Stručne: Pri webe lekárskej ordinácie ide o bezpečnosť zdravotných údajov, nielen o vizitku na internete. Skontrolujte, ktoré formuláre ukladajú údaje alebo ich posielajú e-mailom, nechajte si písomne potvrdiť stav záplat PHP na serveri a pri podozrení okamžite zálohujte logy.
Ktoré systémy PHP bežia v ordináciách a MVZ
Väčšina webov ordinácií je založená na CMS v PHP, často WordPress, zriedkavejšie TYPO3 alebo Joomla. Zaujímavé je to pri doplnkových funkciách: formulároch na žiadosti o recepty a odporúčania, anamnestických dotazníkoch na stiahnutie alebo nahratie, prihláseniach na pripomienkové služby (Recall), pracovných ponukách s nahrávaním životopisov a online rezervácii termínov.
Rezervácia termínov je často externá služba, ktorá je len vložená. Údaje o termínoch sú potom u poskytovateľa. Niektoré ordinácie však používajú rezervačné pluginy, ktoré ukladajú termíny spolu s dôvodom návštevy do databázy vlastného webu. Práve tento rozdiel by ste mali poznať skôr, než riziko ohodnotíte.
Zdravotné údaje: prečo je web citlivejší, než vyzerá
Veta ako „Potrebujem znova liek na krvný tlak“ v kontaktnom formulári je zdravotný údaj. Takéto údaje patria medzi osobitné kategórie osobných údajov podľa čl. 9 GDPR. Pre lekárov navyše platí povinnosť mlčanlivosti, ktorej porušenie môže byť podľa § 203 StGB (nemecký Trestný zákonník) trestné.
Pre web to znamená: záznamy z formulárov, ktoré zostávajú v databáze, kópie vo formulárových pluginoch, e-mailové logy na serveri a nahrané dokumenty sú pri útoku prístupné. Kto na serveri spúšťa kód, spravidla ich číta tiež.
Nechajte si skontrolovať, či váš formulárový plugin ukladá záznamy navyše aj do databázy. Mnohé to robia štandardne. Čo sa neuloží, nemôže ani uniknúť.
Čo znamená výpadok alebo únik údajov pre ordináciu
Ak web vypadne, pacienti volajú a telefón ordinácie je aj tak vyťažený. To je nepríjemné, ale zvládnuteľné. Ťažšie je nepozorovaný útok: presmerovania na podvodné stránky pod menom ordinácie, falošné formuláre alebo zachytené žiadosti s odkazom na ochorenie.
Takýto incident môže spustiť oznamovacie povinnosti voči dozornému orgánu pre ochranu údajov a podľa rizika aj upovedomenie dotknutých osôb. 72-hodinová lehota podľa GDPR začína plynúť, hneď ako sa o porušení dozviete. Posúdenie vyjasnite so svojou zodpovednou osobou za ochranu údajov.
Web ordinácie a bezpečnosť: typická medzera v zodpovednosti
V ordináciách sú spravidla traja účastníci, z ktorých sa každý cíti zodpovedný za jednu časť:
| Účastník | Čo sa spravidla stará | Často mimo zorného poľa |
|---|---|---|
| IT dodávateľ ordinácie | systém ordinácie (PVS), sieť, konektor, pracovné stanice | server webu u poskytovateľa hostingu |
| Webová agentúra | dizajn, obsah, pluginy | verzia PHP a reštart servera |
| Poskytovateľ hostingu | prevádzka servera | údaje z formulárov a pluginy ordinácie |
Pri PHP2Shell leží medzera práve medzi týmito rolami: v PHP na webovom serveri. Pri zdieľanom hostingu je väčšinou zodpovedný poskytovateľ hostingu, potvrdenie stavu balíka si však musíte vyžiadať sami. V MVZ (zdravotnícke zariadenia združujúce viacerých lekárov) s viacerými pobočkami pristupuje často ešte prevádzkovateľ, ktorý má vlastné pravidlá.
Je medzi webom a sieťou ordinácie most?
