Cyberatak na MyDr pokazał luki w systemie. Po co państwo idzie kontrolować przychodnie?
Cyberatak na dostawcę oprogramowania MyDr mógł objąć dane niemal 19 milionów pacjentów. Urząd Ochrony Danych Osobowych bada sprawę u źródła, ale jednocześnie ogłasza dodatkowe kontrole w placówkach medycznych.
To rodzi pytanie o to, gdzie w łańcuchu dostaw medycznego IT znajduje się największa dźwignia cyberbezpieczeństwa.
Centralizacja danych to tykająca bomba
Prezes UODO słusznie zauważył, że nagromadzenie danych medycznych milionów Polaków w jednym miejscu to ogromne ryzyko. Jak pisaliśmy w sierpniu przy okazji włamania do MyDr, scentralizowane systemy usługowe (SaaS) stają się niezwykle atrakcyjnym celem dla hakerów. Wystarczy jeden błąd u głównego dostawcy, by położyć bezpieczeństwo tysięcy gabinetów.
Gigantyczny wyciek danych medycznych. Hakerzy twierdzą, że mają 18 milionów numerów PESEL
UODO podjęło już bezpośrednią kontrolę w spółce MyDr, sprawdzając środki techniczne i analizę ryzyka. Problem zaczyna się jednak w momencie, gdy państwo decyduje się skierować dodatkowe, mocno ograniczone zasoby na kontrolowanie kolejnych przychodni i szpitali, które korzystały z zewnętrznego oprogramowania.
Wzorowa dokumentacja nie załata dziury w chmurze
Łatwo wyobrazić sobie sytuację, w której kontrola placówki medycznej zakończy się na weryfikacji jej wewnętrznych procedur, regulaminów i umów z dostawcami. Tylko że nawet najlepiej i najdokładniej prowadzona dokumentacja w gabinecie lekarskim nie zabezpieczy pacjentów przed podatnością ukrytą w centralnym systemie dostawcy usług chmurowych.
Lekarze zmagają się z prawnym obowiązkiem cyfryzacji – obsługa e-recept i e-zwolnień wymusza na nich korzystanie z komercyjnych rozwiązań informatycznych. W starciu z lukami w infrastrukturze dużego dostawcy, pojedyncza przychodnia jest całkowicie bezbronna. Państwo powinno zatem zadać sobie pytanie, czy odpowiedzią na kryzys ma być karcenie małych administratorów, czy raczej stworzenie takich ram bezpieczeństwa dla dostawców IT, aby pojedyncza firma nie stawała się punktem awarii dla połowy kraju.
Krótka kołdra państwowego nadzoru
Decyzja o rozszerzeniu kontroli w sektorze zdrowia ma też swoje wymierne koszty dla całego systemu nadzoru. Aby zmieścić nowe zadania w tegorocznym harmonogramie, UODO musiało zmodyfikować własne plany i przesunąć zaplanowane inspekcje internetowych platform dostaw aż na 2027 rok.
Ten ruch dobitnie pokazuje, jak ograniczonymi siłami dysponuje urząd. Po jednym z największych incydentów z danymi medycznymi w polskim internecie, priorytetem nie powinno być rozpraszanie urzędników na setki małych placówek. Państwo powinno skupić całą swoją uwagę na uregulowaniu wierzchołka tej cyfrowej piramidy.
