Īsi sakot: Ārstu prakses vietnei runa ir par veselības datu drošību, nevis tikai par vizītkarti tīklā. Pārbaudiet, kuras veidlapas saglabā datus vai sūta tos pa e-pastu, lūdziet rakstiski apstiprināt servera PHP ielāpa stāvokli un aizdomu gadījumā nekavējoties saglabājiet žurnālus.
Kādas PHP sistēmas darbojas praksēs un MVZ
Lielākā daļa prakšu vietņu balstās uz PHP CMS, bieži WordPress, retāk TYPO3 vai Joomla. Interesanti kļūst papildu funkcijas: veidlapas recepšu un nosūtījumu pieprasījumiem, anamnēzes anketas lejupielādei vai augšupielādei, atgādinājumu reģistrācijas, vakanču sludinājumi ar pieteikumu augšupielādi un tiešsaistes pieraksts.
Pieraksts bieži ir ārējs pakalpojums, kas tikai tiek iegults. Tad pierakstu dati atrodas pie sniedzēja. Dažas prakses tomēr izmanto rezervēšanas spraudņus, kas pierakstus kopā ar iemeslu saglabā paša vietnes datubāzē. Tieši šī atšķirība jāzina, pirms vērtējat risku.
Veselības dati: kāpēc vietne ir jutīgāka, nekā šķiet
Teikums „Man atkal vajag asinsspiediena zāles“ kontaktformā ir veselības dati. Šādi dati pieder pie īpašajām personas datu kategorijām saskaņā ar VDAR 9. pantu. Ārstiem papildus ir spēkā klusēšanas pienākums, kura pārkāpums saskaņā ar Vācijas Krimināllikuma (StGB, Vācijas likums) 203. pantu var būt sodāms.
Vietnei tas nozīmē: veidlapu ieraksti, kas paliek datubāzē, kopijas veidlapu spraudņos, pasta žurnāli serverī un augšupielādētie dokumenti uzbrukuma gadījumā ir pieejami. Kas izpilda kodu serverī, tos parasti nolasa līdzi.
Pārbaudiet, vai jūsu veidlapu spraudnis ierakstus papildus saglabā datubāzē. Daudzi to dara pēc noklusējuma. Ko nesaglabā, to nevar arī nozagt.
Ko prakses darbībai nozīmē pārtraukums vai datu noplūde
Ja vietne nedarbojas, pacienti zvana, un prakses tālrunis jau tā ir noslogots. Tas ir kaitinoši, bet pārvaldāmi. Smagāks ir nemanīts uzbrukums: pāradresācijas uz krāpnieciskām lapām ar prakses nosaukumu, viltotas veidlapas vai nozagti pieprasījumi ar slimības saturu.
Šāds incidents var izraisīt ziņošanas pienākumus datu aizsardzības uzraudzības iestādei, atkarībā no riska arī skarto personu paziņošanu. VDAR 72 stundu termiņš sākas, tiklīdz uzzināt par pārkāpumu. Vērtējumu noskaidrojiet ar savu datu aizsardzības speciālistu.
Ārstu prakses vietne un drošība: tipiskā atbildības sprauga
Praksēs parasti ir trīs iesaistītie, no kuriem katrs jūtas atbildīgs par kādu daļu:
| Iesaistītais | Parasti rūpējas par | Bieži neredz |
|---|---|---|
| Prakses IT pakalpojumu sniedzējs | PVS, tīkls, konektors, darba vietas | Vietnes serveris pie hostinga sniedzēja |
| Tīmekļa aģentūra | Dizains, saturs, spraudņi | Servera PHP versija un pārstartēšana |
| Hostinga sniedzējs | Servera darbība | Prakses veidlapu dati un spraudņi |
PHP2Shell gadījumā sprauga atrodas tieši starp šīm lomām: PHP tīmekļa serverī. Koplietošanas hostingā parasti atbild hostinga sniedzējs, taču pakotnes stāvokļa apstiprinājums jāpieprasa pašiem. MVZ (medicīnas apkopes centros) ar vairākām atrašanās vietām bieži klāt nāk arī uzturētājs, kam ir savas prasības.
Vai starp vietni un prakses tīklu ir tilts?
Parasti prakses vietne darbojas pie hostinga sniedzēja un tai nav tiešas saites ar prakses pārvaldības sistēmu. Taču ir izņēmumi, kas jāzina: veidlapas, kas datus automātiski pārsūta uz PVS, vietnes serveris paša MVZ datu centrā vai piekļuves dati, ko vienlaikus izmanto vietnei, e-pasta kontiem un attālinātajai apkopei.
Šādos gadījumos kompromitēts tīmekļa serveris nav tikai vietnes problēma. Lūdziet savu prakses IT pakalpojumu sniedzēju un vietnes uzturētāju kopīgi pārbaudīt, kādi savienojumi pastāv un kuras paroles tiek lietotas atkārtoti. Prakses IT papildus attiecas Kassenärztliche Bundesvereinigung (Vācijas Federālās ārstu apvienības) prasības IT drošībai. Cik lielā mērā tās skar vietni, noskaidrojiet ar savu datu aizsardzības speciālistu.
Pirmās stundas pēc brīdinājuma
- Pajautāt hostinga sniedzējam, vai PHP ir versijā 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 vai ir ieviests backport, un vai visi PHP procesi ir pārstartēti.
- Ja tas nav apstiprināts: vietni uz laiku izslēgt vai aizstāt ar statisku paziņojuma lapu ar zvanīšanas laikiem, kā to neielāpojamiem serveriem iesaka BSI (Vācijas Federālais informācijas drošības birojs).
- Saglabāt servera un piekļuves žurnālus no 20.10.2026.
- Pievērst uzmanību kompromitācijas pazīmēm: nezināmi faili, jauni administratora konti, mainītas pāradresācijas.
- Datu aizsardzības speciālistu iesaistīt agri, nevis tikai pēc attīrīšanas.
Kā PHP SOS palīdz konkrēti?
- Mēs kopā ar hostinga sniedzēju un aģentūru noskaidrojam, kurš ielāpo un pārstartē PHP, un iegūstam apstiprinājumu ar pakotnes stāvokli.
- Mēs pārbaudām, kur tīmekļa serverī atrodas veidlapu dati, augšupielādes un e-pasta kopijas un vai pastāv savienojumi ar prakses tīklu.
- Aizdomu gadījumā mēs saglabājam pēdas, meklējam webshell un attīrām serveri mūsu ārkārtas palīdzības uzlauztām vietnēm ietvaros.
- Mēs dokumentējam incidentu tā, lai jūsu datu aizsardzības speciālists varētu izvērtēt ziņošanas pienākumu.
- Pēc tam mēs samazinām saglabātos datus un nostiprinām serveri, lai nākamreiz uz spēles būtu mazāk.
Biežāk uzdotie jautājumi
Vai PHP2Shell skar manu prakses programmatūru?
Prakses pārvaldības sistēma un piekļuve telemātikas infrastruktūrai parasti darbojas atsevišķi no vietnes. Skarti ir PHP tīmekļa serveri, tātad parasti prakses vietne un tai pieslēgtās veidlapas vai portāli. Vai starp vietni un prakses tīklu ir savienojumi, jāpārbauda jūsu IT pakalpojumu sniedzējam.
Vai dati no kontaktformas ir veselības dati?
Bieži jā. Jau lūgums pēc atkārtotas receptes vai pieraksta vēlme konkrētu sūdzību dēļ ļauj spriest par veselību. Šādi dati pieder pie īpašajām kategorijām saskaņā ar VDAR 9. pantu. Precīzu klasifikāciju noskaidrojiet ar savu datu aizsardzības speciālistu.
Vai man jāinformē pacienti, ja vietne ir uzlauzta?
Tas atkarīgs no tā, vai ir skarti personas dati un cik augsts ir risks pacientiem. Veselības datu gadījumā risks bieži ir augsts. Lēmumu pieņemat kopā ar savu datu aizsardzības speciālistu, vajadzības gadījumā ar advokāta konsultāciju.
Kas prakses vietnei ir atbildīgs par PHP atjauninājumiem?
Tas norādīts hostinga vai apkopes līgumā. Koplietošanas hostingā un pārvaldītā hostingā ielāpu parasti uzliek hostinga sniedzējs, savā serverī pilnvarotais pakalpojumu sniedzējs. Ja skaidra regulējuma nav, tagad to vajadzētu fiksēt rakstiski.