Paweł Michalak, Mirosław Sanek: Czy sektor zdrowia przetrwa cyfrową rewolucję?

System ochrony zdrowia stoi przed jednym z największych wyzwań w historii. Nie żeby mu brakowało dotychczasowych. Tym jednak razem nie chodzi o kryzys finansowy ani niedobór lekarzy, lecz o nowy front walki – ochronę danych medycznych. W obliczu rosnącego zakresu i wartości takich danych, a w ślad za tym rosnącej liczby cyberataków oraz nadchodzącej rewolucji regulacyjnej, jaką jest Europejska Przestrzeń Danych o Zdrowiu (EHDS), polskie podmioty medyczne muszą podjąć natychmiastowe działania, bo w przeciwnym razie ryzykują katastrofalne skutki finansowe, prawne i wizerunkowe.

Czytaj więcej

Ochrona zdrowia

Rośnie liczba incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia

W 2024 roku odnotowano 1028 incydentów w ochronie zdrowia wobec 405 incydentów w 2023 roku – wynika z danych CSIRT CeZ.

Tymczasem świadomości tej perspektywy w branży medycznej brak. Pokazuje to choćby bulwersująca, opisana ostatnio na łamach „Rzeczpospolitej”, prawdziwa katastrofa w zakresie ochrony prywatności i danych medycznych, która miała miejsce w dotychczas prestiżowym Centrum Medycznym Ujastek sp. z o.o. w Krakowie. Stosowano tam od dawna ukryty monitoring wizyjny na oddziale neonatologii, m.in. w zegarach ściennych, a niezaszyfrowane karty pamięci utracono, nie wiadomo zresztą, w jaki sposób. Szpital musi teraz zapłacić ponad 1,1 mln zł kary administracyjnej za m.in. monitoring karmiących matek bez ich wiedzy.

Dane osobowe w służbie zdrowia. To już nie wycieki, to potop

Ale to przecież niejedyny taki drastyczny przypadek. Ubiegłe miesiące przyniosły nam podobne wstrząsy. W listopadzie 2023 roku ALAB Laboratoria, jedna z największych sieci laboratoriów medycznych w Polsce, padła ofiarą ataku hakerskiego. Cyberprzestępcy wykradli około 44,5 GB danych, w tym wyniki badań pacjentów, 187 tys. numerów PESEL oraz 190 GB danych firmowych. Upubliczniono 6,5 GB danych medycznych, 12,5 tys. numerów PESEL oraz 4 GB danych firmowych.

W marcu 2024 roku doszło do wycieku danych z serwerów firmy Medily, dostawcy oprogramowania Aurero do zarządzania wizytami w klinikach. Hakerzy uzyskali dostęp do serwera testowego, na którym znajdowały się dane około 180 tysięcy pacjentów z 40 placówek medycznych. Wyciek obejmował imiona, nazwiska, numery PESEL oraz informacje medyczne pacjentów. W zeszłym roku doszło też do ataku hakerskiego na American Heart of Poland SA, w wyniku którego wykradziono dane około 21 tys. pacjentów. Do tego jeszcze można dodać wyciek danych z centrów medycznych All-Med w Łodzi oraz Nowa 5 w Gorzowie. Chwilę później odkryto, że dane ok. 10 mln pacjentów były narażone na kradzież z powodu luk w aplikacjach używanych przez apteki i lekarzy. Dzięki zgłoszeniu sygnalisty udało się po jakimś czasie te luki załatać, jednak nie ma pewności, czy dane nie zostały wcześniej wykradzione.

Dobrze, że wiemy o tych zdarzeniach, głównie dzięki godnej pochwały działalności prezesa UODO w zakresie stosowania najistotniejszej sankcji administracyjnej. Tyle że to jedynie wierzchołek góry lodowej. Od dłuższego czasu prowadzimy rozmowy w środowisku medycznym i trudno jest nie odnieść wrażenia, że ochrona danych medycznych jest tam uważana nie tylko za nieistotną, ale w zasadzie za utrudniającą dla działalności medycznej. Jest naprawdę traktowana z wrogą nieufnością.

Czytaj więcej

Ochrona zdrowia

Rośnie liczba incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia

W 2024 roku odnotowano 1028 incydentów w ochronie zdrowia wobec 405 incydentów w 2023 roku – wynika z danych CSIRT CeZ.

Majątek, o którym nie chcemy wiedzieć

Szkoda – wielka i niezmiernie realna – że tak się dzieje, zwłaszcza gdy cyberprzestępcy doskonale o tym lekceważeniu wiedzą. Placówki zdrowia są dla nich łatwym celem. Tymczasem dane medyczne już dawno temu stały się twardą walutą darknetu. Według ostrożnych raportów IBM („X-Force Threat Intelligence”), Ponemon Institute („Cost of a Data Breach”) czy analiz firm antywirusowych i zajmujących się cyberbezpieczeństwem (McAfee „The Hidden Data Economy”, Accenture „The Cost of Cybercrime”) pełne rekordy pacjentów, czyli elektroniczne zbiory ich danych medycznych, mogą kosztować od 250 do 1000 dolarów za sztukę – to kilkadziesiąt razy więcej niż dane kart kredytowych. Dzieje się tak dlatego, że dane medyczne są bardziej kompleksowe i zawierają szczegółowe informacje osobowe (PESEL, adresy, wyniki badań, diagnozy, numery ubezpieczeń zdrowotnych), które można łatwo wykorzystać w długoterminowych schematach oszustw. Trzeba też pamiętać, że w przeciwieństwie do kart kredytowych czy haseł, które można zmienić, dane medyczne są trwałe i dlatego mogą być wielokrotnie użyte do celów przestępczych.

Do tego konsekwencje tych wycieków są dramatyczne nie tylko w majątkowym sensie. Dane pacjentów mogą posłużyć do oszustw ubezpieczeniowych, szantażu (np. wobec osób publicznych), a nawet manipulowania wynikami badań. Wszyscy zaś pacjenci mogą być narażeni na wstyd, utratę reputacji lub inne osobiste konsekwencje. Tracą wówczas zaufanie do systemu ochrony zdrowia, a instytucje medyczne muszą zmagać się z wielomilionowymi karami za wyrządzone szkody i krzywdy swoich pacjentów.

EHDS. Rewolucja czy tylko dodatkowy problem?

Unia Europejska nie zamierza pozostawić tej kwestii bez reakcji. Reaguje więc w znany już sobie sposób – konstruując nową regulację prawną. Europejska Przestrzeń Danych o Zdrowiu (EHDS) to jeden z najbardziej ambitnych projektów UE w dziedzinie cyfryzacji zdrowia. Przyniesie on zarówno wymogi, jak i zagrożenia oraz szanse dla podmiotów przetwarzających dane zdrowotne. Regulacja ma na celu ujednolicenie wymiany danych zdrowotnych w UE. Przedstawiana jest więc jako korzyść dla podróżujących po Europie potencjalnych pacjentów i jest to korzyść realna. Tyle że tak radykalne zwiększenie mobilności danych wrażliwych wykładniczo zwiększy i tak już wielkie ryzyko w przetwarzaniu danych medycznych. Stąd też EHDS – nowe RODO dla medycyny – narzuca dodatkowe, surowe wymagania dla podmiotów medycznych.

Czytaj więcej

Materiał partnera

Cyfryzacja służby zdrowia? Tak, ale bez pochopnych decyzji

Cyfryzacja, zdrowie psychiczne dzieci i młodzieży oraz promocja profilaktyki - to priorytety polskiej prezydencji w Radzie Unii Europejskiej w dziedzinie ochrony zdrowia.