„Cyber Piątka” po ataku na MyDr to za mało – komentuje ekspert
Dodano: 08.09.2026
„Cyber Piątka” Ministerstwa Cyfryzacji, czyli 5-punktowy plan uszczelnienia danych medycznych, to krok w dobrym kierunku, ale nie zabezpieczy w 100% danych medycznych przed takimi wyciekami jak w przypadku MyDr – twierdzi Piotr Konieczny, ekspert portalu Niebezpiecznik.pl i proponuje anonimizację części danych.
Pięć zmian, aby dane medyczne były bezpieczniejsze
Zapowiedziane zmiany w prawie to pokłosie cyberataku na dostawcę systemów informatycznych dla placówek medycznych MyDr, w wyniku którego wyciekły dane blisko 19 mln osób.
Aby ograniczyć ryzyko podobnych cyberataków w przyszłości, MC proponuje pięć zmian:
- certyfikację firm przetwarzających dane medyczne,
- określenie minimalnych wymagań technologicznych dla systemów IT,
- obowiązek informowania pacjentów o przekazywaniu ich danych podmiotom zewnętrznym,
- alerty o zdarzeniach medycznych,
- dodatkowe obowiązki dla podmiotów masowo przetwarzających dane.
– Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność – twierdzi wiceminister cyfryzacji Dariusz Standerski. MC zapowiada, że przepisy wdrażające Cyber Piątkę mają trafić do Sejmu jeszcze w tym roku.
Obowiązki na papierze nie wystarczą, hakerzy zawsze znajdą nowy sposób
Piotr Konieczny, założyciel Niebezpiecznik.pl, w rozmowie z OSOZ zaznacza, że nawet bardzo dobrze zabezpieczony system nie daje gwarancji, że dane nigdy nie zostaną skradzione.
– To bardzo dobre, ale niewystarczające wymagania, jeśli chodzi o bezpieczeństwo pacjentów. Brakuje bowiem uregulowania tego, jakie dane muszą być zbierane, a jakie niekoniecznie powinny być zbierane podczas wizyty u lekarza. Czy jeśli robię badania krwi, muszę podawać pełen adres zamieszkania, numer telefonu i adres e-mail? Po co? Dlaczego nie mogę skorzystać anonimowo z części usług medycznych – tych mniej istotnych? – postuluje Piotr Konieczny.
Jego zdaniem, bezpieczeństwo należy budować także poprzez ograniczanie liczby gromadzonych informacji. Powód jest prosty: nawet z najszczelniejszych systemów dane mogą zostać skradzione. Przykładowo, mogą zostać po prostu skopiowane na nośnik danych i wyniesione z podmiotu albo może pojawić się nieznana do tej pory podatność na atak. W ten sposób hakerzy mogą wykraść dowolne dane z systemu IT. Nie ma 100-procentowego zabezpieczenia.
– A gdyby dać możliwość pacjentom niewprowadzania tam [red.: do systemu IT] niektórych danych, wówczas te dane nie mogłyby nigdy zostać wykradzione, bo nie byłoby ich w systemie albo nie byłyby powiązane z konkretnym pacjentem / peselem – Konieczny opowiada się za zasadą minimalizacji danych gromadzonych w systemie e-zdrowia.