Stručně: U webu lékařské ordinace jde o bezpečnost zdravotních údajů, nejen o vizitku na internetu. Zkontrolujte, které formuláře údaje ukládají nebo posílají e-mailem, nechte si písemně potvrdit stav záplat PHP na serveru a při podezření ihned zajistěte logy.
Jaké systémy s PHP běží v ordinacích a zdravotních centrech
Většina webů ordinací je postavena na CMS v PHP, často na WordPressu, méně často na TYPO3 nebo Joomle. Zajímavé je to u doplňkových funkcí: formuláře pro žádosti o recept a doporučení, anamnestické dotazníky ke stažení nebo nahrání, přihlášky do systému připomínek, pracovní nabídky s nahráváním životopisů a online rezervace termínů.
Rezervace termínů je často externí služba, která se jen vloží do stránky. Pak jsou údaje o termínech u poskytovatele. Některé ordinace však používají rezervační pluginy, které ukládají termíny včetně důvodu návštěvy do databáze vlastního webu. Právě tento rozdíl byste měli znát dříve, než riziko vyhodnotíte.
Zdravotní údaje: proč je web citlivější, než vypadá
Věta jako „Potřebuji znovu svůj lék na tlak“ v kontaktním formuláři je zdravotní údaj. Takové údaje patří mezi zvláštní kategorie osobních údajů podle čl. 9 GDPR. Pro lékaře navíc platí mlčenlivost, jejíž porušení může být podle § 203 StGB (německý trestní zákoník) trestné.
Pro web to znamená: záznamy z formulářů, které zůstávají v databázi, kopie ve formulářových pluginech, poštovní logy na serveru i nahrané dokumenty jsou při útoku v dosahu. Kdo na serveru spouští kód, je zpravidla také přečte.
Nechte ověřit, zda váš formulářový plugin ukládá záznamy navíc do databáze. Mnohé to dělají ve výchozím nastavení. Co není uloženo, nemůže ani uniknout.
Co pro ordinaci znamená výpadek nebo únik dat
Když web vypadne, pacienti volají a ordinační telefon je stejně vytížený. To je nepříjemné, ale zvládnutelné. Závažnější je nepozorovaný útok: přesměrování na podvodné stránky pod jménem ordinace, falešné formuláře nebo zachycené dotazy s odkazem na nemoc.
Takový incident může založit oznamovací povinnost vůči dozorovému úřadu pro ochranu osobních údajů, podle rizika také oznámení dotčeným osobám. 72hodinová lhůta podle GDPR začíná, jakmile se o porušení dozvíte. Posouzení ujasněte s pověřencem pro ochranu osobních údajů.
Web ordinace a bezpečnost: typická mezera v odpovědnosti
V ordinacích bývají zpravidla tři zúčastnění, z nichž každý se cítí odpovědný za jednu část:
| Zúčastněný | O co se zpravidla stará | Co často nemá na očích |
|---|---|---|
| IT dodavatel ordinace | ordinační systém, síť, konektor, pracovní stanice | webový server u hostingu |
| Webová agentura | design, obsah, pluginy | verze PHP a restart serveru |
| Hosting | provoz serveru | formulářová data a pluginy ordinace |
U PHP2Shell leží zranitelnost přesně mezi těmito rolemi: v PHP na webovém serveru. U sdíleného hostingu je zpravidla odpovědný poskytovatel hostingu, potvrzení stavu balíčku si však musíte vyžádat sami. V zdravotních centrech (MVZ, německá zdravotnická centra s více lékaři) s více pracovišti často přistupuje ještě provozovatel, který stanoví vlastní pravidla.
Existuje most mezi webem a sítí ordinace?
Web ordinace většinou běží u hostingu a nemá přímé spojení s ordinačním systémem. Existují však výjimky, které byste měli znát: formuláře, které automaticky přenášejí data do ordinačního systému, webový server ve vlastním datacentru zdravotního centra nebo přístupové údaje, které se současně používají pro web, poštovní schránky a vzdálenou správu.
V takových případech není napadený webový server jen problémem webu. Nechte svého IT dodavatele ordinace a správce webu společně ověřit, jaká spojení existují a která hesla se používají opakovaně. Pro IT ordinace navíc platí požadavky německé Kassenärztliche Bundesvereinigung (Spolkové asociace lékařů zdravotních pojišťoven) na IT bezpečnost. Jak moc se týkají webu, ujasněte s pověřencem pro ochranu osobních údajů.
První hodiny po varování
- Zeptat se hostingu, zda je PHP ve verzi 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo zda je nasazen backport, a zda byly restartovány všechny procesy PHP.
- Pokud to není potvrzeno: web dočasně vypnout nebo nahradit statickou informační stránkou s telefonními hodinami, jak BSI (německý spolkový úřad pro informační bezpečnost) doporučuje u serverů, které nelze záplatovat.
- Zajistit logy serveru a přístupů od 20. 10. 2026.
- Dávat pozor na příznaky napadení: neznámé soubory, nové administrátorské účty, změněná přesměrování.
- Pověřence pro ochranu osobních údajů zapojit brzy, ne až po vyčištění.
Jak konkrétně pomáhá PHP SOS?
- S hostingem a agenturou ujasníme, kdo záplatuje PHP a restartuje je, a vyžádáme potvrzení se stavem balíčku.
- Zkontrolujeme, kde na webovém serveru leží data z formulářů, nahrané soubory a kopie e-mailů a zda existují spojení do sítě ordinace.
- Při podezření zajistíme stopy, hledáme webshelly a server vyčistíme v rámci naší nouzové pomoci při napadených webech.
- Incident zdokumentujeme tak, aby váš pověřenec pro ochranu osobních údajů mohl posoudit oznamovací povinnost.
- Poté snížíme množství uložených dat a server zabezpečíme (hardening), aby bylo příště v sázce méně.
Časté dotazy
Týká se PHP2Shell mého ordinačního softwaru?
Ordinační informační systém a přístup k telematické infrastruktuře běží zpravidla odděleně od webu. Postiženy jsou webové servery s PHP, tedy většinou web ordinace a na něj napojené formuláře nebo portály. Zda existují propojení mezi webem a sítí ordinace, by měl ověřit váš IT dodavatel.
Jsou údaje z kontaktního formuláře zdravotními údaji?
Často ano. Už žádost o opakovaný recept nebo přání termínu kvůli určitým obtížím umožňuje usuzovat na zdraví. Takové údaje patří do zvláštních kategorií podle čl. 9 GDPR. Přesné zařazení ujasněte s pověřencem pro ochranu osobních údajů.
Musím informovat pacienty, když byl web napaden?
Záleží na tom, zda jsou dotčeny osobní údaje a jak vysoké je riziko pro pacienty. U zdravotních údajů je riziko často vysoké. Rozhodnutí učiníte s pověřencem pro ochranu osobních údajů, v případě potřeby s právním poradenstvím.
Kdo odpovídá za aktualizace PHP u webu ordinace?
To stojí ve smlouvě o hostingu nebo údržbě. U sdíleného a spravovaného hostingu záplatuje většinou poskytovatel hostingu, u vlastního serveru pověřený dodavatel. Pokud jasná úprava chybí, měli byste ji nyní písemně stanovit.