Pelanggaran NHS, Bug HSE Mengungkap Data Layanan Kesehatan di Kepulauan Inggris

Minggu ini, sebuah divisi dari Layanan Kesehatan Nasional (NHS) Skotlandia dilanda serangan siber, yang berpotensi mengganggu layanan dan mengungkap data pasien dan karyawan. Sementara itu, seorang peneliti mengungkapkan kesalahan konfigurasi Salesforce yang mengungkap data vaksinasi COVID jutaan warga Irlandia dari Health Service Executive (HSE) negara tersebut.

Kedua insiden tersebut, yang dipisahkan oleh lompatan cepat di atas Laut Irlandia, menunjukkan apa yang sedang terjadi tantangan yang dihadapi organisasi layanan kesehatan dalam melindungi informasi identitas pribadi (PII) dan informasi kesehatan pribadi (PHI) pasien yang paling sensitif.

Bug Tenaga Penjualan di Portal Vaksinasi COVID Irlandia

Selama munculnya varian Omicron COVID pada bulan Desember 2021, Aaron Costello, insinyur keamanan utama SaaS di AppOmni, menemukan kesalahan konfigurasi yang parah di portal vaksinasi online berbasis Salesforce untuk HSE Irlandia.

In sebuah posting blog yang diterbitkan pada 14 Maret, dia menjelaskan bagaimana pengawasan memungkinkan akun reguler tingkat rendah milik pasien HSE mengakses bagian sistem yang bertanggung jawab untuk menyimpan informasi tentang pemberian vaksin yang belum pernah terjadi sebelumnya.

Objek yang dipaparkan tersebut mencakup nama lengkap pasien dan semua informasi terkait suntikan mereka: merek vaksin, tanggal, lokasi, dan tempat pemberiannya, serta alasan mereka menerima atau menolaknya.

Dokumen milik anggota staf, dan informasi terkait masalah dan proses TI internal, juga terungkap.

“Bagi administrator Salesforce dan praktisi keamanan di platform SaaS, terdapat kurangnya pemahaman tentang implikasi dari izin yang salah dikonfigurasi,” kata Costello kepada Dark Reading. “Mereka tidak sepenuhnya menyadari bahwa hal-hal ini mungkin terjadi – bahwa pengguna dengan hak istimewa rendah dapat mengambil data ini.”

Sejak saat itu, Salesforce secara bertahap menerapkan sejumlah perubahan positif untuk mencegah kesalahan semacam ini dan mengurangi konsekuensi yang mungkin timbul darinya. Pemindai kesehatan internal berupaya mengungkap kerentanan tersebut di lingkungan pelanggan, dan logging yang lebih kuat memungkinkan administrator menganalisis aktivitas pengguna dengan lebih baik, terutama saat mereka berinteraksi dengan API yang berpotensi sensitif. Selain itu, kebijakan dan konfigurasi baru berupaya menyembunyikan informasi sensitif, bahkan jika informasi tersebut terekspos karena kesalahan konfigurasi.

“Jadi mereka tidak hanya meningkatkan proses analisis log pasca-pelanggaran, mereka juga memperkenalkan cara di mana administrator dapat dengan mudah mendeteksi masalah ini dengan pemindai kesehatan, dan juga mengurangi tingkat paparan dengan mengurangi cakupan data yang menjadi tersedia dalam skenario tertentu,” kata Costello.

Namun, ia memperingatkan, “Masih banyak organisasi yang salah mengonfigurasi kontrol akses semacam ini hingga saat ini. Saya masih berpendapat bahwa masih terdapat kesenjangan pengetahuan di industri ini, dan salah satu permasalahannya adalah: Siapa yang bertanggung jawab atas hal tersebut keamanan platform SaaS? Apakah itu administrator platform? Apakah Anda menarik tim keamanan Anda ketika hal-hal ini dikerahkan untuk melakukan audit?”

Pelanggaran NHS Skotlandia

Juga minggu ini, NHS Dumfries dan Galloway menerbitkan peringatan mengungkapkan bahwa mereka sedang mengalami serangan siber yang “terfokus dan berkelanjutan”.

Dumfries dan Galloway adalah wilayah dewan paling selatan di Skotlandia, dengan populasi sekitar 150,000 jiwa.

Sebagai akibat dari pelanggaran tersebut, mereka memperingatkan, beberapa layanan mungkin mengalami gangguan, dan penyerang mungkin telah memperoleh “sejumlah besar data” milik pasien dan staf. Rincian lebih spesifik tentang penyebab, sifat, dan konsekuensi pelanggaran tersebut belum dipublikasikan.

Entah itu pelanggaran di Skotlandia atau kesalahan konfigurasi sistem yang terabaikan di Irlandia, Costello berkata, “Saya rasa semuanya kembali ke anggaran dan pendanaan. Dampaknya adalah, pertama, kurangnya staf untuk posisi keamanan siber di organisasi-organisasi tersebut. Itu adalah masalah yang sangat besar.

“Kita tidak bisa hanya menuding karyawan organisasi-organisasi ini ketika mereka bekerja dengan anggaran yang sangat terbatas dan jumlah karyawan yang sangat terbatas. Mereka melakukan yang terbaik dengan sumber daya yang mereka miliki.”

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoData.Jaringan Vertikal Generatif Ai. Berdayakan Diri Anda. Akses Di Sini.
• PlatoAiStream. Intelijen Web3. Pengetahuan Diperkuat. Akses Di Sini.
• PlatoESG. Karbon, teknologi bersih, energi, Lingkungan Hidup, Tenaga surya, Penanganan limbah. Akses Di Sini.
• PlatoHealth. Kecerdasan Uji Coba Biotek dan Klinis. Akses Di Sini.
• Sumber: https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles