Cyberatak na system MyDr mo\u017ce dotyczy\u0107 danych nawet 18,8 mln os\u00f3b i ponad 12 tys. plac\u00f3wek medycznych. Teraz sprawa wchodzi w kolejn\u0105 faz\u0119 \u2013 pacjenci zaczynaj\u0105 otrzymywa\u0107 SMS-y i e-maile informuj\u0105ce o naruszeniu dotycz\u0105cym danych przechowywanych przez konkretne plac\u00f3wki. Dla rynku ubezpieczeniowego to jeden z tych przypadk\u00f3w, kt\u00f3re bardzo wyra\u017anie pokazuj\u0105, \u017ce skutki cyberincydentu nie ko\u0144cz\u0105 si\u0119 wraz z odzyskaniem kontroli nad systemem.<\/p>\n\n\n\n
Do incydentu cyberbezpiecze\u0144stwa w MyDr, dostawcy oprogramowania dla lekarzy i plac\u00f3wek ochrony zdrowia, dosz\u0142o w sierpniu. 12 sierpnia Ministerstwo Cyfryzacji poinformowa\u0142o, \u017ce firma potwierdzi\u0142a nieuprawniony dost\u0119p do historycznych danych gabinet\u00f3w lekarskich przechowywanych w jej systemach \u2013 do kwietnia 2024 roku.<\/p>\n\n\n\n
Wed\u0142ug oficjalnego komunikatu skala zdarzenia mo\u017ce obejmowa\u0107 dane 18,8 mln os\u00f3b i ponad 12 tys. plac\u00f3wek medycznych. Spraw\u0105 zajmuj\u0105 si\u0119 m.in. Centralne Biuro Zwalczania Cyberprzest\u0119pczo\u015bci, prokuratura oraz Urz\u0105d Ochrony Danych Osobowych.<\/p>\n\n\n\n
Prezes UODO zapowiedzia\u0142 kontrol\u0119 MyDr. Urz\u0105d ma sprawdzi\u0107 m.in. zastosowane przez sp\u00f3\u0142k\u0119 \u015brodki techniczne i organizacyjne, spos\u00f3b ich testowania oraz to, czy analiza ryzyka uwzgl\u0119dnia\u0142a mo\u017cliwe zagro\u017cenia dla przetwarzanych danych.<\/p>\n\n\n\n
To istotne r\u00f3wnie\u017c dlatego, \u017ce m\u00f3wimy o sektorze ochrony zdrowia, a wi\u0119c \u015brodowisku, w kt\u00f3rym przetwarzane s\u0105 nie tylko podstawowe dane identyfikacyjne, ale r\u00f3wnie\u017c szczeg\u00f3lnie chronione informacje dotycz\u0105ce zdrowia.<\/p>\n\n\n\n
Na pocz\u0105tku wrze\u015bnia incydent sta\u0142 si\u0119 odczuwalny bezpo\u015brednio przez pacjent\u00f3w. W r\u00f3\u017cnych cz\u0119\u015bciach kraju zacz\u0119\u0142y pojawia\u0107 si\u0119 informacje o SMS-ach i e-mailach dotycz\u0105cych naruszenia danych.<\/p>\n\n\n\n
7 wrze\u015bnia Komenda Powiatowa Policji w W\u0105growcu poinformowa\u0142a, \u017ce w ostatnich dniach mieszka\u0144cy powiatu zacz\u0119li otrzymywa\u0107 SMS-y od plac\u00f3wek medycznych korzystaj\u0105cych z system\u00f3w MyDr. Podobne przypadki s\u0105 opisywane w innych regionach kraju.<\/p>\n\n\n\n
Z doniesie\u0144 wynika r\u00f3wnie\u017c, \u017ce w indywidualnych zawiadomieniach mo\u017ce by\u0107 wskazywana konkretna plac\u00f3wka medyczna, z kt\u00f3r\u0105 powi\u0105zane by\u0142y dane pacjenta, oraz zakres informacji, kt\u00f3rych mog\u0142o dotyczy\u0107 naruszenie.<\/p>\n\n\n\n
