Grzywna w wysokości 500 000 euro nałożona na szpital z tytułu naruszenia RODO

Francuska komisja CNIL nałożyła na szpital HÔPITAL PRIVÉ DE LA LOIRE grzywnę w wysokości 500 000 euro w związku z naruszeniem bezpieczeństwa, do którego doszło w 2025 r. i w wyniku którego ujawniono dane dotyczące 524 867 pacjentów oraz 202 246 osób uznanych za zaufane strony trzecie. W przypadku niektórych pacjentów wśród ujawnionych informacji znalazły się wrażliwe dane dotyczące zdrowia.

Użytkownicy zewnętrzni, w tym lekarze prywatni, mieli dostęp do szpitalnego systemu dokumentacji pacjentów bez wystarczająco rygorystycznego uwierzytelniania. Nie istniała sieć VPN ani uwierzytelnianie wieloskładnikowe (MFA). Kolejnym problemem było zarządzanie dostępem. Uprawnienia nie były wystarczająco ograniczone do personelu faktycznie zaangażowanego w leczenie konkretnego pacjenta. W rezultacie dane logowania z jednego konta umożliwiły atakującemu dostęp do danych dotyczących wszystkich pacjentów szpitala.

Foto: DC Studio - Magnific

Ponadto szpital nie dysponował odpowiednimi mechanizmami umożliwiającymi wykrywanie podejrzanych działań w czasie rzeczywistym lub niemal rzeczywistym. Dzięki temu osoba atakująca mogła przez kilka dni badać system i pozyskać ogromną ilość danych bez wywołania skutecznej reakcji.

Pacjenci zostali poinformowani, ale 202 246 zaufanych podmiotów zewnętrznych, których dane również uległy naruszeniu, nie otrzymało bezpośredniego powiadomienia.

Takie incydenty nie zdarzają się wyłącznie w Polsce. Niestety Polska nie jest jedynym krajem, w którym w niektórych częściach sektora opieki zdrowotnej nadal brakuje podstawowych mechanizmów bezpieczeństwa lub po prostu świadomości kierownictwa, że cyberbezpieczeństwo wymaga ciągłych inwestycji, jeśli oczekuje się poprawy dojrzałości w tym zakresie. Przez inwestycje nie rozumiem tworzenia kolejnych polityk, procedur czy dokumentacji dotyczącej zgodności. Nie mam też na myśli zakupu drogiej zapory sieciowej, której nikt nie potrafi prawidłowo skonfigurować, a której alertów nikt później nie monitoruje.

Mam na myśli podstawy.

Solidne zarządzanie tożsamością i dostępem.

Uwierzytelnianie wieloskładnikowe (MFA).

Zarządzanie zasobami i podatnościami.

Instalowanie poprawek.

Rejestrowanie zdarzeń.

Monitorowanie.

Tworzenie kopii zapasowych.

Segmentacja.

Reagowanie na incydenty.

Świadomość bezpieczeństwa.

Jest to szczególnie ważne, ponieważ sektor opieki zdrowotnej łączy w sobie jednocześnie kilka niekorzystnych czynników. Sektor ten jest często celem ataków, przetwarza bardzo wrażliwe informacje medyczne, a w przeciwieństwie do wielu innych sektorów poważny incydent cybernetyczny może wpłynąć na zdrowie i bezpieczeństwo pacjentów. Ponadto rośnie automatyzacja ataków, a ofensywne wykorzystanie sztucznej inteligencji może jeszcze bardziej obniżyć koszty i skrócić czas potrzebny do identyfikacji luk w zabezpieczeniach, przygotowania kampanii phishingowych, automatyzacji rozpoznania lub skalowania ataków.

Naprawdę musimy potraktować ten problem poważniej, ponieważ sytuacja w zakresie zagrożeń zmienia się szybciej niż dojrzałość wielu organizacji opieki zdrowotnej.

Link

Autor: Sebastian Burgemejster