Atsakas kibernetinėms grėsmėms – Seime registruoti strateginiai įstatymų pakeitimai E. sveikatos stiprinimui

Seime užregistruotas strateginis įstatymų pataisų paketas, kuris iš esmės pakeis šalies E. sveikatos ekosistemos valdymą, užtikrins jos stabilumą ir padės gydymo įstaigoms apsaugoti savo posistemes nuo kibernetinių grėsmių. Teisės aktų pakeitimai sudarys teisinį pagrindą tvariam ir ilgalaikiam viso tinklo finansavimui iš Privalomojo sveikatos draudimo fondo (PSDF) lėšų, bus išgryninta valdysena ir suteikti realūs įrankiai gydymo įstaigoms pasirūpinti duomenų saugumu savo valdomose posistemėse.

„Gyvename hibridinių ir kibernetinių grėsmių amžiuje, todėl pacientų duomenų saugumas negali turėti jokių „pilkųjų zonų“. Sveikatos sektorius ir pacientų duomenys yra strateginė valstybės infrastruktūra. Dėl to kartu sutelkėme visas pajėgas, kad šį įstatymų paketą registruotume ir pradėtume svarstyti dar šioje Seimo pavasario sesijoje“, – teigė Seimo Pirmininko pavaduotoja Orinta Leiputė, pabrėždama, kad šis žingsnis – aiškus signalas gydymo įstaigoms, kurios skatinamos jau dabar peržiūrėti savo valdomas informacines sistemas ir pasirūpinti jų saugumu.

Registruoti įstatymų pakeitimai žymi etapą, kai valstybė baigia metų metus trukusį fragmentišką ir projektinėmis lėšomis finansuotą E. sveikatos ekosistemos valdymą ir pereina prie ilgalaikės strategijos bei tvaraus finansavimo modelio.

Sveikatos apsaugos ministrė Marija Jakubauskienė pabrėžė, kad grėsmės skaitmeninėje erdvėje nelaukia – tai įrodo ir vakar vėlai vakare gauta informacija apie operatyviai suvaldytą kibernetinį incidentą Valstybinės akreditavimo sveikatos priežiūros veiklai tarnybos valdomoje informacinės sistemos posistemėje.

Pirminiais duomenimis, birželio 7–8 d. pasinaudojus trečiųjų šalių atviro kodo įrankio (Apache Superset) spraga, buvo atliktas neautorizuotas prisijungimas. Incidentas pastebėtas naktį į birželio 9 d. ir iškart užkardytas. Toliau vykdoma posistemės stebėsena, informuotas Nacionalinis kibernetinio saugumo centras, Valstybinė duomenų apsaugos inspekcija, o gavus informaciją iš Valstybės skaitmeninių sprendimų agentūros ir ją patikslinus, šiomis dienomis bus atliekami duomenų savininkų informavimo veiksmai.

„Noriu pabrėžti: tai nėra susiję su E. sveikata ir pacientų duomenimis. Pagal turimą informaciją, incidentas įvyko izoliuotoje administracinėje posistemėje, tačiau jį vertiname kaip neįprastą. Ši posistemė yra sėkmingai praėjusi kibernetinio saugumo bandymus, į ją jungiamasi per el. valdžios vartus, o ne tiesiogiai. Dėl šios priežasties jau kreipėmės į Generalinę prokuratūrą“, – sakė ministrė M. Jakubauskienė. 

Siekdama apsaugoti pavaldžias įstaigas nuo kibernetinių incidentų, dar iki įvykio Sveikatos apsaugos ministerija parengė rekomendacijas dėl greito poveikio priemonių – jos dar šiandien pasieks įstaigas, kurioms bus teikiamos ir konsultacijos.

Registrų centro E. sveikatos departamento vadovas Domantas Ozerenskis tikino, kad nors šiuo metu nėra fiksuotas E. sveikatos duomenų nutekėjimas, tačiau sistemos kompleksiškumas reikalauja visų ekosistemos dalyvių įsitraukimo į saugumo stiprinimą.

