Na kratko: Pri spletni strani zdravniške ordinacije gre za varnost zdravstvenih podatkov, ne le za vizitko v omrežju. Preverite, kateri obrazci podatke shranjujejo ali pošiljajo po e-pošti, dajte pisno potrditi stanje popravkov PHP na strežniku in ob sumu takoj zavarujte dnevnike.
Kateri sistemi PHP tečejo v ordinacijah in MVZ
Večina spletnih strani ordinacij temelji na CMS-ju PHP, pogosto na WordPressu, redkeje na TYPO3 ali Joomla. Zanimivo postane pri dodatnih funkcijah: obrazci za prošnje za recepte in napotnice, anamnestični vprašalniki za prenos ali nalaganje, prijave na recall, razpisi delovnih mest z nalaganjem prijav in spletno naročanje na termin.
Naročanje na termin je pogosto zunanja storitev, ki je le vdelana. Tedaj so podatki o terminih pri ponudniku. Nekatere ordinacije pa uporabljajo vtičnike za rezervacije, ki termine skupaj z razlogom obiska shranjujejo v podatkovni zbirki lastne spletne strani. Prav to razliko bi morali poznati, preden ocenite tveganje.
Zdravstveni podatki: zakaj je spletna stran občutljivejša, kot je videti
Stavek, kot je „Spet potrebujem zdravilo za krvni tlak“, v kontaktnem obrazcu je zdravstveni podatek. Takšni podatki sodijo med posebne kategorije osebnih podatkov po 9. členu GDPR. Za zdravnice in zdravnike velja poleg tega dolžnost molčečnosti, katere kršitev je lahko kazniva po § 203 StGB (nemški kazenski zakonik).
Za spletno stran to pomeni: vnosi v obrazce, ki ostanejo v podatkovni zbirki, kopije v vtičnikih za obrazce, poštni dnevniki na strežniku in naloženi dokumenti so ob napadu dostopni. Kdor na strežniku izvaja kodo, jih praviloma bere sproti.
Dajte preveriti, ali vaš vtičnik za obrazce vnose dodatno shranjuje v podatkovno zbirko. Mnogi to počnejo privzeto. Česar ni shranjenega, tudi ne more uiti.
Kaj izpad ali uhajanje podatkov pomeni za ordinacijo
Če spletna stran odpove, pacienti kličejo, telefon ordinacije pa je tako ali tako zaseden. To je moteče, a obvladljivo. Težji je neopažen napad: preusmeritve na goljufive strani pod imenom ordinacije, ponarejeni obrazci ali prestrežena povpraševanja z zdravstvenim sklicem.
Takšen incident lahko sproži obveznosti prijave nadzornemu organu za varstvo podatkov, glede na tveganje tudi obveščanje prizadetih oseb. 72-urni rok po GDPR začne teči, ko za kršitev izveste. Oceno razjasnite s pooblaščencem za varstvo podatkov.
Spletna stran ordinacije in varnost: tipična vrzel v odgovornosti
V ordinacijah so praviloma trije udeleženi, ki se vsak čuti odgovornega za del:
| Udeleženi | Običajno skrbi za | Pogosto ni v očeh |
|---|---|---|
| IT-izvajalec ordinacije | PVS, omrežje, konektor, delovna mesta | strežnik spletne strani pri ponudniku gostovanja |
| Spletna agencija | oblikovanje, vsebine, vtičniki | različica PHP in ponovni zagon strežnika |
| Ponudnik gostovanja | delovanje strežnika | podatki obrazcev in vtičniki ordinacije |
Pri PHP2Shell leži ranljivost prav med tema vlogama: v PHP na spletnem strežniku. Pri shared hostingu je praviloma odgovoren ponudnik gostovanja, potrditev stanja paketa pa morate zahtevati sami. V MVZ z več lokacijami se pogosto doda še nosilec, ki postavlja lastne zahteve.
Ali obstaja most med spletno stranjo in omrežjem ordinacije?
Praviloma spletna stran ordinacije teče pri ponudniku gostovanja in nima neposredne povezave s sistemom za upravljanje ordinacije. So pa izjeme, ki jih je dobro poznati: obrazci, ki podatke samodejno prenašajo v PVS, spletni strežnik v lastnem računalniškem središču MVZ ali dostopni podatki, ki se hkrati uporabljajo za spletno stran, poštne račune in vzdrževanje na daljavo.
V takih primerih ogrožen spletni strežnik ni samo težava spletne strani. Naj IT-izvajalec ordinacije in skrbnik spletne strani skupaj preverita, katere povezave obstajajo in katera gesla se uporabljajo večkrat. Za IT ordinacije poleg tega veljajo zahteve Kassenärztliche Bundesvereinigung (nemška zvezna zveza zdravnikov zdravstvenega zavarovanja) glede IT-varnosti. Koliko zadevajo spletno stran, razjasnite s pooblaščencem za varstvo podatkov.
Prve ure po opozorilu
- Ponudnika gostovanja vprašajte, ali je PHP na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma je vgrajen backport, in ali so bili znova zagnani vsi procesi PHP.
- Če to ni potrjeno: spletno stran začasno izklopite ali jo zamenjajte s statično stranjo z obvestilom in telefonskimi urami, kot BSI (nemški zvezni urad za informacijsko varnost) priporoča za strežnike, ki jih ni mogoče popraviti.
- Zavarujte dnevnike strežnika in dostopov od 20. 10. 2026.
- Bodite pozorni na znake ogroženosti: neznane datoteke, novi skrbniški računi, spremenjene preusmeritve.
- Pooblaščenca za varstvo podatkov vključite zgodaj, ne šele po čiščenju.
Kako konkretno pomaga PHP SOS?
- S ponudnikom gostovanja in agencijo razjasnimo, kdo popravlja in znova zaganja PHP, ter pridobimo potrditev s stanjem paketa.
- Preverimo, kje na spletnem strežniku ležijo podatki obrazcev, nalaganja in kopije e-pošte ter ali obstajajo povezave v omrežje ordinacije.
- Ob sumu zavarujemo sledi, iščemo webshelle in strežnik očistimo v okviru naše nujne pomoči pri vdrtih spletnih straneh.
- Incident dokumentiramo tako, da lahko vaš pooblaščenec za varstvo podatkov oceni obveznost prijave.
- Nato zmanjšamo shranjene podatke in strežnik utrdimo, da je ob naslednjem primeru manj ogroženega.
Pogosta vprašanja
Ali PHP2Shell prizadene programsko opremo moje ordinacije?
Sistem za upravljanje ordinacije in dostop do telematske infrastrukture praviloma tečeta ločeno od spletne strani. Prizadeti so strežniki PHP, torej večinoma spletna stran ordinacije ter nanjo vezani obrazci ali portali. Ali obstajajo povezave med spletno stranjo in omrežjem ordinacije, naj preveri vaš IT-izvajalec.
So podatki iz kontaktnega obrazca zdravstveni podatki?
Pogosto da. Že prošnja za ponovni recept ali želja po terminu zaradi določenih težav omogoča sklepanje o zdravju. Takšni podatki sodijo med posebne kategorije po 9. členu GDPR. Natančno uvrstitev razjasnite s pooblaščencem za varstvo podatkov.
Ali moram obvestiti paciente, če je bila spletna stran vdrta?
To je odvisno od tega, ali so prizadeti osebni podatki in kako visoko je tveganje za paciente. Pri zdravstvenih podatkih je tveganje pogosto visoko. Odločitev sprejmete s pooblaščencem za varstvo podatkov, po potrebi s pravnim svetovanjem.
Kdo je pri spletni strani ordinacije odgovoren za posodobitve PHP?
To piše v pogodbi o gostovanju ali vzdrževanju. Pri shared hostingu in upravljanem gostovanju običajno popravlja ponudnik gostovanja, pri lastnem strežniku pa pooblaščeni izvajalec. Če jasne ureditve ni, jo zdaj zapišite.