Słabe ogniwo w cyfrowym łańcuchu dostaw
Cyberbezpieczeństwo w sektorze ochrony zdrowia to nie tylko kwestia ochrony prywatności, ale fundament operacyjny każdej nowoczesnej placówki. Najnowszy incydent dotyczy aplikacji Medyc, z której korzystają szpitale, przychodnie i centra rehabilitacyjne. Cyberprzestępca ukrywający się pod pseudonimem „fingerprint” wykorzystał klasyczną, lecz wciąż niebezpieczną podatność typu SQL injection, uzyskując nieuprawniony dostęp do zaszyfrowanej bazy danych.
Skala problemu jest znacząca. W ręce atakującego mogły trafić numery PESEL, adresy, numery telefonów, a z dużym prawdopodobieństwem także dokumentacja medyczna pacjentów. Co więcej, to kolejne uderzenie tego samego sprawcy, który niedawno zyskał rozgłos po ataku na platformę MyDr, gdzie naruszono dane około 18 milionów Polaków. Ta seria zdarzeń jednoznacznie pokazuje, że najsłabszym punktem w zabezpieczeniach placówek medycznych często okazują się zewnętrzni dostawcy oprogramowania.
Biznesowe i prawne konsekwencje dla placówek
Dla administratorów danych - czyli dyrektorów szpitali i właścicieli przychodni - atak na oprogramowanie podwykonawcy oznacza poważne wyzwania operacyjne i prawne. Zgodnie z obowiązującymi przepisami, to placówki medyczne są zobligowane do masowego zgłaszania naruszeń do Urzędu Ochrony Danych Osobowych (UODO) oraz informowania pacjentów o incydencie.
Taka sytuacja generuje nie tylko koszty związane z zarządzaniem kryzysowym i obsługą prawną, ale przede wszystkim drastycznie uderza w zaufanie pacjentów. Brak kontroli nad standardami cyberbezpieczeństwa zewnętrznych partnerów IT przekłada się bezpośrednio na ryzyko biznesowe i reputacyjne samych placówek.
Cyber Piątka - państwowa odpowiedź na kryzys
Seria potężnych wycieków wymusiła natychmiastową reakcję administracji państwowej. Ministerstwo Cyfryzacji, we współpracy z resortem zdrowia, przyspieszyło prace nad projektem legislacyjnym o nazwie Cyber Piątka. To kompleksowy plan, który ma gruntownie zmienić zasady współpracy na linii placówki medyczne - dostawcy IT.
Wśród najważniejszych założeń projektu znajduje się obowiązkowa certyfikacja podmiotów przetwarzających dane medyczne oraz wprowadzenie sztywnych, minimalnych wymagań technologicznych dla systemów teleinformatycznych. Zmiany obejmą również pacjentów, którzy zyskają nowe narzędzia kontroli - powiadomienia o logowaniach i zdarzeniach medycznych mają być przesyłane bezpośrednio przez aplikację mObywatel oraz mojeIKP, co pozwoli na błyskawiczne wykrycie prób wyłudzeń.
Technologia oparta na odpowiedzialności
Ostatnie wydarzenia to dla rynku wyraźny sygnał: budowanie nowoczesnych systemów IT dla medycyny nie może opierać się wyłącznie na optymalizacji procesów i funkcjonalności. Zasada security by design staje się rynkowym standardem i wymogiem prawnym, a nie jedynie opcją premium. Dostawcy oprogramowania, którzy nie dostosują się do nowych, rygorystycznych wymogów, mogą wkrótce zostać wykluczeni z rynku świadczeń medycznych. Biznes, technologia i odpowiedzialność społeczna muszą w tym sektorze funkcjonować jako nierozerwalna całość.
---