Siurbiami ne tik „Registrų centro“ duomenys – Jūsų sveikatos duomenis gali perskaityti ir valytoja

Prieš porą savaičių Lietuvą sukrėtė „Registrų centro“ duomenų nutekinimo skandalas – neteisėtai pasisavinta daugiau nei 500 tūkst. NT registro įrašų, taip pat piliečių asmens kodai. Tačiau vienodai prastai apsaugoti yra ir E.sveikata duomenys – gavus vartotojo vardą ir slaptažodį, duomenis gali pasiekti bet kas ir iš bet kur.

„Registrų centro“ duomenų nutekinimo skandalas Lietuvoje sukėlė tikrą suirutę – ypač kai buvo paskelbta, jog duomenys buvo vogiami nuo pat sausio pradžios. Tačiau apie vagystę „Registrų centras“ teigia sužinojęs tik balandžio pradžioje – tuomet apie nutekėjusius duomenis informavo teisėsaugą, Ekonomikos ir inovacijų ministeriją, premjerę. Prokuratūros teigimu, prisijungimai vyko per iš užsienio pasisavintas Migracijos departamento darbuotojų paskyras. Žiniasklaida jau skelbė, jog prisijungimai vyko ir savaitgaliais, paryčiais, vėlai naktį.

„Registrų centras“ taip pat nesiteikė informuoti ir visuomenės – galiausiai apie duomenų vagystę buvo pranešta tik gegužės 22 d., kai apie nutekintus duomenis RC pasiteiravo 15min žurnalistė Jūratė Damulytė. Tylėjo ir ikiteisminį tyrimą pradėjusi Generalinė prokuratūra, premjerė Inga Ruginienė, Ekonomikos ir inovacijų ministras Edvinas Grikšas, Teisingumo ministrė Rita Tamašunienė.

Šiuo metu visos minėtos šalys atsakomybe mėtosi it karšta bulve – štai premjerė tikina, kad nieko komentuoti negalėjo dėl atliekamo ikiteisminio tyrimo, prokuratūra tvirtina, jog premjerei nebuvo taikomas joks draudimas komentuoti incidentą, bet pati prokuratūra visuomenės neinformavo, nes buvo atliekami slapti veiksmai. „Registrų centras“ taip pat tvirtina, jog negalėjo nieko komentuoti dėl atliekamo ikiteisminio tyrimo. Nors galiausiai tik tuometinis „Registrų centro“ vadovas prisiėmė atsakomybę, pasitraukdamas iš pareigų.

Tačiau „Registrų centro“ istorijos kontekste, daug mažiau dėmesio susilaukė kita „Registrų centro“ prižiūrima sistema - E.sveikata. Sveikatos apsaugos ministerijai priklausanti E.sveikata yra nacionalinė Lietuvos elektroninės sveikatos sistema, kurioje kaupiami ir tvarkomi pacientų sveikatos duomenys. Tiesa, praėjusiais metais E.sveikata skambėjo kitame kontekste, nes atnaujinus sistemą, ji ilgą laiką neveikė, gydytojams teko vėl išrašinėti popierinius receptus, premjerė E.sveikata sistemą pavadino anekdotu.

Nors „Registrų centro“ duomenų nutekinimo skandalas išties skandalingas, tačiau didžioji dalis nutekintų duomenų nėra itin jautrūs, nebent asmens kodai. Šiaurės Europos šalyse NT registrų duomenys netgi yra viešai prieinami.

Kitaip yra su sveikatos duomenimis – pagal Europos Sąjungos Bendrąjį duomenų apsaugos reglamentą (BDAR) sveikatos duomenys yra laikomi specialiųjų kategorijų asmens duomenimis, dar vadinami neskelbtinais duomenimis, kuriems taikoma didesnė apsauga. Prie šių duomenų taip pat priskiriamas asmens lytinis gyvenimas ar seksualinė orientacija, rasinė ar etninė kilmė, asmens biometriniai ir genetiniai duomenys ir t.t.

E.sveikata sistemoje prieinami tokie duomenys, kaip gydytojų nustatytos diagnozės, asmens ligų istorija, apsilankymų pas gydytojus istorija, išrašyti elektroniniai receptai, taip pat ir asmens kodas.

Tačiau, kaip išsiaiškino portalas „Kas vyksta Kaune“, šie duomenys nėra papildomai apsaugoti.

