NHS Breach, HSE Bug Expose Healthcare Data Brittein saarilla

Tällä viikolla Skotlannin kansallisen terveyspalvelun (NHS) jaosto joutui kyberhyökkäykseen, joka saattaa häiritä palveluita ja paljastaa potilaiden ja työntekijöiden tiedot. Sillä välin tutkija paljasti Salesforcen määritysvirheen, joka paljasti miljoonien Irlannin kansalaisten COVID-rokotustiedot kyseisen maan terveyspalvelujohtajalta (HSE).

Nämä kaksi tapausta, joita erottaa nopea hyppy Irlanninmeren yli, puhuvat meneillään olevasta terveydenhuoltoorganisaatioiden kohtaamat haasteet suojella potilaiden arkaluontoisia henkilökohtaisia ​​tunnistetietoja (PII) ja henkilökohtaisia ​​terveystietoja (PHI).

Salesforce Bug Irlannin COVID-rokotusportaalissa

COVIDin Omicron-variantin ilmestyessä joulukuussa 2021 AppOmnin SaaS-tietoturvainsinööri Aaron Costello havaitsi vakavan virheen Irlannin HSE:n Salesforce-pohjaisessa online-rokotusportaalissa.

In maaliskuun 14. päivänä julkaistu blogikirjoitus, hän selitti, kuinka valvonta mahdollisti HSE-potilaille kuuluvien tavallisten, matalan tason tilien ennennäkemättömän pääsyn järjestelmän osaan, joka vastaa rokotteen antamista koskevien tietojen tallentamisesta.

Kyseinen alttiina esine sisälsi potilaiden täydelliset nimet ja kaikki tiedot, jotka liittyvät heidän töihinsä: rokotteen merkki, päivämäärä, sijainti ja paikka, jossa se annettiin, sekä syyt, miksi he hyväksyivät tai kieltäytyivät.

Myös henkilökunnalle kuuluvia asiakirjoja sekä sisäisiin IT-asioihin ja prosesseihin liittyviä tietoja paljastettiin.

"SaaS-alustojen Salesforce-järjestelmänvalvojien ja tietoturva-alan ammattilaisten ymmärrys väärin määritettyjen käyttöoikeuksien vaikutuksista puuttui", Costello kertoo Dark Readingille. "He eivät olleet tarkkaan tietoisia siitä, että nämä asiat ovat mahdollisia - että heikommassa asemassa oleva käyttäjä voisi saada nämä tiedot."

Sen jälkeen Salesforce on vähitellen toteuttanut useita myönteisiä muutoksia estääkseen tämäntyyppisiä virheitä ja lieventääkseen niistä mahdollisesti aiheutuvia seurauksia. Sisäänrakennettu terveystarkistus yrittää paljastaa tällaisia ​​haavoittuvuuksia asiakkaiden ympäristöissä, ja tehokkaamman kirjauksen ansiosta järjestelmänvalvojat voivat paremmin analysoida käyttäjien toimintaa, varsinkin kun he ovat vuorovaikutuksessa mahdollisesti arkaluonteisten sovellusliittymien kanssa. Uudet käytännöt ja määritykset yrittävät myös piilottaa arkaluontoisia tietoja, vaikka ne paljastuvat virheellisten määritysten vuoksi.

"Joten he eivät ole vain parantaneet loukkauksen jälkeistä lokianalyysin prosessia, he ovat myös ottaneet käyttöön tapoja, joilla järjestelmänvalvojat voivat helposti havaita nämä ongelmat terveysskannerin avulla ja myös vähentää altistumisen laajuutta vähentämällä niiden tietojen laajuutta, jotka tulee saataville tietyissä skenaarioissa”, Costello sanoo.

Hän kuitenkin varoittaa: "Monet organisaatiot määrittävät väärin tällaisia ​​kulunvalvontaa tähän päivään asti. Olen edelleen sitä mieltä, että alalla on tietovaje, ja osa ongelmaa on: Kuka on vastuussa SaaS-alustojen turvallisuus? Onko se alustan ylläpitäjät? Hyödynnätkö turvatiimisi, kun näitä asioita käytetään suorittamaan auditointia?

Skotlannin NHS-rikkomus

Myös tällä viikolla NHS Dumfries ja Galloway julkaisi ilmoituksen paljastaa, että se on kokemassa "kohdistettua ja jatkuvaa" kyberhyökkäystä.

Dumfries ja Galloway on Skotlannin eteläisin valtuustoalue, jonka väkiluku on noin 150,000 XNUMX.

Rikkomisen seurauksena se varoitti, että joissakin palveluissa saattaa esiintyä häiriöitä ja hyökkääjät ovat saaneet hankkia "merkittävän määrän tietoja", jotka kuuluvat potilaille ja henkilökunnalle. Tarkempia tietoja rikkomisen syystä, luonteesta ja seurauksista ei ole vielä julkistettu.

Olipa kyseessä rikkomus Skotlannissa tai huomiotta jätetty järjestelmävirhe Irlannissa, Costello sanoo: "Minusta kaikki palaa budjettiin ja rahoitukseen. Ja sen seurauksena on ensinnäkin kyseisten organisaatioiden kyberturvallisuustehtävien vajaahenkilöstö. Se on valtava, massiivinen ongelma.

”Emme voi osoittaa sormella vain näiden organisaatioiden työntekijöitä, kun he työskentelevät hyvin rajallisella budjetilla ja hyvin rajoitetulla henkilöstömäärällä. He tekevät parhaansa käytettävissään olevilla resursseilla."

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles