Unikli osobné údaje všetkých testovaných na Covid-19 v SR

Toto je neuveritlene lemplactvo. Treba zalobu na zaklade zakona o ochrane osobnych udajov, spravit audit, vycislit skody, vymahat na dodavatelovi. Mozno si nabuduce spocita, ze security audit by ho vysiel lacnejsie.
Ale kedze sme na Slovensku, predpokladam, ze zmluva je postavena tak, ze "my nic, my za nic nerucime, iba berieme prachy". Snazil som sa dopatrat, kto im to zbastlil, ale zial nepodarilo sa mi. Neviete niekto? Lebo aspon negativne PR si za toto urcite zasluzia :-(

Podla vstekeho to bol interny vyvoj (primarne neprogramatormi) vedeny ludmi, ktory sa tam dostali po ferbraurivych volbach.

Ono to je az desive, co sa stane, ked programatora vedie Duch svety (ak nechapete, tak si nieco zistite o Slovenskom ministrovi zdravotnictva a ludoch co vsade dosadza).

Citace z https://zive.aktuality.sk/clanok/148703/co-vsetko-vieme-o-moznom-uniku-dat-pacientov-zo-statneho-systemu-14-klucovych-faktov/

"Kto aplikáciu Moje eZdravie vytvoril?

Dnes už bývalý šéf Národného centra zdravotníckych informácií Peter Blaškovitš pre Živé.sk potvrdil, že za jeho pôsobenia na aplikácii robili interní zamestnanci inštitúcie, keďže ju potrebovali vytvoriť čo najskôr a verejné obstarávanie by stálo istý čas. Kto na softvéri pracoval neskôr, NCZI nepovedalo."

Zákony jsou víc než smluvní podmínky, a jsem si jistý, že ochrana zdravotních záznamů je rozhodně chráněna zákonem. Jen GDPR umožňuje ve vážných případech pokutu až 20 milionů euro nebo až 4% ročního obratu, podle toho, co je vyšší. Ale je pravděpodobné, že nebude motivace to pořádně vyšetřit. Všichni zúčastnění na straně státu si budou krýt zadky a o otázky typu "proč není zabezpečení a bezp. audit součástí zakázky?" nikdo nestojí.

České eRoušky a yntelygentňý karanténa jsou šíté ještě víc horkou jehou. To je taky důvod, proč od kovidu vytvářím co nejméně lokalizačních dat.

Problémy jsou čtyři:
1. na většinu porušení GDPR musí upozornit poškozený a musí se případu věnovat, aby se něco řešilo,
2. poškozený z toho nic nemá, vyčíslení újmy je složité až nemožné,
3. odpovědnost není konkrétní; když Vám ublíží lékař, nemocnice platí odškodné, ale může ho regresovat na lékaře, a lékař je navíc přímo trestně odpovědný,
4. odpovědnou osobou je často instituce; ta díky rozdrobení odpovědnosti a využívání "oprávněných zájmů" podle GDPR dosáhne toho, že kvalifikace problému se dostane na spodní mez (a pak je pokuta jen symbolická).

V IT oboru je celkové pojetí odpovědnosti tristní. Jediní, kteří mohou rizika posuzovat, jsou samotní IT odborníci, ale ti nejsou majiteli a často ani vedoucími. Takže klasický průběh je, že manažer rozhodne, jak to udělat, jaké peníze na to nedá, přidá nesplnitelný termín. Tým, ačkoliv ví, že je to pitomost, upozorní na rizika, umyje si ruce a udělá, co je žádáno.

Jako jedinou možnost vidím, aby odborníci měli povinnost dodržovat zákony a měli nejen právo, ale i povinnost neuposlechnout příkazu, který by vedl k ohrožení (dat). Jinak se náš obor, podle mě, narovnat nedá.

Sice jsem dal palec nahoru, ale nesouhlasím s navrženým řešením.

1. Vývojový tým nemůže spolehlivě rozhodovat o splnitelnosti termínu a nákladech. Jistě může upozornit na jednoznačné podcenění náročnosti, ale to je dost hrubý metr. A co když prostě ten termín, který slíbili, nestihnou?

