今週、スコットランド国民保健サービス (NHS) の一部門がサイバー攻撃を受け、サービスが中断され、患者と従業員のデータが流出する可能性がありました。一方、ある研究者は、アイルランド保健局（HSE）から数百万人のアイルランド国民の新型コロナウイルスワクチン接種データを漏洩させたSalesforceの設定エラーを明らかにした。

アイリッシュ海を素早く飛び越えた2つの事件は、進行中の問題を物語っている。 医療機関が直面する課題 患者の最も機密性の高い個人を特定できる情報 (PII) と個人の健康情報 (PHI) を保護します。

アイルランドの新型コロナウイルスワクチン接種ポータルにおける Salesforce のバグ

2021年XNUMX月に新型コロナウイルスのOmicron亜種が発生した際、AppOmni社のプリンシパルSaaSセキュリティエンジニアであるアーロン・コステロ氏は、アイルランドのHSE向けSalesforceベースのオンラインワクチン接種ポータルに重大な設定ミスがあることを発見した。

In 14 月 XNUMX 日に公開されたブログ投稿で、同氏は、見落としにより、HSE患者に属する通常の低レベルアカウントが、ワクチン投与に関する情報の保存を担当するシステムの部分への前例のないアクセスをどのようにして許可されたかを説明した。

問題の暴露された物体には、患者のフルネームと、ワクチンのブランド、日付、場所、投与された場所、投与を受け入れたまたは拒否した理由など、患者のジャブに関連するすべての情報が含まれていました。

スタッフメンバーが所有する文書や、内部の IT 問題やプロセスに関連する情報も流出しました。

「Salesforce 管理者や SaaS プラットフォームのセキュリティ担当者にとって、設定が間違っている権限の影響についての理解が不足していました」とコステロ氏は Dark Reading に語ります。 「彼らは、こうしたことが可能であること、つまり、権限の低いユーザーがこのデータを取得している可能性があることを強く認識していませんでした。」

それ以来、Salesforce はこの種のエラーを防止し、それによって発生する可能性のある結果を軽減するために、いくつかの前向きな変更を徐々に実装してきました。組み込みのヘルス スキャナーは、顧客の環境でそのような脆弱性を発見しようとします。また、より堅牢なログ記録により、管理者はユーザーのアクティビティ (特に機密性の高い API を操作している場合) をより適切に分析できるようになります。また、新しいポリシーと構成は、構成ミスによって機密情報が漏洩した場合でも、機密情報を隠蔽しようとします。

「そのため、彼らはログ分析の侵害後のプロセスを改善しただけでなく、管理者がヘルススキャナーを使用してこれらの問題を簡単に検出できる方法を導入し、また、データの範囲を縮小することで暴露の範囲を削減しました。特定のシナリオで利用可能になります」とコステロ氏は言います。

しかし、彼はこう警告します。「今日に至るまで、この種のアクセス制御を誤って設定している組織が数多くあります。私は依然として業界内に知識のギャップがあると考えています。問題の一部は、誰が責任を負うのかということです。 SaaS プラットフォームのセキュリティ?プラットフォーム管理者ですか？これらが監査のために導入されているときに、セキュリティ チームを招集しますか?」

スコットランドのNHS違反

今週もNHSダンフリーズとギャロウェイ アラートを発行しました 「集中的かつ継続的な」サイバー攻撃を受けていることを明らかにした。

ダンフリーズ アンド ギャロウェイはスコットランド最南端の議会地域であり、人口は約 150,000 万人です。

侵害の結果、一部のサービスが中断される可能性があり、攻撃者は患者やスタッフに属する「大量のデータ」を入手した可能性があると警告した。侵害の原因、性質、影響に関するより具体的な詳細はまだ公表されていません。

スコットランドでの侵害であれ、アイルランドでのシステム構成ミスの見逃しであれ、コステロ氏は次のように述べています。 予算と資金の話に戻る。その結果、第一に、これらの組織内のサイバーセキュリティ関連職の人員不足が生じます。それは非常に大きな問題です。

「非常に限られた予算と非常に限られた人員の下で働いているこれらの組織の従業員だけを非難することはできません。彼らは利用可能なリソースを最大限に活用して最善を尽くしています。」

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/cyberattacks-data-breaches/nhs-breach-hse-bug-expose-healthcare-data-british-isles