Organy państwa zareagowały prawidłowo, sprawą zajął się zespół CERT Polska, policja i Urząd Ochrony Danych Osobowych - powiedział PAP redaktor naczelny serwisu ZaufanaTrzeciaStrona.pl Adam Haertle, odnosząc się do wycieku danych osobowych z firmy MyDr.
O wycieku danych blisko 19 mln Polaków poinformował w środę wicepremier, minister cyfryzacji Krzysztof Gawkowski. Chodzi o kradzież danych z firmy MyDr, jednej z największych polskich firm zajmujących się prowadzeniem elektronicznej dokumentacji medycznej. W związku z cyberatakiem odbyło się posiedzenie Połączonego Centrum Operacji Cyberbezpieczeństwa.
Wicepremier Gawkowski poinformował, że wykradziona baza ma ponad 2 TB danych. - Mamy do czynienia z niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery - ocenił. W sprawę zostały włączone organy ścigania. Nad częścią operacyjną kontrolę sprawuje Centralne Biuro Zwalczania Cyberprzestępczości, które jest w kontakcie z prokuraturą.
Redaktor naczelny serwisu ZaufanaTrzeciaStrona.pl Adam Haertle, zapytany o to, czy firma MyDr odpowiednio zadbała o bezpieczeństwo wrażliwych danych, podkreślił, że nie są znane wszystkie szczegóły techniczne, jednak samo wykrycie incydentu mogło nastąpić szybciej.
- Sam fakt włamania to wpadka, która może zdarzyć się zawsze i każdemu, jednak brak jej wykrycia to poważne uchybienie dla firmy, która przetwarza wrażliwe dane osobowe milionów Polaków – powiedział.
Zdaniem specjalisty organy państwa zareagowały prawidłowo. - Sprawą zajął się zespół CERT Polska, CBZC i UODO, wiele więcej w tej sprawie zrobić nie można, niż już jest czynione. Sama firma mogłaby oczywiście szybciej analizować incydent i komunikować jego skutki, ale biorąc pod uwagę skalę zdarzenia lepiej podawać sprawdzone informacje - dodał.
- Radzę przede wszystkim zainwestować w monitoring infrastruktury informatycznej i analizę anomalii. Wykrywanie włamań na czas pozwala znacząco ograniczyć ich przyszłe skutki – podkreślił ekspert.
Pytany o zalecane działania dla poszkodowanych wyjaśnił, że pole manewru jest niewielkie - sprawdza się przede wszystkim zastrzeżenie numeru PESEL oraz oczekiwanie na oficjalny komunikat z lokalnej placówki medycznej o zakresie wycieku.
Ekspert ocenił, że dla zwykłego obywatela skutkiem wycieku danych może być utrata reputacji - chodzi o sytuację, w której np. jego bliscy dowiedzą się o wstydliwych chorobach, na które się leczył. - W gorszym wariancie może być to podwyżka stawki ubezpieczenia, gdyby ubezpieczyciel postanowił skorzystać z informacji o zażywanych lekach – powiedział Haertle.
Zaznaczył, że sprawa gorzej wygląda w przypadku osób na eksponowanych stanowiskach, których potencjalnie wstydliwymi schorzeniami może ekscytować się cały kraj. - Bez trudu wyobrażam sobie np. szantażowanie polityków ujawnieniem ich schorzeń, o których nie wie opinia publiczna - wystarczy, że kiedyś leczyli się psychiatrycznie lub mieli choroby weneryczne. Takie szantażowane osoby mogą mieć istotny wpływ na przyszłość Polski, więc dobrze byłoby, aby te dane nie trafiły w ręce wrogich Polsce służb – sprecyzował rozmówca PAP.
Dane wyciekły z firmy MyDr, dostawcy platformy informatycznej i systemu elektronicznej dokumentacji medycznej (EDM) dla placówek ochrony zdrowia. System jest przeznaczony zarówno dla indywidualnych praktyk lekarskich, jak i przychodni czy centrów medycznych. Jak wskazała firma na swojej stronie, za pomocą platformy realizowanych jest 3 mln wizyt miesięcznie, a lekarze wystawiają 2,7 mln recept każdego miesiąca.
Na stronie internetowej firma podała, że jej „produkt - MyDr EDM - znalazł zastosowanie w ponad 10 tysiącach przychodniach, prowadzących działalność komercyjną oraz w tych, mających kontrakt z NFZ.” Program oferuje m.in. funkcjonalności, takie jak moduły do e-recept, e-skierowań i e-zwolni oraz „pełną integrację z rządową Platformą P1”.
Na pytania PAP o wyciek danych firma MyDr odpisała, że „zespoły ds. bezpieczeństwa, inżynierii i infrastruktury, wspierane przez zewnętrznych ekspertów w zakresie cyberbezpieczeństwa, prowadzą obecnie dochodzenie dotyczące dokładnego charakteru i sposobu potencjalnego nieuprawnionego dostępu, jego chronologii, tego, czy i jakie alerty systemowe zostały wywołane, oraz jego potencjalnego zakresu”. „Współpracujemy również ściśle z właściwymi organami i instytucjami rządowymi. Ponieważ dochodzenie wciąż jest w toku, nie możemy ujawnić dalszych szczegółów technicznych ani spekulować na temat jego wyników na tym etapie” - podkreśliła firma.
O incydencie cyberbezpieczeństwa, do którego doszło w systemach firmy MyDr poinformował w poniedziałek wicepremier Gawkowski na platformie X, wówczas jeszcze nie potwierdzając, że doszło do wycieku danych. „Zostały poinformowane odpowiednie służby, które prowadzą intensywne działania związane z ustaleniem wszystkich okoliczności sprawy oraz wspierają firmę w realizowanych działaniach” - napisał. Dodał, że „firma na bieżąco przekazuje służbom potwierdzone informacje związane z prowadzonymi działaniami”. (PAP)
kub/ agz/
