Sjuttiotre journaler i minuten i fem dagar, och ingen märkte det

Siffran att titta på är inte femhundratusen euro, och inte heller sjuhundratusen människor. Den är sjuttiotre: patientjournaler som hämtades ut varje minut, fem dagar i sträck, utan att ett enda larm gick. Ett sådant tempo liknar ingenting en människa åstadkommer i arbete, och ett system som inte kan skilja det från vanligt arbete är inte ett övervakat system.

• Inloggningen skedde med en läkares legitima uppgifter, komprometterade någon annanstans: ur systemets synvinkel var det en behörig inloggning.
• På patientjournalen var flerfaktorsautentisering inte påslagen, vilket hade gjort dessa uppgifter värdelösa i sig.
• Det fanns inget verktyg som kunde upptäcka avvikande aktivitet: inga tröskelvärden, inga varningar, inga loggar som någon läste.
• CNIL förelade en översyn av åtkomstbehörigheterna inom femton månader och en effektiv loggning av åtkomster inom tre, vid vite om 1 000 euro för varje dags dröjsmål.

De två föreläggandena visar hur myndigheten läste fallet. Tre månader för loggarna, femton för behörigheterna: de olika fristerna är ingen eftergift, de är en prioritering. Att gå igenom vem som får se vad på ett sjukhus är ett långt arbete och måste göras ordentligt; att märka att någon laddar ned arkivet måste man kunna göra nu.

Art. 32 kräver åtgärder anpassade till risken, och i ett hälsoarkiv är risken inte bara att någon tar sig in: den är att personen blir kvar osedd. Förebyggande har en känd gräns — inloggningsuppgifter stjäls, och dessa hade stulits någon annanstans — medan upptäckt är det enda som arbetar efter att det förebyggande redan har brustit. Det är den del som i budgetar alltid kommer på andra plats, och det är den del CNIL mätte.