Państwo umywa ręce po wycieku danych medycznych. Obywatele słyszą tylko o zastrzeżeniu PESEL
Już sama narracja Gawkowskiego budzi poważne wątpliwości co do rzetelności i szybkości reakcji państwa. Zaledwie dwa dni wcześniej minister twierdził, że nie można ostatecznie potwierdzić wycieku, a teraz z całą stanowczością mówi o niebywałym i bardzo dużym incydencie, określając jego skalę na blisko 19 milionów rekordów. Ta gwałtowna zmiana stanowiska świadczy albo o tym, że przez krytyczne godziny służby nie miały pełnego obrazu sytuacji, albo o celowym wstrzymywaniu niepokojących informacji.
Czytaj także
Bierność państwa wobec podmiotu przechowującego dane wrażliwe
W przypadku ataku na infrastrukturę medyczną, gdzie każdy dzień zwłoki może oznaczać dalsze rozpowszechnianie skradzionych danych, taka niepewność i rozbieżność w oficjalnych wystąpieniach są niedopuszczalne i podkopują zaufanie do instytucji odpowiedzialnych za ochronę informacji wrażliwych.
Firma MyDr, która obsługuje miliony wizyt miesięcznie i wystawia ogromną liczbę recept, gromadziła dane pacjentów z całego kraju, a mimo to państwo nie zapewniło odpowiedniego nadzoru ani standardów bezpieczeństwa, które zapobiegłyby takiemu incydentowi. Hakerzy mieli skontaktować się z kierownictwem firmy już 5 sierpnia, a publiczna reakcja nastąpiła dopiero tydzień później, co oznacza, że przez cenny czas dane mogły być już szeroko rozpowszechniane. To nie jest działanie w trybie nadzwyczajnym, lecz dowód na zbyt wolną reakcję zarówno firmy, jak i nadzorujących ją instytucji.
Higiena cyfrowa zamiast systemowej odpowiedzialności
Jeszcze bardziej niepokojące jest to, na czym minister skupia uwagę w swoim wystąpieniu. Zamiast przedstawić konkretne mechanizmy, które zawiodły, lub wskazać odpowiedzialnych za brak należytego nadzoru, Gawkowski koncentruje się na apelach do obywateli, by ci zastrzegli swoje numery PESEL w aplikacji mObywatel. Nazywa to elementarną higieną cyfrową, jednak takie postawienie sprawy całkowicie odwraca perspektywę.
To nie pacjenci zaniedbali swoje obowiązki, to firma przechowująca dane połowy narodu dopuściła do ich wykradzenia, a państwo, które powinno sprawować skuteczny nadzór nad takimi podmiotami, nie zrobiło tego wystarczająco dobrze.
Rzucenie ludziom hasła o pięciosekundowym zastrzeżeniu PESEL to próba zdjęcia z rządu odpowiedzialności i przedstawienia katastrofy bezpieczeństwa jako kwestii indywidualnej profilaktyki, podczas gdy dane medyczne – jedne z najbardziej wrażliwych – mogą być wykorzystane do szantażu lub sprzedaży podmiotom komercyjnym, a zastrzeżenie numeru w żaden sposób nie chroni przed ujawnieniem historii chorób.
Iluzja bezpieczeństwa w nowej bazie danych
Wicepremier poinformował również o uruchomieniu bazy Bezpieczne Dane, w której obywatele będą mogli sprawdzić, czy ich dane wyciekły. Choć z pozoru jest to działanie pomocne, w rzeczywistości ma ono charakter wyłącznie informacyjny i reaktywny, podczas gdy obywatele potrzebują realnej ochrony przed skutkami ujawnienia ich historii chorób czy recept. Ponadto samo tworzenie kolejnej centralnej bazy, do której każdy będzie musiał wpisać swoje dane osobowe, aby zweryfikować ich bezpieczeństwo, rodzi uzasadnione obawy, czy nie tworzymy w ten sposób kolejnego łakomego kąska dla cyberprzestępców. Jest to działanie pozornie uspokajające, które nie rozwiązuje problemu, a jedynie przesuwa go w inne miejsce i w praktyce może narazić obywateli na dodatkowe ryzyko związane z gromadzeniem ich informacji w nowym systemie.
Deklaracje bezwzględności bez konkretnych zmian systemowych
Nie sposób też przejść obojętnie obok stwierdzenia Gawkowskiego, że nic nie wskazuje na atak zewnętrznego państwa. Jeśli rzeczywiście nie mamy do czynienia z działaniami obcego wywiadu, a jedynie z przestępcami, oznacza to, że system firmy był na tyle źle zabezpieczony, iż padł ofiarą rutynowego włamania, któremu znacznie łatwiej było zapobiec.
Tymczasem minister, zamiast mówić o zaniedbaniach technicznych czy braku wystarczających audytów, zapowiada jedynie bezwzględne ściganie sprawców. Deklaracje o ostatecznej bezwzględności służb i prokuratury brzmią dobrze w przekazie medialnym, ale są wyłącznie obietnicą represji po fakcie, podczas gdy kluczowe jest zapobieganie takim zdarzeniom i systemowe podniesienie standardów ochrony dla wszystkich podmiotów gromadzących dane wrażliwe. Zabrakło odpowiedzi na podstawowe pytania: kto poniesie konsekwencje, jakie mechanizmy nadzoru zawiodły i czy firma MyDr miała wymagane certyfikaty bezpieczeństwa.
Porażka systemowa zamiast realnej ochrony
Sprawa wycieku danych ujawniła przede wszystkim słabość reakcji państwa na kryzys o niespotykanej dotąd skali. Zamiast twardych wniosków i zmian systemowych otrzymaliśmy niespójny przekaz, przerzucanie odpowiedzialności na obywateli oraz wirtualne zabezpieczenia w postaci nowej bazy danych. Miliony Polaków, których dane medyczne zostały wykradzione, mają prawo czuć się pozostawieni samym sobie – otrzymali bowiem nie realną ochronę, ale jedynie instrukcję, jak po fakcie próbować chronić swój numer PESEL, i zapewnienia, że sprawcy zostaną znalezieni.
To zdecydowanie za mało, by naprawić zaufanie, które w tym momencie legło w gruzach razem z bezpieczeństwem polskiej infosfery. Prawdziwym testem dla ministra nie będą kolejne konferencje prasowe, lecz konkretne kary, zmiana prawa i realne wzmocnienie nadzoru nad podmiotami przetwarzającymi dane wrażliwe – na razie jednak Polacy mogą jedynie mieć nadzieję, że ich historia choroby nie trafi wkrótce do niepowołanych rąk.
źr. wPolsce24 za PAP
Czytaj także