Gerai informuoti šaltiniai privačiame ir viešame sveikatos paslaugų sektoriuje portalą „Kas vyksta Kaune“ informavo, jog E.sveikata sistemoje nėra jokių apribojimų tikrinant asmens sveikatos duomenis – bet kurios gydymo įstaigos gydytojas gali tikrinti bet kurį pacientą.

Maža to, prisijungimui prie sistemos naudojamas sugeneruotas vartotojo prisijungimo vardas ir slaptažodis, nėra taikomi jokie kiti apribojimai. Taigi, asmuo gali jungtis iš bet kurio kompiuterio, bet kuriuo metu.

Įdomu ir tai, jog daugybė privačių ir viešų įstaigų pačios taiko kur kas griežtesnius kriterijus – leidžia jungtis tik darbo valandomis ar tik iš specifinio IP adreso. Portalo žiniomis, Kauno klinikų darbuotojams jungiantis prie vidinių sistemų (intraneto) yra taikomi IP adreso apribojimai, ligoninės darbuotojai negali jungtis iš namų.

„Registrų centras“ irgi gali taikyti panašius apribojimus – pavyzdžiui, panašus apribojimas yra taikomas žurnalistams, jei pasirašydami sutartį yra nurodoma, kad riboti prisijungimus iš konkretaus IP adreso. Tuomet jie prie žiniasklaidai skirtos prieigos galėjo jungtis tik iš specifinio IP adreso. Taip pat gyventojams jungiantis prie E.sveikata, jiems reikia naudoti papildomas identifikavimo priemones. Tačiau tokie apribojimai nėra taikomi gydytojams.

Portalą „Kas vyksta Kaune“ jau pasiekė liudijimai, jog gydytojų E.sveikata prisijungimo duomenys keliauja ir po gydymo įstaigų personalą – pavyzdžiui, juos gauna ir gydymo įstaigose dirbančios registratūrų darbuotojai, kuriems nėra taikomi jokie ribojimai prisijungiant prie sistemos.

Žurnalistų žiniomis, jau yra pasitaikę atvejų, kai buvo masiškai tikrinami kai kurių pacientų sveikatos duomenys – įžymybių, nusikaltėlių, dingusių asmenų. Ir tai buvo daroma ne įsilaužus į sistemas, o iš rankų į rankas keliaujant prisijungimo duomenims.

Viešoje erdvėje žinoma, jog ypač daug registrų nulaužta Rusijoje. Tačiau daugeliu atvejų net nereikia sistemų nulaužinėti – prisijungimų duomenis Rusijoje pardavinėja valstybės tarnautojai, norėdami prisidurti. Ir tokia schema yra visiškai įmanoma Lietuvoje – norint prieiti prie sveikatos duomenų, užtenka gauti prisijungimo duomenis.

Anot liudijimų, „Registrų centras“ gali matyti, kas peržiūrėjo duomenis. Tačiau, pasak šaltinių, prevencinės priemonės vykdomos labai vangiai ir lėtai – kaip rodo ir „Registrų centro“ duomenų nutekinimo atvejis. Nors duomenys buvo vagiami dar nuo sausio, „Registrų centras“ vagystę pastebėjo tik balandį.

Anonimiškumo sąlygomis su portalo „Kas vyksta Kaune“ žurnalistu bendravęs IT ekspertas sutiko pasidalinti savo patirtimi, kaip nesudėtinga yra pasiekti gyventojų sveikatos duomenis.

„Visos tos sistemos yra pakankamai senos ir turi saugumo spragų, kurios jau seniai egzistuoja. Tik iki „Registrų centro“ įsilaužimo, apie tai nebuvo viešai kalbama. Niekas per daug sistemų nenulaužinėjo, o jeigu ir laužė, tai neiškilo į viešumą“, – teigė IT specialistas.

Šiam IT specialistui anksčiau teko išbandyti vienos privačios gydymo įstaigos naudojamos sistemos saugumą. Sistemą gydytojai naudojo pacientų duomenų suvedimui, tačiau sistema buvo integruota ir su E.sveikata. Pasak specialisto, dauguma gydymo įstaigų naudojamų vidinių sistemų yra integruotos kartu su e. sveikata.

„Su E.sveikata susijungimas vyksta gana paprastai – ta jų sistema turi autentifikavimo raktus, su kurių pagalba jų sistema bendrauja su E.sveikata sistema. Tai kaip ir neturėtų būti pasiekiama kažkokiam išoriniam naudojimui“, – tvirtino pašnekovas.

