Minęły dwa tygodnie od ujawnienia jednego z największych incydentów bezpieczeństwa w polskim sektorze medycznym, który może dotyczyć nawet 19 milionów obywateli.
Po okresie wydawania wyłącznie anonimowych komunikatów, prezes spółki MyDr, Piotr Miluski, opublikował osobiste oświadczenie, w którym przeprosił pacjentów i poinformował o przebiegu postępowań wyjaśniających.
Imienne oświadczenie i przeprosiny szefa firmyW opublikowanym materiale pt. „Kilka słów ode mnie” szef MyDr odniósł się bezpośrednio do emocji wywołanych incydentem, nazywając ostatnie czternaście dni najtrudniejszym okresem w historii przedsiębiorstwa. Wyraził przy tym zrozumienie dla niepokoju pacjentów, podkreślając, że informacje o stanie zdrowia należą do najbardziej wrażliwych danych osobistych.
Miluski skierował wyrazy ubolewania do wszystkich użytkowników oraz pacjentów, zaznaczając, że przeprosiny dotyczą każdej osoby korzystającej z usług dostawcy – niezależnie od tego, czy jej dane w ogóle ucierpiały w wyniku cyfrowego ataku. Przedstawiciel firmy zadeklarował pełną gotowość do odbudowy utraconego zaufania.
Działania wyjaśniające i status portalu BezpieczneDane.gov.pl
Sprawa wycieku znajduje się obecnie pod nadzorem Prokuratury Okręgowej w Warszawie, a bezpośrednie czynności śledcze prowadzi Centralne Biuro Zwalczania Cyberprzestępczości (CBZC). Równolegle zarząd spółki, przy wsparciu zewnętrznych specjalistów, prowadzi audyt weryfikujący precyzyjny zakres naruszenia. Firma ściśle współpracuje także z CERT Polska, Centrum e-Zdrowia oraz Ministerstwem Cyfryzacji.
W kontekście ochrony obywateli wiceminister cyfryzacji Dariusz Standerski poinformował, że zespół NASK jest przygotowany do szybkiego wprowadzenia informacji do rządowego serwisu bezpiecznedane.gov.pl – proces ten ma zająć od 6 do 8 godzin od chwili przekazania baz przez policję. Na obecnym etapie CBZC ocenia jednak, że bezpośrednie publikowanie numerów PESEL pacjentów na portalu nie jest jeszcze uzasadnione.
Powiadomienia dla 18 milionów pacjentów ze względów ostrożnościowych
Zgodnie z wymogami rozporządzenia RODO, spółka przygotowuje się do uruchomienia procedury informowania placówek medycznych. Podmioty lecznicze otrzymają od MyDr kompletne materiały oraz wsparcie techniczne, aby bezpośrednio powiadomić pacjentów o zaistniałej sytuacji.
Przyjęte kryteria informacyjne mają charakter prewencyjny i obejmują bardzo szeroką grupę odbiorców – zawiadomienia mogą dotrzeć do około 18 milionów osób. Dotyczy to przede wszystkim rekordów archiwalnych (utworzonych w kwietniu 2024 roku lub wcześniej), których na obecnym etapie badania nie zdołano definitywnie wykluczyć ze zbioru dotkniętego incydentem. Zarząd zaznacza, że trafienie na listę do powiadomienia nie oznacza jednoznacznie faktu skradzenia czy upublicznienia danych. Zapewniono również, że bieżący monitoring sieci nie wykazał dotąd udostępnienia skradzionych informacji w przestrzeni publicznej.
Nowe procedury techniczne i zapowiedź zmian legislacyjnychW ramach odpowiedzi na kryzys MyDr wdraża dodatkowe mechanizmacje ochronne, w tym ciągłe weryfikacje podatności systemów prowadzone z wykorzystaniem rozwiązań opartych na sztucznej inteligencji. Prezes spółki zapowiedział ponadto opublikowanie szczegółowego raportu powdrożeniowego po zakończeniu pełnej analizy zdarzenia.
Sprawa wywołała również reakcję na szczeblu rządowym. Wiceminister Dariusz Standerski zapowiedział przygotowanie nowych regulacji prawnych, które nałożą dodatkowe obowiązki i wymogi bezpieczeństwa na podmioty prowadzące masowe przetwarzanie danych osobowych.
