18/08/2026
🇵🇱 19 MILIONÓW REKORDÓW. FRANCJA POKAZUJE, JAK MOŻNA BUDOWAĆ SYSTEM OCHRONY DANYCH MEDYCZNYCH.
Cyberatak na MyDr to już nie tylko historia dotycząca jednego dostawcy czy jednego incydentu.
To pytanie o coś znacznie większego:
Czy państwo powinno dowiadywać się o incydencie dotyczącym milionów danych medycznych dopiero wtedy, gdy informację ujawniają cyberprzestępcy lub media?
I tutaj warto spojrzeć na Francję.
🇫🇷 Francja posiada CERT Santé – wyspecjalizowany system wsparcia cyberbezpieczeństwa sektora zdrowia, obejmujący m.in. monitoring, przyjmowanie zgłoszeń i pomoc w reagowaniu na incydenty.
Istnieje również system HDS, czyli szczególne wymagania dotyczące podmiotów przechowujących dane zdrowotne.
To ważna różnica w podejściu.
Bo czym innym jest program używany przez jeden gabinet.
A czym innym system, który obsługuje:
➡️ tysiące placówek
➡️ miliony pacjentów
➡️ miliony wizyt
➡️ miliony recept
➡️ ogromne ilości danych medycznych.
To już jest infrastruktura o znaczeniu strategicznym.
Dlatego w Polsce powinniśmy poważnie rozmawiać o mechanizmach takich jak:
🛡️ certyfikacja dostawców
🔎 niezależny audyt bezpieczeństwa
🎯 Red Team
📡 monitoring 24/7
🔌 kontrola bezpieczeństwa API
💾 regularne testy kopii zapasowych i odtwarzania
🔗 audyt łańcucha dostaw.
Nie chodzi o to, aby kopiować francuskie rozwiązania 1:1.
Chodzi o stworzenie mechanizmu adekwatnego do skali ryzyka.
Francuski system również nie jest idealny. Przypadki naruszeń pokazują, że żaden model nie daje 100% bezpieczeństwa.
Ale istotne jest to, jak państwo traktuje dostawców infrastruktury przetwarzającej dane wrażliwe i jak łączy regulację, certyfikację, monitoring, reagowanie oraz odpowiedzialność.
Bo danych medycznych nie można traktować jak zwykłego zasobu.
🔐 Hasło można zmienić.
🔐 PESEL można zastrzec.
🔐 Kartę można zablokować.
Nie można jednak wymienić historii choroby.
Dlatego skala takich incydentów powinna być dla Polski impulsem do stworzenia systemu nadzoru nad prywatną infrastrukturą cyfrową ochrony zdrowia.
🇵🇱 Polska potrzebuje własnego mechanizmu w rodzaju „HDS”.
Nie po to, żeby zwiększać biurokrację.
Po to, żeby:
➡️ zmniejszyć prawdopodobieństwo udanego ataku,
➡️ szybciej wykrywać zagrożenia,
➡️ ograniczać skalę skutków,
➡️ zapewnić ciągłość działania,
➡️ i jasno określić odpowiedzialność dostawców.
A jak Wy to oceniacie?
Czy dostawcy systemów obsługujących miliony danych medycznych powinni podlegać dodatkowej, niezależnej certyfikacji i stałemu monitoringowi bezpieczeństwa?
👇 Napiszcie w komentarzu, co Waszym zdaniem powinno być priorytetem.