Ministerstwo Cyfryzacji przedstawia Cyber Piątkę po incydencie z danymi z MyDr
Resort cyfryzacji ogłosił pakiet pięciu zmian w prawie, które mają lepiej chronić informacje o zdrowiu Polaków. Impulsem było zdarzenie z danymi w firmie MyDr. Propozycje obejmują m.in. certyfikaty dla przetwarzających dane, minimalne standardy technologiczne i szybsze informowanie o naruszeniach.
Ministerstwo Cyfryzacji zaprezentowało pakiet pod nazwą Cyber Piątka — zestaw pięciu propozycji legislacyjnych, których celem jest podniesienie poziomu ochrony danych, przede wszystkim medycznych. Bezpośrednim powodem było zdarzenie z danymi w firmie MyDr.
Pierwszy element to certyfikat bezpieczeństwa dla firm, którym powierza się informacje o zdrowiu pacjentów; miałby być spięty z systemem opisanym w ustawie o KSC. Drugi wyznacza próg technologiczny dla systemów teleinformatycznych obsługujących takie dane — oparty na obowiązujących normach cyberbezpieczeństwa i mający chronić dane niezależnie od tego, komu placówka zleciła ich obsługę.
Trzecia zmiana dotyczy samego pacjenta: placówka musiałaby mu powiedzieć, komu przekazała jego dane, w jakim zakresie oraz jak się z takim podmiotem skontaktować. Czwarta to alerty w aplikacjach mObywatel i mojeIKP — o wizycie u lekarza czy wystawionej recepcie — dzięki którym łatwiej wychwycić, że ktoś próbuje wykorzystać cudze dane.
Ostatni punkt obejmuje graczy działających na dużą skalę: tych, którzy obsługują dane więcej niż 100 administratorów albo ponad 100 tys. osób. Po naruszeniu mieliby przekazywać do CSIRT NASK, drogą przez policję, imiona, nazwiska i numery PESEL poszkodowanych; informacje te mogłyby potem trafić do obywateli na portalu bezpiecznedane.gov.pl. Musieliby też raportować zleceniodawcom, jak zabezpieczają dane, gdzie je trzymają, komu przekazują je dalej i co wykazały audyty oraz testy. Przed startem przetwarzania konieczna byłaby ocena ryzyka, odświeżana nie rzadziej niż co 2 lata, a także po każdej poważnej zmianie warunków.
Wiceminister cyfryzacji Dariusz Standerski uzasadniał zmiany tym, że firmy i urzędy obracające masowo wrażliwymi danymi muszą odpowiadać za nie mocniej. „Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie" — stwierdził.
Doniesienia rozchodzą się w opisie samego zdarzenia w MyDr: raz mowa o cyberataku i kradzieży danych z prywatnej firmy, raz po prostu o wycieku z systemów tej spółki. Nie zgadza się też poziom szczegółowości co do skali — tylko w jednej relacji pada szacunek około 19 milionów Polaków, pozostałe nie podają, ilu osób dotknęło zdarzenie.
Warto pamiętać, że na tym etapie mówimy wyłącznie o propozycjach. Resort zapowiada, że dopiero następnym krokiem będzie przygotowanie szczegółowych rozwiązań prawnych i ich wdrożenie, więc ostateczny kształt przepisów może się od zaprezentowanego pakietu różnić.