Nie jest to przypadkowy etap ca\u0142ej sprawy. UODO przypomina, \u017ce administratorem danych pozostaj\u0105 poszczeg\u00f3lne plac\u00f3wki i gabinety korzystaj\u0105ce z us\u0142ug MyDr. Je\u017celi administrator stwierdzi wysokie ryzyko naruszenia praw lub wolno\u015bci os\u00f3b fizycznych, powinien bez zb\u0119dnej zw\u0142oki zawiadomi\u0107 osoby, kt\u00f3rych dane dotycz\u0105.<\/p>\n\n\n\n
Dla wielu plac\u00f3wek cyberatak na zewn\u0119trznego dostawc\u0119 technologii oznacza wi\u0119c konieczno\u015b\u0107 wykonania dzia\u0142a\u0144 po w\u0142asnej stronie.<\/p>\n\n\n\n
I w\u0142a\u015bnie ten element jest szczeg\u00f3lnie interesuj\u0105cy z perspektywy rynku ubezpieczeniowego.<\/p>\n\n\n\n
Incydent nie dotyczy wy\u0142\u0105cznie jednej firmy technologicznej. MyDr jest podmiotem przetwarzaj\u0105cym dane powierzone przez plac\u00f3wki medyczne. UODO jednoznacznie przypomnia\u0142 administratorom, kt\u00f3rzy korzystali z us\u0142ug sp\u00f3\u0142ki, \u017ce tak\u017ce po ich stronie mog\u0105 powsta\u0107 obowi\u0105zki wynikaj\u0105ce z naruszenia.<\/p>\n\n\n\n
Je\u017celi plac\u00f3wka otrzyma potwierdzenie, \u017ce incydent obejmowa\u0142 r\u00f3wnie\u017c dane, kt\u00f3rych jest administratorem, powinna przeanalizowa\u0107 naruszenie pod k\u0105tem ryzyka dla praw i wolno\u015bci os\u00f3b fizycznych. Je\u017celi zachodz\u0105 przes\u0142anki do zg\u0142oszenia naruszenia, art. 33 RODO przewiduje dokonanie go bez zb\u0119dnej zw\u0142oki \u2013 w miar\u0119 mo\u017cliwo\u015bci nie p\u00f3\u017aniej ni\u017c w ci\u0105gu 72 godzin od jego stwierdzenia. Przy wysokim ryzyku dochodzi obowi\u0105zek zawiadomienia os\u00f3b, kt\u00f3rych dane dotycz\u0105.<\/p>\n\n\n\n
To dobry przyk\u0142ad ryzyka zwi\u0105zanego z cyfrowym \u0142a\u0144cuchem dostaw. Organizacja nie musi zosta\u0107 zaatakowana bezpo\u015brednio, \u017ceby ponosi\u0107 konsekwencje incydentu. Wystarczy, \u017ce naruszenie nast\u0105pi u dostawcy systemu, kt\u00f3remu powierzono dane.<\/p>\n\n\n\n
W\u0142a\u015bnie tutaj pojawia si\u0119 przestrze\u0144 dla cyberubezpiecze\u0144.<\/p>\n\n\n\n
W praktyce konsekwencje powa\u017cnego naruszenia mog\u0105 obejmowa\u0107 znacznie wi\u0119cej ni\u017c samo przywr\u00f3cenie dzia\u0142ania infrastruktury IT. W zale\u017cno\u015bci od charakteru zdarzenia przedsi\u0119biorstwo mo\u017ce mierzy\u0107 si\u0119 z kosztami analizy incydentu, obs\u0142ugi prawnej, informowania os\u00f3b, kt\u00f3rych dane dotycz\u0105, zarz\u0105dzania kryzysem, przywracania danych i system\u00f3w czy odpowiedzialno\u015bci\u0105 wobec os\u00f3b trzecich.<\/p>\n\n\n\n
Do tego dochodzi ryzyko przestoju oraz konsekwencji biznesowych i reputacyjnych.<\/p>\n\n\n\n
Nie oznacza to jednak, \u017ce ka\u017cda polisa cyber automatycznie pokryje wszystkie takie koszty. Zakres ochrony zale\u017cy od konkretnego produktu, OWU, limit\u00f3w, podlimit\u00f3w, udzia\u0142\u00f3w w\u0142asnych, wy\u0142\u0105cze\u0144 oraz okoliczno\u015bci zdarzenia.<\/p>\n\n\n\n
Co wi\u0119cej, najnowsza analiza opublikowana w \u201eWiadomo\u015bciach Ubezpieczeniowych\u201d PIU wskazuje na ograniczon\u0105 liczb\u0119 dedykowanych produkt\u00f3w cyberubezpieczeniowych na polskim rynku i znacz\u0105ce zr\u00f3\u017cnicowanie ich zakresu. Autorzy, analizuj\u0105c rozwi\u0105zania dost\u0119pne dla M\u015aP i JST, zwracaj\u0105 uwag\u0119 r\u00f3wnie\u017c na brak pe\u0142nego dopasowania oferty do struktury wsp\u00f3\u0142czesnych zagro\u017ce\u0144 cybernetycznych.<\/p>\n\n\n\n
To wa\u017cna uwaga dla dystrybutor\u00f3w: samo pytanie klienta \u201eczy mam cyber?\u201d m\u00f3wi niewiele. Znacznie istotniejsze jest to, na jakie scenariusze rzeczywi\u015bcie odpowiada zawarta umowa.<\/p>\n\n\n\n
Incydent MyDr pokazuje jeszcze jeden obszar, kt\u00f3ry powinien pojawia\u0107 si\u0119 podczas analizy ryzyka przedsi\u0119biorstwa: zale\u017cno\u015b\u0107 od podmiot\u00f3w trzecich.<\/p>\n\n\n\n
Firmy coraz cz\u0119\u015bciej korzystaj\u0105 z chmurowych system\u00f3w ksi\u0119gowych, CRM, platform sprzeda\u017cowych, system\u00f3w rezerwacji, dostawc\u00f3w oprogramowania SaaS czy zewn\u0119trznych centr\u00f3w danych. Plac\u00f3wki medyczne nie s\u0105 pod tym wzgl\u0119dem wyj\u0105tkiem.<\/p>\n\n\n\n
Z perspektywy ubezpieczeniowej wa\u017cne jest wi\u0119c nie tylko pytanie o to, co stanie si\u0119 po ataku na infrastruktur\u0119 samego klienta. R\u00f3wnie istotne mo\u017ce by\u0107 ustalenie, jak polisa traktuje incydent wyst\u0119puj\u0105cy u zewn\u0119trznego dostawcy us\u0142ug.<\/p>\n\n\n\n
Czy ochrona obejmuje okre\u015blone skutki naruszenia u podmiotu trzeciego? Jak definiowany jest dostawca us\u0142ug? Czy wyst\u0119puj\u0105 podlimity? Jak traktowana jest przerwa w dzia\u0142alno\u015bci wynikaj\u0105ca z awarii lub cyberataku poza infrastruktur\u0105 ubezpieczonego?<\/p>\n\n\n\n
Odpowiedzi b\u0119d\u0105 zale\u017ca\u0142y od konkretnego produktu i OWU. W\u0142a\u015bnie dlatego cyberubezpieczenia s\u0105 obszarem, w kt\u00f3rym w\u0142a\u015bciwie przeprowadzona analiza potrzeb i ryzyka ma szczeg\u00f3lne znaczenie.<\/p>\n\n\n\n
Obecna fala SMS-\u00f3w i e-maili wysy\u0142anych do pacjent\u00f3w dobrze pokazuje, jak d\u0142ugo mog\u0105 rozwija\u0107 si\u0119 konsekwencje jednego incydentu.<\/p>\n\n\n\n
Sam nieuprawniony dost\u0119p do danych jest pocz\u0105tkiem. P\u00f3\u017aniej pojawiaj\u0105 si\u0119 analiza skali naruszenia, obowi\u0105zki prawne, kontakt z osobami, kt\u00f3rych dane dotycz\u0105, dzia\u0142ania regulatora, post\u0119powanie organ\u00f3w \u015bcigania i ryzyko wt\u00f3rnego wykorzystania przej\u0119tych informacji.<\/p>\n\n\n\n
Policja ostrzega ju\u017c przed kolejnym zagro\u017ceniem: przest\u0119pcy mog\u0105 wykorzysta\u0107 wiedz\u0119 o wycieku do phishingu lub vishingu. Wiadomo\u015b\u0107 informuj\u0105ca o konieczno\u015bci \u201ezablokowania PESEL-u\u201d mo\u017ce w rzeczywisto\u015bci prowadzi\u0107 do fa\u0142szywej strony s\u0142u\u017c\u0105cej wy\u0142udzaniu kolejnych danych.<\/p>\n\n\n\n
Powstaje wi\u0119c efekt domina \u2013 jeden incydent mo\u017ce generowa\u0107 kolejne ryzyka d\u0142ugo po samym ataku.<\/p>\n\n\n\n
Przez lata cyberubezpieczenie mo\u017cna by\u0142o przedstawia\u0107 klientowi poprzez hipotetyczne scenariusze: \u201eco si\u0119 stanie, je\u015bli kto\u015b wykradnie baz\u0119 klient\u00f3w?\u201d, \u201eco b\u0119dzie, je\u015bli system przestanie dzia\u0142a\u0107?\u201d albo \u201eile b\u0119dzie kosztowa\u0142 wyciek danych?\u201d.<\/p>\n\n\n\n
Przypadek MyDr pozwala t\u0119 rozmow\u0119 odwr\u00f3ci\u0107.<\/p>\n\n\n\n
Nie chodzi o straszenie klienta skal\u0105 ataku. Warto natomiast zapyta\u0107 przedsi\u0119biorc\u0119, gdzie znajduj\u0105 si\u0119 jego dane, kto poza nim ma do nich dost\u0119p, od jakich dostawc\u00f3w technologicznych zale\u017cy dzia\u0142alno\u015b\u0107 i jakie obowi\u0105zki powstan\u0105, je\u015bli naruszenie wyst\u0105pi w\u0142a\u015bnie u jednego z nich.<\/p>\n\n\n\n
To szczeg\u00f3lnie istotne w przypadku podmiot\u00f3w przetwarzaj\u0105cych du\u017ce zbiory danych osobowych, danych wra\u017cliwych lub silnie uzale\u017cnionych od dost\u0119pno\u015bci system\u00f3w IT.<\/p>\n\n\n\n
Cyberubezpieczenie nie zast\u0105pi odpowiednich zabezpiecze\u0144 technicznych, procedur ani zarz\u0105dzania ryzykiem. Mo\u017ce natomiast stanowi\u0107 jeden z element\u00f3w finansowania skutk\u00f3w zdarzenia \u2013 pod warunkiem, \u017ce zakres ochrony odpowiada rzeczywistej ekspozycji przedsi\u0119biorstwa.<\/p>\n\n\n\n
Incydent MyDr jest pod tym wzgl\u0119dem bardzo czytelnym sygna\u0142em dla rynku. Cyberryzyko coraz cz\u0119\u015bciej nie jest ju\u017c pytaniem o to, czy przedsi\u0119biorstwo zostanie bezpo\u015brednio zaatakowane. Pytanie brzmi r\u00f3wnie\u017c: co stanie si\u0119 z jego biznesem i odpowiedzialno\u015bci\u0105, gdy zaatakowany zostanie jeden z podmiot\u00f3w, od kt\u00f3rych jest cyfrowo zale\u017cne?<\/p>\n\n\n\n
Cyberatak na system MyDr mo\u017ce dotyczy\u0107 danych nawet 18,8 mln os\u00f3b i ponad 12 tys. plac\u00f3wek medycznych. Teraz sprawa wchodzi w kolejn\u0105 faz\u0119 \u2013 pacjenci zaczynaj\u0105 otrzymywa\u0107 SMS-y i e-maile informuj\u0105ce o naruszeniu dotycz\u0105cym danych przechowywanych przez konkretne plac\u00f3wki. Dla rynku ubezpieczeniowego to jeden z tych przypadk\u00f3w, kt\u00f3re bardzo wyra\u017anie pokazuj\u0105, \u017ce skutki cyberincydentu nie ko\u0144cz\u0105 si\u0119 wraz z odzyskaniem kontroli nad systemem.<\/p>\n","protected":false},"author":2,"featured_media":807,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[12],"tags":[],"class_list":["post-808","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-top-news"],"acf":[],"yoast_head":"\n