Miluski przypomniał, że minęły około dwa tygodnie od dnia, w którym firma dowiedziała się, że doszło do włamania do systemów. Podkreślił, że "to były najtrudniejsze dwa tygodnie w historii tej firmy". Dodał, iż wie jednak, że były one znacznie trudniejsze dla klientów i pacjentów, osób, które znalazły się w sytuacji, na którą nie miały wpływu.
"Grupa określona z ostrożności"
Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych. Wiem, że obawa o swoje dane medyczne nie jest zwykłym stresem. To jedne z najbardziej prywatnych informacji, jakie istnieją, a ich bezpieczeństwo traktujemy jako nasze najważniejsze zadanie.
– napisał szef MyDr.
Podkreślił, że doszło do cyberataku, a postępowanie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa.
Równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane zostały objęte incydentem. W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania. Za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy nie możemy wykluczyć z zakresu incydentu. Grupa ta została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem. Chcę podkreślić, że to jednak nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione. Nasze zespoły oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.
– czytamy.
Miluski wyjaśnił, że firma woli poinformować zbyt szeroką grupę osób niż zbyt wąską, ponieważ "każdy zasługuje na to, aby wiedzieć i móc odpowiednio zareagować". Zapowiedział, że placówki otrzymają gotowe materiały oraz wsparcie na każdym etapie "tak aby każdy pacjent dowiadywał się o sytuacji od swojej placówki medycznej, a nie z mediów".
Podkreślił, że firma od samego początku w pełni współpracuje z organami ścigania (CBZC), a także z wieloma innymi instytucjami i podmiotami, między innymi z zespołem reagowania na incydenty bezpieczeństwa komputerowego CERT Polska działającym w ramach Naukowej i Akademickiej Sieci Komputerowej (NASK), Centrum e-Zdrowia (CeZ) oraz Ministerstwem Cyfryzacji.
Analiza trwa
Ten incydent pokazał nam również, jak szybko zmieniają się zagrożenia związane z cyberbezpieczeństwem. Wzmacniamy nasze zabezpieczenia i sposób, w jaki są one weryfikowane. Nasze systemy będą poddawane ciągłym testom pod kątem nowych i pojawiających się zagrożeń, również z wykorzystaniem nowoczesnych narzędzi opartych na AI. Te prace już trwają. Wiele osób pyta mnie, co mogliśmy zrobić lepiej. Dziś moja odpowiedź brzmi, że zasługują Państwo na pełną odpowiedź na to pytanie, a nie na pospieszną. Kiedy analiza zostanie zakończona, otwarcie poinformujemy o tym, czego się dowiedzieliśmy, jakie wnioski z tego wyciągamy i jakie działania podejmujemy.
– poinformował szef MyDr.
