NHS-överträdelse, HSE-bugg exponerar sjukvårdsdata på de brittiska öarna

NHS-överträdelse, HSE-bugg exponerar sjukvårdsdata på de brittiska öarna

Tidsstämpel: 15 mars 2024 4:37
NHS-överträdelse, HSE-bugg exponerar sjukvårdsdata i de brittiska öarna PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

Den här veckan drabbades en avdelning av National Health Service (NHS) Skottland av en cyberattack, som potentiellt stör tjänsterna och avslöjade patient- och personaldata. Samtidigt avslöjade en forskare ett Salesforce-konfigurationsfel som avslöjade miljontals irländska medborgares COVID-vaccinationsdata från det landets Health Service Executive (HSE).

De två incidenterna, åtskilda av ett snabbt hopp över Irländska sjön, talar till det pågående utmaningar som sjukvårdsorganisationer står inför i att skydda patienters mest känsliga personliga identifierbara information (PII) och personlig hälsoinformation (PHI).

Salesforce Bug i Irlands COVID-vaccinationsportal

Under starten av COVIDs Omicron-variant i december 2021 upptäckte Aaron Costello, SaaS-säkerhetsingenjör på AppOmni, en allvarlig felkonfiguration i den Salesforce-baserade onlinevaccinationsportalen för Irlands HSE.

In ett blogginlägg publicerat den 14 mars, förklarade han hur en tillsyn möjliggjorde regelbundna konton på låg nivå som tillhörde HSE-patienter oöverträffad tillgång till den del av systemet som var ansvarig för att lagra information om vaccinadministration.

Det exponerade föremålet i fråga inkluderade fullständiga namn på patienter och all information om deras jabs: vaccinets märke, datum, plats och plats där det administrerades, och alla skäl till att de accepterade eller vägrade det.

Dokument som tillhör personalen och information om interna IT-frågor och processer exponerades också.

"För Salesforce-administratörer och säkerhetsutövare på SaaS-plattformar fanns det en bristande förståelse för konsekvenserna av felkonfigurerade behörigheter," säger Costello till Dark Reading. "De var inte helt medvetna om att dessa saker är möjliga - att en lågprivilegierad användare kunde dra denna data."

Under tiden sedan dess har Salesforce gradvis implementerat ett antal positiva förändringar för att förhindra denna typ av fel och mildra konsekvenserna som kan uppstå av det. En inbyggd hälsoskanner försöker avslöja sådana sårbarheter i kundernas miljöer, och mer robust loggning tillåter administratörer att bättre analysera användarnas aktivitet, särskilt när de interagerar med potentiellt känsliga API:er. Nya policyer och konfigurationer försöker också dölja känslig information, även i fall där de är utsatta för felkonfigurationer.

"Så inte bara har de förbättrat processen efter intrång för logganalys, de har också introducerat sätt på vilka administratörer enkelt kan upptäcka dessa problem med hälsoskannern, och även minska omfattningen av exponeringar genom att minska omfattningen av data som blir tillgänglig i vissa scenarier, säger Costello.

Men han varnar, "Det finns många organisationer som fortfarande felkonfigurerar den här typen av åtkomstkontroller än i dag. Jag tror fortfarande att det finns en kunskapslucka i branschen, och en del av frågan är: Vem är ansvarig för säkerhet för SaaS-plattformar? Är det plattformsadministratörerna? Tar du in ditt säkerhetsteam när dessa saker sätts igång för att göra en revision?”

Skottlands NHS-brott

Även denna vecka, NHS Dumfries och Galloway publicerat en varning avslöjar att den upplever en "fokuserad och pågående" cyberattack.

Dumfries och Galloway är det sydligaste kommunområdet i Skottland, med en befolkning på cirka 150,000 XNUMX.

Som ett resultat av intrånget, varnade det, vissa tjänster kan uppleva störningar och angriparna kan ha fått "en betydande mängd data" som tillhör patienter och personal. Mer specifika detaljer om orsaken, karaktären och konsekvenserna av överträdelsen har ännu inte offentliggjorts.

Oavsett om det är ett intrång i Skottland eller en förbisedd systemfelkonfiguration i Irland, säger Costello, "Jag tror att allt kommer tillbaka till budget och finansiering. Och resultatet av det är för det första underbemanning för cybersäkerhetspositioner inom dessa organisationer. Det är ett massivt, massivt problem.

”Vi kan inte bara peka finger åt de anställda i dessa organisationer när de arbetar under en mycket begränsad budget och ett mycket begränsat antal anställda. De gör sitt bästa med de resurser de har tillgängliga för dem.”

Tidsstämpel:

Mer från Mörk läsning