collaboration

Nem verték nagydobra, de előbb-utóbb minden kiszivárog.

Személyes adatokat és vizsgálati eredményeket kapott meg a Google a Nightingale projekt keretében egy nagy egészségügyi szolgáltatótól. És ez így rendben is van …

Maguk az egyes intézmények és orvosok se tudtak róla, a pácienseket meg senki sem kérdezte, és nincs is módjuk megtiltani az adataik átadását.

Azt gondolnánk, hogy az egészségügyi adatok kezelését szabályozó nagyon szigorú HIPAA megvédi a pácienseket az efféléktől. Érdekes módon, ez pont fordítva van. A HIPAA által szabályozott kórházak és más egészségügyi intézmények sokféle célból adhatják át harmadik feleknek a betegek adatait. A Google ezeket az adatokat elvileg csak kutatási és fejlesztési célokra használhatja, de vannak kétségek.

Azt éppen nem értem, hogy ha csak kutatási célokra kellenek az adatok, akkor a beteg és a rokonai neve és címe vajon mire kell. Normális esetben a kutatásokat anonimizált adatokon kellene végezni. Akkor persze nem lehetne a személy más adataival, levelezési, keresési, vásárlási szokásaival, utazásaival és még sok minden mással összekapcsolni.

Elvileg, a GDPR miatt, az EU-ban ilyesmi nem történhet meg. Vajon mi a valóság? 

#Google #Nightingale #Ascension #healthcare #privacy #HIPAA #PHI #Protected_Health_Information #Alphabet

Egyelőre “csak” másfél millió páciens adatairól tudjuk, hogy illetéktelen kezekbe kerültek. Az országban élők számához (5,6 millió) képest nem is kevés ez az 1,5 millió! Az egészségügyi adatok nagyon értékesek lehetnek, ezért utaznak egyre inkább ezekre a betörők. Úgy tudják, hogy a neveken és alapvető személyes adatokon kívül csak a felírt gyógyszerekhez jutottak hozzá (csak 160 ezer ember esetében), tehát csak korlátozott információt szereztek a páciensek egészségi helyzetével kapcsolatban. Azért érdemes ehhez hozzátenni, hogy sok gyógyszert nagyon specifikusan, egy-egy konkrét betegségre használnak, így sok esetben a diagnózis többé-kevésbé egyértelmű. A felírások száma, a mennyiség és a gyógyszerek kombinációja, változtatása megad a beteg állapotáról és gyógyulásáról is sok információt. Ezért kevésbé vagyok optimista, mint a hivatalos közlemény. (Azon, persze, nem kell meglepődni, hogy igyekeznek lekicsinyelni a probléma súlyosságát.)

Eddig azt állapították meg, június 27-én vagy később kezdődött a betörés, amit július 4-én észleltek, majd 10-én megállapították, hogy valóban támadás történt. Azóta szigorítottak a szabályokon, ideiglenesen korlátozták az internetezést.

Emlékeztető: egy évvel ezelőtt kapcsolták ki az internetet a közigazgatásban a felhasználók gépein. https://www.scoop.it/t/cio-by-pal-kerekfy/p/4083881604/2017/09/05/singapore-s-cut-off-from-the-internet-is-not-so-crazy

A vizsgálat azt állapította meg, hogy egy konkrét számítógép megtámadásával jutottak magas szintű jogokkal rendelkező fiók bejelentkezési adataihoz, és így kiemelt jogokkal az adatbázishoz. (CSA has ascertained that the cyber attackers accessed the SingHealth IT system through an initial breach on a particular front-end workstation. They subsequently managed to obtain privileged account credentials to gain privileged access to the database.)

Ebből az sejthető, hogy itt is az történt, mint általában. Nem alkalmazták az ismert és bevált megoldásokat a rendszerek és az adatok védelmére.

Most alaposan megvizsgálják a szabályzatokat, a folyamatokat és a szervezetek és az emberek képességeit. Helyes! A bevált gyakorlat szerint ezt évente meg kell ismételni. (Areas of review will include cybersecurity policies, threat management processes, IT system controls and organisational and staff capabilities.)

Minden vizsgálat és védelmi intézkedés mellett arra is érdemes gondolni, hogy az integrált, kényelmesen használható és minden adatot tartalmazó rendszerek kiváló célpontul szolgálnak az adattolvajoknak, és a védelmük egyáltalán nem egyszerű. Sőt!

#Singapore #healthcare #cyber #cyberattack #SingHealth #IHiS #cybersecurity

https://www.bbc.com/news/world-asia-44900507