W wyniku ataku na platformę MyDr zostały wykradzione dane 19 mln Polaków. Czy reakcja państwa w postaci komunikatu do obywateli, żeby zastrzegli numer PESEL, to nie za mało?
To nie jest reakcja na ten atak, to przypomnienie, że zastrzeżenie PESEL zwiększa nasze bezpieczeństwo. PESEL warto mieć zastrzeżony zawsze, niezależnie od tego, czy doszło do wycieku czy nie. W związku z atakiem na MyDr, państwo uchroniło obywateli przed scenariuszem, w którym ich dane byłyby dziś wszechobecne w sieci w związku z tym, że prywatna firma nie dopilnowała swojego obowiązku. Tak jak firmy dbają o bezpieczeństwo fizyczne w budynkach – zakładają kamery i zatrudniają ochronę – tak samo muszą zadbać o dane swoich klientów. Skoro jednak cyberbezpieczeństwo bywa ostatnim wydatkiem w budżecie, bo firmom wydaje się, że nic im nie grozi, to państwo musi wkroczyć. I wkroczyło. Co więcej – po tym incydencie wyciąga wnioski. Dlatego powstaną nowe wymagania dla firm przetwarzających dane i nowe narzędzia dla obywateli.
Wezwanie do zastrzeżenia numeru PESEL to nie jest uchronienie obywateli przed zagrożeniem.
To przypomnienie o tym, że każdy może zastrzec PESEL. Ochrona jest wtedy, kiedy działamy prewencyjnie i mamy system nie do przełamania. Właśnie po to państwo inwestuje miliardy w swoje systemy i daje firmom ramy prawne, żeby one również inwestowały. Przygotowaliśmy program na 2,8 mld zł, z którego firmy mogły skorzystać, a jednak część z nich nie skorzystała.
Państwo ma wskazać kierunki i je wskazało. Dało też poczucie, że dane nie będą dalej rozprzestrzeniane. Ale państwo nie jest od tego, żeby postawić w każdej firmie cyberpolicjanta, tak jak nie stawia policjanta na noc w każdym biurze, aby nikt go nie okradł.
Czy dane obywateli są bezpieczne
Dane zostały jednak wykradzione i teraz miliony numerów PESEL „wiszą” na dobrej woli hakera, który zadeklarował, że nie wystawi bazy na sprzedaż.
Nie. Nie jest tak.
A jak jest?
Nie mogę mówić o szczegółach działań służb.
Przez to, że nie może pan powiedzieć, ludzie nie wiedzą, czy państwo zadziałało czy nie.
Ja wiem, jakie możliwości ma państwo i wiem, jak zadziałało. Przecież to państwo ogłosiło, że doszło do tych cyberataków, a nie firmy. To państwo zarządziło procesem, przyszło, tupnęło nogą, weszło ze służbami, zabezpieczyło dane – i one w rezultacie nie wyciekły. Niektóre z zaatakowanych firm nawet nie zgłosiły incydentu. Dziś bezpieczeństwo obywateli zapewnia państwo, a nie firmy prywatne, które niestety w tym wypadku zawiodły zaufanie Polaków. I dlatego zmieni się doktryna dotycząca traktowania podmiotów, które nie dbają o cyberbezpieczeństwo. Będziemy ujawniali firmy, które nie wykonują swoich obowiązków. Do tej pory było tak, że prosiliśmy, zwracaliśmy się do firm, wskazywaliśmy kierunki i wysyłaliśmy rekomendacje. A teraz będziemy przygotowywać listy podmiotów, które nie wywiązały się z zaleceń.
Firma ma chronić dane klienta, ale powinna też dbać o swoją reputację i markę. Tak jak wykłada pieniądze na marketing i reklamę, tak dziś chcemy jej pomóc i wskazać, że powinna bardziej zadbać o swój wizerunek, jeżeli chodzi o bezpieczeństwo klientów. Jeśli nie będzie realizować wytycznych, nie wymieni systemów, które wskazujemy w rekomendacjach, a które mają podatności, będziemy to pokazywać. Niech klienci wiedzą, czy firma, której ufają, należycie chroni ich dane. Przekazują je przecież dobrowolnie, okazują zaufanie.
Zostanie to zakotwiczone w tzw. Cyber Piątce?
Nie, takie możliwości wynikają z krajowego systemu cyberbezpieczeństwa (KSC) i będziemy to po prostu robić.
Od kiedy?
Już działamy – zbieramy dane. Będziemy mieć wszystkie informacje, kiedy krajowy system cyberbezpieczeństwa zacznie obowiązywać w nowym kształcie, z większą liczbą firm zakwalifikowanych jako podmioty ważne i kluczowe. Zwiększamy ich grupę z tysiąca do 65 tys. Proces identyfikacji właśnie się zakończył. Kolejnym krokiem będzie wskazywanie firm, które nie realizują swoich obowiązków w zakresie cyberbezpieczeństwa. Czas pobłażliwości dobiegł końca i firmy również o tym wiedzą. Wolę troszczyć się o bezpieczeństwo obywateli, których dane mogą zostać utracone, niż o dobrą reputację i samopoczucie firm, które nie łożą na ochronę.
