12 sierpnia Ministerstwo Cyfryzacji poinformowało, że nieuprawniony dostęp do danych historycznych przechowywanych w systemach MyDr może dotyczyć 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Chodziło o dane znajdujące się w systemach firmy, dotyczące okresu do kwietnia 2024 r. Państwo podkreśliło jednocześnie, że incydent nie naruszył centralnych usług e-zdrowia i nie wpłynął na bieżące wystawianie recept czy dostęp do świadczeń.

To rozróżnienie jest ważne. Polska nie doświadczyła awarii centralnego systemu ochrony zdrowia, ale doszło do incydentu dotyczącego ogromnego zbioru danych medycznych znajdujących się u zewnętrznego dostawcy oprogramowania. Właśnie ten model przechowywania i przetwarzania informacji stał się jednym z głównych tematów dyskusji o przyszłych regulacjach.

Problemem jest nie tylko cyberatak, ale koncentracja danych

Wiceminister cyfryzacji Michał Gramatyka, przedstawiając 3 września informacje na posiedzeniu sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, wskazywał na „zbyt dużą koncentrację danych w jednym miejscu”.

To jeden z najważniejszych wniosków z całej sprawy. Im więcej placówek korzysta z jednego dostawcy, tym większa jest potencjalna skala pojedynczego incydentu. Z punktu widzenia pojedynczego gabinetu korzystanie z gotowego systemu informatycznego może być racjonalne ekonomicznie i organizacyjnie. Z punktu widzenia bezpieczeństwa całego systemu ochrony zdrowia oznacza jednak powstawanie dużych punktów koncentracji danych.

UODO już 13 sierpnia rozpoczął kontrolę w MyDr. Urząd sprawdza m.in. zastosowane przez spółkę zabezpieczenia techniczne i organizacyjne, sposób przeprowadzania analizy ryzyka oraz to, czy zabezpieczenia były regularnie testowane w związku ze zmieniającym się charakterem zagrożeń.

To właśnie wyniki takiej kontroli będą kluczowe dla odpowiedzi na pytanie, czy problem sprowadzał się do pojedynczej podatności, błędu organizacyjnego lub niewystarczających zabezpieczeń, czy też ujawnił szerszą słabość modelu, w którym tysiące placówek powierzają dane jednemu dostawcy.

UODO przypomina: odpowiedzialność nie znika wraz z outsourcingiem

Incydent pokazuje również bardziej skomplikowaną stronę ochrony danych medycznych. Placówka, która korzysta z zewnętrznego systemu, nie przestaje być administratorem danych tylko dlatego, że techniczną obsługę powierzyła firmie informatycznej.

UODO przypomniał 12 sierpnia, że administratorzy, którzy powierzyli MyDr przetwarzanie danych, muszą przeanalizować naruszenie i ocenić ryzyko dla praw i wolności osób fizycznych. W przypadku spełnienia przesłanek mają obowiązki wynikające z RODO, w tym dotyczące zgłoszenia naruszenia do organu nadzorczego oraz zawiadomienia osób, których dane dotyczą.

Urząd opublikował następnie, 27 sierpnia, odpowiedzi na pytania dotyczące incydentu. Wskazał m.in., że osoba, której dane zostały objęte naruszeniem, powinna rozważyć zastrzeżenie numeru PESEL i zachować szczególną ostrożność wobec wiadomości SMS, e-maili czy telefonów wykorzystujących informacje o zdrowiu do przeprowadzenia phishingu.

To istotna zmiana w charakterze zagrożenia. Utrata danych medycznych nie kończy się w momencie włamania do serwera. Informacje o chorobach, receptach, wizytach czy przyjmowanych lekach mogą później zostać wykorzystane do oszustw, podszywania się pod lekarzy lub instytucje, wyłudzania pieniędzy, szantażu czy budowania wiarygodnych kampanii phishingowych.

W przypadku danych medycznych problemem jest także ich trwałość. Numer telefonu można zmienić. Hasło można zresetować. Informacji o przebytej chorobie, operacji czy leczeniu nie da się „wymienić”.

Śledztwo nie potwierdza tezy o „dobrych hakerach”

Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Prokuratura poinformowała, że postępowanie dotyczy bezprawnego uzyskania dostępu do systemu MyDr i danych przechowywanych na serwerach spółki. Wśród informacji, do których uzyskano dostęp, wymieniono m.in. imiona i nazwiska, numery PESEL, numery telefonów, adresy e-mail oraz dane dotyczące stanu zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach.

18 sierpnia CBZC poinformowało, że prowadzi czynności zmierzające do ustalenia osoby lub osób odpowiedzialnych za incydent. Służby nie ujawniają szczegółów postępowania.

Wiceminister Michał Gramatyka mówił w Sejmie o sprawcach jako o tzw. „białych kapeluszach”, którzy mieli zwrócić uwagę na luki w zabezpieczeniach. Jednocześnie zaznaczył, że nie ma dostępu do materiałów postępowania i opiera tę ocenę na publicznie opisywanej formie kontaktu włamywaczy.

„Cyber Piątka” ma zmienić zasady gry

Rząd chce wykorzystać doświadczenia z incydentu do wprowadzenia nowych obowiązków. Ministerstwo Cyfryzacji przedstawiło 31 sierpnia założenia pakietu określanego jako „Cyber Piątka”. Projekt ma obejmować m.in. certyfikację firm przetwarzających dane medyczne, minimalne wymagania technologiczne, większą przejrzystość dla obywateli, powiadomienia o zdarzeniach medycznych oraz nowe obowiązki dla podmiotów masowo przetwarzających dane.

