Wiceminister cyfryzacji Dariusz Standerski, pytany w "Faktach po Faktach", kiedy będzie można sprawdzić w serwisie bezpiecznedane.gov.pl, czyje dane zostały przejęte z systemów MyDr, podkreślił, że obecnie policja zabezpiecza i analizuje zgromadzone informacje.
- Musimy precyzyjnie ustalić, które dane rzeczywiście wyciekły i które odpowiadają deklaracjom zarówno atakujących, jak i firmy będącej przedmiotem tego ataku. Dzisiaj opieramy się tylko na tych deklaracjach - powiedział wiceminister Standerski.
Jak wyjaśnił, firma otrzymała informację o ataku od NASK, który z kolei został powiadomiony przez zaufaną stronę trzecią - portal internetowy.
Czytaj też: Resort zdrowia zabrał głos po ataku na MyDr
Wiceminister cyfryzacji: dane nie krążą po sieci
Standerski podkreślił, że według informacji posiadanych obecnie przez służby dane nie zostały opublikowane. - Co najważniejsze, te dane nie krążą po sieci - zaznaczył.
Pytany, na jakiej podstawie resort może to stwierdzić, skoro nadal nie ustalono dokładnego zakresu wycieku, wiceminister wyjaśnił, że znane są kategorie informacji, które mogły zostać przejęte.
- Wiemy, że przedmiotem tego ataku padły numery PESEL, informacje dotyczące recept oraz notatki z wizyt lekarskich. Dlatego służby i NASK monitorują sieć, również strony używane do różnego rodzaju działań przestępczych, w poszukiwaniu informacji, czy te dane w tej chwili są ujawniane. Obecnie nie są - wyjaśnił.
Dodał, że służby pracują nad tym, aby nie doszło do najczarniejszego scenariusza, czyli upublicznienia przejętych informacji.
Poprzedni atak na tę samą firmę
Standerski przypomniał, że do podobnego incydentu w tej samej firmie doszło już w 2024 roku. Tamta sprawa dotyczyła jednak innych informacji - danych potwierdzających ubezpieczenie pacjentów. Nie obejmowała dokumentacji medycznej.
- Wówczas dzięki szybkiej reakcji NFZ-tu, który zauważył nadzwyczajny ruch w systemie, zdołano szybko zidentyfikować sprawców, zabezpieczyć dane i usunąć je z serwerów sprawców. Sprawcy usłyszeli zarzuty - przekazał.
Zastrzegł jednocześnie, że obecny atak różni się od poprzedniego, ponieważ włamanie miało dotyczyć innych elementów infrastruktury informatycznej firmy.
- Nie była to identyczna sytuacja, ponieważ włamano się do różnych części systemów tej firmy. Teraz sprawcy twierdzą, że włamali się do wszystkich jej systemów. Dlatego tak ważna jest kontrola, żeby precyzyjnie zidentyfikować punkt, w którym doszło do włamania - przekazał.
Z usług firmy korzystały tysiące podmiotów
Zdaniem wiceministra incydent pokazuje konieczność wprowadzenia zmian systemowych. Z usług firmy miało korzystać około 12 tysięcy podmiotów z całej Polski. Jednocześnie to właśnie one pozostawały administratorami danych i ponosiły za nie odpowiedzialność, mimo że informacje były faktycznie przechowywane i przetwarzane przez zewnętrzną firmę.
- Struktura i sposób działania były takie, że te 12 tysięcy podmiotów pozostało administratorami danych. Wzięły na siebie odpowiedzialność za te dane, mimo że nie miały ich u siebie - dodał.
Jak podkreślił, po incydencie z 2024 roku instytucje publiczne usprawniły procedury zgłaszania nieprawidłowości i anomalii w systemach. Tym razem problem mógł jednak wystąpić na styku dwóch prywatnych przedsiębiorstw.
Standerski: pora na zmiany systemowe
- W tym przypadku zapewne zawiodły systemy pomiędzy jedną firmą prywatną a drugą firmą prywatną. To, co dzisiaj możemy zrobić, i wnioski, które możemy z tego wyciągnąć, mają charakter systemowy. Chodzi o zwiększenie odpowiedzialności podmiotów, które przetwarzają dane, ale nie są ich administratorami, oraz o zwiększenie obowiązków podmiotów, które przetwarzają dane masowo - niezależnie od tego, jak są duże i czy administrują danymi, czy tylko je przetwarzają - przekazał.
Wiceminister zapowiedział, że w przyszłym tygodniu resort przedstawi propozycje zmian prawnych. Mają one nałożyć nowe obowiązki na podmioty, które masowo przetwarzają dane, ale obecnie nie są objęte wszystkimi istniejącymi regulacjami.
- W przyszłym tygodniu zaproponujemy konkretne rozwiązania ustawowe dotyczące nowych obowiązków dla tych podmiotów, które wymykają się rozwiązaniom, które zostały wprowadzone jeszcze kilka lat temu - zapowiedział wiceminister.
Kiedy będzie można sprawdzić swoje dane?
Standerski został również zapytany, kiedy pacjenci będą mogli sprawdzić, czy ich dane znalazły się wśród informacji przejętych z systemów MyDr. Wyjaśnił, że termin zależy przede wszystkim od zakończenia analizy prowadzonej przez policję.
- Mamy do czynienia z liczbą rekordów równą 31 milionów. Przejrzenie każdego z tych rekordów, nawet automatycznie, wymaga czasu, a musimy być precyzyjni. Mam nadzieję, że ta analiza zakończy się w ciągu kilku dni - przekazał.
Po otrzymaniu zweryfikowanych informacji dane mają zostać załadowane do rządowego serwisu bezpiecznedane.gov.pl, gdzie obywatele będą mogli sprawdzić, czy wyciek ich dotyczy.
- Po przekazaniu danych nasz zespół potrzebuje od sześciu do ośmiu godzin, żeby załadować je na portalu bezpiecznedane.gov.pl. Wówczas będą dostępne. Natomiast nie mogę deklarować za policję, jak długo jeszcze będą analizować te dane - podsumował wiceminister cyfryzacji.