Tik yra vienas niuansas – minėtos klinikų naudojamos sistemos yra viešos. Nes gydytojai jungiasi per tą patį internetinį puslapį, kaip ir pacientai, tik naudodamiesi atskirais prisijungimais. Ir, pasak specialisto, vien toks prisijungimo būdas kelia rimtas saugumo grėsmes.

„Net negalėčiau vadinti sistemos nulaužimu, bet per atvirus endpointus (prieigos tašką, aut. pastaba) galima susirasti visą sistemos architektūrą, dar truputį pasiknaisiojus, patekti ir į vidinę sistemą. O ji, kaip minėjau, yra integruota su E. sveikata“, – paaiškina IT saugumo specialistas.

Jis pasakoja, jog net ir šio bandymo metu, pats pamatė, jog gali pasiekti E.sveikata pacientų duomenis.

„Nebandžiau nieko daryti per E. sveikatą, bet realiai galėjau patekti ir tuos duomenis paimti“, – tvirtina pašnekovas.

„Jeigu turėčiau kažkokią intenciją įsilaužti, pirmiausia pasižiūrėčiau, kokią programinę įrangą naudoja Lietuvoje veikiančios gydymo įstaigos, šią informaciją net ir per viešus šaltinius nesunku susirasti. Tada susirasčiau kliniką, kuri naudoja tą programinę įrangą ir bandyčiau patekti, kaip minėjau, dažnai tai įmanoma ir per viešai prieinamus endpointus“, – paaiškina specialistas.

Anot pašnekovo, ir „Registrų centro“ atveju, veikiausiai, nutiko kažkas panašaus.

„Pats patekimas į sistemą vyksta jos nenulaužiant, bet pasisavinant duomenis, kaip ir buvo „Registrų centro“ atveju (...).

Manau, jog E.sveikata turėtų pasižiūrėti šitą dalyką. Visos durys yra atviros ir dar ant durų užkabinta – prašome užeiti“, – reziumuoja IT specialistas.

„Kas vyksta Kaune“ „Registrų centro“ atstovams išsiuntė aštuonių klausimų bloką apie E.sveikata duomenų apsaugą – atsakymo laukėme savaitę.

„Registrų centro“ atstovas žiniasklaidai Mindaugas Samkus nurodė, jog E. sveikatos sistemą sudaro centrinė Elektroninė sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinė sistema (ESPBI IS) ir sveikatos priežiūros įstaigų naudojamos vidinės sistemos (HIS). Dalis įstaigų turi savo sukurtas ir prižiūrimas vidines sistemas, kitos naudojasi privačių paslaugų teikėjų kurtais sprendimais.

Visgi M. Samkus tvirtina, jog e. sveikatos portale yra fiksuojami visi duomenų peržiūros atvejai, o vidinėmis sistemomis rūpinasi jas valdančios įstaigos.

„Per e. sveikatos portalą (esveikata.lt) yra užtikrinamas visų duomenų peržiūros atvejų registravimas – fiksuojama, kas, kada ir kokius duomenis peržiūrėjo. Ši informacija yra saugoma neribotą laiką, taip pat pacientai turi galimybę susipažinti su šiais duomenimis.

Tuo tarpu per sveikatos priežiūros įstaigų vidines informacines sistemas (HIS) vykdomų peržiūrų registravimą ir jų saugojimą užtikrina pačios įstaigos. Šiais atvejais atsakomybė tenka įstaigoms, kaip duomenų valdytojams ir tvarkytojams, kurie privalo organizuoti duomenų tvarkymą laikantis taikomų teisės aktų, įskaitant asmens duomenų apsaugos ir informacinių sistemų saugos reikalavimus“, – nurodė M. Samkus.

Taip pat, pasak „Registrų centro“ atstovo, paciento portale kiekvienas pacientas gali peržiūrėti, kiek kartų, kada ir kas peržiūrėjo jo sveikatos duomenis, susietus su apsilankymu sveikatos priežiūros įstaigoje. Tačiau už sveikatos priežiūros įstaigų vidinėse sistemose vykdomų peržiūrų registravimą ir saugojimą atsakingos pačios įstaigos.

Toliau klausėme dėl apribojimų peržiūrint duomenis – ar kiekvienas gydytojas gali peržiūrėti bet kurio paciento duomenis? Atsakymas yra teigiamas, nes vienintelis faktorius – gydytojo profesinė kvalifikacija.