Jednym z rozwiązań ma być objęcie dodatkowymi wymogami podmiotów przetwarzających dane co najmniej 100 tys. osób. Wiceminister Gramatyka zastrzegł, że próg jest propozycją, która może jeszcze zostać zmieniona podczas prac nad przepisami.

Z perspektywy ochrony zdrowia szczególnie istotny jest nie sam próg, ale zasada stojąca za tym rozwiązaniem: państwo chce inaczej traktować podmioty, które nie obsługują kilkuset czy kilku tysięcy osób, lecz przetwarzają dane setek tysięcy lub milionów obywateli.

To może oznaczać koniec podejścia, w którym bezpieczeństwo systemu informatycznego pozostaje przede wszystkim sprawą umowy między placówką a dostawcą oprogramowania.

Pacjent ma wiedzieć, kto ma jego dane

Drugim ważnym kierunkiem jest większa przejrzystość. Ministerstwo Cyfryzacji zapowiada, że pacjent ma otrzymywać informację o tym, kto przetwarza jego dane. Planowane są także powiadomienia w mObywatelu i Internetowym Koncie Pacjenta dotyczące określonych zdarzeń medycznych, takich jak wystawienie recepty czy wykonanie świadczenia.

To rozwiązanie może mieć znaczenie nie tylko dla prywatności. Powiadomienie może stać się mechanizmem wykrywania nieprawidłowości.

Jeżeli pacjent dostanie informację o recepcie, której nie otrzymał, albo o zdarzeniu medycznym, które nie miało miejsca, będzie miał możliwość szybszego zareagowania. W dłuższej perspektywie państwo może dzięki temu zyskać dodatkowy mechanizm wykrywania nieautoryzowanego dostępu do danych lub nieprawidłowego wykorzystania dokumentacji.

Warunkiem jest jednak odpowiednie zaprojektowanie systemu. Powiadomienia nie mogą same stać się kolejnym kanałem ujawniania informacji wrażliwych. Powinny być skonstruowane tak, aby osoba postronna, która uzyska dostęp do telefonu czy poczty elektronicznej, nie otrzymała wprost informacji o diagnozie lub leczeniu.

Państwo chce też lepiej kontrolować prywatnych dostawców

Kolejny element planowanych zmian dotyczy samego nadzoru. Ministerstwo zapowiada zwiększenie wymagań technologicznych wobec podmiotów przetwarzających dane oraz certyfikację firm zajmujących się takimi informacjami.

To kierunek, który może być szczególnie istotny dla ochrony zdrowia, ponieważ cyfryzacja systemu oznacza coraz większą zależność placówek od zewnętrznych dostawców.

Problem nie dotyczy zresztą wyłącznie bezpieczeństwa danych. Dostawca systemu medycznego może być elementem infrastruktury niezbędnej do codziennej pracy placówki. Dlatego ocena ryzyka powinna obejmować zarówno poufność danych, jak i ich dostępność, integralność oraz możliwość odtworzenia systemu po incydencie.

W przypadku MyDr centralne usługi e-zdrowia nie zostały naruszone i bieżące funkcjonowanie placówek nie zostało zakłócone. Centrum e-Zdrowia poinformowało jednocześnie, że dotychczasowe ustalenia nie wskazują na naruszenie certyfikatów wykorzystywanych do komunikacji z systemem P1. Mimo to, ze względów ostrożności, rozpoczęto ich stopniową wymianę.

To pokazuje, jak powinno wyglądać podejście do bezpieczeństwa infrastruktury zdrowotnej: nie tylko reagowanie na potwierdzony atak, lecz także ograniczanie możliwych skutków incydentu poprzez działania prewencyjne.

Największym wyzwaniem będzie wdrożenie, nie sama ustawa

„Cyber Piątka” może być odpowiedzią na problem, ale sama zmiana przepisów nie zabezpieczy danych pacjentów.

Kluczowe będzie określenie minimalnych standardów, które rzeczywiście powinien spełniać dostawca systemu medycznego. Powinny one obejmować m.in. regularne testy bezpieczeństwa, zarządzanie podatnościami, kontrolę dostępu, uwierzytelnianie wieloskładnikowe, szyfrowanie, segmentację środowisk, kopie zapasowe oraz procedury reagowania na incydenty.

Równie ważna jest kwestia koncentracji danych. Certyfikowanie dostawcy może ograniczyć ryzyko włamania, ale nie zmieni faktu, że awaria lub kompromitacja jednego dużego systemu może dotknąć ogromnej liczby pacjentów.

Dlatego przyszłe regulacje powinny odpowiadać nie tylko na pytanie: „czy system jest wystarczająco dobrze zabezpieczony?”, ale także: „co stanie się z systemem ochrony zdrowia, jeżeli mimo tych zabezpieczeń zostanie skutecznie zaatakowany?”.

To właśnie jest najważniejsza lekcja z MyDr. W cyfrowej ochronie zdrowia nie da się wyeliminować ryzyka cyberataku. Można natomiast ograniczać jego skalę, skracać czas wykrycia incydentu, zwiększać odporność infrastruktury i przede wszystkim nie dopuszczać do sytuacji, w której pojedynczy punkt awarii staje się problemem dla milionów pacjentów.

Państwo zapowiada, że projekt „Cyber Piątki” ma trafić do Sejmu jeszcze w 2026 r. Ostateczny kształt przepisów pokaże, czy będzie to przede wszystkim reakcja na jeden głośny incydent, czy początek szerszej przebudowy zasad bezpieczeństwa danych w polskiej ochronie zdrowia.