Dyskusja użytkownika 30ohm

sprzęt to jedno, ale samo oprogramowanie też nie jest najwyższych lotów. W 2026 roku leci info, że załatano SQL injection to witki opadają.

@jakibytulogin I dlatego tylu "programistów" poleciało z powodu AI. Claude czy Codex, o ile się naprawdę nie postarasz, takiej dziury nie zostawią.

@LondoMollari 

Co do SQL injection to jest jeszcze śmieszniejsza sprawa bo w dzisiejszych czasach jest naprawdę trudno żeby w ogóle dopuścić do takiego ataku. Jak się uczyłem programować w technikum 10 lat temu to żeby zrozumieć naturę takiego ataku chciałem sobie go sam na sobie przeprowadzić. I mi się kurde nie udało przez dłuższy czas ponieważ dosłownie każda technologia po drodze miała już wbudowaną automatyczną ochronę przed tym. Mam na myśli wszelkie biblioteki, frameworki, ORMy itp (stack full JS). Jak już się poddałem i po prostu zrobiłem czystą aplikacje w PHP z ręcznie wpisanymi kwerendami w zmiennych które potem podmieniałem na inputy użytkownika to dostałem kolejny zonk bo okazało się, że bieda hosting PHP za 5zł miesięcznie z którego wtedy korzystałem miał wbudowaną ochronę przed SQL injection jeszcze na samym serwerze niezależnie od aplikacji użytkownika xD. A to było 10 lat temu.

@Catharsis A to swoją drogą. Większość cywilizowanych frameworków przed tym chroni, więc potrzeba, aby ktoś a) klepał swój własny framework/ORM b) obchodził framework, bo jego, super-unikatowy use case wymaga użycia klejonego SQLa. 99.99% super-unikatowych use case'ów, to przypadki, kiedy autor nie zna frameworka jaki używa, i nie wie jak coś w nim zrobić.

@Ragnarokk w firmach z rigczem, które ogarniają o co chodzi.

Czy taki system nie powinien działać lokalnie, offline, na terenie danej przychodni a dostęp do danych powinni mieć tylko pracownicy placówki medycznej?

@GazelkaFarelka Powinien. Backupy powinny być zdalne, oczywiście szyfrowane, z kluczem trzymanym offsite. Tj, tak by było jakbym ja coś takiego projektował. Problem w tym, że projektował to pewnie studenciak, zarabiający w miesiąc gdzieś między moją stawką dniową a tygodniową, pod presją czasu, i z założeniami, że ma być wszystko jak najtaniej. xD

Firma kontrakt wygrała, bo pewnie wyceniła na 50k coś, co powinno kosztować 500k. Sam fakt, że wyciekły dane różnych klientów, świadczy o tym, że tam nie było separacji baz danych różnych podmiotów, tylko pewnie wszystko leżało w jednej bazie, z pododawanym tenant_id w tabelach, (albo, że im ktoś jeszcze przeszedł po katalogu klientów, a oni nic nie zauważyli). xDDDD

@GazelkaFarelka wszystko jest w chmurze. Nie rozwija się aplikacji na onprem, jeśli to nie jest do korpo za gruby hajs, bo wymaga to więcej supportu dla klientów.
Po drugie, na onprem to by stało na jakimś lokalnym serwerze z windows xp, więc wcale nie byłoby bezpieczniej xD

Ogólnie w ogóle moje pierwsze pytanie brzmi - jakim cudem do c⁎⁎ja te dane w ogóle k⁎⁎wa wyjeżdżają do zewnętrznych systemów online, poza przychodnię? Czy ty czy ja udzielaliśmy zgody na przetwarzanie naszych danych medycznych przez jakieś trzecie firmy?

Tak, udzielaliśmy. Udzielasz zawsze jak u nowego lekarza podpisujesz „przetwarzanie danych osobowych”. Tam jest podpunkt ze wyrażasz zgodę na przekazywanie swoich danych w tym danych medycznych podmiotom trzecim niezbędnym do wykonania usługi. Ich lista powinna być dostępna, możesz zrobić audyt. Jest tam pewnie firma od prowadzenia dokumentacji, ale wydaje mi się ze np dentyści maja też firmy które przygotowują aparaty ortodontyczne

@GazelkaFarelka słyszałem kiedyś takie określenie, wiele firm ma środowiska testowe, nie wiele ma środowiska produkcyjne.

Powinno być offline, bez żadnego dostępu do podmiotów zewnętrznych. Umowa serwisowa? Tylko na środowisku klienta.

@LondoMollari 

bo pewnie wyceniła na 50k coś, co powinno kosztować 500k.

Znam człowieka który robił (ze strony państwa) w kontraktach rządowych.

Najważniejszym kryterium jest cena.

Jeżeli weźmie droższą firmę od razu będzie podejrzenie oskarżenia o korupcję. To po chuj ma się urzędnik narażać, nawet uczciwy?

Najważniejszym kryterium jest cena.

@Opornik A no wiem, to rak. Ale o to już powinni zadbać tworzący specyfikacje, tak aby rozwiązanie fundamentalnie błędne nie spełniało SIWZ.

@LondoMollari dobrze napisane prawo przetargowe też by się przydało

@wombatDaiquiri To jest niezgodne z prawem, zgoda na dostęp do danych medycznych musi być imienna - czyli konkretnie kogo upoważniasz do dostępu do twoich informacji medycznych. Imię, nazwisko, PESEL. A nie "że możemy przekazywać twoje dane medyczne komukolwiek w przyszłości" czyli "wszystkim obecnym i przyszłym pracownikom firmy, która dostarczana nam oprogramowanie i na wieki wieków amen".

@30ohm Dokładnie tak. W przypadku włamania, ktoś musi się włamać do sieci lokalnej tej konkretnej przychodni i dostanie dane tylko z tej jednej przychodni. A nie że gdzieś sobie istnieje bazka, do której ktoś się włamuje i ściąga sobie dane ćwierci populacji Polski XD

Zresztą tak przecież działają prywatne firmy, które nie będą wywalać w świat do jakichś zewnętrzych serwisów całego swojego know how. Stanów magazynowych, bazy kontrahentów, rozliczeniach, wielkości transakcji, bazy pracowników wraz z informacjami o wypłatach itp. Mają serwery z zainstalowanym systemem magazynowo-księgowym, dostępnym jedynie w sieci lokalnej. Jak coś trzeba zaktualizować czy doinstalować to przyjeżdża serwisant.

A przychodnie se YOLO wyślemy wszelkie dane do jakiejś zewnętrznej firmy XD

@GazelkaFarelka jak niezgodne z prawem to podaj paragraf. Pamiętaj ze mówisz o placówce medycznej oraz innych bytach prawnych, a nie osobach fizycznych którym dane są przekazywane.

Ew. Możesz napisać do IOD LuxMedu na przykład z pytaniem jakim prawem tak przetwarzają dane i to jeszcze otwarcie się tym chwaląc https://www.luxmed.pl/assets/media/Przetwarzanie_danych_osobowych_pacjent%C3%B3w_LUX%20MED.pdf

Twoje

dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

1. innym podmiotom leczniczym, współpracującym z LUX MED w celu zapewnienia ciągłości

leczenia oraz dostępności opieki zdrowotnej w postaci naszych placówek własnych oraz

placówek współpracujących z LUX MED na terenie Polski,

2. dostawcom usług zaopatrujących LUX MED w rozwiązania techniczne oraz organizacyjne,

umożliwiające udzielanie świadczeń zdrowotnych oraz zarządzanie naszą organizacją (w

szczególności dostawcom usług teleinformatycznych, dostawcom sprzętu diagnostycznego,

firmom kurierskim i pocztowym),

3. dostawcom usług wspierających LUX MED w obszarze marketingowym (agencje reklamowe,

firmy realizujące wysyłkę sms oraz e-mail),

4. dostawcom usług prawnych i doradczych oraz wspierających LUX MED w dochodzeniu należnych

roszczeń oraz obrony przed roszczeniami (w szczególności kancelariom prawnym, firmom

windykacyjnym, ubezpieczycielom), osobom upoważnionym przez Ciebie w ramach realizacji

Twoich praw pacjenta,

5. 6. podmiotom zlecającym realizację Programu, w szczególności Narodowy Fundusz Zdrowia,

jeżeli posiadany przez Ciebie pakiet opieki zdrowotnej uprawnia Cię do skorzystania z Drugiej

Opinii Medycznej, Twoje dane osobowe zostaną przekazane profesjonalnym podmiotom, które

współpracują z LUX MED w tym zakresie,

7. w zależności od posiadanego przez Ciebie pakietu abonamentowego, Twoje dane mogą być

również przekazane zakładom ubezpieczeniowym oraz zakładom reasekuracji, aby umożliwić Ci

korzystanie z usług objętych umową.

W związku z ciążącym na podmiotach leczniczych obowiązkiem raportowania zdarzeń medycznych

wynikającym z przepisów ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia,

Twoje dane osobowe w zakresie stanu zdrowia i udzielonych Ci świadczeń zdrowotnych są także

udostępniane przez LUX MED do Centrum e-Zdrowia z siedzibą w Warszawie (00-184) przy ul.

Stanisława Dubois 5a poprzez przekazanie ich przez LUX MED na platformę P1

@wombatDaiquiri Przeczytaj jeszcze raz co wkleiłeś. Dane osobowe. Nie medyczne. Adres, email, telefon, imię, nazwisko, pesel, a nie wyniki twojej kolonoskopii.

@GazelkaFarelka przestań proszę wymyślać definicje podaj źródło albo chociaż przejrzyj moje

Jaki jest zakres

przetwarzanych przez

LUX MED moich

danych osobowych?

Podczas świadczenia usług zdrowotnych tworzymy Twoją dokumentację medyczną, w której

odnotowujemy wszystkie informacje dotyczące procesu leczenia, w szczególności są tam informacje

o Twoim stanie zdrowia jak również mogą znaleźć się informacje o Twoich nałogach czy preferencjach

seksualnych. Zbieramy te informacje, jeżeli jest to niezbędne do postawienia diagnozy i

poprowadzenia w sposób właściwy Twojego procesu leczenia.

Tu masz źródło kancelaria jak luxmedowi nie wierzysz https://mkzpartnerzy.pl/ochrona-danych-medycznych-i-rodo-w-placowkach-medycznych-obowiazki-ryzyka-i-dobre-praktyki/

Ochrona danych medycznych, czyli informacji dotyczących stanu zdrowia pacjentów, należy do najbardziej wrażliwych obszarów regulowanych przez RODO (Rozporządzenie o Ochronie Danych Osobowych) oraz przepisy krajowe dotyczące ochrony danych osobowych i dokumentacji medycznej.

Dane dotyczące zdrowia są uznawane za szczególną kategorię danych osobowych, co oznacza, że ich przetwarzanie podlega dodatkowym wymogom prawnym oraz zwiększonym standardom bezpieczeństwa.

@Budo po prostu zakładasz, że jest syf i typowa januszerka. Co dało się spierdolić, zostało spierdolone.

@30ohm no to po co mi praca w takim środowisku i użeranie się z tym?

@Budo na takich najlepiej się zarabia. Dajesz negatywny wynik audytu, dajesz zalecania, nie zrobią to i tak jesteś kryty.

@30ohm zarabia się najlepiej w robocie gdzie jest dobre siano i spokój i nikt nie musi uważać żeby być krytym, bo teamy współpracują. Przecież po coś te dane są ochraniane co nie? Nie chcę robić w organizacji, która jest w średniowieczu, tylko w takiej, która wyznacza światowe trendy i jest w elicie.