„Apribojimai E. sveikatoje egzistuoja pagal gydytojo profesinę kvalifikaciją. Gydytojai sveikatos duomenis gali peržiūrėti ESPBI IS naudojimo tvarkos apraše numatytomis teisėmis“, – pabrėžė „Registrų centro“ atstovas.

Asmens sveikatos duomenis taip pat gali matyti ir gydytojai, pas kuriuos pacientas gyvenime nėra lankęsis.

„Jei pacientas atvyksta į įstaigą, kurioje neprisirašęs, ir jam sveikatos priežiūros įstaigoje yra sukuriamas apsilankymo įrašas E. sveikatoje, tuomet tos įstaigos specialistai gali teikti paslaugas ir matyti jo sveikatos duomenis pagal gydytojo turimą profesinę kvalifikaciją. Šie principai nustatyti teisės aktuose. Pacientai Lietuvoje sveikatos priežiūros paslaugas gali gauti bet kurioje gydymo įstaigoje, nepriklausomai nuo to, kur yra prisirašę“, – paaiškino M. Samkus.

„Registrų centro“ pasiteiravome, kodėl nėra taikomi apribojimai prisijungimo laikui ar vietai. Pasak M. Samkaus, dalis sveikatos priežiūros įstaigų dirba visą parą, tad visu savo darbo laiku privalo gauti prieigą prie pacientų sveikatos duomenų. Todėl paros meto ribojimų nėra.

Taip pat atsakymuose M. Samkus nurodė, jog taikomi kiti apribojimai – pavyzdžiui, galimybė prisijungti tik iš vidinio sveikatos priežiūros įstaigos tinklo. Tačiau toks paaiškinimas nėra visiškai teisingas, nes toks apribojimas gali būti taikomas (ir dažnai yra taikomas) vidinėms informacinėms sistemoms, o ne E.sveikata.

„Svarbu paminėti, kad gydytojas prie asmens sveikatos duomenų gali prieiti tik sukūręs apsilankymo dokumentą – šis faktas lieka matomas visam laikui (taip pat ir pacientui)“, – priduria M. Samkus.

Galiausiai pasiteiravome, ar „Registrų centras“ matytų poreikį keisti dabartinę duomenų apsaugos tvarką, bei kokių priemonių „Registrų centras“ imasi, kad būtų užkardyti sveikatos duomenų vagysčių atvejai.

Į pirmąjį klausimą buvo atsakyta aptakiai – nurodyta, jog „Registrų centras“ vadovaujasi valstybinėms informacinėms sistemoms keliamais reikalavimais, tad duomenų apsauga esą užtikrinama.

„Registrų centras kaip pagrindinis E. sveikatos sistemos tvarkytojas vadovaujasi valstybinėms informacinėms sistemoms keliamais reikalavimais, ESPBI IS nuostatais ir kitais teisės aktais, kurie nurodo, kaip turi veikti sistema, kas turi teisę gauti ir teikti duomenis, kokios privalomos autentifikavimo priemonės. „Registrų centras“ užtikrina reikalingas technines sistemos kibernetinio saugumo priemones, tačiau nevertina teisės aktuose nustatytų prieigos teisių pagrįstumo“, – nurodė „Registrų centro“ atstovas.

„Registrų centro“ atstovas taip pat nurodė, jog RC imasi „prevencinių kontrolės priemonių“ ir jei į juos kreipiasi pacientas ar teisėsaugos institucija – tikrina audito įrašų informaciją, kas ir kada jungėsi.

„Sveikatos priežiūros procese negalima nepagrįstai riboti specialistų veiklos ar prieigos prie duomenų, todėl pagrindinis dėmesys skiriamas prevencinėms kontrolės priemonėms – prieigos teisių valdymui bei atsekamumui. „Registrų centras“ nuolat vertina ir tobulina priemones, skirtas galimų neteisėtų prieigos prie sveikatos duomenų atvejų identifikavimui (...).

Jei pacientas ar teisėsaugos įstaiga kreipiasi į „Registrų centrą“ dėl galimos nepagrįstos paciento sveikatos duomenų peržiūros ESPBI IS, tokiais atvejais vertinama ESPBI IS audito įrašų informacija: koks naudotojas, kada ir kokius paciento duomenis peržiūrėjo, kokios asmens sveikatos priežiūros įstaigos vardu buvo jungtasi, ar buvo registruotas aktyvus apsilankymas / paslaugos teikimo pagrindas“, – teigė M. Samkus.