„E. sveikatos kompleksiškumas reikalauja visapusiško ir koordinuoto visų susijusių šalių įsitraukimo. Registrų centras prisiima atsakomybę už centrinės sistemos dalies saugumo užtikrinimą, tačiau savo indėlį turi įdėti ir pačios sveikatos priežiūros įstaigos bei jų naudojamas sistemas prižiūrintys paslaugų teikėjai. Džiaugiamės Sveikatos apsaugos ministerijos bei Valstybinės ligonių kasos (VLK) iniciatyva prisidėti prie šio klausimo sprendimo ir skirti finansavimą visos sistemos saugumo stiprinimui“, – sakė jis.

Anot jo, Registrų centro pasiūlyti teisės aktų pakeitimai leis dar šiais metais įgyvendinti saugumą stiprinančias priemones.

„Prisijungimui prie E. sveikatos portalo, kurį prižiūri Registrų centras, visada reikalaujama kvalifikuotų autentifikavimo priemonių – tai atitinka saugumo standartus. Savo ruožtu pasiūlėme pakoreguoti teisės aktus, kad analogiški reikalavimai būtų taikomi visų įstaigų sistemoms, kurios keičiasi duomenimis su E. sveikata. Mūsų žiniomis, dalis įstaigų įsidiegs papildomus kibernetinio saugumo sprendimus dar šiais metais. Papildomai, Registrų centras savo prižiūrimoje E. sveikatos dalyje dar šiemet įdiegs duomenų teikimo kontrolės priemonės. Rekomendacijas dėl šių kontrolės priemonių taip pat pateiksime ir sveikatos priežiūros įstaigų sistemas prižiūrintiems paslaugų teikėjams“, – paaiškino D. Ozerenskis.

Priėmus įstatymų pataisas, reali E. sveikatos ekosistemos stiprinimo evoliucija prasidėtų nuo 2027 m., kai Elektroninės sveikatos paslaugų ir bendradarbiavimo informacinės sistemos (ESPBI IS) bei Išankstinės pacientų registracijos informacinės sistemos (IPR IS) valdytoja taptų VLK. Numatyta, kad šių sistemų plėtra, palaikymas ir tobulinimas būtų finansuojami iš PSDF lėšų, kurios būtų numatomos Registrų centro ir VLK sutartyje.

Pristatydamas praktinį pokyčių įgyvendinimą, VLK direktoriaus pavaduotojas Aurimas Baliukevičius akcentavo, kad pokyčiai būtų įgyvendinami per gydymo įstaigų finansinio skatinimo modelį. 

„Esminis pokyčių tikslas – sustiprinti E. sveikatos ekosistemą suteikiant gydymo įstaigoms realius išteklius ir metodinį vadovavimą, kad posistemių atnaujinimas vyktų sklandžiai. Naujoji tvarka įves vieningus techninius ir saugumo reikalavimus, o pačios gydymo įstaigos pagal savo skaitmenizavimo pažangą bus skirstomos į tris lygius – bazinį, vidutinį ir aukštą. Vidutinį ir aukštą lygį pasiekusios įstaigos gaus papildomą tikslinį finansavimą iš PSDF lėšų, kas leis joms efektyviai stiprinti savo informacinių technologijų infrastruktūrą“, – sakė jis.

Numatyta, kad gydymo įstaigų pažangos vertinimo tvarką nustatytų Vyriausybė arba jos įgaliota institucija, kuri atliktų ir vertinimą. Tuo metu Sveikatos apsaugos ministerija, kaip atsakinga už E. sveikatos politiką institucija, numatytų skatinimo už skaitmenizavimo ir saugos lygius tvarką.

Šie pokyčiai leis sukurti patikimesnę, saugesnę ir pacientams realesnę naudą teikiančią E. sveikatos ekosistemą, kuri atitiks ne tik šiuolaikinius duomenų saugumo standartus, bet ir atlieps ilgalaikius sistemos kaupimo bei sklandaus valdymo poreikius.

SAM ir LRS inf.

Informacija iš: