Cyber Piątka - nowe obowiązki dla przychodni i firm IT

Ministerstwo Cyfryzacji proponuje pięć zmian w ochronie danych medycznych: certyfikacja, minimalne wymogi, jawność dostępu. Co to znaczy dla gabinetu.

Po serii wycieków danych medycznych Ministerstwo Cyfryzacji przedstawiło „Cyber Piątkę" - pakiet pięciu propozycji legislacyjnych, które mają zaostrzyć zasady przetwarzania danych pacjentów. Adresatami są nie tylko szpitale i przychodnie, ale również zewnętrzne firmy IT i dostawcy oprogramowania, które te dane obsługują. Terminów wdrożenia i wysokości kar jeszcze nie ma - to etap propozycji - ale kierunek jest jasny i warto się do niego przygotować, zanim stanie się obowiązkiem. Jak ujął to wiceminister: pogoń za zyskiem nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie.

Pięć propozycji

  1. Certyfikacja podmiotów przetwarzających dane medyczne. Firmy, które obsługują dane pacjentów (systemy gabinetowe, hosting dokumentacji, laboratoria, call center), będą musiały spełnić określone standardy i uzyskać certyfikat.
  2. Minimalne wymagania techniczne dla systemów przetwarzających dane medyczne - wytyczne dotyczące szyfrowania, kopii, kontroli dostępu i aktualizacji.
  3. Przejrzystość dla pacjenta. Pacjent ma dowiedzieć się, kto i w jakim zakresie ma dostęp do jego danych, wraz z danymi kontaktowymi podmiotów przetwarzających.
  4. Powiadomienia o zdarzeniach w aplikacjach mObywatel i mojeIKP - o wizytach, receptach i świadczeniach. Pacjent zobaczy, że ktoś sięgnął po jego dane.
  5. Obowiązki dużych przetwarzających - podmioty obsługujące dane dla ponad 100 administratorów albo ponad 100 tys. osób: szybkie raportowanie naruszeń, ujawnianie informacji o bezpieczeństwie, ocena ryzyka co 2 lata.

Co to znaczy dla gabinetu i przychodni

Mały gabinet nie będzie certyfikowany jak szpital, ale będzie musiał kupować usługi od certyfikowanych dostawców i wykazać, że jego własne narzędzia spełniają minimum techniczne. W praktyce sprowadza się to do kilku pytań, które warto zadać już dziś:

  • Gdzie fizycznie są dane pacjentów - w Polsce, w UE, czy „w chmurze" bez wskazania kraju?
  • Czy formularz zapisu na wizytę na stronie przesyła dane szyfrowanym połączeniem i gdzie je zapisuje?
  • Czy poczta, na którą pacjenci wysyłają skierowania i wyniki, jest na własnej domenie z kopiami zapasowymi, czy na darmowym koncie?
  • Kto ma hasła do systemu gabinetowego i czy odchodzący pracownik je traci?

Strona i formularze dla placówek medycznych mają swoje wymagania już teraz - opisaliśmy je w poradniku strona internetowa dla lekarza i gabinetu, a hosting z serwerami w Polsce i kopiami zapasowymi to podstawa, od której zaczynamy każde takie wdrożenie: hosting dla firm.

Co to znaczy dla firm IT obsługujących medycynę

Dostawcy oprogramowania gabinetowego, integratorzy i firmy hostujące dokumentację powinni przygotować się na audyt: udokumentowane procedury, szyfrowanie w spoczynku i w transmisji, dziennik dostępu, testy kopii zapasowych, plan reakcji na incydent. Wiele z tych obowiązków pokrywa się z wymaganiami ustawy o KSC (NIS2), która sektor zdrowia już obejmuje - Cyber Piątka doprecyzuje je i rozciągnie na mniejsze podmioty w łańcuchu.

Jak się przygotować, zanim wejdzie w życie

  1. Spisz, gdzie są dane pacjentów i kto ma do nich dostęp - to podstawa każdej certyfikacji.
  2. Przenieś pocztę i stronę na hosting z jasną lokalizacją serwerów i umową powierzenia danych.
  3. Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie są dane medyczne.
  4. Ustal z dostawcami oprogramowania, czy planują certyfikację - jeśli nie, zacznij szukać alternatywy.
  5. Przygotuj krótką informację dla pacjentów o tym, kto przetwarza ich dane - punkt 3 pakietu i tak tego zażąda.

Zobacz również