– Mam wrażenie, że to malowanie trawy na zielono. Wiele z proponowanych zmian to próba przerzucenia ciężaru czujności na samego obywatela – tak ekspert ds. cyberbezpieczeństwa Kamil Porembiński komentuje najnowszy plan Ministerstwa Cyfryzacji na ochronę danych Polaków. W poniedziałek resort przedstawił pakiet zmian legislacyjnych „Cyber Piątka”.
- – Wymogi formalne, takie jak obowiązkowa ocena ryzyka co dwa lata czy udostępnianie wyników audytów, w praktyce biznesowej niezwykle często kończą jako dokumentacja, a nie realny awans technologiczny – ekspert ds. cyberbezpieczeństwa Kamil Porembiński komentuje nowe propozycje zmian w prawie na rzecz zwiększenia bezpieczeństwa danych Polaków.
- Według Porembińskiego nadzieją na pozytywne zmiany może być proponowana przez resort spójna certyfikacja powiązana z Krajowym Systemem Cyberbezpieczeństwa (KSC), a także wymóg pełnej przejrzystości audytowej wobec placówek medycznych.
– Dopóki za nowymi obowiązkami nie pójdą potężne kary finansowe potrącane bezpośrednio od obrotu firm IT oraz realne wsparcie budżetowe dla niedofinansowanych działów IT w publicznych placówkach, pakiet może się okazać eleganckim naklejeniem plastra na głęboką ranę – komentuje ekspert ds. cyberbezpieczeństwa Kamil Porembiński.
Wystarczy, że otworzysz e-maila od hakerów. Wywiad ostrzega przed cyberatakiem
Ministerstwo Cyfryzacji przedstawiło pakiet zmian legislacyjnych „Cyber Piątka”. To reakcja na wyciek danych ok. 19 mln Polek i Polaków z platformy medycznej MyDr. Nowe propozycje mają wzmocnić bezpieczeństwo danych obywateli i ograniczyć ryzyko ich niewłaściwego wykorzystania.
Co zaproponowało Ministerstwo Cyfryzacji?
„Dane medyczne nie mogą być traktowane jak zwykły towar” – napisał w poniedziałek w mediach społecznościowych Krzysztof Gawkowski. Wicepremier i minister cyfryzacji skrótowo przedstawił założenia „Cyber Piątki”:
1. Każda firma przetwarzająca dane powyżej 100 tys. osób będzie miała dodatkowe obowiązki w zakresie bezpieczeństwa.
2. Obowiązkowa certyfikacja firm przetwarzających dane medyczne.
3. Zwiększenie wytycznych technologicznych dla systemów, które przetwarzają dane.
4. Większa przejrzystość – pacjent będzie wiedział, kto i w jakim zakresie ma dostęp do jego danych.
5. Powiadomienia w mObywatelu i mojeIKP o wizytach, receptach i innych zdarzeniach medycznych, żeby szybciej wykryć próbę wykorzystania danych.
W opublikowanym w poniedziałek oświadczeniu resort cyfryzacji zaznaczył, że firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli.
– Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie – powiedział cytowany w oświadczeniu wiceminister cyfryzacji Dariusz Standerski.
Powiadomienia tak, ale one nie rozwiązują problemu
– Mam wrażenie, że to malowanie trawy na zielono. Wiele z proponowanych zmian to próba przerzucenia ciężaru czujności na samego obywatela – komentuje ekspert ds. cyberbezpieczeństwa Kamil Porembiński. – Powiadomienia w mObywatelu o nowej recepcie czy świadczeniu są przydatnym narzędziem, ale co one mają wspólnego z wyciekiem danych? – pyta Porembiński.
Jak dalej przekonuje, informowanie pacjenta o tym, która prywatna firma przetwarza jego dane medyczne, generuje jedynie szum informacyjny. – Przeciętny pacjent nie ma ani realnego wpływu na to, komu szpital podzleca obsługę IT, ani kompetencji, by zweryfikować stan zabezpieczeń tej firmy – argumentuje.
– Zresztą, tak szczerze. Wchodzimy na strony www i tam mamy obszerną politykę prywatności, jakie dane i jaka firma będzie o nas przetwarzała. Ktoś to czyta? – dopytuje Porembiński.
Audyt, czyli „odhaczanie checkboxów”
W ocenie Kamila Porembińskiego proponowane zmiany to często czysta biurokracja, która nie przełoży się na realną poprawę bezpieczeństwa danych. – Wymogi formalne, takie jak obowiązkowa ocena ryzyka co dwa lata czy udostępnianie wyników audytów, w praktyce biznesowej niezwykle często kończą jako dokumentacja, a nie realny awans technologiczny – przekonuje ekspert.
Jeśli minimalne wymagania techniczne zostaną uszyte pod możliwości najsłabszych podmiotów na rynku, staną się jedynie niską podłogą, a nie wyśrubowanym standardem.
Kamil Porembiński
ekspert ds. cyberbezpieczeństwa
Porembiński odsyła do jednego z ostatnich raportów Najwyższej Izby Kontroli na temat zabezpieczeń w ważnych sektorach gospodarki. – Skontrolowano osiem podmiotów. Wszędzie cyberbezpieczeństwo było na poziomie hasła admin123 – ocenia.
Spurek: Campus Polska. Nie tylko pieniądze mają znaczenie, ale też dostęp do sceny
Ekspert nie chce jednak spisywać projektu całkowicie na straty. Jak przekonuje, pewną wartością może być spójna certyfikacja powiązana z Krajowym Systemem Cyberbezpieczeństwa (KSC), a także wymóg pełnej przejrzystości audytowej wobec placówek medycznych. – Daje to małym przychodniom i szpitalom oręż prawny, by egzekwować odpowiedzialność od gigantów technologicznych, którzy do tej pory chowali się za mętnymi zapisami w umowach B2B – ocenia.
