После киберинцидента в Manage My Health выданы уведомления о соблюдении требований конфиденциальности

Как сообщает Scoop, уполномоченный по вопросам конфиденциальности Новой Зеландии Майкл Уэбстер выдал Manage My Health и Health NZ официальные уведомления о соблюдении требований в связи с недостатками безопасности, связанными с киберинцидентом в конце декабря 2025 года.

Уведомления последовали за первым этапом расследования уполномоченного, опубликованным в мае 2026 года. В отчёте установлено, что на момент инцидента организации не выполняли требования безопасности, предусмотренные правилом 5 Кодекса конфиденциальности медицинской информации.

Распоряжения определяют изменения, которые каждая организация должна внести для защиты медицинской информации. Manage My Health должна выполнить все требования, перечисленные в её уведомлении, до 31 августа 2027 года, хотя часть работы уже завершена. В материалах, предоставленных уполномоченным по вопросам конфиденциальности, отдельная дата завершения работ для Health NZ не указана.

Семь проблемных областей

При подготовке уведомлений уполномоченный по вопросам конфиденциальности выявил семь областей, в которых меры безопасности оказались неэффективными. После инцидента Manage My Health улучшила ситуацию в трёх из этих областей. Одна из выявленных проблем касается работы многофакторной аутентификации, известной как MFA, которая добавляет дополнительный этап проверки при входе пользователя в систему.

Уведомления призваны преобразовать выводы расследования в конкретные обязательства. Они опубликованы на сайте Управления уполномоченного по вопросам конфиденциальности вместе с отчётом о киберинциденте за первый этап расследования.

Первое уведомление касается Manage My Health. Оно требует от компании внести или завершить улучшения в области конфиденциальности и безопасности, чтобы обеспечить соблюдение правила 5(1)(a) Кодекса конфиденциальности медицинской информации. Это положение требует от организаций здравоохранения поддерживать меры защиты, разумные с учётом обстоятельств и предназначенные для предотвращения утраты, неправомерного использования или несанкционированного раскрытия персональной информации.

Конкретные действия, которые должна выполнить Manage My Health, перечислены в её уведомлении о соблюдении требований. Распоряжение сосредоточено на защите информации, хранящейся в сервисе, и на устранении недостатков, выявленных в ходе расследования уполномоченного.

Обязанности Health NZ

Второе уведомление адресовано Health NZ и касается правила 5(1)(b) Кодекса. Это положение применяется, когда организация здравоохранения передаёт медицинскую информацию внешнему поставщику услуг.

Согласно этому правилу, до передачи информации такому поставщику организация должна предпринять все разумно доступные ей меры, чтобы не допустить использования или раскрытия информации без разрешения. В уведомлении для Health NZ указаны изменения, которые организация должна внести для выполнения этого обязательства.

Раздельные уведомления отражают различия в обязанностях двух организаций. Распоряжение в отношении Manage My Health касается мер защиты, обязательных для организации, которая хранит и обрабатывает персональную информацию, тогда как распоряжение в отношении Health NZ касается защиты, которая должна быть обеспечена до передачи медицинской информации поставщику услуг.

Воздействие на пациентов

Уэбстер заявил, что люди должны иметь возможность рассчитывать на надёжные методы защиты конфиденциальности и данных от любой организации, которая собирает, хранит, использует или обрабатывает конфиденциальную медицинскую информацию. По его словам, утечка затронула пациентов, семьи и сообщества, причём особую обеспокоенность вызывает положение маори в Нортленде.

Уполномоченный сообщил, что 90 процентов пострадавших пациентов, данные которых были украдены, живут в Нортленде. Местонахождение этих пациентов придаёт инциденту существенное общественное измерение, выходящее за рамки выявленных в ходе расследования технических недостатков безопасности.

Уведомления о соблюдении требований призваны подтвердить, что обе организации устраняют выявленные недостатки и обеспечивают безопасное обращение с информацией о пациентах. Они также предоставляют уполномоченному по вопросам конфиденциальности официальный механизм для обязательного внедрения улучшений, вместо того чтобы полагаться только на добровольные меры.

Scoop сообщило, что уведомления и отчёт о первом этапе расследования доступны через Управление уполномоченного по вопросам конфиденциальности. В документах подробно изложены требования к Manage My Health и Health NZ, а также разъясняются нормативные правила, на которых основаны распоряжения.