Incydent cyberbezpieczeństwa dotyczący systemu wykorzystywanego do obsługi dokumentacji medycznej trafił pod lupę policji. Sprawa dotyczy firmy Qbusoft, producenta oprogramowania Medyc. O naruszeniu poinformował pacjentów Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu.

Jak podała Polska Agencja Prasowa, działania w sprawie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości. Informację o potencjalnym incydencie przekazał 24 września minister cyfryzacji i pełnomocnik rządu ds. cyberbezpieczeństwa Krzysztof Gawkowski.

Według informacji opublikowanych przez Onet dochodzenie jest elementem szerszego śledztwa. Na obecnym etapie dostępne informacje nie pozwalają przesądzić o pełnej skali zdarzenia ani liczbie osób, których dane zostały naruszone.

Placówka ostrzegła pacjentów

Najbardziej konkretna informacja o możliwych skutkach ataku pochodzi z komunikatu Odwykowo-Psychiatrycznego Ośrodka Leczniczego w Inowrocławiu. Placówka poinformowała, że system jej podmiotu przetwarzającego, czyli Qbusoft, „padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych”.

Według informacji przytoczonych przez Onet incydent mógł dotyczyć danych kontaktowych, numerów PESEL oraz informacji o zdrowiu. To szczególnie wrażliwy zestaw danych, ponieważ łączy informacje umożliwiające identyfikację konkretnej osoby z dokumentacją dotyczącą jej zdrowia.

Nie wiadomo jednak, czy zakres naruszenia był identyczny w przypadku wszystkich pacjentów ani ilu osób dotyczy zdarzenie. Dostępne materiały nie dają też podstaw do określenia pełnego zasięgu incydentu poza placówką, która poinformowała o nim swoich pacjentów.

Minister wskazuje na brak zgłoszenia do zespołów reagowania

Istotnym elementem sprawy jest sposób raportowania zdarzenia. Gawkowski przekazał, że Qbusoft nie zgłosił dotąd incydentu do CERT Polska ani CSiRT CeZ, czyli zespołu reagowania na incydenty bezpieczeństwa działającego przy Centrum e-Zdrowia.

Minister poinformował również, że CSiRT CeZ wspólnie z resortem zdrowia przygotował zalecenia bezpieczeństwa dla dostawców oprogramowania wykorzystywanego w ochronie zdrowia. Miały one zostać przekazane dostawcom 16 września, a więc przed ujawnieniem obecnej sprawy.

„W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje” — napisał Gawkowski w wypowiedzi przytoczonej przez Onet.

Na tym etapie nie przedstawiono jednak publicznie ustaleń pozwalających stwierdzić, że Qbusoft rzeczywiście naruszył konkretną procedurę. Działania służb i brak zgłoszenia wskazany przez ministra są faktami, natomiast ewentualna odpowiedzialność firmy wymaga odrębnego ustalenia.

[b>Kolejny poważny sygnał dla ochrony zdrowia

Sprawa Medyc pojawia się krótko po innym dużym incydencie dotyczącym dostawcy systemów dla sektora medycznego. W sierpniu Ministerstwo Cyfryzacji informowało o cyberataku na MyDr, platformę służącą m.in. do prowadzenia elektronicznej dokumentacji medycznej.

Według przekazanych wówczas informacji wyciek obejmował dane dotyczące około 19 mln osób i 12 tys. podmiotów medycznych korzystających z platformy. Wśród informacji znajdowały się dane związane m.in. z lekami i receptami. Gawkowski określał wtedy skalę zdarzenia jako nadzwyczajną.

Obu zdarzeń nie należy jednak automatycznie łączyć. Dostępne źródła nie wskazują, by atak dotyczący Medyc i wcześniejszy incydent MyDr miały wspólnego sprawcę albo stanowiły element tej samej operacji. Łączy je natomiast problem zależności placówek medycznych od zewnętrznych dostawców systemów przechowujących i przetwarzających szczególnie wrażliwe informacje.

[b>Skala incydentu pozostaje nieustalona

Najważniejszym niewyjaśnionym elementem pozostaje obecnie rzeczywisty zakres naruszenia. Wiadomo, że co najmniej jedna placówka poinformowała o utracie poufności danych przetwarzanych przez Qbusoft, a sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości. Nie podano natomiast liczby poszkodowanych pacjentów, pełnego katalogu objętych atakiem podmiotów ani technicznego przebiegu zdarzenia.

Dopóki takich ustaleń nie przedstawią służby, właściwe zespoły reagowania lub sam dostawca systemu, określanie skali wycieku pozostaje przedwczesne. W przypadku danych medycznych znaczenie ma przy tym nie tylko liczba rekordów, ale również ich zakres i możliwość powiązania informacji o zdrowiu z konkretnymi osobami.