Väčšinou web ordinácie beží u poskytovateľa hostingu a nemá priame spojenie so systémom na správu ordinácie. Existujú však výnimky, ktoré by ste mali poznať: formuláre, ktoré automaticky prenášajú údaje do PVS, server webu vo vlastnom dátovom centre MVZ alebo prístupové údaje, ktoré sa zároveň používajú pre web, e-mailové účty a vzdialenú správu.
V takých prípadoch nie je napadnutý webový server iba problémom webu. Nechajte svojho IT dodávateľa ordinácie a správcu webu spoločne preveriť, aké spojenia existujú a ktoré heslá sa používajú viackrát. Pre IT ordinácie navyše platia požiadavky Kassenärztliche Bundesvereinigung (nemecká spolková asociácia lekárov zdravotných poisťovní) na IT bezpečnosť. Ako ďaleko sa týkajú webu, vyjasnite so svojou zodpovednou osobou za ochranu údajov.
Prvé hodiny po varovaní
- Opýtať sa poskytovateľa hostingu, či je PHP vo verzii 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo je nasadený backport, a či boli reštartované všetky procesy PHP.
- Ak to nie je potvrdené: web dočasne vypnúť alebo nahradiť statickou stránkou s upozornením a telefónnymi hodinami, ako to pre nezáplatovateľné servery odporúča BSI (nemecký Spolkový úrad pre informačnú bezpečnosť).
- Zálohovať logy servera a prístupov od 20. 10. 2026.
- Dávať pozor na príznaky kompromitácie: neznáme súbory, nové admin účty, zmenené presmerovania.
- Zodpovednú osobu za ochranu údajov zapojiť včas, nie až po vyčistení.
Ako konkrétne pomáha PHP SOS?
- S poskytovateľom hostingu a agentúrou vyjasníme, kto záplatuje a reštartuje PHP, a získame potvrdenie so stavom balíka.
- Preveríme, kde sa na webovom serveri nachádzajú údaje z formulárov, nahraté súbory a kópie e-mailov a či existujú spojenia do siete ordinácie.
- Pri podozrení zabezpečíme stopy, vyhľadáme webshelly a server vyčistíme v rámci našej núdzovej pomoci pri hacknutých weboch.
- Incident zdokumentujeme tak, aby vaša zodpovedná osoba za ochranu údajov mohla posúdiť oznamovaciu povinnosť.
- Následne znížime množstvo uložených údajov a server spevníme (hardening), aby bolo nabudúce v stávke menej.
Časté otázky
Týka sa PHP2Shell aj softvéru mojej ordinácie?
Systém na správu ordinácie a prístup do telematickej infraštruktúry (nemecká sieť zdravotníctva) spravidla bežia oddelene od webu. Dotknuté sú webové servery s PHP, teda väčšinou web ordinácie a na ňom napojené formuláre alebo portály. Či existujú prepojenia medzi webom a sieťou ordinácie, by mal preveriť váš IT dodávateľ.
Sú údaje z kontaktného formulára zdravotnými údajmi?
Často áno. Už žiadosť o opakovaný recept alebo požiadavka na termín kvôli určitým ťažkostiam umožňuje usudzovať na zdravie. Takéto údaje patria medzi osobitné kategórie podľa čl. 9 GDPR. Presné zaradenie vyjasnite so svojou zodpovednou osobou za ochranu údajov.
Musím informovať pacientov, ak bol web hacknutý?
Závisí to od toho, či sú dotknuté osobné údaje a aké vysoké je riziko pre pacientov. Pri zdravotných údajoch je riziko často vysoké. Rozhodnutie urobíte so svojou zodpovednou osobou za ochranu údajov, v prípade potreby s právnym poradenstvom.
Kto zodpovedá za aktualizácie PHP na webe ordinácie?
Uvádza sa to v zmluve o hostingu alebo údržbe. Pri zdieľanom a managed hostingu záplatuje väčšinou poskytovateľ hostingu, pri vlastnom serveri poverený dodávateľ. Ak jasná úprava chýba, mali by ste ju teraz písomne zaznamenať.