2. Vývojový tým nemusí mít dostatek zkušeností a nějaké bezpečnostní riziko prostě nepozná.

Řešení vidím dvě:

a) V podobných případech udělat povinný bezpečnostní audit pomocí jiného týmu nebo organizace.

b) Vykašlat se na populistický boj s korupcí a plýtváním a namísto toho se zaměřit na kvalitu a (v krizových situacích typu Covid) zaplatit klidně bez výběrového řízení dražšího dodavatele, který ví, co dělá.

Vývojový tým nemusí mít dostatek zkušeností a nějaké bezpečnostní riziko prostě nepozná.

To už je povinnost firmy. Odborné profese - např. instalatéři, účetní, ..., nemohou mít živnost, dokud nemají odborného garanta. Prostě jim tu živnost nezapíší.

Komické je, že tak důležitý obor, jako je IT, nic takového nemá.

Vykašlat se na populistický boj s korupcí a plýtváním a namísto toho se zaměřit na kvalitu a (v krizových situacích typu Covid) zaplatit klidně bez výběrového řízení dražšího dodavatele, který ví, co dělá.

To funguje v době největší krize. Např. když bylo potřeba zajistit roušky a respirátory, když se nevědělo, co Covid napáchá. Jenže z tohoto kritického stavu jsme už venku a není důvod nedodržovat pravidla.

Nicméně, souhlasím s tím, že pravidla jsou zbytečně překomplikovaná. Za jedno, zdržují až neúměrně, za druhé, paradoxně složitá pravidla vytvářejí skulinky (nebo spíš skrýše) pro korupci. Dnes peníze tečou bokem hlavně díky tomu, že se to odůvodní nějakým "pravidlem".

Ještě je zde možnost mít profesní komoru.

Ovšem v oboru, kde se (prý) počet vývojářů zdvojnásobí každých pět let, je to těžké.

o to viac, keď u náas je to ešte horšie ako v Kalifornii pred 5=imi rokmi

Closing The Computer Science Gap, From Classroom To Career
Muhammed Chaudhry11:00 pm CET•February 1, 2015

And it’s a good thing because currently there are

-more than 75,000 open jobs in computing in California

-and only 4,324 computer science graduates to fill them.

https://techcrunch.com/2015/02/01/integrate-california-schools-with-computer-science/?guccounter=1

čo zanmená, že kvalifikovaných nových zamestnacov je 5,77% resp. ešte menej..

Ale ak išlo o interný výávoj štátu (čo išlo), tak bude viac tých 4% ak sa za obrat bude považovať príjem štátneho rozpočtu

a príjmy rozpočtu SR na rok 2020sú
14 366 446 802 EUR
https://www.mfsr.sk/sk/financie/verejne-financie/rozpocet-verejnej-spravy/#collapse-340191600419574943

a teda pokuta do 574 657 872.08 EUR. zabolí.. A škoda, že nemáme hmotnú zodpovednosť štátnach úradníkov väčšiu ako 3 mesačné platy.

Túto pokutu by pocítilo "pár" generácií potomkov tých úradníkov, čo to robili, keďže nemôžete odmietnuť zdediť záväzky za pokuty od štátu.

Tak zrovna u eRoušky zůstávají veškerá data v telefonu a až když je člověk nakažený, tak do centrální databáze nahraje sadu anonymních bluetooth klíčů, které si stáhnou ostatní klienty a ověří si, zda je nemají v lokální databázi a tudíž se s daným nakaženým nesetkaly.
Tady je prostor na nějaký únik osobních dat opravdu malý.

To ocividne nevysvetlis :-/

Možno bude ďalší diel seriálu

Seriál Bezpečnost dat ve zdravotnictví
https://www.root.cz/serialy/bezpecnost-dat-ve-zdravotnictvi/

ono to je stále "malý" únik osobných údajov

Naproti tomu ve Spojených státech existuje veřejně dostupný systém hlášení úniků dat ve zdravotnictví.

Úniků dat rozhodně není málo: v roce 2015 unikla data prakticky třetiny obyvatel USA, 113 milionů záznamů. Loni, tj. v roce 2017, uniklo ve Spojených státech něco přes pět milionů záznamů:
https://www.root.cz/clanky/derave-kardiostimulatory-i-ransomware-decimujici-nemocnice/