NHS Breach, HSE Bug afslører sundhedsdata på de britiske øer

NHS Breach, HSE Bug afslører sundhedsdata på de britiske øer

Tidsstempel: 15. marts 2024 kl. 4
NHS Breach, HSE Bug Expose Healthcare Data in the British Isles PlatoBlockchain Data Intelligence. Vertical Search. Ai.

I denne uge blev en afdeling af National Health Service (NHS) Skotland ramt af et cyberangreb, der potentielt forstyrrede tjenester og afslørede patient- og medarbejderdata. I mellemtiden afslørede en forsker en Salesforce-konfigurationsfejl, der afslørede millioner af irske borgeres COVID-vaccinationsdata fra landets Health Service Executive (HSE).

De to hændelser, adskilt af et hurtigt hop over Det Irske Hav, taler til det igangværende udfordringer sundhedsorganisationer står over for i at beskytte patienters mest følsomme personlige identificerbare oplysninger (PII) og personlige helbredsoplysninger (PHI).

Salesforce Bug i Irlands COVID-vaccinationsportal

Under begyndelsen af ​​COVIDs Omicron-variant i december 2021 opdagede Aaron Costello, SaaS-sikkerhedsingeniør hos AppOmni, en alvorlig fejlkonfiguration i den Salesforce-baserede online-vaccinationsportal for Irlands HSE.

In et blogindlæg offentliggjort den 14. marts, forklarede han, hvordan et tilsyn tillod regelmæssige konti på lavt niveau tilhørende HSE-patienter hidtil uset adgang til den del af systemet, der var ansvarlig for lagring af oplysninger om vaccineadministration.

Det pågældende eksponerede objekt omfattede fulde navne på patienter og alle oplysninger vedrørende deres jabs: vaccinemærke, dato, placering og sted, hvor den blev administreret, og eventuelle grunde til, at de accepterede eller nægtede det.

Dokumenter tilhørende medarbejderne og information relateret til interne it-problemer og -processer blev også afsløret.

"For Salesforce-administratorer og sikkerhedsudøvere på SaaS-platforme var der en mangel på forståelse af implikationerne af forkert konfigurerede tilladelser," fortæller Costello til Dark Reading. "De var ikke helt klar over, at disse ting er mulige - at en lavprivilegeret bruger kunne trække disse data."

I tiden efter har Salesforce gradvist implementeret en række positive ændringer for at forhindre denne form for fejl og afbøde de konsekvenser, der måtte opstå deraf. En indbygget sundhedsscanner forsøger at afdække sådanne sårbarheder i kundernes miljøer, og mere robust logning giver administratorer mulighed for bedre at analysere brugernes aktivitet, især når de interagerer med potentielt følsomme API'er. Nye politikker og konfigurationer forsøger også at skjule følsomme oplysninger, selv i tilfælde, hvor de udsættes for fejlkonfigurationer.

"Så ikke kun har de forbedret processen efter brud på loganalyse, de har også introduceret måder, hvorpå administratorer nemt kan opdage disse problemer med sundhedsscanneren, og også reducere omfanget af eksponeringer ved at reducere omfanget af de data, der bliver tilgængelig i visse scenarier,” siger Costello.

Han advarer dog: "Der er mange organisationer, der stadig fejlkonfigurerer den slags adgangskontroller den dag i dag. Jeg tror stadig, der er et videnshul i branchen, og en del af spørgsmålet er: Hvem er ansvarlig for sikkerhed for SaaS-platforme? Er det platformsadministratorerne? Trækker du dit sikkerhedsteam ind, når disse ting bliver implementeret for at foretage en revision?"

Skotlands NHS Breach

Også i denne uge, NHS Dumfries og Galloway offentliggjort en advarsel afsløre, at den oplever et "fokuseret og igangværende" cyberangreb.

Dumfries og Galloway er det sydligste kommuneområde i Skotland med en befolkning på cirka 150,000.

Som et resultat af bruddet, advarede den, at nogle tjenester kan opleve forstyrrelser, og angriberne kan have opnået "en betydelig mængde data" tilhørende patienter og personale. Mere specifikke detaljer om årsagen, arten og konsekvenserne af bruddet er endnu ikke offentliggjort.

Uanset om det er et brud i Skotland eller en overset systemfejlkonfiguration i Irland, siger Costello: "Jeg tror det hele vender tilbage til budget og finansiering. Og resultatet af det er for det første underbemanding til cybersikkerhedsstillinger i disse organisationer. Det er et massivt, massivt problem.

”Vi kan ikke kun pege fingeren på de ansatte i disse organisationer, når de arbejder under et meget begrænset budget og et meget begrænset antal ansatte. De gør deres bedste med de ressourcer, de har til rådighed for dem."

Tidsstempel:

Mere fra Mørk læsning