Uważam, że nowa doktryna powinna wyglądać tak, że za bezpieczeństwo firmy w cyfrowym świecie będzie odpowiadał nie pracownik działu IT, ale prezes. Musimy to uświadomić osobom, które zarządzają firmami i tego od nich wymagać. Państwo i jego instytucje zapewniają wsparcie w sytuacji krytycznej, ale to oni nie mogą do niej dopuścić. Żeby tak się stało, muszą zainwestować i zmienić priorytety. Skoro stać ich na wypłacanie sobie premii, to musi ich być stać także na cyberodpowiedzialność. Jeśli chodzi o obszar medyczny, pójdziemy jeszcze dalej. W Cyber Piątce zaproponujemy, żeby każda firma przetwarzająca dane więcej niż 100 tys. obywateli, miała wzmocnione obowiązki w związku z realizacją wymogów krajowego systemu cyberbezpieczeństwa.
Czytaj więcej
Mieliśmy do czynienia z przypadkiem, gdy odpowiedzialność zgodnie z umową pozostała w całości po stronie administratorów danych, czyli małych gabin...
Skąd próg akurat 100 tys.?
Bo to dużo.
A dlaczego nie 50 tys.? To mniej groźne, że ktoś przetwarza dane 50 tys. osób?
Zawsze trzeba gdzieś postawić tę granicę. Na firmach, które przetwarzają dane milionów osób, spoczywa oczywiście inna odpowiedzialność niż na tych, które przetwarzają dane dziesiątków tysięcy. Wszystkie są cenne, dlatego wszystkim będziemy pomagać w sytuacjach krytycznych. W 2025 r. przygotowaliśmy darmowe narzędzie dla firm moje.cert.pl. Każdy podmiot może z niego skorzystać, przeskanować za darmo swoje systemy i sprawdzić ich podatności, może otrzymywać powiadomienia o nowych podatnościach w ich systemach. Firmy tego nie robią, choć państwo daje im to narzędzie za darmo. Skoro państwo daje firmie coś za darmo, a ona z tego nie korzysta, a później mówi, że wyciek danych to nie jej wina, to ja pytam: czyja?
Odpowiedzialność firm znacząco wzrośnie
Platforma MyDr prawdopodobnie nie poniesie odpowiedzialności wobec osób, których dane wykradziono, bo ich administratorem były gabinety medyczne.
Dlaczego nie poniesie? Słyszę, że różne grupy osób zastanawiają się m.in. nad pozwem zbiorowym przeciwko MyDr, bo nie jest tak, że platforma nie ponosi winy za wyciek, bo była „tylko” podmiotem przetwarzającym dane. Toczy się kontrola Urzędu Ochrony Danych Osobowych. Jeżeli zakończy się ona nałożeniem kary, a w mojej ocenie tak się zakończy, będzie to podstawa do tego, żeby osoby, które czują się pokrzywdzone i chcą uzyskać odszkodowanie, poszły tą drogą. Moim zdaniem żadne drzwi nie są zamknięte: firmy mogą ponosić także kary wobec pojedynczych osób.
Dane z sieci laboratoriów ALAB wyciekły w listopadzie 2023 r., a nadal nie mieliśmy komunikatu na temat zakończenia postępowania przez UODO i ewentualnej kary.
Ale to pytania do Urzędu Ochrony Danych Osobowych. To niezależny urząd. Trudno, żebym naciskał na sądy albo na instytucje, które nie są mi podległe, żeby przyspieszyły postępowanie. Wiem jedno: państwo musi być w tej sprawie bezwzględne. Rozmawiałem z prezesem Urzędu Ochrony Danych Osobowych i mówiłem mu, że w mojej ocenie za takie rzeczy trzeba bezwzględnie karać, żeby wszyscy wiedzieli, że nie mogą sobie pozwalać na luki systemowe we własnej firmie.
Będą sankcje dla firm?
Kary przewiduje już KSC. Będą wchodzić w życie stopniowo w latach 2027-2028 i sięgną milionów złotych. Ich wysokość zależy oczywiście od skali wycieku i od tego, co złego zrobiłeś.
Cyber Piątka przewiduje, że pojawią się powiadomienia w aplikacji mObywatel oraz mojeIKP o zdarzeniach medycznych, takich jak wizyta czy wystawienie recepty. Co mi po tym, że dowiem się, że ktoś wypisał receptę na mój PESEL?
Pacjent dowie się, że ktoś wyłudza leki na jego dane, albo lekarz wystawia recepty na jego numer PESEL. To ciekawe rozwiązanie, które zapełni lukę nie tylko w systemie ochrony danych, ale też w systemie lecznictwa. Taką sytuację będzie można zgłosić na policję, a lekarza, który wystawił receptę, łatwo namierzyć. Przypomnę, że personel medyczny ma obowiązek potwierdzenia tożsamości pacjentów. Nie może być tak, że ktoś poda losowe dane i dostanie receptę.
Cyber Piątka zostanie uchwalona do końca roku?
Przekonamy się, bo już słyszymy, że firmy lobbują, że im się to nie podoba, ograniczenia są za duże, że powinniśmy odstąpić od cyberbezpieczeństwa, bo to koszty dla biznesu. Zamierzam prowadzić ten projekt jak najszybciej, ale przypominam, co działo się podczas wdrażania krajowego systemu cyberbezpieczeństwa. Niektóre firmy mówiły wtedy wprost, że nie zgadzają się na wyższe zabezpieczenia i mamy to na piśmie. Dziś wszystkie te firmy powinny się tego wstydzić.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
Cyberodpowiedzialność państwa to także sprawa obywateli
Co z cyberbezpieczeństwem publicznych szpitali?
Na cyberbezpieczeństwo w szpitalach wydano 4 mld zł.
Ale nie wszystkie dostały pieniądze z KPO na ten cel.
4 mld zł to jest bardzo dużo pieniędzy i o ich rozliczenie trzeba zapytać Ministerstwo Zdrowia.
To jest cały czas myślenie silosowe. Kiedy dochodzi do ataku, na pytania musi jednak odpowiadać minister cyfryzacji.
Po zmianie ustawy o KSC Ministerstwo Zdrowia również bierze na siebie odpowiedzialność, bo nadzoruje sektorowy CSIRT. Przy kilku sytuacjach kryzysowych dotyczących cyberbezpieczeństwa i ataków na szpitale pozostawałem w kontakcie z Ministerstwem Zdrowia. Rolą resortu cyfryzacji jest wskazywanie kierunków, zalecanie, organizowanie i ochrona. Nie wejdziemy przecież do każdego szpitala w Polsce, bo od tego jest Ministerstwo Zdrowia.
Co, jeśli okaże się, że zabezpieczenia są zbyt słabe?
Wtedy do działania wkraczają polskie służby. Mamy Centralne Biuro Zwalczania Cyberprzestępczości i Agencję Bezpieczeństwa Wewnętrznego. W sytuacjach krytycznych pojawia się też wojsko, czyli komponent Wojsk Obrony Cyberprzestrzeni. Tak było w przypadku szpitala w Szczecinie. Wszystkie te służby działają, ale to już ostatnia linia obrony. W Polsce odpieramy 99 proc. ataków na instytucje państwowe. To najwyższy współczynnik w Europie. Dziś jesteśmy państwem, z którego wzorców korzystają inne kraje. Wszyscy muszą dziś brać odpowiedzialność za cyberbezpieczeństwo w swoich sektorach. Minister cyfryzacji nie zapewni cyberbezpieczeństwa w każdym miejscu w Polsce, bo pieniądze i odpowiedzialność leżą także w wielu innych resortach. Działamy bardzo systemowo, ale cyberodpowiedzialność państwa to cyberodpowiedzialność nas wszystkich.
Dyrektorzy zadłużonych szpitali by się z panem nie zgodzili.
Przecież NFZ za to płaci.
Cyberbezpieczeństwo nie jest elementem wyceny świadczeń zdrowotnych.
Cyberbezpieczeństwo powinno być kosztem stałym w budżecie każdej jednostki. Czy łącze internetowe jest w szpitalu kosztem stałym? Czy jest tak, że internet jest wtedy, gdy są pieniądze, a gdy ich nie ma, to internetu nie ma? To część zasobów administracyjnych. Nikt nie wycenia ochrony w szpitalu, a na wejściu czasem stoi ochroniarz. Dzisiaj łatwiej dostać się do szpitala, czy innej instytucji, kiedy pozbawiona jest ochrony cyfrowej, niż kiedy nie ma ochrony fizycznej. Infrastrukturę IT można zdemolować z dowolnego miejsca Polski, a nawet świata. Dlatego cyberbezpieczeństwo jest tak samo ważne i nie można go traktować jako dodatkowy koszt. Trzeba zmienić sposób myślenia, bo ludzie nadal uważają, że komputer sam się chroni i że wystarczy jakiś program antywirusowy za 50 zł. Nie, te czasy się skończyły. Mamy sztuczną inteligencję, która jest wielokrotnym mnożnikiem siły. Cały świat przechodzi do sfery cyfrowej i przestępcy już tam są. Każdy, kto będzie to ignorować, drogo za to zapłaci.
