Kara dla SPZOZ w Pajęcznie po zaszyfrowaniu danych 30 tys. pacjentów

26 sierpnia poinformowano na stronie Urzędu Ochrony Danych Osobowych, że jego prezes nałożył na Samodzielny Publiczny ZOZ w Pajęcznie karę 40 tys. złotych. W wyniku ataku hakerskiego placówka straciła dostęp do danych pacjentów i pracowników a działania naprawcze podjęte zostały dopiero po fakcie.

Zaszyfrowano dane osobowe 30 tys. pacjentów

Do ataku hakerskiego doszło w lutym 2022 r. Złośliwe oprogramowanie typu ransomware zaszyfrowało dane osobowe 30 tys. pacjentów i ponad tysiąca pracowników. ZOZ zawiadomił o tym UODO i policję. Uznał jednak, że atak nie był poważny, bo dane nie wyciekły – stały się tylko niedostępne (zewnętrzny ekspert wskazał, że danych nie da się odszyfrować – atakujący uzależnili odszyfrowanie danych od zapłacenia okupu w kryptowalucie). Prezes UODO ustalił jednak w postępowaniu, że sprawa była istotna.

Wcześniej placówka nie przeprowadziła analizy ryzyka dla danych osobowych. Nie mogła więc skutecznie chronić danych osobowych – stąd kara.

Na zagrożenie dla danych osobowych ZOZ zareagował dopiero po ataku. Wtedy wezwał ekspertów, którzy wskazali luki w zabezpieczeniach i zarekomendowali zmiany. Odbyły się też szkolenia dla pracowników dotyczące bezpieczeństwa systemów informatycznych i danych.

ZOZ nie miał jednak – co jest kluczowe – dokumentów potwierdzających sporządzenie i aktualizowanie analizy ryzyka dla danych osobowych. Bezpieczeństwo danych powierzono informatykowi, który na bieżąco analizował m.in. podatności, zagrożenia, możliwe skutki naruszenia oraz środki bezpieczeństwa mające na celu zapewnienie poufności, integralności i dostępności przetwarzanych danych osobowych. To w żaden sposób nie mogło zapewnić należytej kontroli nad bezpieczeństwem danych.

W efekcie przyjęte w ZOZ procedury nie były adekwatne do ryzyk dla danych osobowych. Wykazał to przeprowadzony już po ataku audyt.

Prawie 1,5 mln złotych kary dla AHoP po ataku hakerskimInfrastruktura informatyczna Spółki American Heart of Poland SA została zaatakowana przez hakerów, którzy uzyskali dostęp do danych osobowych około 21 tys. osób. Zdaniem prezesa UODO przyczyną było źle szacowane ryzyko dla przechowwywanych przez spółkę danych. Zdarzenie miało miejsce w 2021 roku.

Aktualizacja analizy ryzyka

Nie mając analizy ryzyka, ZOZ popełnił błędy także po incydencie – zgłosił swój problem UODO i policji, ale nie zauważył problemu osób, których dane dotyczyły. Nie powiadomił ich, że stracił kontrolę nad danymi takimi jak: imię i nazwisko, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, nr PESEL, nazwa użytkownika i/lub hasło, dane dotyczące zarobków lub posiadanego majątku, nazwisko rodowe matki, seria i numer dowodu osobistego, numer telefonu oraz dane dotyczące zdrowia.

ZOZ uważał, że powiadamiać zainteresowanych nie musi, bo dane nie zostały wykradzione, tylko nie ma do nich dostępu. Tyle, że z dokonanych ustaleń wynika jedynie, że nie ma śladu wycieku danych. Nie jest to jednak jednoznaczne z tym, że hakerzy tych danych sobie nie skopiowali.

Poza tym, gdyby ZOZ sporządził rzetelną analizę ryzyka dla danych, wiedziałby, że problemem jest nie tylko wyciek danych, ale i to, że pacjenci tracą dostęp do swoich danych dotyczących zdrowia. Takiego ryzyka nie można oceniać jako niskie. A inna kwalifikacja ryzyka skłoniłaby ZOZ do wprowadzenia lepszych zabezpieczeń.

Jak zabezpieczyć sektor zdrowia przed cyberatakami?Ataki cyfrowe na placówki ochrony zdrowia zdarzają się coraz częściej, także w Polsce. Ransomware w Instytucie Centrum Zdrowia Matki Polki w Łodzi czy atak na sieć laboratoriów ALAB pokazują, że nasza infrastruktura jest coraz częściej punktem zainteresowania cyberprzestępców. Jak przed tym się chronić?

Oprócz kary finansowej prezes UODO zalecił wdrożenie w terminie 30 dni odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych w systemach informatycznych. Nakazał też powiadomić o zdarzeniu osoby, których dane dotyczą, wytłumaczyć im, co się stało, przedstawić możliwe konsekwencje zdarzenia i wskazać, kto może udzielić w ZOZ więcej informacji na ten temat.