NHS Breach, HSE Bug Expose Healthcare Data in the British Islands

Ezen a héten kibertámadás érte a skóciai Nemzeti Egészségügyi Szolgálat (NHS) egy részlegét, amely potenciálisan megzavarta a szolgáltatásokat, és nyilvánosságra hozta a betegek és az alkalmazottak adatait. Eközben egy kutató felfedte a Salesforce konfigurációs hibáját, amely több millió ír állampolgár COVID-oltási adatait tette közzé az ország Health Service Executive-tól (HSE).

A két incidens, amelyeket egy gyors ugrás választ el az Ír-tenger felett, a folyamatról beszél kihívásokkal szembesülnek az egészségügyi szervezetek a betegek legérzékenyebb személyazonosításra alkalmas adatainak (PII) és személyes egészségügyi információinak (PHI) védelmében.

Salesforce Bug Írország COVID oltási portálján

A COVID Omicron változatának 2021 decemberi megjelenése során Aaron Costello, az AppOmni vezető SaaS biztonsági mérnöke súlyos hibás konfigurációt fedezett fel az ír HSE Salesforce-alapú online oltási portálján.

In március 14-én megjelent blogbejegyzésElmondta, hogy egy felügyelet hogyan tette lehetővé a HSE-betegek rendszeres, alacsony szintű fiókjainak példátlan hozzáférését a rendszernek az oltás beadásával kapcsolatos információk tárolásáért felelős részéhez.

A szóban forgó tárgy a betegek teljes nevét és a szúrásaikra vonatkozó összes információt tartalmazta: a vakcina márkája, dátuma, helye és beadásának helye, valamint az elfogadás vagy elutasítás okai.

Ugyancsak nyilvánosságra kerültek a munkatársakhoz tartozó dokumentumok, valamint a belső informatikai kérdésekkel és folyamatokkal kapcsolatos információk.

„A Salesforce-rendszergazdák és a SaaS-platformokon dolgozó biztonsági szakemberek nem tudták a rosszul konfigurált engedélyek következményeit” – mondja Costello a Dark Readingnek. "Nem voltak teljesen tudatában annak, hogy ezek a dolgok lehetségesek – hogy egy alacsony privilegizált felhasználó gyűjtheti ezeket az adatokat."

Az azóta eltelt idő alatt a Salesforce fokozatosan számos pozitív változást hajtott végre az ilyen jellegű hibák megelőzésére és az abból fakadó következmények enyhítésére. A beépített állapotvizsgáló megpróbálja feltárni az ilyen biztonsági réseket az ügyfelek környezetében, és a robusztusabb naplózás lehetővé teszi a rendszergazdák számára, hogy jobban elemezzék a felhasználók tevékenységét, különösen akkor, ha potenciálisan érzékeny API-kkal kommunikálnak. Ezenkívül az új irányelvek és konfigurációk megkísérlik elrejteni a bizalmas információkat, még akkor is, ha helytelen konfiguráció miatt kerülnek nyilvánosságra.

„Így nem csak a naplózási adatsértés utáni elemzési folyamatot javították, hanem olyan módszereket is bevezettek, amelyek segítségével a rendszergazdák könnyedén észlelhetik ezeket a problémákat az állapotszkennerrel, és csökkentik a kitettség mértékét azáltal, hogy csökkentik az adatok körét bizonyos forgatókönyvek esetén elérhetővé válik” – mondja Costello.

Mindazonáltal figyelmeztet: „Sok szervezet a mai napig rosszul konfigurálja ezeket a hozzáférés-szabályozásokat. Még mindig úgy gondolom, hogy tudáshiány van az iparágban, és a kérdés egy része: Ki a felelős a SaaS platformok biztonsága? A platform rendszergazdái? Bevonja a biztonsági csapatát, amikor ezeket a dolgokat bevetik egy audit elvégzésére?

Skócia NHS-sértés

Ezen a héten az NHS Dumfries és a Galloway is riasztást tett közzé felfedve, hogy „fókuszált és folyamatos” kibertámadást él át.

Dumfries és Galloway Skócia legdélibb tanácsi területe, lakossága körülbelül 150,000 XNUMX.

Figyelmeztetett, hogy az incidens következtében egyes szolgáltatások fennakadást tapasztalhatnak, és a támadók „jelentős mennyiségű adathoz” jutottak a betegekhez és a személyzethez. A jogsértés okával, természetével és következményeivel kapcsolatos pontosabb részleteket még nem hoznak nyilvánosságra.

Legyen szó akár skóciai megsértésről, akár figyelmen kívül hagyott rendszerhibáról Írországban, Costello azt mondja: „Azt hiszem, minden visszatér a költségvetéshez és a finanszírozáshoz. Ennek eredménye pedig egyrészt a kiberbiztonsági posztokon belüli létszámhiány ezeken a szervezeteken belül. Ez egy hatalmas, hatalmas probléma.

„Nem mutogathatunk pusztán ezeknek a szervezeteknek az alkalmazottaira, amikor nagyon szűkös költségvetéssel és nagyon korlátozott létszámmal dolgoznak. Mindent megtesznek a rendelkezésükre álló erőforrásokkal.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• PlatoData.Network Vertical Generative Ai. Erősítse meg magát. Hozzáférés itt.
• PlatoAiStream. Web3 Intelligence. Felerősített tudás. Hozzáférés itt.
• PlatoESG. Carbon, CleanTech, Energia, Környezet, Nap, Hulladékgazdálkodás. Hozzáférés itt.
• PlatoHealth. Biotechnológiai és klinikai vizsgálatok intelligencia. Hozzáférés itt.
• Forrás: https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles