Lekarze mają problemy z podpisywaniem e-recept i e-zwolnień, bo ZUS korzysta z przestarzałego, dawno złamanego rozwiązania. Efekt? Nieuprawnione osoby mogą same wystawiać sobie e-recepty, a sam ZUS zwolnił za to już 4 osoby.

Chodzi o czterech pracowników Departamentu Eksploatacji Aplikacji, z jego byłym już dyrektorem na czele. Ich zwolnienia udało nam się potwierdzić w trzech źródłach. Departament ten odpowiada m.in. za wdrożenie i kontrolę systemów do obsługi pacjentów. Chodzi o e-recepty i e-zwolnienia lekarskie (e-ZLA).

Jak udało nam się dowiedzieć, "dyscyplinarki" wynikają m.in. z problemów związanych z podpisywaniem e-zwolnień i e-recept. Lekarze mają trzy możliwości elektronicznego uwierzytelnienia tych dokumentów. Jednym z nich jest e-podpis, drugim platforma ePUAP, trzecim certyfikat od ZUS.

Tyle że elektroniczny podpis ma niewielu lekarzy, a ePUAP nie zawsze działa wystarczająco szybko. Wtedy zostaje opcja numer 3, czyli certyfikat ZUS, z którym też są problemy. - Sam przez pierwsze dwa tygodnie od ich wprowadzenia nie mogłem sobie z tym poradzić. W końcu siadłem na trzy godziny i udało mi się zainstalować ten certyfikat, ale nie zawsze udaje mi się nim podpisać dokumenty. Są jakieś kłopoty techniczne - mówi jeden z lekarzy z prywatnej placówki w Warszawie.

"Jakieś kłopoty techniczne" wynikają właśnie z przestarzałego algorytmu SHA-1, którego ZUS ma używać przynajmniej w niektórych swoich systemach. Nowe aplikacje nie przyjmują SHA-1. Ale ZUS używa go dalej, dlatego jeśli lekarz chce podpisać e-receptę lub e-zwolnienie za pomocą certyfikatu ZUS, dochodzi do konfliktu. Przeglądarka czy aplikacja, z której korzysta lekarz, certyfikatu nie chce przyjąć.

Zostając przy retoryce medycznej, SHA-1 jest jak nieszczepione dziecko, którego szkoła - tu aplikacja, z której korzysta lekarz - nie chce przyjąć do klasy, bo jest ono nieodporne na zagrożenia.

W ten sposób powstaje problem z wystawianiem dokumentów pacjentom. ZUS już to zauważył i zareagował nie tylko zwolnieniami dyscyplinarnymi. Na stronie internetowej zakładu pojawiła się instrukcja dla lekarzy na wypadek "problemów z podpisywaniem e-ZLA certyfikatem ZUS".

Instrukcja składa się z trzech kroków, ale wcale nie najprostszych dla osoby mniej wprawnej technicznie. Najpierw w przeglądarce internetowej trzeba wyczyścić dane przeglądania, czyli m.in. historię odwiedzanych stron i pliki cookies. Potem należy wyczyścić folder systemowy "temp" (z tzw. tymczasowymi plikami), który znajduje się na dysku twardym. Następnie trzeba jeszcze przeglądarkę odświeżyć. Po tych czynnościach podpisywanie e-dokumentów lekarskich powinno być znów możliwe.

- I pan wierzy, że każdy lekarz raz-dwa to zrobi? Przecież wielu z nas jest słabo obeznanych z technologiami - mówi anonimowo lekarz z jednego z indywidualnych gabinetów lekarskich w stolicy.

Google już w lutym 2017 roku informował o tym, że algorytm SHA-1 można łatwo złamać. A co jeśli się to uda? Nieuprawniona osoba, która złamie certyfikat ZUS-u, mógłby na przykład… wystawiać sobie samemu dowolne recepty.

Poprosiliśmy ZUS o komentarz do tej sprawy. Gdy dostaniemy odpowiedzi na pytania, zaktualizujemy artykuł.

W odpowiedzi na nasze pytania, ZUS przysłał swoje stanowisko w tej sprawie. "W Zakładzie Ubezpieczeń Społecznych nikt nie został zwolniony (w tym w trybie dyscyplinarnym) w związku z e-zwolnieniami czy certyfikatami. Departament Eksploatacji Aplikacji nie odpowiada za utrzymanie portalu ani za funkcjonowanie certyfikatów ZUS" - pisze rzecznik prasowy ZUS Paweł Żebrowski. Nie odpowiada jednak na pytanie, jaka była przyczyna zwolnień 4 osób z Departamentu Eksploatacji Aplikacji.

W oświadczeniu czytamy też, że "algorytmy stosowane do podpisywania certyfikatu wykorzystywanego przez lekarzy oparte są o SHA-2" i są rekomendowane przez Ministerstwo Cyfryzacji. "Jeśli pojawiają się zgłoszenia użytkowników portalu PUE, Zakład Ubezpieczeń Społecznych na bieżąco analizuje takie zgłoszenia i je wyjaśnia. Nasze oprogramowanie działa poprawnie" - podkreśla Żebrowski.

Dobreprogramy, 22 stycznia 2020