KOMPAS FORSAFE 2026/53

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f), art. 28, art. 30, art. 32 ust. 1, art. 34 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z wieloletniego zaniechania dostosowania infrastruktury laboratoryjnego systemu informatycznego (LIS) do wymogów RODO, mimo przetwarzania danych medycznych blisko 300 tysięcy mieszkańców regionu. Administrator opierał bezpieczeństwo systemu na modelu outsourcingu obejmującym wyłącznie reakcję na awarię, nie sprawując realnego nadzoru nad zewnętrznym dostawcą infrastruktury ani nad aktualnością zabezpieczeń. Kopie zapasowe podłączono bezpośrednio do serwerów produkcyjnych, a zdalny dostęp do środowiska pozostawiono niezabezpieczony dodatkowym uwierzytelnieniem. W efekcie pojedynczy atak ransomware doprowadził do kompromitacji całego środowiska i utraty części danych bez możliwości ich odzyskania.

Opis wydarzeń

Atak ransomware na system laboratoryjny szpitala: 14 listopada 2018 r. doszło do ataku wariantem oprogramowania CrySIS na Laboratory Information System szpitala Midland Regional Hospital Tullamore. Atakujący uzyskali dostęp poprzez niezabezpieczony port zdalnego pulpitu wystawiony do internetu, a następnie wykorzystali słabe, łatwe do odgadnięcia hasło konta administratora na serwerze bazodanowym. Uzyskane uprawnienia administracyjne pozwoliły na przemieszczanie się w sieci i dotarcie do głównego serwera produkcyjnego.
Skala i charakter dotkniętych danych: Naruszeniem objęto dane około 84 000 osób, w tym dane identyfikacyjne (imię, nazwisko, data urodzenia), dane kontaktowe oraz szczególne kategorie danych dotyczące zdrowia. Baza danych LIS zawierała tabele umożliwiające, przy zastosowaniu podstawowych operacji łączenia rekordów, powiązanie danych identyfikujących z wynikami badań klinicznych bez konieczności zaawansowanej wiedzy informatycznej.
Nieprawidłowa architektura kopii zapasowych: Urządzenia backupowe były fizycznie podłączone do zaatakowanych serwerów, co doprowadziło do ich jednoczesnego zaszyfrowania. Kopia zapasowa przechowywana poza lokalizacją okazała się niekompletna. Dane utworzone między czerwcem 2017 r. a listopadem 2018 r. zostały bezpowrotnie utracone w wersji elektronicznej, mimo że dostępne pozostały dokumenty papierowe.
Brak systemów detekcji i przestarzała infrastruktura: W środowisku LIS nie funkcjonował system wykrywania i zapobiegania włamaniom, w związku z czym incydent ujawnił się dopiero w momencie zejścia serwera produkcyjnego offline wskutek szyfrowania danych. Dodatkowo w sieci funkcjonowało urządzenie z systemem operacyjnym pozbawionym wsparcia producenta od 2010 r., a oprogramowanie antywirusowe nie było aktualizowane na wszystkich urządzeniach.
Wadliwe relacje z podmiotami przetwarzającymi: Irlandzki organ nadzorczy ustalił, że umowy z dostawcą infrastruktury oraz dostawcą oprogramowania obejmowały czynności stanowiące przetwarzanie danych osobowych, jednak nie spełniały wymogów art. 28 RODO. Umowy pochodziły sprzed wejścia w życie rozporządzenia i nie zostały zaktualizowane, nie zawierały klauzul dotyczących bezpieczeństwa, poufności ani zasad postępowania w przypadku incydentu.
Nieaktualny rejestr czynności przetwarzania: Dokumentację spełniającą wymogi art. 30 RODO formalnie zatwierdzono dopiero 23 listopada 2018 r., a więc już po wystąpieniu naruszenia. Dodatkowo rejestr nie zawierał danych kontaktowych inspektora ochrony danych, okresów retencji ani kategorii odbiorców danych.
Błędna ocena ryzyka i brak pełnego zawiadomienia osób, których dane dotyczą: Administrator zakwalifikował ryzyko naruszenia jako „średnie”, argumentując brakiem dowodów na wyprowadzenie danych poza organizację, i na tej podstawie zaniechał indywidualnego zawiadomienia osób fizycznych. Irlandzki organ nadzorczy uznał tę ocenę za nieprawidłową, gdyż raport z analizy powłamaniowej nie wykluczał możliwości przeglądania lub wyprowadzenia danych, a niepewność dowodowa wynikająca z usunięcia logów przez atakujących nie może działać na korzyść administratora. Zastosowana metodologia oceny wagi naruszenia (ENISA) wskazała wynik odpowiadający wysokiemu ryzyku. Komunikacja publiczna prowadzona przez administratora za pośrednictwem mediów, choć podjęta niezwłocznie, nie zawierała pełnego zakresu wymaganych informacji, w tym danych kontaktowych inspektora ochrony danych oraz informacji o nieodwracalnej utracie części danych.
Nałożona kara administracyjna: Irlandzki organ nadzorczy nałożył na administratora administracyjną karę pieniężną w wysokości 300 000 EUR. Irlandzki organ nadzorczy wskazał, że przyjęta kwota znajduje się w dolnym przedziale rozważanym na etapie decyzji wstępnej, co uzasadniono podjętymi przez administratora działaniami naprawczymi oraz wdrażanym planem poprawy cyberbezpieczeństwa.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Separacja architektury kopii zapasowych od środowiska produkcyjnego: Urządzenia backupowe nie powinny być trwale i bezpośrednio podłączone do serwerów produkcyjnych. Rekomendowane jest stosowanie rozwiązań, w których dostęp do chronionego systemu nawiązywany jest wyłącznie na czas wykonania kopii, a poza tym oknem czasowym backup pozostaje odizolowany od sieci produkcyjnej, a także przechowywanie co najmniej jednej kopii w izolowanej, niezależnej lokalizacji.
Zabezpieczenie zdalnego dostępu do infrastruktury: Dostęp zdalny do systemów przetwarzających dane osobowe powinien być ograniczony wyłącznie do sieci wewnętrznej lub zabezpieczony uwierzytelnianiem wieloskładnikowym. Porty zdalnego pulpitu nie powinny być bezpośrednio dostępne z sieci publicznej.
Wdrożenie systemów detekcji i reagowania na incydenty: Organizacje przetwarzające dane wysokiego ryzyka powinny dysponować systemami wykrywania i zapobiegania włamaniom (IDS/IPS) pozwalającymi na identyfikację nieautoryzowanej aktywności zanim dojdzie do eskalacji incydentu.
Regularne testowanie bezpieczeństwa środowiska IT: Konieczne jest cykliczne przeprowadzanie testów penetracyjnych i skanowania podatności, w szczególności w środowiskach przetwarzających szczególne kategorie danych osobowych, a wyniki testów powinny być dokumentowane i wdrażane operacyjnie.
Aktualizowanie umów z podmiotami przetwarzającymi: Umowy z dostawcami usług IT obejmującymi dostęp do danych osobowych powinny być poddawane regularnemu przeglądowi prawnemu i zawierać pełny zakres klauzul wymaganych rozporządzeniem, niezależnie od modelu współpracy.
Utrzymywanie aktualnego rejestru czynności przetwarzania: Rejestr czynności przetwarzania powinien być tworzony i aktualizowany na bieżąco, równolegle z uruchamianiem nowych procesów przetwarzania, a nie w reakcji na wystąpienie incydentu.
Rzetelna i udokumentowana ocena ryzyka po wystąpieniu naruszenia: Ocena ryzyka powinna uwzględniać nie tylko dowody potwierdzające szkodę, lecz również niepewność wynikającą z ograniczonej dostępności logów lub śladów działania sprawcy. Brak jednoznacznych dowodów na wyprowadzenie danych nie może automatycznie obniżać poziomu ocenianego ryzyka.