Zdjęcie: © National Cancer Institute / Unsplash
Źródło: unsplash.com/photos/NFvdKIhxYlU
Incydent cyberbezpieczeństwa w firmie MyDr może dotyczyć danych nawet 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Resort cyfryzacji poinformował, że po ustaleniu, których osób dotyczyło nieuprawnione przejęcie danych, informacje będą sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl. Proces może potrwać kilka dni, ponieważ administratorem danych są poszczególne gabinety lekarskie i placówki ochrony zdrowia.
Do zdarzenia doszło w firmie MyDr, która dostarcza oprogramowanie dla lekarzy i placówek ochrony zdrowia. Firma potwierdziła nieuprawniony dostęp do danych historycznych gabinetów lekarskich przechowywanych w jej systemach. Chodzi o dane sięgające do kwietnia 2024 roku. Jak wskazało Ministerstwo Cyfryzacji, problem nie ogranicza się wyłącznie do komercyjnych placówek medycznych. Platforma MyDr należy do grupy ZnanyLekarz.
Ministerstwo Cyfryzacji zapowiedziało, że dane osób, których dotyczyło nieuprawnione przejęcie, będą przekazywane do serwisu bezpiecznedane.gov.pl po zakończeniu ich identyfikacji. Użytkownicy mają móc sprawdzić tam, czy incydent dotyczy ich bezpośrednio. Do serwisu można zalogować się przy pomocy Profilu Zaufanego, a następnie skorzystać z wyszukiwarki obejmującej numery telefonu, adresy e mail, loginy oraz numery PESEL. Resort zaznaczył, że zasilanie serwisu może potrwać kilka dni.
Wicepremier Krzysztof Gawkowski wskazał, że podstawowym działaniem po potwierdzeniu kradzieży danych powinno być zastrzeżenie numeru PESEL. Można to zrobić w aplikacji mObywatel albo w urzędzie gminy. Zastrzeżenie ogranicza możliwość wykorzystania numeru w sytuacjach, w których jego użycie mogłoby prowadzić do skutków dla właściciela danych. Minister określił tę czynność jako podstawowy element higieny cyfrowej.
Urząd Ochrony Danych Osobowych przypomniał, że za powiadomienie osób dotkniętych wyciekiem danych odpowiadają administratorzy korzystający z usług MyDr. Powinni zrobić to niezwłocznie. Zgodnie z RODO administrator danych powinien zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli zgłoszenie nastąpi później, należy wyjaśnić przyczyny opóźnienia.
Dalsze działania są prowadzone na polecenie wicepremiera Krzysztofa Gawkowskiego i w koordynacji z ministrem koordynatorem służb specjalnych, ministrą zdrowia, prezesem Urzędu Ochrony Danych Osobowych, Prokuraturą Krajową oraz Centralnym Biurem Zwalczania Cyberprzestępczości. Trwają poszukiwania sprawców. Krzysztof Gawkowski przekazał, że obecnie nic nie wskazuje na atak ze strony innego państwa.
MyDr dostarcza platformę informatyczną oraz system elektronicznej dokumentacji medycznej dla indywidualnych praktyk lekarskich, przychodni i centrów medycznych. Firma podaje, że za pośrednictwem platformy realizowanych jest 3 mln wizyt miesięcznie, a lekarze wystawiają 2,7 mln recept każdego miesiąca. Skala wykorzystania systemu pokazuje, dlaczego ustalenie zakresu danych i poinformowanie osób, których dotyczy incydent, wymaga współpracy wielu podmiotów.
Brak komentarzy. Bądź pierwszy!