Wyciek PESEL-i z systemu MyDr: sprawdziłem swoje dane, a jasności wciąż brak

Wszedłem na stronę bezpiecznedane.gov.pl, żeby zweryfikować, czy mój numer PESEL znajduje się wśród danych ujawnionych w wyniku ataku na systemy firmy MyDr. Wynik okazał się najgorszy z możliwych - mój numer widnieje na liście. Problem w tym, że na pytanie 'co dalej' nie znalazłem odpowiedzi. Na stronie rządowego serwisu można przeczytać następujące wyjaśnienie.

W firmie MyDr doszło do nieuprawnionego dostępu do bazy danych systemu, z którego korzystają przychodnie lekarskie i gabinety. Fakt przełamania zabezpieczeń firmy MyDr jest potwierdzony, służby nie stwierdziły jak dotąd upublicznienia tych danych, z uwagi na dobro obywateli – prewencyjnie przekazujemy jednak informację, czyje numery PESEL znalazły się w wycieku. O zakresie danych informują pacjentów dotknięte incydentem placówki, natomiast w serwisie bezpieczedane.gov.pl istnieje jedynie możliwość sprawdzenia czy PESEL użytkownika znalazł się w wycieku.

Serwis rządowy zaleca mi zastrzeżenie numeru PESEL, aktywację weryfikacji dwuetapowej oraz ogólną czujność.

Spółka odpowiedzialna za incydent w swoim komunikacie zastrzega, że umieszczenie danej osoby w wykazie serwisu Bezpieczne Dane w związku z incydentem MyDr nie jest równoznaczne z faktycznym wyciekiem tych informacji do sieci. Firma dodaje więcej zastrzeżeń.

Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako objęte z incydentem MyDr w pełni odpowiadają numerom zidentyfikowanym w ramach naszego postępowania wyjaśniającego. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr został wskazany jako źródło wycieku, rzeczywiście pochodzą z systemów MyDr.

Im więcej czytam, tym mniej wiem

Fakt jest taki: mój numer PESEL pojawił się na liście wycieku, lecz nie ma pewności, czy trafił do publicznego obiegu. Firma sama przyznaje, że nie jest w stanie jednoznacznie stwierdzić, czy dana pochodzi rzeczywiście z jej systemów.

Od ujawnienia sprawy minęło już sporo czasu, a odpowiedzi wciąż jest mniej niż pytań. W zamian otrzymaliśmy zapewnienie, że w przyszłości sytuacja ma się poprawić.

Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie

Dariusz Standerski, wiceminister cyfryzacji

Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie

Dariusz Standerski, wiceminister cyfryzacji

Pięć propozycji legislacyjnych z Ministerstwa Cyfryzacji

Resort deklaruje, że przygotowany zestaw zmian ma poprawić ochronę danych obywateli oraz zmniejszyć szansę na ich niewłaściwe użycie.

Pierwszy pomysł zakłada nowe obowiązki dla podmiotów zajmujących się przetwarzaniem danych medycznych. Takie firmy musiałyby spełniać konkretne kryteria bezpieczeństwa, a proces ich certyfikacji miałby być zintegrowany z systemem wynikającym z ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa, jak wskazuje ministerstwo.

Kolejnym elementem mają być minimalne wymogi technologiczne.

Nowe wytyczne mają odzwierciedlać obowiązujące normy cyberbezpieczeństwa. Chodzi o to, by poziom ochrony danych był identyczny bez względu na to, jaki zewnętrzny podmiot je przetwarza.

Ministerstwo chce też, by pacjent miał pełną wiedzę o tym, kto ma dostęp do jego danych - w tym o zakresie powierzonych informacji, celu przetwarzania oraz danych kontaktowych podmiotu przetwarzającego.

Wśród propozycji pojawia się także pomysł powiadomień w aplikacjach mObywatel i mojeIKP - komunikatów informujących o zdarzeniach medycznych, na przykład wizycie, wystawieniu recepty czy skorzystaniu ze świadczenia. Dzięki temu można by szybciej zauważyć próbę wyłudzenia recepty lub usługi medycznej na cudze dane.

Planowane są nowe obowiązki dla firm masowo przetwarzających dane osobowe. W razie naruszenia bezpieczeństwa taki podmiot miałby przekazywać do CSIRT NASK - za pośrednictwem policji - podstawowy zestaw danych osób poszkodowanych: imię, nazwisko i numer PESEL. Te informacje mogłyby potem trafić do obywateli przez portal bezpiecznedane.gov.pl.

Wzrosnąć ma również zakres odpowiedzialności podmiotów przetwarzających dane.

Podmioty przetwarzające dane miałyby obowiązek przekazywania placówkom, które im je powierzyły, informacji niezbędnych do oceny poziomu ich bezpieczeństwa. Dotyczyłoby to m.in. stosowanych zabezpieczeń, dalszych podmiotów przetwarzających, miejsca przetwarzania danych oraz wyników audytów, testów i ocen bezpieczeństwa.

Dodatkowo wprowadzony miałby zostać obowiązek analizy ryzyka jeszcze przed rozpoczęciem przetwarzania danych. Jak tłumaczy resort, taka ocena podlegałaby aktualizacji co najmniej raz na dwa lata, a także po każdej istotnej zmianie sposobu lub warunków przetwarzania danych.

Reforma po fakcie, czyli znów mądrość po szkodzie

Reakcje na te zapowiedzi można podzielić na dwie grupy - tych, którzy cieszą się z nadchodzących zmian, i tych, którzy są rozżaleni, że dopiero skala tego wycieku zmusiła decydentów do działania. Sam skłaniam się ku drugiemu podejściu, bo to nie pierwszy przypadek, gdy lekcja przychodzi dopiero po bolesnym doświadczeniu.

Podobnie było ze sprawą Mety - konkretne kroki pojawiły się dopiero wtedy, gdy temat nadużyć nagłośnił Rafał Brzoska, choć problematyczne praktyki właściciela Facebooka i Instagrama były znane od dawna.

Na razie wciąż nie wiem, skąd dokładnie wyciekł mój PESEL ani czy w ogóle rzeczywiście trafił do sieci - pozostaje mi liczyć na to, że w przyszłości będzie lepiej. Szkoda tylko, że znane powiedzenie o polskiej mądrości wciąż pozostaje aktualne.

Źródło: Spider's Web