Ministerstwo Cyfryzacji odpowiedziało na największy wyciek danych medycznych w historii Polski pakietem pięciu zmian w prawie. Kierunek jest słuszny, ale resort pomija rozwiązania, które były rekomendowane przez Radę ds Cyfryzacji przy resorcie. Cyber Piątkę oceniam więc na trzy w pięciostopniowej skali. 

Od czego się zaczęło

Atak na MyDr, jednego z największych polskich prywatnych dostawców systemów do prowadzenia elektronicznej dokumentacji medycznej, objął blisko 19 mln osób i około 12 tys. placówek. Przestępcy mieli wykraść ponad 2 terabajty danych. Trudno uznać to za kolejny incydent bo tak naprawdę zawodzi cały system, w tym legislacja, która wymaga poprawy.

W tej sprawie równie ważne jak samo włamanie jest to, co wydarzyło się później. MyDr przetwarza dokumentację medyczną na zlecenie placówek. Administratorem danych pozostaje jednak każda przychodnia, klinika czy gabinet z osobna. Placówek są tysiące. W praktyce taki podział ról i działania według RODO przesądza o tempie reakcji. MyDr nie miał podstawy prawnej, aby samodzielnie przekazać CERT Polska listę osób poszkodowanych. Tymczasem właśnie za pośrednictwem CERT-u informacje z wycieków trafiają do serwisu bezpiecznedane.gov.pl.

Skutek był taki, że przez ponad dwa tygodnie obywatele nie mogli sprawdzić, czy ich dane znalazły się w rękach przestępców. Zbiór został udostępniony w portalu dopiero 29 sierpnia. Po ich udostępnieniu tradycyjnie nie działał serwis rządowy, który był przeciążony z powodu wielu wejść tworząc DDoS.

Jednocześnie zadziałał drugi mechanizm, szczegółowo opisany w stanowisku Rady do Spraw Cyfryzacji. Przestępcy przejmowali dane dostępowe lekarzy, a następnie wykorzystywali słabości komercyjnych programów gabinetowych do wystawiania e-recept. Obecnie chodzi przede wszystkim o recepty na leki opioidowe. Są one sprzedawane w darknecie, a następnie realizowane w polskich aptekach.

Mamy więc do czynienia z dwoma odrębnymi problemami – wyciekiem danych pacjentów i przejmowaniem tożsamości lekarzy. Pierwszy dotyczy wycieku ogromnego zbioru danych i spóźnionego informowania poszkodowanych. Drugi polega na przejmowaniu kont lekarzy i wystawianiu w ich imieniu fałszywych recept. Cyber Piątka zaproponowana przez resory odpowiada głównie na pierwszy z omawianych problemów. Dlatego próżno w nim szukać odpowiedzi na drugi problem.

Co proponuje Ministerstwo Cyfryzacji

Pakiet nazwany „Cyber Piątką” obejmuje pięć rozwiązań. Resort proponuje certyfikowanie firm przetwarzających dane medyczne, wprowadzenie minimalnych wymagań technicznych dla używanych przez nie systemów, obowiązek informowania pacjenta o przekazaniu jego danych podmiotowi zewnętrznemu, powiadomienia o zdarzeniach medycznych w mObywatelu i mojeIKP oraz dodatkowe obowiązki dla firm, które obsługują ponad 100 administratorów albo przetwarzają dane ponad 100 tys. osób.

Trójkę zamiast piątki wystawiam dlatego, że dwa pierwsze rozwiązania oznaczają rzeczywisty postęp. Artykuł 8b ustawy o systemie informacji w ochronie zdrowia już od lat wymaga zgodności z minimalnymi wymaganiami publikowanymi w Biuletynie Informacji Publicznej Ministra Zdrowia. Problem w tym, że wymagania te skupiały się przede wszystkim na tym, co system ma robić. Znacznie mniej uwagi poświęcano temu, jak ma być zabezpieczony.

Rada do Spraw Cyfryzacji pisze o tym wprost. Brakowało jednoznacznej podstawy, aby wymagać od dostawców szyfrowania danych, prowadzenia pełnych rejestrów operacji, regularnych testów bezpieczeństwa czy rozwiązań pozwalających ustalić, kto i kiedy wykonał określoną czynność w systemie. Objęcie dostawców konkretnymi obowiązkami w zakresie cyberbezpieczeństwa, a następnie certyfikacją, odpowiada na tę lukę. Jest to rozwiązanie potrzebne i zgodne z rekomendacjami Rady.

Wyższej oceny wystawić jednak nie sposób. W pakiecie zabrakło czterech rozwiązań, które Rada uznała za pilniejsze i które znacznie lepiej odpowiadają na sposoby działania przestępców.

Czego zabrakło w Cyber Piątce

Obowiązkowego uwierzytelniania dwuskładnikowego

Rada umieściła ten postulat na pierwszym miejscu wśród rekomendacji dotyczących uwierzytelniania. Zdecydowana większość naruszeń wiąże się bowiem z przejęciem danych dostępowych personelu medycznego. Loginy i hasła do kont lekarzy są sprzedawane w darknecie oraz na kanałach Telegrama wyspecjalizowanych w handlu danymi pochodzącymi z wycieków.

Znając sposób budowania kodów świadczeniodawców, można stosunkowo łatwo wyszukać takie dane w krążących po sieci bazach. Samo hasło przestało więc być skutecznym zabezpieczeniem. Jeżeli jego przejęcie pozwala od razu dostać się do systemu i działać w imieniu lekarza, kolejne incydenty są tylko kwestią czasu.

Uwierzytelnianie dwuskładnikowe nie rozwiąże wszystkich problemów, ale znacznie ograniczy przydatność wykradzionych haseł. Pomimo tego w Cyber Piątce obowiązkowe 2FA nie pojawia się ani razu.

Odejścia od certyfikatu ZUS

Rada opisuje certyfikat ZUS jako rozwiązanie przejściowe, stworzone wyłącznie z myślą o wystawianiu elektronicznych zwolnień lekarskich. W tym zastosowaniu Zakład Ubezpieczeń Społecznych miał nad nim pełną kontrolę.

Z czasem certyfikat zaczął jednak służyć do podpisywania zdecydowanej większości elektronicznej dokumentacji medycznej. Jest przy tym wykorzystywany poza systemami ZUS, choć nie został zaprojektowany do tak szerokiego zastosowania. W przypadku wyłudzenia lub przejęcia certyfikatu możliwości szybkiego wykrycia nadużycia i skutecznej reakcji pozostają niewielkie.

Rada zaleca rozpoczęcie prac nad zastąpieniem tego rozwiązania certyfikatem kwalifikowanym, Profilem Zaufanym, e-dowodem albo nowym narzędziem przeznaczonym specjalnie do tego celu. Ministerstwo Cyfryzacji nie podjęło tego tematu.

Ograniczenia dostępu do API

To najmocniejsza z rekomendacji Rady, ponieważ za zaleceniem stoi rzeczywista kara. Dostęp do państwowych interfejsów powinien zależeć od tego, czy używane przez placówkę oprogramowanie spełnia minimalne wymagania bezpieczeństwa. Dostawca, który tych wymagań nie zapewnia, po odpowiednim okresie przejściowym traciłby dostęp do systemu.

Taki mechanizm nie opiera się jedynie na deklaracjach, sprawozdaniach czy oczekiwaniu, że rynek sam się uporządkuje. Tworzy prostą zależność bo jeśli chcesz korzystać z najważniejszych systemów publicznej ochrony zdrowia to musisz rzeczywiście zadbać o bezpieczeństwo.

Rada stawia wymagania również państwu. API obsługiwane przez NFZ i inne instytucje powinny mieć silne mechanizmy uwierzytelniania i autoryzacji, zabezpieczenia przed nieuprawnionymi zapytaniami, pełne rejestry zdarzeń oraz rozwiązania wykrywające nietypowe zachowania. Nagły wzrost liczby zapytań, próba masowego pobierania danych czy aktywność odbiegająca od zwykłego sposobu pracy placówki powinny automatycznie uruchamiać alarm.

Jest to jedyna rekomendacja, która obejmuje obie strony połączenia. Wymaga poprawy zabezpieczeń od prywatnych dostawców, ale każe również przyjrzeć się rozwiązaniom państwowym, takim jak P1, eWUŚ czy systemy NFZ. W propozycjach resortu takiego mechanizmu zabrakło.

Codziennych zasad bezpieczeństwa

Nie ma też regularnych audytów i testów bezpieczeństwa, planów ciągłości działania, procedur na wypadek awarii i ataków ransomware ani systematycznych szkoleń personelu. Rada proponuje ponadto stworzenie grupy roboczej, która zajmowałaby się wykrywaniem podatności i wymianą informacji o zagrożeniach.

Są to rozwiązania mało widowiskowe, ale właśnie one decydują o tym, czy organizacja potrafi odpowiednio zareagować w chwili ataku. Cyber zabezpieczenia rzadko ulegają przełamaniu z powodu jednej technologii. Cyberbezpieczeństwo znacznie częściej zawodzi przez nieaktualne systemy, brak procedur, źle przydzielone uprawnienia i pracowników, którzy nie wiedzą, co zrobić po wykryciu podejrzanej aktywności. No i oczywiście phishing i scam poprzez media społecznościowe czy email.

