Mój PESEL wyciekł i nie wiem, co dalej. Rząd: no szkoda, ale kiedyś będzie lepiej
Dalej nie wiem, gdzie i jak mój PESEL wyciekł, ale przynajmniej dostaję obietnicę, że przy kolejnym włamaniu szybciej dowiem się o szczegółach.
Sprawdziłem szczegóły na stronie bezpiecznedane.gov.pl i w moim przypadku potwierdził się najgorszy scenariusz: mój numer PESEL znalazł się wśród tych, które wyciekły w związku z atakiem na systemy MyDr. Tylko co dalej? Na razie nie wiadomo. Jak mogłem przeczytać:
W firmie MyDr doszło do nieuprawnionego dostępu do bazy danych systemu, z którego korzystają przychodnie lekarskie i gabinety. Fakt przełamania zabezpieczeń firmy MyDr jest potwierdzony, służby nie stwierdziły jak dotąd upublicznienia tych danych, z uwagi na dobro obywateli – prewencyjnie przekazujemy jednak informację, czyje numery PESEL znalazły się w wycieku. O zakresie danych informują pacjentów dotknięte incydentem placówki, natomiast w serwisie bezpieczedane.gov.pl istnieje jedynie możliwość sprawdzenia czy PESEL użytkownika znalazł się w wycieku.
Rządowy serwis radzi, abym zastrzegł PESEL, włączył dwuetapową weryfikację i zachował ostrożność.
Firma, która jest źródłem wycieku, w swoim oświadczeniu podkreśla, że "wskazanie konkretnych danych osobowych w serwisie Bezpieczne Dane w kontekście incydentu MyDr nie oznacza, że dane te zostały upublicznione lub ujawnione w Internecie". Co więcej:
Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako objęte z incydentem MyDr w pełni odpowiadają numerom zidentyfikowanym w ramach naszego postępowania wyjaśniającego. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr został wskazany jako źródło wycieku, rzeczywiście pochodzą z systemów MyDr.
Czyli wiem, że nic nie wiem
Mój PESEL znalazł się w wycieku, ale nie wiadomo, czy został upubliczniony. Nie jest nawet jasne - jak opisuje firma - czy rzeczywiście pochodzi z systemów MyDr.
Wciąż więcej pytań niż odpowiedzi, choć od informacji o wycieku minęło już sporo czasu. Ale za to dostaliśmy obietnicę, że w przyszłości będzie lepiej.
- Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie - powiedział wiceminister cyfryzacji Dariusz Standerski.
Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie - zaznaczył.
Ministerstwo Cyfryzacji przygotowało pięć propozycji zmian legislacyjnych
Resort wierzy, że pakiet wzmocni "bezpieczeństwo danych obywateli i ograniczy ryzyko ich niewłaściwego wykorzystania".
Jak zapowiedziano, Ministerstwo Cyfryzacji proponuje dodatkowe wymagania dla podmiotów, którym powierzane jest przetwarzanie danych medycznych. Firmy te musiałyby spełniać określone standardy bezpieczeństwa, a ich certyfikacja byłaby powiązana z systemem określonym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa - wyjaśnia resort.
Oprócz tego mają zostać ustalone minimalne wymagania technologiczne.
Wytyczne będą uwzględniały aktualne standardy i normy w zakresie cyberbezpieczeństwa. Ich celem będzie zapewnienie odpowiedniego poziomu ochrony danych niezależnie od tego, jaki podmiot zewnętrzny odpowiada za ich przetwarzanie.
Resort chce, aby pacjent wiedział, kto przetwarza jego dane. W przyszłości mamy otrzymać informacje m.in. o zakresie i przedmiocie powierzenia oraz dane kontaktowe podmiotu przetwarzającego.
Wśród przedstawionych propozycji znajdziemy też tę dotyczącą powiadomień w aplikacji mObywatel oraz mojeIKP. Będą to komunikaty o zdarzeniach medycznych, takich jak wizyta, wystawienie recepty czy inne świadczenie. To pozwoli nam szybciej zareagować, jeśli ktoś spróbuje wykorzystać dane do uzyskania recepty lub świadczenia medycznego.
Wprowadzone mają zostać nowe obowiązki dla podmiotów masowo przetwarzających dane. W przypadku naruszenia bezpieczeństwa danych podmiot przetwarzający przekazywałby do CSIRT NASK, za pośrednictwem policji, dane osób objętych naruszeniem w minimalnym zakresie: imię, nazwisko i numer PESEL. Dane te mogłyby następnie zostać udostępnione obywatelom za pośrednictwem portalu bezpiecznedane.gov.pl.
Zwiększyłaby się również odpowiedzialność podmiotów.
Podmioty przetwarzające dane miałyby obowiązek przekazywania placówkom, które im je powierzyły, informacji niezbędnych do oceny poziomu ich bezpieczeństwa. Dotyczyłoby to m.in. stosowanych zabezpieczeń, dalszych podmiotów przetwarzających, miejsca przetwarzania danych oraz wyników audytów, testów i ocen bezpieczeństwa.
Do tego doszłaby konieczność przeprowadzenia oceny ryzyka przed rozpoczęciem przetwarzania danych. "Byłaby ona aktualizowana co najmniej raz na dwa lata oraz po każdej istotnej zmianie sposobu lub warunków przetwarzania danych" - wyjaśnia resort.
Lepiej późno niż wcale czy mądry Polak po szkodzie?
Można podzielić się na dwa obozy: cieszących się z nadchodzących zmian i zdenerwowanych na to, że dopiero bezprecedensowy wyciek danych podziałał otrzeźwiająco. Mnie bliżej chyba do tego drugiego, bo to nie pierwszy przykład uczenia się na bolesnych błędach.
W końcu realne działania ws. Mety podjęte zostały dopiero po tym, gdy swoją kampanię nagłaśniającą nadużycia rozkręcił Rafał Brzoska. A przecież lekceważący stosunek właściciela Facebooka i Instagrama był nam od dawna znany.
Póki co dalej nie wiem, skąd mój PESEL wyciekł i czy na pewno, ale przynajmniej mam pocieszać się tym, że w przyszłości będzie lepiej. Szkoda, że słynne powiedzenie o polskiej mądrości nie traci na aktualności.
W Spider’s Web od kwietnia 2021 zajmuje się tematami związanymi z ekologią, przyrodą, ochroną środowiska, architekturą, miastami przyszłości, transportem publicznym z pociągami na czele i, rzecz jasna, wpływem technologii na nasze zwykłe życie. Zaczynał od pisania o grach – przede wszystkim w serwisie gamezilla.pl, z przerwą na gram.pl. Następnie zajął się opisywaniem technologii, robiąc to w takich portalach jak next.gazeta.pl, a potem serwisach technologicznych grupy WP (tech.wp.pl, dobreprogramy.pl, gadżetomania.pl – będąc redaktorem prowadzącym – czy polygamia.pl). Prywatnie fan Morrisseya, morza, bloków z wielkiej płyty i dziwnych budynków, o których zdarza mu się zresztą pisać.