Tuần này, một bộ phận của Cơ quan Y tế Quốc gia (NHS) Scotland đã bị tấn công mạng, có khả năng làm gián đoạn các dịch vụ và làm lộ dữ liệu của bệnh nhân và nhân viên. Trong khi đó, một nhà nghiên cứu đã tiết lộ một lỗi cấu hình Salesforce làm lộ dữ liệu tiêm chủng COVID của hàng triệu công dân Ireland từ Cơ quan Điều hành Dịch vụ Y tế (HSE) của quốc gia đó.
Hai sự cố xảy ra cách nhau bằng một cú nhảy nhanh qua Biển Ailen, nói lên vấn đề đang diễn ra. những thách thức mà các tổ chức chăm sóc sức khỏe phải đối mặt trong việc bảo vệ thông tin nhận dạng cá nhân nhạy cảm nhất (PII) và thông tin sức khỏe cá nhân (PHI) của bệnh nhân.
Lỗi Salesforce trong Cổng thông tin tiêm chủng COVID của Ireland
Trong quá trình xuất hiện biến thể Omicron của COVID vào tháng 2021 năm XNUMX, Aaron Costello, kỹ sư bảo mật SaaS chính tại AppOmni, đã phát hiện ra một cấu hình sai nghiêm trọng trong cổng tiêm chủng trực tuyến có trụ sở tại Salesforce cho HSE của Ireland.
In một bài đăng trên blog được xuất bản vào ngày 14 tháng XNUMXÔng giải thích cách giám sát cho phép các tài khoản thông thường, cấp thấp của bệnh nhân HSE có quyền truy cập chưa từng có vào phần hệ thống chịu trách nhiệm lưu trữ thông tin về quản lý vắc xin.
Đối tượng được đề cập bao gồm tên đầy đủ của bệnh nhân và tất cả thông tin liên quan đến mũi tiêm của họ: nhãn hiệu vắc xin, ngày, địa điểm và địa điểm tiêm vắc xin cũng như bất kỳ lý do nào khiến họ chấp nhận hoặc từ chối vắc xin.
Các tài liệu của nhân viên và thông tin liên quan đến các vấn đề và quy trình CNTT nội bộ cũng bị lộ.
Costello nói với Dark Reading: “Đối với các quản trị viên Salesforce và những người thực hành bảo mật trên nền tảng SaaS, họ còn thiếu hiểu biết về tác động của các quyền bị định cấu hình sai”. “Họ không nhận thức sâu sắc rằng những điều này có thể xảy ra - rằng một người dùng có đặc quyền thấp có thể lấy dữ liệu này.”
Trong thời gian kể từ đó, Salesforce đã dần dần thực hiện một số thay đổi tích cực nhằm ngăn chặn loại lỗi này và giảm thiểu hậu quả có thể xảy ra từ nó. Trình quét tình trạng tích hợp cố gắng phát hiện các lỗ hổng như vậy trong môi trường của khách hàng và tính năng ghi nhật ký mạnh mẽ hơn cho phép quản trị viên phân tích tốt hơn hoạt động của người dùng, đặc biệt là khi họ tương tác với các API có khả năng nhạy cảm. Ngoài ra, các chính sách và cấu hình mới cố gắng che giấu thông tin nhạy cảm, ngay cả trong trường hợp chúng bị lộ do cấu hình sai.
“Vì vậy, họ không chỉ cải thiện quy trình phân tích nhật ký sau vi phạm mà còn giới thiệu những cách mà quản trị viên có thể dễ dàng phát hiện những vấn đề này bằng máy quét sức khỏe, đồng thời giảm mức độ phơi nhiễm bằng cách giảm phạm vi dữ liệu mà sẽ có sẵn trong một số trường hợp nhất định,” Costello nói.
Tuy nhiên, ông cảnh báo: “Cho đến ngày nay, vẫn có rất nhiều tổ chức định cấu hình sai các loại biện pháp kiểm soát truy cập này. Tôi vẫn nghĩ rằng có lỗ hổng kiến thức trong ngành và một phần của vấn đề là: Ai chịu trách nhiệm về việc này? bảo mật của nền tảng SaaS? Có phải là quản trị viên nền tảng? Bạn có mời nhóm bảo mật của mình tham gia khi những thứ này đang được triển khai để thực hiện kiểm tra không?
Vi phạm NHS của Scotland
Cũng trong tuần này, NHS Dumfries và Galloway đã công bố một cảnh báo tiết lộ rằng họ đang trải qua một cuộc tấn công mạng “tập trung và đang diễn ra”.
Dumfries và Galloway là khu vực hội đồng cực nam của Scotland, với dân số khoảng 150,000 người.
Do vi phạm, họ cảnh báo, một số dịch vụ có thể bị gián đoạn và những kẻ tấn công có thể đã lấy được “một lượng dữ liệu đáng kể” về bệnh nhân và nhân viên. Thông tin chi tiết cụ thể hơn về nguyên nhân, tính chất và hậu quả của hành vi vi phạm vẫn chưa được công bố.
Cho dù đó là vi phạm ở Scotland hay do cấu hình sai hệ thống bị bỏ qua ở Ireland, Costello nói: “Tôi nghĩ tất cả đều như vậy quay trở lại với ngân sách và nguồn tài trợ. Và kết quả của việc đó trước hết là thiếu nhân sự cho các vị trí an ninh mạng trong các tổ chức này. Đó là một vấn đề lớn, rất lớn.
“Chúng tôi không thể chỉ đổ lỗi cho nhân viên của các tổ chức này khi họ đang làm việc với ngân sách rất hạn chế và số lượng nhân viên rất hạn chế. Họ đang cố gắng hết sức với những nguồn lực sẵn có.”
- Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
- PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
- PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
- Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
- PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
- nguồn: https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles
- : có
- :là
- :không phải
- :Ở đâu
- 000
- 150
- 2021
- 7
- a
- Aaron
- Giới thiệu
- chấp nhận
- truy cập
- Trợ Lý Giám Đốc
- hoạt động
- quản lý
- quản lý
- quản trị
- Tất cả
- cho phép
- cho phép
- Ngoài ra
- an
- phân tích
- phân tích
- và
- bất kì
- API
- khoảng
- LÀ
- KHU VỰC
- At
- nỗ lực
- Nỗ lực
- kiểm toán
- có sẵn
- nhận thức
- trở lại
- BE
- trở thành
- được
- thuộc
- BEST
- Hơn
- Blog
- thương hiệu
- vi phạm
- Anh
- ngân sách
- Bug
- được xây dựng trong
- by
- CAN
- không thể
- trường hợp
- Nguyên nhân
- nhất định
- Những thay đổi
- Công dân
- CO
- giấu
- Cấu hình
- Hậu quả
- điều khiển
- có thể
- hội đồng
- đất nước
- Covidien
- khách hàng
- Tấn công mạng
- An ninh mạng
- tối
- Đọc tối
- dữ liệu
- Ngày
- ngày
- Tháng mười hai
- Tháng Mười Hai 2021
- triển khai
- chi tiết
- phát hiện
- phát hiện
- Gián đoạn
- Phòng
- do
- làm
- dễ dàng
- Công nhân
- nhân viên
- ky sư
- môi trường
- lôi
- đặc biệt
- Ngay cả
- điều hành
- kinh nghiệm
- trải qua
- Giải thích
- tiếp xúc
- mức độ
- ngón tay
- tập trung
- Trong
- từ
- Full
- khoảng cách
- dần dần
- Có
- he
- số đầu người
- cho sức khoẻ
- thông tin sức khỏe
- chăm sóc sức khỏe
- Độ đáng tin của
- HTTPS
- i
- có thể nhận dạng được
- thực hiện
- hàm ý
- cải thiện
- in
- bao gồm
- ngành công nghiệp
- thông tin
- tương tác
- nội bộ
- giới thiệu
- ireland
- Ireland
- vấn đề
- các vấn đề
- IT
- jpg
- Loại
- các loại
- kiến thức
- Thiếu sót
- địa điểm thư viện nào
- đăng nhập
- khai thác gỗ
- Rất nhiều
- Tháng Ba
- lớn
- Có thể..
- Trong khi đó
- Các thành viên
- Might
- hàng triệu
- giảm nhẹ
- chi tiết
- hầu hết
- tên
- quốc dân
- Thiên nhiên
- Mới
- NHS
- con số
- vật
- thu được
- xảy ra
- of
- on
- đang diễn ra
- Trực tuyến
- có thể
- khởi phát
- or
- tổ chức
- kết thúc
- Giám sát
- một phần
- bệnh nhân
- bệnh nhân
- quyền
- riêng
- nền tảng
- Nền tảng
- plato
- Thông tin dữ liệu Plato
- PlatoDữ liệu
- Điểm
- Chính sách
- dân số
- Portal
- vị trí
- tích cực
- có thể
- Bài đăng
- có khả năng
- ngăn chặn
- Hiệu trưởng
- Vấn đề
- quá trình
- Quy trình
- bảo vệ
- công bố
- kéo
- số lượng, lượng
- câu hỏi
- Nhanh chóng
- RE
- Reading
- lý do
- giảm
- giảm
- từ chối
- đều đặn
- liên quan
- nhà nghiên cứu
- Thông tin
- chịu trách nhiệm
- hạn chế
- kết quả
- để lộ
- mạnh mẽ
- s
- SaaS
- lực lượng bán hàng
- nói
- kịch bản
- phạm vi
- SEA
- an ninh
- nhạy cảm
- dịch vụ
- DỊCH VỤ
- nghiêm trọng
- có ý nghĩa
- kể từ khi
- website
- So
- chỉ duy nhất
- một số
- nói
- riêng
- Nhân sự
- Vẫn còn
- lưu trữ
- như vậy
- hệ thống
- nhóm
- nói
- việc này
- Sản phẩm
- cung cấp their dịch
- Them
- Đó
- Kia là
- họ
- điều
- nghĩ
- điều này
- tuần này
- thời gian
- đến
- hai
- khám phá
- Dưới
- sự hiểu biết
- chưa từng có
- người sử dang
- Người sử dụng
- Vaccine
- biến thể
- Ve
- rất
- Lỗ hổng
- cảnh báo
- Cảnh báo
- là
- cách
- we
- tuần
- là
- wasn
- khi nào
- cái nào
- CHÚNG TÔI LÀ
- với
- ở trong
- đang làm việc
- nhưng
- Bạn
- trên màn hình
- zephyrnet