Rada wskazuje te elementy. W Cyber Piątce ich nie ma

Wniosek jest stosunkowo mało wygodny dla resortu. Jego propozycje skupiają się na ochronie poufności danych i sprawniejszym informowaniu o incydentach. Rada opisuje natomiast przede wszystkim problem wiarygodności działań wykonywanych w systemie – przejmowanie kont lekarzy, podszywanie się pod uprawnione osoby i wystawianie fałszywych recept.

Powiadomienia o zdarzeniach medycznych mogą pomóc w wykryciu nadużycia, ale przerzucają część odpowiedzialności na pacjenta. System nadal pozwoli wystawić receptę z przejętego konta. Pacjent będzie miał jedynie większą szansę, że szybciej zauważy coś podejrzanego. Resort poprawia więc alarmowanie i powiadomienia o włamaniu, ale nie zamyka drzwi, przez które wchodzą włamywacze.

Słabości rozwiązań, które znalazły się w pakiecie

Przekazywanie imienia, nazwiska i numeru PESEL do CSIRT NASK za pośrednictwem Policji ma rozwiązać problem wynikający z podziału ról w RODO. Skoro firma przetwarzająca dane na zlecenie tysięcy placówek nie może samodzielnie przekazać listy poszkodowanych, ma powstać odrębna podstawa prawna i państwowa droga przekazywania informacji. To rozwiązanie może okazać się przydatne, ale budzi poważne wątpliwości. Dlaczego?

Po pierwsze, Policja nie jest naturalnym pośrednikiem w informowaniu o naruszeniach danych w stosunkach cywilnych. Jej udział może być uzasadniony prowadzonym postępowaniem karnym, ale trudno zrozumieć, dlaczego ma stać się stałym ogniwem systemu powiadamiania obywateli o wyciekach.

Po drugie, zapowiadany przez resort „minimalny zakres danych” w przypadku informacji medycznych nie zawsze jest minimalny pod względem ujawnianej treści. Sam fakt, że imię, nazwisko i PESEL znalazły się w bazie określonej placówki, może ujawniać informację o zdrowiu.

Jeżeli wyciek pochodzi ze szpitala psychiatrycznego, kliniki onkologicznej, poradni leczenia uzależnień albo ośrodka zajmującego się konkretną chorobą, sama obecność danej osoby w zbiorze jest informacją wrażliwą. Nie trzeba podawać diagnozy ani historii leczenia. Wystarczy ujawnić związek pacjenta z placówką o wąskiej specjalizacji.

Jest jeszcze trzeci problem. Obowiązek poinformowania osoby, której dane dotyczą, nadal spoczywa na administratorze. Cyber Piątka tego nie zmienia. Resort tworzy więc dodatkową państwową ścieżkę obok już istniejącego obowiązku, zamiast według mnie uporządkować cały proces i jasno rozdzielić odpowiedzialność.

Druga słabość dotyczy sposobu przekazywania informacji obywatelom. Przy każdym dużym wycieku portal bezpiecznedane.gov.pl może stać się wąskim gardłem. Kilkanaście milionów osób próbuje w krótkim czasie zalogować się do jednego serwisu, aby uzyskać odpowiedź na jedno pytanie: czy moje dane wyciekły?

Obywatel musi sam dowiedzieć się o incydencie, wejść na stronę, zalogować się i sprawdzić wynik. Później pozostaje jeszcze niepewność, czy brak informacji rzeczywiście oznacza, że jego dane są bezpieczne, czy jedynie że właściwy zbiór nie został jeszcze dodany do systemu.

Państwo każe obywatelowi szukać informacji, choć ma już gotowe narzędzie, aby dostarczyć mu ją bezpośrednio.

Lepsze rozwiązanie jest już w telefonach

Informacje o potwierdzonych wyciekach powinny trafiać bezpośrednio do mObywatela. Po dopasowaniu danych na podstawie numeru PESEL użytkownik mógłby otrzymać powiadomienie: „Twoje dane znalazły się w wycieku. Sprawdź, jakie informacje ujawniono i co należy teraz zrobić”. Bez logowania do osobnego serwisu. Bez kolejki i przeciążonego portalu państwowego.

Takie rozwiązanie odciążyłoby bezpiecznedane.gov.pl, a czas reakcji obywatela skróciłoby z tygodni do minut. Wykorzystywałoby również kanał, w którym państwo zapewniło już odpowiednie uwierzytelnianie i zbudowało zaufanie obywateli.

Skoro Ministerstwo Cyfryzacji chce przesyłać za pośrednictwem mObywatela informacje o zdarzeniach medycznych, wizytach i wystawionych receptach, tym bardziej powinno informować obywatela, że jego dane właśnie znalazły się w rękach przestępców.

To nie jest wyłącznie problem ochrony zdrowia

Największa wada Cyber Piątki ujawnia się, gdy spojrzymy poza sektor medyczny. Cztery z pięciu propozycji dotyczą wyłącznie danych medycznych. Tymczasem model ryzyka, który doprowadził do wycieku w MyDr, występuje również w innych dziedzinach gospodarki

Najlepszym przykładem jest oświata. Kilku prywatnych operatorów e-dzienników obsługuje niemal wszystkie polskie szkoły. W ich systemach znajdują się dane milionów uczniów, w tym osób małoletnich. Są tam numery PESEL, informacje pozwalające wnioskować o wyznaniu na podstawie wyboru religii lub etyki, a także dane o zdrowiu pochodzące z orzeczeń poradni, zwolnień i dokumentacji dotyczącej szczególnych potrzeb uczniów.

Mechanizm jest podobny jak w przypadku MyDr: tysiące administratorów danych, jeden duży dostawca i jedna scentralizowana baza. Wystarczy skuteczny atak na jedną firmę, aby skutki odczuły miliony osób.

Dostawcy e-dzienników z ogromnym zapasem przekroczyliby wskazane przez resort progi liczby administratorów i osób, których dane przetwarzają. Nie zostaną jednak objęci certyfikacją ani minimalnymi wymaganiami technicznymi przewidzianymi dla ochrony zdrowia. Pakiet został napisany sektorowo, choć źródło ryzyka nie ma charakteru sektorowego.

Resort pomija przy tym pytanie jeszcze ważniejsze od tego, jak zabezpieczyć zgromadzone dane. Chodzi o to, ile danych jeden podmiot powinien móc zgromadzić, jak długo wolno mu je przechowywać i czy rzeczywiście wszystkie są potrzebne.

Dwa terabajty dokumentacji medycznej w jednym systemie nie są skutkiem błędu programisty. Są skutkiem modelu rynkowego, który pozwala koncentrować ogromne zbiory najbardziej wrażliwych informacji w rękach kilku dostawców. Nawet najlepiej zabezpieczona baza pozostaje atrakcyjnym celem, jeśli po jej przejęciu przestępca dostaje informacje o milionach obywateli.

Trzeba też pamiętać, że część obowiązków przedstawianych przez resort jako odpowiedź na nową sytuację już wynika z przepisów. Ocena ryzyka, bezpieczeństwo łańcucha dostaw czy audyty zostały przewidziane w nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej dyrektywę NIS2. Przepisy obowiązują od 3 kwietnia 2026 r., a termin wpisu do wykazu upływa 3 października.

Trzy na pięć

Cyber Piątka zasługuje ode mnie trzy punkty w pięciostopniowej skali. Certyfikacja dostawców i minimalne wymagania cyberbezpieczeństwa są potrzebne, ponieważ realizują rekomendacje Rady i uzupełniają lukę w art. 8b ustawy o systemie informacji w ochronie zdrowia. Powiadomienia w mojeIKP również mają sens, choć pozwalają wykryć nadużycie dopiero po fakcie.

Na więcej punktów pakiet nie zasługuje bo pomija uwierzytelnianie dwuskładnikowe, problem certyfikatu ZUS i możliwość uzależnienia dostępu do API od spełniania wymagań bezpieczeństwa. Tymczasem właśnie te trzy obszary decydują o tym, czy przestępca może wejść do systemu, podszyć się pod lekarza i działać w jego imieniu.

Co poprawić? Jak pisałem, po pierwsze wdrożyć obowiązkowe 2FA z konkretną datą wejścia w życie. Po drugie uzależnić dostęp do P1 i eWUŚ od spełniania minimalnych wymagań bezpieczeństwa. Po trzecie automatycznie wysyłać powiadomienia o wyciekach w mObywatelu zamiast odsyłania milionów obywateli do jednego portalu.

Żadna z tych zmian nie wymaga super nakładów inwestycyjnych ani większym zmian technologii. Wszystkie wymagają natomiast współpracy instytucji i resortów, które dotychczas zajmowały się osobnymi fragmentami tego samego problemu. Cyberbezpieczeństwa ochrony zdrowia nie da się jednak podzielić między ministerstwa. Przestępcy z pewnością tego podziału nie przestrzegają.