Siedemdziesiąt trzy karty na minutę przez pięć dni i nikt tego nie zauważył

Liczba, na którą trzeba patrzeć, to nie pięćset tysięcy euro ani nawet siedemset tysięcy osób. To siedemdziesiąt trzy: karty pacjentów pobierane co minutę, przez pięć dni z rzędu, bez jednego alertu. Takie tempo nie przypomina niczego, co człowiek wytwarza pracując, a system, który nie odróżnia tego od zwykłej pracy, nie jest systemem nadzorowanym.

• Wejście nastąpiło na legalnych danych logowania lekarza, przejętych gdzie indziej: z punktu widzenia systemu było to uprawnione logowanie.
• W dokumentacji pacjenta nie było włączone uwierzytelnianie wieloskładnikowe, które uczyniłoby te dane bezużytecznymi same w sobie.
• Nie istniało żadne narzędzie zdolne wykryć nietypową aktywność: ani progi, ani ostrzeżenia, ani logi, które ktoś by czytał.
• CNIL nakazał przegląd uprawnień dostępu w ciągu piętnastu miesięcy i skuteczne logowanie dostępów w ciągu trzech, pod rygorem 1 000 euro za każdy dzień zwłoki.

Obie nakazane czynności pokazują, jak organ odczytał sprawę. Trzy miesiące na logi, piętnaście na uprawnienia: różne terminy nie są ustępstwem, są priorytetem. Przegląd tego, kto co może widzieć w szpitalu, to długa praca i trzeba ją wykonać dobrze; zauważenie, że ktoś pobiera archiwum, musi być możliwe od zaraz.

Art. 32 wymaga środków adekwatnych do ryzyka, a w archiwum zdrowotnym ryzyko polega nie tylko na tym, że ktoś wejdzie: polega na tym, że zostanie w środku niezauważony. Prewencja ma znaną granicę — dane logowania się kradnie, a te skradziono gdzie indziej — natomiast wykrywanie to jedyna rzecz, która działa po tym, jak prewencja już zawiodła. To ta część, która w budżetach zawsze jest druga, i to ją CNIL zmierzył.