„Bezpieczeństwo to nie projekt, który da się zamknąć”. Piotr Miluski, CEO MyDr, o cyberataku, odpowiedzialności i bezpieczeństwie danych pacjentów

Cyberatak na oprogramowanie medyczne to coś więcej niż incydent technologiczny. Dotyczy prywatności pacjentów, stawia placówki medyczne przed nowymi obowiązkami i wystawia na próbę zaufanie budowane latami.

O pierwszych godzinach po wykryciu incydentu, decyzjach podejmowanych pod presją, wsparciu dla placówek i pacjentów oraz dalszym wzmacnianiu bezpieczeństwa rozmawiamy z Piotrem Miluskim, CEO MyDr.

Od incydentu minęło już trochę czasu. Co Pan pamięta z pierwszych chwil, kiedy dowiedzieliście się o ataku?

Mam wrażenie, jakby to było bardzo dawno temu, choć minęły dopiero niecałe trzy miesiące.

W momencie, kiedy dowiedzieliśmy się o incydencie, nasz świat wywrócił się do góry nogami. Od ponad dekady budujemy MyDr z grupą oddanych ludzi i od początku wiedzieliśmy, że za technologią, którą tworzymy, stoją prawdziwi ludzie.

Ta świadomość sprawiła, że nie było czasu na zatrzymanie się. Od pierwszych godzin działaliśmy.

Co właściwie dzieje się w firmie, kiedy dochodzi do takiego ataku? Od czego zaczyna się działanie?

Tego dnia wszystko, co mieliśmy w planach, nagle przestało mieć znaczenie. Wszyscy odłożyli swoje codzienne obowiązki, a my musieliśmy jednocześnie zająć się kilkoma równie ważnymi sprawami.

Po pierwsze, nasz zespół. Trzeba było powiedzieć ludziom, co się wydarzyło, i że będziemy potrzebowali ich ogromnego zaangażowania. Już wtedy wiedziałem, że bez nich sobie nie poradzimy.

Po drugie, bezpieczeństwo. Trzeba było ustalić, czy atakujący nadal ma dostęp do naszych systemów, wyeliminować ten dostęp, jeśli wciąż istnieje, i sprawdzić, do jakich danych mógł dotrzeć. Na dzień publikacji incydent jest opanowany i nie mamy dowodów na dalszy nieuprawniony dostęp.

Po trzecie, placówki. Lekarze nadal mieli pacjentów do przyjęcia, a ich codzienne obowiązki nie zniknęły tylko dlatego, że my mierzyliśmy się z nadzwyczajną sytuacją. Część zespołu dbała o to, żeby system działał bez zakłóceń. Przez wiele tygodni około trzydziestu osób zajmowało się wyłącznie incydentem i wsparciem dla placówek.

Nie byliśmy w tym sami. Od pierwszych dni pracowaliśmy z Centralnym Biurem Zwalczania Cyberprzestępczości, CERT Polska, Centrum e-Zdrowia, Ministerstwem Cyfryzacji i Prezesem Urzędu Ochrony Danych Osobowych. Postępowanie organów ścigania nadal trwa, dlatego nie mogę mówić o jego szczegółach.

Jak zarządza się sytuacją, w której tak wiele osób oczekuje odpowiedzi?

Zespół patrzy na ciebie i oczekuje, że będziesz wiedział, w którą stronę iść.

Trzeba zachować spokój, zadawać właściwe pytania, słuchać tych, którzy najlepiej rozumieją sytuację, i podejmować decyzje na podstawie faktów.

Emocje oczywiście są. Ale przychodzą później. Czasem dopiero w domu.

Czego dowiedział się Pan o swoim zespole?

Wielu z nas pracuje razem od ponad dekady. Znamy swoje mocne strony, słabości i sposób myślenia. A jednak są chwile, w których ludzie potrafią zaskoczyć.

Pamiętam, jak rozglądałem się wokół i widziałem zmęczonych współpracowników, którzy mimo to wracali następnego dnia, bo rozumieli, o jaką stawkę chodzi. To zostaje z człowiekiem.

Nie chcę wyróżniać jednej osoby, bo każdy, kto pracował przy incydencie, wniósł ogromną wartość. Wiem też, że ta praca miała swoją cenę dla ich bliskich. Jestem im wszystkim wdzięczny.

W centrum tego wszystkiego byli pacjenci, których danych mógł dotyczyć incydent. Jak podejmuje się decyzje, wiedząc, że ich konsekwencje mogą dotyczyć czyjegoś prywatnego życia?

Nie sądzę, żeby podczas tego incydentu były jakiekolwiek łatwe decyzje. Każda wymagała rozważenia konsekwencji, a jedna zasada pozostawała niezmienna: na pierwszym miejscu interes pacjentów i placówek.

Wiem, że to może brzmieć jak slogan. Ale naprawdę rozumiemy, z jakimi informacjami pracujemy. Za każdą z nich stoi człowiek: jego zdrowie i historia. Nie można o tym zapomnieć ani na chwilę.

Dlatego tak ważne było dla nas, żeby nie spekulować. Niepotwierdzona informacja mogła niepotrzebnie zaniepokoić osoby, których incydent w ogóle nie dotyczył. Każdy chciał odpowiedzi od razu, wiem o tym. Ale każda informacja, którą przekazywaliśmy, musiała być sprawdzona.

Co dziś wiadomo i co powinni wiedzieć pacjenci?

Przede wszystkim to, że był to celowy atak o charakterze przestępczym, a sprawą zajmują się organy ścigania.

Po drugie, że mimo bardzo trudnej sytuacji robiliśmy wszystko, żeby placówki nie zostały z tym same. Dostały od nas narzędzia i materiały potrzebne do poinformowania swoich pacjentów, a pacjenci otrzymują informację bezpośrednio od swojej placówki.

Trzecia sprawa to zakres informowania. Przyjęliśmy celowo szerokie podejście. Za pośrednictwem placówek informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy nie możemy wykluczyć z zakresu incydentu. Nie oznacza to, że incydent dotyczy danych każdej z tych osób.

Każdy powinien wiedzieć, czy jego dane mogły znaleźć się w zakresie incydentu, i móc odpowiednio zareagować.

Na dzień publikacji nie mamy dowodów na to, że dane zostały opublikowane lub publicznie udostępnione. Taką informację przekazuje również CERT NASK.

Placówki, które korzystają z naszego narzędzia, mogą wysyłać pacjentom powiadomienia SMS-em od nadawcy „Twoje Dane” lub e-mailem. Proponowane przez nas wzory tych wiadomości nie zawierają klikalnych linków ani próśb o podanie danych. Jeśli ktoś dostanie wiadomość, która powołuje się na incydent i prosi o kliknięcie w link albo podanie danych, powinien zachować ostrożność. Z pytaniami najlepiej zwrócić się do swojej placówki.

Ta sytuacja utwierdziła mnie w przekonaniu, że komunikacja to nie tylko przekazywanie informacji. To dbanie o to, żeby ludzie rozumieli, co wiadomo, co wciąż jest niepewne i gdzie mogą szukać pomocy.

Jak reagowali klienci? Spodziewał się Pan trudnych rozmów?

W pierwszych dniach osobiście zadzwoniłem do kilkudziesięciu placówek. Chciałem ich wysłuchać, odpowiedzieć na pytania i wyjaśnić, co wiemy na danym etapie.

Część tych rozmów była trudna. Placówki potrzebowały jasnych informacji i praktycznego wsparcia.

Ale pamiętam też wiele życzliwości. Niektórzy mówili, że trzymają za nas kciuki, inni pytali, czy mogą jakoś pomóc. To bardzo wiele dla mnie znaczyło. Przypomniało mi, że za tym, co nazywamy relacją biznesową, po obu stronach stoją ludzie.

To zaufanie traktuję jako zobowiązanie.

Jakie konkretne wsparcie zapewniliście placówkom?

Bardzo szybko stało się jasne, że same słowa otuchy nie wystarczą. Placówki potrzebowały praktycznej pomocy.

Lekarze i personel medyczny na co dzień niosą ogromną odpowiedzialność. Ich czas i uwaga powinny należeć do pacjentów, a nie do formularzy. Nie chcieliśmy zostawić placówek samych z obowiązkami, które spadły na nie z dnia na dzień.

Dlatego zbudowaliśmy w MyDr narzędzie, za pomocą którego placówka może powiadomić swoich pacjentów SMS-em lub e-mailem. Każda placówka objęta incydentem dostała od nas listę pacjentów, których dane dotyczą, wraz z kanałami kontaktu, proponowaną treść wiadomości skonsultowaną z UODO w zakresie opisu ryzyk oraz kroków, jakie może podjąć osoba, której dane dotyczą, projekt zgłoszenia do urzędu i instrukcję krok po kroku. Powołaliśmy też osobny zespół, który odpowiada na pytania placówek i pacjentów.

Wszystko to udostępniliśmy bezpłatnie. Koszty wzięliśmy na siebie, bo nie chcieliśmy, żeby placówki ponosiły dodatkowe obciążenia.

To może brzmieć jak działania operacyjne, a nie wielkie gesty. Ale wierzę, że w takich momentach praktyczna pomoc znaczy najwięcej.

Jakie działania podjęliście, aby dalej wzmacniać bezpieczeństwo?

Poza bieżącą obsługą incydentu przeprowadziliśmy dodatkowe przeglądy bezpieczeństwa, oceny techniczne i kolejne testy penetracyjne, czyli kontrolowane próby znalezienia słabych punktów w zabezpieczeniach. Pracowaliśmy przy tym z zewnętrznymi specjalistami ds. cyberbezpieczeństwa. Rozszerzyliśmy też narzędzia do analizy kodu i monitorowania bezpieczeństwa.

Ale bezpieczeństwo to nie projekt, który da się zamknąć. Technologia się zmienia, zagrożenia ewoluują, a sztuczna inteligencja jeszcze to przyspiesza.

Są szczegóły techniczne, których nie możemy ujawnić, bo stworzyłoby to dodatkowe ryzyko. Ale tam, gdzie możemy być przejrzyści, będziemy regularnie informować o tym, co robimy.

Czy po czymś takim można odbudować zaufanie?

Mam nadzieję, że tak. Ocenią to placówki i pacjenci.

Zaufanie buduje się latami, przez tysiące zwykłych sytuacji: przez to, że jesteś, dobrze robisz swoją pracę i pomagasz, kiedy ktoś cię potrzebuje.

Chciałbym, żeby za jakiś czas lekarz korzystający z MyDr znów poczuł się pewnie w systemie, na którym polega każdego dnia. Żeby placówki pamiętały, że kiedy stanęły przed trudnymi pytaniami, byliśmy obok. I żeby pacjenci czuli, że ochrona ich danych jest traktowana z należytą powagą.

Czy w tej historii potrafi Pan dostrzec jakieś szczęście w nieszczęściu?

Nie. Nie potrafię znaleźć w tej sytuacji niczego, co nazwałbym szczęściem w nieszczęściu. Nie życzyłbym jej nawet największemu konkurentowi.

I choć jestem dumny z zaangażowania naszego zespołu, nie chcę, żeby przysłoniło to, co ten incydent oznaczał dla pacjentów i placówek. Opowiadając o tym, przez co przeszliśmy, nie chcę umniejszać jego powagi ani poczucia obowiązku, który na nas spoczywa.

Chcę tylko, żeby było widać, że za nazwą MyDr, za systemem i komunikatami stoją ludzie, którym naprawdę zależy na tym, co robią.

Na koniec: dlaczego placówki medyczne miałyby nadal powierzać MyDr swoje dane?

To uczciwe pytanie. Po tym, co się wydarzyło, każdy ma prawo je zadać.

Nie chcę odpowiadać zapewnieniem, że bezpieczeństwo jest dla nas najważniejsze. Dziś sama deklaracja nie wystarczy.

Nie cofnę tego, co się wydarzyło. Wszystkim pacjentom i placówkom mówię szczerze: przepraszam. Jednocześnie nie obiecam, że w świecie technologii nie pojawią się nowe zagrożenia. Mogę natomiast obiecać, że będziemy dalej inwestować w bezpieczeństwo i dołożymy wszelkich starań, aby podobna sytuacja się nie powtórzyła.

O tym, co zmieniliśmy w zabezpieczeniach, już mówiłem. Dla mnie ważne jest coś jeszcze: placówki w najtrudniejszym momencie nie zostały same.

Resztę użytkownicy ocenią sami: w codziennej pracy z MyDr i w tym, co będziemy regularnie pokazywać w naszych komunikatach o bezpieczeństwie.

Piotr Miluski
CEO MyDr