Eesti hambaravi infosüsteemist lekkisid patsiendiandmed

Eesti hambaravis kasutatavast infosüsteemist laaditi ebaseaduslikult alla patsientide isiku- ja terviseandmeid. Teenusepakkuja Innovaatik teavitas juhtunust augusti lõpus politseid pärast seda, kui ettevõtte hallatavates süsteemides avastati korduvad loata sisenemised. Keskkriminaalpolitsei pidas uurimise käigus kinni 45-aastase Eesti kodaniku, keda kahtlustatakse arvutisüsteemile ebaseaduslikus juurdepääsus.

Politsei ja prokuratuuri esialgse hinnangu järgi võib andmeleke olla seotud rohkem kui 300 Eesti tervishoiuteenuse osutajaga. Täpne mõjutatud patsientide arv selgub kriminaalmenetluse käigus. Alla laaditud andmete hulgas olid muu hulgas isikukoodid, e-posti aadressid ja hambaraviga seotud terviseandmed. Samuti ei välistata, et süsteemist võidi saada kätte muud raviajalugu puudutavat infot.

Kahtlustatav ei pääse enam andmetele ligi

Uurijate praeguse versiooni kohaselt algas ebaseaduslik tegevus juuni lõpus. Politsei sõnul on kahtlustatav infosüsteemist eemaldatud ning tema ligipääs andmetele on peatatud. Seni kogutud info põhjal õnnestus ametnikel kätte saada kõik andmed, mis väidetavalt süsteemist alla laaditi.

Riigiprokurör Vahur Verte hinnangul ei ole praegu alust arvata, et kahtlustatav oleks andmeid kolmandatele isikutele edastanud, nende põhjal kasu teeninud või varukoopiaid loonud. Seetõttu loodetakse, et andmete laiem levik suudeti tänu ettevõtte kiirele reageerimisele ära hoida. Innovaatik pöördus pärast rikkumise avastamist kohe õiguskaitseorganite poole, mis võimaldas uurimist kiiresti alustada.

Miks on terviseandmete leke eriti tõsine?

Erinevalt paroolist või kasutajanimest ei saa inimene oma raviajalugu, isikukoodi ega varasemat tervisemuret lihtsalt välja vahetada. Terviseandmed kuuluvad Euroopa Liidu isikuandmete kaitse üldmääruse ehk GDPR-i järgi eriti tundlike andmete hulka. Nende lekkimine võib kaasa tuua identiteedivarguse, sihitud petuskeemid, mainekahju või ebamugavaid olukordi patsiendi eraelus.

Eestis kasutatakse tervishoius üha rohkem digitaalseid lahendusi, sealhulgas pilvepõhiseid infosüsteeme, e-visiite, digiretsepte ja patsiendiportaale. Digiteenused muudavad hambaravi- ja arstikabinettide töö tõhusamaks, kuid suurendavad samal ajal ka nõudeid küberturvalisusele. Ühes kesksemas infosüsteemis toimunud rünnak võib mõjutada korraga paljusid väiksemaid kliinikuid.

Küberkuritegevus liigub järjest väärtuslikumate andmete poole

Keskkriminaalpolitsei küberkuritegude büroo juhi Jete Luige sõnul tegutses kahtlustatav Eestis ning tal oli ettevõttega varasem seos. Esialgse hinnangu järgi võis tema eesmärk olla juhtida tähelepanu infosüsteemi turvanõrkustele, kuid motiiv ja tegevuse täpne ulatus selgitatakse välja menetluse käigus.

Kuigi paljud küberrünnakud on rahvusvahelise taustaga, näitab see juhtum, et oht võib tekkida ka organisatsiooni enda lähikonnast. Tervishoiuteenuse osutajad ja tehnoloogiapartnerid peavad seetõttu kasutama mitmekihilist kaitset: mitmeastmelist autentimist, rangelt piiratud kasutajaõigusi, logide pidevat jälgimist, regulaarseid turvateste ja krüpteeritud varukoopiaid.

Mida peaksid Eesti patsiendid ja ettevõtted teadma?

Patsiente teavitab võimalikust andmelekkest vajaduse korral nende tervishoiuteenuse osutaja. Kui inimene saab väidetavalt lekkinud andmetega seotud kõne, e-kirja või sõnumi, tasub suhtuda sellesse ettevaatlikult. Petturid võivad kasutada patsiendi nime, e-posti aadressi või raviteemadega seotud infot usaldusväärsema kelmusskeemi loomiseks.

Raha nõudmine andmete kustutamise või mitteavaldamise eest viitab suure tõenäosusega pettusele. Kahtlase pöördumise korral ei tohiks jagada paroole, Smart-ID või Mobiil-ID koode ega avada tundmatuid linke. Juhtumist tasub teatada politseile või RIA-le ning võtta ühendust oma hambaraviasutusega ametlike kontaktide kaudu.

Ettevõtete jaoks on juhtum oluline meeldetuletus, et infosüsteemi mugavus ja funktsioonide rohkus ei asenda turvalist arhitektuuri. Patsientide andmeid töötlevad kliinikud peaksid regulaarselt üle vaatama teenusepakkujate lepingud, ligipääsuõigused ja intsidendile reageerimise plaanid. Kriminaalmenetlust viib läbi keskkriminaalpolitsei küberkuritegude büroo ning seda juhib riigiprokuratuur.