הפרת NHS, באג HSE חושפת נתוני בריאות באי הבריטי

השבוע, חטיבה של שירות הבריאות הלאומי (NHS) סקוטלנד נפגעה ממתקפת סייבר, שעלולה לשבש שירותים ולחשוף נתוני חולים ועובדים. בינתיים, חוקר חשף שגיאת תצורה של Salesforce שחשפה מיליוני נתוני חיסוני נגיף הקורונה של אזרחים איריים ממנהל שירותי הבריאות של אותה מדינה (HSE).

שתי התקריות, מופרדות בקפיצה מהירה מעל הים האירי, מדברות עם המתמשכים אתגרים שעומדים בפני ארגוני בריאות בהגנה על המידע האישי המזהה (PII) והמידע הבריאותי האישי (PHI) הרגיש ביותר של החולים.

באג של Salesforce בפורטל החיסונים נגד COVID של אירלנד

במהלך תחילתה של גרסת Omicron של COVID בדצמבר 2021, אהרון קוסטלו, מהנדס אבטחה ראשי של SaaS ב-AppOmni, גילה תצורה שגויה חמורה בפורטל החיסונים המקוון המבוסס על Salesforce עבור HSE של אירלנד.

In פוסט בבלוג שפורסם ב-14 במרץ, הוא הסביר כיצד פיקוח אפשר לחשבונות רגילים ברמה נמוכה השייכים לחולי HSE גישה חסרת תקדים לחלק של המערכת האחראי על אחסון מידע על מתן חיסונים.

החפץ החשוף המדובר כלל שמות מלאים של מטופלים וכל מידע הקשור לתקיעה שלהם: מותג החיסון, תאריך, מיקום והאתר בו הוא ניתן, וכל הסיבות שקיבלו או סירבו לכך.

כמו כן, נחשפו מסמכים השייכים לאנשי הצוות ומידע הקשור לנושאי IT פנימיים ותהליכים.

"עבור מנהלי Salesforce ועוסקי אבטחה בפלטפורמות SaaS, היה חוסר הבנה של ההשלכות של הרשאות שגוויות", אומר קוסטלו ל-Dark Reading. "הם לא היו מודעים היטב לכך שהדברים האלה אפשריים - שמשתמש בעל זכויות נמוכה יכול למשוך את הנתונים האלה."

בזמן שחלפו מאז, Salesforce הטמיעה בהדרגה מספר שינויים חיוביים למניעת שגיאות מסוג זה והפחתת ההשלכות שעלולות להתרחש ממנה. סורק בריאות מובנה מנסה לחשוף נקודות תורפה כאלה בסביבות הלקוחות, ורישום חזק יותר מאפשר למנהלי מערכת לנתח טוב יותר את פעילות המשתמשים, במיוחד כאשר הם מקיימים אינטראקציה עם ממשקי API שעלולים להיות רגישים. כמו כן, מדיניות ותצורות חדשות מנסות להסתיר מידע רגיש, אפילו במקרים שבהם הם נחשפים בתצורות שגויות.

"אז הם לא רק שיפרו את התהליך שלאחר הפריצה של ניתוח יומנים, הם גם הציגו דרכים שבהן מנהלי מערכת יכולים לזהות בקלות את הבעיות הללו עם סורק הבריאות, וגם להפחית את היקף החשיפות על ידי צמצום היקף הנתונים הופך זמין בתרחישים מסוימים", אומר קוסטלו.

עם זאת, הוא מזהיר, "יש הרבה ארגונים שעדיין מבצעים תצורה שגויה של בקרות גישה כאלה עד עצם היום הזה. אני עדיין חושב שיש פער ידע בתעשייה, וחלק מהנושא הוא: מי אחראי על אבטחת פלטפורמות SaaS? האם זה מנהלי הפלטפורמה? האם אתה מושך את צוות האבטחה שלך כשהדברים האלה נפרסים כדי לבצע ביקורת?"

הפרת NHS של סקוטלנד

גם השבוע, NHS Dumfries and Galloway פרסם התראה חושף כי הוא חווה מתקפת סייבר "ממוקדת ומתמשכת".

דאמפריס וגאלווי הוא אזור המועצה הדרומי ביותר של סקוטלנד, עם אוכלוסייה של כ-150,000.

כתוצאה מההפרה, הוא הזהיר, חלק מהשירותים עלולים לחוות הפרעה, וייתכן שהתוקפים השיגו "כמות משמעותית של נתונים" השייכים למטופלים ולצוות. פרטים ספציפיים יותר על הסיבה, הטבע וההשלכות של ההפרה עדיין לא פורסמו.

בין אם מדובר בפרצה בסקוטלנד או בתצורה שגויה של המערכת באירלנד, קוסטלו אומר, "אני חושב שהכל חוזר לתקציב ולמימון. והתוצאה של זה היא, ראשית, תת איוש לתפקידי אבטחת סייבר בתוך הארגונים הללו. זו בעיה מסיבית ומסיבית.

"אנחנו לא יכולים להפנות את האצבע אך ורק לעובדים של הארגונים האלה כשהם עובדים תחת תקציב מוגבל מאוד ומספר עובדים מוגבל מאוד. הם עושים כמיטב יכולתם עם המשאבים העומדים לרשותם".

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles