Zmiany w prawie po gigantycznym wycieku danych Polaków? Minister cyfryzacji odpowiada
W programie Tłit w Wirtualnej Polsce wiceminister cyfryzacji Michał Gramatyka mówił o możliwym źródle tego cyberataku. – NASK analizuje tę sytuację. Z publikacji w specjalistycznych portalach wynika, że to może być jakiś Hindus – stwierdził, choć póki co rządzący nie wykluczają ingerencji rosyjskich służb.
Tomasz Żółciak i Grzegorz Osiecki, dziennikarze Wirtualnej Polski: Co się teraz dzieje od strony działań rządowych i służb w zakresie niwelowania skutków wycieku?
Krzysztof Gawkowski, wicepremier i minister cyfryzacji: Nie czekamy, aż te dane zaczną krążyć po internecie. Działamy już teraz. W sprawie incydentu pracują wszystkie właściwe służby i zespoły odpowiedzialne za cyberbezpieczeństwo. Firma MyDr, do systemów której się włamano, również działa i współpracuje z organami państwa.
Kluczowe jest ustalenie pełnego zakresu wycieku, zabezpieczenie infrastruktury, z której dane zostały wykradzione, oraz monitorowanie miejsc, w których skradzione dane mogłyby zostać opublikowane lub wykorzystane. CERT Polska prowadzi monitoring wycieków i tzw. leak site’ów, a w przypadku pojawienia się danych podejmuje działania mające na celu identyfikację ich źródła i ograniczenie skutków.
Jednocześnie musimy jasno powiedzieć: jeżeli dane zostały skutecznie wykradzione, nie istnieje techniczny przycisk, którym państwo może je “wymazać” z internetu. Możemy natomiast bardzo mocno ograniczać możliwość ich wykorzystania, monitorować ich pojawianie się i reagować na próby ich użycia.
Państwo będzie działało tak, aby obywatele nie zostali pozostawieni sami sobie z konsekwencjami tego incydentu, mimo że to nie państwo jest odpowiedzialne za brak zabezpieczenia danych w systemach prywatnej firmy.
Kiedy doszło do wycieku i w jaki sposób? Pojawiają się informacje, że mogło to być nawet w 2024 r.
Z informacji, które mamy, do przejęcia danych doszło w ostatnich dniach. Przestępcy uzyskali dostęp do kopii danych na serwerach firmy z roku 2024. W cyberbezpieczeństwie czas ma znaczenie. Każdy dzień pomiędzy włamaniem a wykryciem incydentu może zwiększać skalę ryzyka. Dlatego będziemy oczekiwać pełnej odpowiedzi dotyczącej chronologii zdarzeń.
Jak to możliwe, że jedna prywatna firma ma dane 19 mln ludzi? Czy rozważacie rozwiązania systemowe?
Sama liczba 19 milionów pokazuje, z jak ogromną odpowiedzialnością mamy tutaj do czynienia. Prywatny podmiot może przetwarzać dane bardzo dużej liczby osób, jeżeli ma do tego podstawę prawną i świadczy usługi, w ramach których takie dane są potrzebne. Problemem nie jest więc samo to, że firma posiada dane. Problemem jest to, czy przechowuje je tylko w takim zakresie, w jakim jest to konieczne, i czy zapewnia im adekwatny poziom ochrony. To jest zasadnicza kwestia. I na pewno sprawdzimy, czy ta firma robiła to we właściwy sposób. Prezes Urzędu Ochrony Danych Osobowych rozpoczął już na moją prośbę czynności kontrolne w tej sprawie.
Państwo musi wyciągać wnioski z każdego takiego incydentu. Dlatego będziemy analizować, czy obecne wymagania dotyczące bezpieczeństwa danych są wystarczające, czy potrzebne są dodatkowe obowiązki dla podmiotów przetwarzających dane na masową skalę oraz czy mechanizmy nadzoru i raportowania działają wystarczająco skutecznie.
Nie może być tak, że dane milionów Polaków są traktowane jak zwykły zasób biznesowy. Dane obywateli to odpowiedzialność. Im większa baza danych, tym większa odpowiedzialność za jej bezpieczeństwo.
Musimy też rozwijać zasadę minimalizacji danych: firma powinna posiadać tyle danych, ile rzeczywiście potrzebuje do realizacji konkretnej usługi, a nie gromadzić ich “na wszelki wypadek”. Nie wykluczam, że po analizie tego incydentu będziemy wprowadzać nowe zmiany w prawie.
Sprawcy twierdzą, że nie będą sprzedawać ani udostępniać danych. Czy wiadomo już na 100 proc., kto za tym stoi?
W cyberbezpieczeństwie nie będę ogłaszał sprawcy na podstawie deklaracji hakerów czy anonimowych wpisów w internecie. Atrybucja cyberataku wymaga analizy technicznej, operacyjnej i wywiadowczej. Jeżeli służby będą miały podstawy, by wskazać konkretną grupę czy państwo, opinia publiczna zostanie o tym poinformowana w odpowiednim momencie.
Czy jest ślad rosyjski?
Na tym etapie nie będę ani potwierdzał, ani wykluczał żadnego kierunku, jeśli nie ma do tego wystarczających dowodów. Rosja jest jednym z najpoważniejszych zagrożeń dla polskiej cyberprzestrzeni, ale nie wolno nam zastępować dowodów polityczną tezą. Najpierw ustalenia, potem odpowiedzialność.
Czy można jakoś zabezpieczyć te dane?
Traktujemy dane jako potencjalnie zagrożone i działamy tak, jakby mogły zostać wykorzystane. Monitorujemy ich pojawianie się, analizujemy ryzyko i przygotowujemy działania ograniczające skutki.
I chcę powiedzieć jedną rzecz bardzo jasno: kradzież danych nie kończy się w momencie włamania do systemu. Państwo będzie śledzić również to, co dzieje się z tymi danymi później. Jeżeli zostaną wykorzystane do oszustw, szantażu czy innych przestępstw, będziemy reagować. Jeśli stwierdzimy również jakiekolwiek zaniedbania w firmie, z której dane wyciekły, to będą surowe kary.
PREMIUM Zapisz się na newsletter!
Zapisz mnie