzających dane.
– One w sposób naturalny mają wyższe przychody, dlatego bardzo wyraźnie stopniujemy te wymogi. Małe gabinety i przychodnie będą miały obowiązki minimalne, sprowadzające się do przekazywania prostych informacji. W praktyce będzie to wyglądało tak, że na stronie internetowej pojawi się informacja o podmiotach przetwarzających dane, a jeśli gabinet strony nie posiada, wydrukuje ją i powiesi w miejscu widocznym dla pacjentów – wyjaśnia nasz rozmówca. – Im większy podmiot, tym większe obowiązki i wymogi bezpieczeństwa.
Czytaj więcej
Po wycieku danych 19 mln Polaków z bazy firmy MyDr rządowy serwis Bezpieczne Dane uruchomił możliwość sprawdzenia zakresu informacji ujawnionych w...
Nowe obowiązki dla największych
Resort chce nałożyć nowe obowiązki na firmy i instytucje, które masowo przetwarzają dane. Masowo, czyli jak? Jak słyszymy w Ministerstwie Cyfryzacji (MC) dotyczyć ma to podmiotów świadczących usługi dla więcej niż 100 administratorów albo przetwarzających dane dotyczące łącznie ponad 100 tys. osób. W MC przekonują: to zmiana systemowa.
– Nakładamy obowiązek przekazywania danych objętych naruszeniem do NASK za pośrednictwem policji, aby zasilić portal Bezpiecznedane.gov.pl. Dotychczas musieliśmy czekać na postanowienie prokuratora, co wymagało dodatkowych procedur i czasu, który jest bardzo cenny w takich postępowaniach. Wprowadzamy też szerokie obowiązki informacyjne wobec administratora – gabinet czy przychodnia musi otrzymać pełen pakiet informacji dotyczących audytów, testów, ocen bezpieczeństwa oraz wszystkich istotnych zmian technologicznych. Przed podpisaniem umowy musi mieć pełną wiedzę o certyfikacji, a w trakcie jej trwania np. informację o podpisaniu umowy z nowym dostawcą chmurowym. Wreszcie, wprowadzamy obowiązkową ocenę ryzyka przed rozpoczęciem przetwarzania, nie rzadziej niż raz na dwa lata oraz po każdej istotnej zmianie sposobu przetwarzania – wylicza wiceminister.
Jak zaznacza, to diametralnie zwiększa odpowiedzialność podmiotów, które nasze dane przetwarzają. A na tym nie koniec. Cyberpiątka zakłada bowiem ponadto wprowadzenie obowiązku informowania pacjentów, kto dokładnie przetwarza ich dane. Dziś istnieją ogólne obowiązki informacyjne, ale rząd zamierza jasno określić obowiązek przekazywania wiedzy o całym łańcuchu powierzenia – i tak, jeżeli placówka medyczna przekazuje dane do przetwarzania zewnętrznej firmie, ma obowiązek o tym informować, a jeżeli ta firma przekazuje część danych dalej (np. do zewnętrznej chmury), musi to przekazać do gabinetu, a gabinet pacjentowi.
Czytaj więcej:
Prawie 60 proc. szpitali w naszym kraju doświadczyło wycieku danych. Zdecydowana większość przypadków dotyczy placówek z najwyższymi kontraktami z...
Pro
Kolejny punkt Cyberpiątki Gawkowskiego też dotyczy informowania pacjentów, ale, tym razem, chodzi o powiadomienia dla obywateli o świadczeniach medycznych za pośrednictwem mObywatela i apki mojeIKP.
– Będziemy w konsultacjach rozstrzygać, czy będzie to funkcja dla chętnych, czy dla wszystkich użytkowników. W praktyce ma wyglądać to w ten sposób, że po wizycie u lekarza, po wypisaniu recepty lub po zabiegu wysyłane będzie proste powiadomienie z minimalną ilością informacji – w konkretnym dniu i godzinie miała miejsce wizyta albo wypisano receptę, a szczegóły można sprawdzić w Internetowym Koncie Pacjenta. To jest mechanizm, który ma fundamentalne znaczenie w przypadku prób wyłudzenia świadczenia albo recepty na nasze dane osobowe – zapewnia Dariusz Standerski.
Sektor pod ostrzałem
Zmiany będą wymagać nowelizacji kilku ustaw – MC rozmawiało już o tym z Ministerstwem Zdrowia, pomysły wstępnie konsultowało też z prezesem Urzędu Ochrony Danych Osobowych i zwróciło się do Naczelnej Izby Lekarskiej. Resort proces legislacyjny chce zamknąć do końca roku. Przy tym nie wszystkie przepisy wejdą w życie jednocześnie – podmioty, które będą zobligowane do uzyskania certyfikatu, mają otrzymać dodatkowe kilka miesięcy na formalności.
Szybkość postawienia tamy wyciekom wrażliwych danych jest tutaj kluczowa. Jesteśmy nieustannie bombardowani bowiem próbami ataków hakerskich, a sektor ochrony zdrowia to jeden z ich głównych celów. Z danych Check Point Research wynika, że globalna średnia prób ataków na pojedynczy podmiot z tej branży przekracza 2 tys. tygodniowo. Analitycy Check Point (CP) szacują, iż ponad 80 proc. firm i instytucji medycznych doświadczyło w ostatnim roku co najmniej jednego incydentu. To oznacza, że cyberatak przestał być wyjątkiem, a stał się normą funkcjonowania systemu ochrony zdrowia. Na polskim rynku coraz częściej sprawcami są prorosyjskie grupy cyberprzestępcze. Jak podaje CP, jedna z takich grup – Server Killers, miała właśnie wziąć na celownik kraje wspierające Ukrainę, w tym Polskę. Eksperci informują, że hakerzy próbowali zablokować serwery m.in. Ministerstwa Sprawiedliwości oraz Ministerstwa Funduszy i Polityki Regionalnej (MFiPR).
– Odkryliśmy, że w Polsce przeprowadzono ukierunkowaną kampanię DDoS wymierzoną w polskie instytucje rządowe. Celem ataków były: polskie e-usługi, Europejski Fundusz Społeczny, Departament Ekonomii Społecznej, unijny system handlu uprawnieniami do emisji ETS, a także intranet dla pracowników administracji oraz Program Operacyjny Infrastruktura i Środowisko – ujawnia Shmuel Gihon, kierownik zespołu ds. badań nad bezpieczeństwem w Check Point.
Czytaj więcej
Ostatnie hakerskie ataki na Bonifraterskie Centrum Medyczne czy szpital wojewódzki w Szczecinie pokazują, że sektor zdrowia stał się kluczowym cele...
Spytaliśmy poszczególne resorty. Ministerstwa Sprawiedliwości i Klimatu nie odpowiedziały, a MFiPR oraz Ministerstwo Rodziny, Pracy i Polityki Społecznej (MRPPS) przekonywały, że nie odnotowano żadnych zakłóceń.
– Stosowana infrastruktura oraz mechanizmy bezpieczeństwa skutecznie neutralizują tego rodzaju zagrożenia – poinformowało nas biuro prasowe MRPPS.
W Check Point są innego zdania.
– We wszystkich przypadkach przedstawiono dowody na wyłączenie systemów z użytku – zapewnia Gihon.
