Tullamore Xəstəxanasındakı Sızıntı HSE-yə 300 Min Avroya Başa Gəldi
İrlandiyanın Səhiyyə Xidməti İdarəsi (HSE), Tullamordakı Midland Regional Xəstəxanasında həssas pasiyent məlumatlarının internetə sızmasına səbəb olan təhlükəsizlik pozuntusuna görə Məlumatların Mühafizəsi Komissiyası (DPC) tərəfindən 300.000 avro cərimələnib. Pozuntunun kökündə 18 ay ərzində fərq edilməyən sadə bir konfiqurasiya səhvi dayanır.
Nə Baş Verdi
İrlandiyanın məlumatların mühafizəsi orqanı olan Məlumatların Mühafizəsi Komissiyası (DPC), ölkənin Səhiyyə Xidməti İdarəsinə (HSE) ağır bir hesab təqdim etdi. Tullamordakı Midland Regional Xəstəxanasında baş vermiş məlumat pozuntusuna görə HSE tam 300.000 avro cərimə edildi. Hadisə, kiber təhlükəsizlik dünyasında tez-tez rast gəlinən, lakin nəticələri hər zaman ağır olan bir səhlənkarlığın son halqasıdır. Bu cərimə, DPC-nin 2021-ci ilin mart və aprel ayları arasında baş vermiş bir sızıntı ilə bağlı apardığı uzunmüddətli araşdırmanın nəticəsidir. Bəli, səhv eşitmədiniz, hadisə yeni deyil. Lakin bu, tənzimləmə və hüquqi proseslərin nə qədər uzun çəkə biləcəyini göstərən tipik bir nümunədir. Təşkilatlar bir pozuntu yaşadıqda, bunun əks-sədaları illər sonra belə onların maliyyə hesabatlarında hiss oluna bilər.
DPC-nin qərarı, Ümumi Məlumatların Mühafizəsi Reqlamentinin (GDPR) 32(1)-ci Maddəsinin pozulmasına əsaslanır. Bu maddə, ən sadə dillə, məlumat məsullarının (bu vəziyyətdə HSE) emal etdikləri məlumatlara uyğun səviyyədə təhlükəsizliyi təmin etmək üçün "uyğun texniki və təşkilati tədbirlər" görməsini tələb edir. DPC, HSE-nin bu öhdəliyi yerinə yetirmədiyinə qərar verdi. Komissiyanın tapıntıları, pozuntunun mürəkkəb bir kiber hücumdan daha çox, əsas bir təhlükəsizlik zəifliyindən qaynaqlandığını göstərir. Bir ictimai səhiyyə təşkilatının ən həssas məlumatları qoruyarkən bu qədər fundamental bir səhvə yol verməsi, cərimənin məbləğini də bir qədər izah edir. Bu qərar, xüsusilə dövlət qurumlarının kiber təhlükəsizlik mövzusundakı məsuliyyətlərini bir daha qalın bir qələmlə vurğulayır.
Ələ Keçirilən Məlumatlar
Sızıntıda ələ keçirilən məlumatların növü, hadisənin ciddiliyini gözlər önünə sərir. Bu, sadə bir e-poçt siyahısı sızıntısı deyil. Təcavüzkarlar, xəstələrin son dərəcə şəxsi və məxfi məlumatlarına daxil olublar. Siyahıya bir nəzər salaq:
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →- Tam Adlar: Şəxsiyyətin müəyyən edilməsi üçün ən əsas məlumat.
- Ünvanlar: Fiziki təhlükəsizlik riskləri və fırıldaqçılıq üçün istifadə edilə bilər.
- Doğum Tarixləri: Şəxsiyyət oğurluğunun ayrılmaz bir hissəsi.
- Tibbi Qeyd Nömrələri: Xəstəni səhiyyə sistemi daxilində unikal olaraq tanıdan nömrə.
- Diaqnozlara Dair Qısa Klinik Qeydlər: Bax, bu, məsələnin mahiyyətini tamamilə dəyişdirən məlumatdır. Bir şəxsin səhhəti, diaqnozları, bəlkə də ruhi sağlamlığı ilə bağlı qeydlər... Bu məlumatların yanlış əllərə keçməsi, təkcə maliyyə fırıldaqçılığına deyil, həm də şantaj, ayrı-seçkilik və ciddi psixoloji travmalara səbəb ola bilər.
Bu məlumatların bir yerdə olması, kiber cinayətkarlar üçün sanki bir xəzinə kimidir. Bir şəxsin adı, ünvanı və doğum tarixi ilə onsuz da bir çox saxtakarlıq edilə bilərkən, buna bir də tibbi diaqnozların əlavə edilməsi riski qat-qat artırır. Bu məlumatlar, son dərəcə inandırıcı fişinq (oltalama) hücumları təşkil etmək üçün istifadə edilə bilər. Məsələn, bir fırıldaqçı, şəxsin həqiqi diaqnozunu bilərək ona saxta müalicə üsulları və ya dərmanlar satmağa cəhd edə bilər. Yaxud bu məlumatları, şəxsi cəmiyyət içində alçaltmaqla hədələyərək şantaj etmək üçün istifadə edə bilər. Məlumatların həssaslığı, HSE-nin niyə bu qədər böyük bir cərimə aldığını anlamağımıza kömək edir.
Hücum Necə Baş Verdi
İşin bəlkə də ən üzücü tərəfi budur. Bu pozuntu, dövlət dəstəkli, mürəkkəb bir haker qrupunun aylarla davam edən əməliyyatı nəticəsində baş verməyib. Tam əksinə, son dərəcə sadə və qarşısı alına bilən bir səhvdən qaynaqlanıb. Mənbə xəbərə görə, xəstəxana "Pasiyent Xidmətlərinin İdarəetmə Sistemi" istifadə edirdi və bu sistem "yanlış konfiqurasiya edilmişdi". Bəs bu nə deməkdir? Sadəcə desək, normalda yalnız xəstəxananın daxili şəbəkəsindən daxil olmalı olan bu həssas məlumat bazası, internetə tamamilə açıq idi. Yəni düzgün ünvanı bilən hər kəs, heç bir parol və ya təhlükəsizlik qatı ilə qarşılaşmadan bu məlumatlara daxil ola bilərdi.
DPC-nin araşdırması, bu dəhşətli təhlükəsizlik boşluğunun pozuntunun aşkar edilməsindən əvvəl "ən azı 18 ay boyunca" mövcud olduğunu ortaya çıxardı. Bir il yarım boyunca, xəstələrin ən məxfi məlumatları sanki rəqəmsal mühitdə sahibsiz bir şəkildə dururdu. Bu vəziyyət, təkcə texniki bir səhvi deyil, həm də ciddi bir təşkilati səhlənkarlığı göstərir. Periyodik təhlükəsizlik yoxlamaları, sızma testləri və ya sadə bir konfiqurasiya nəzarəti belə bu boşluğu çox daha əvvəl aşkar edə bilərdi. Görünür, sistem qurulub və bir daha heç kim dönüb arxasına baxmayıb. Bu səhlənkarlıq, icazəsiz bir üçüncü tərəfin 2021-ci ilin mart və aprel ayları arasında sistemə daxil olaraq məlumatları ələ keçirməsi ilə nəticələndi.
Kimlər Təsirləndi
Bu əsas təhlükəsizlik səhvindən birbaşa təsirlənən şəxslərin sayı 56 olaraq açıqlandı. Bu 56 nəfər, Midland Regional Xəstəxanasında müalicə almış və ya xidmət görmüş pasiyentlərdir. Rəqəm ilk baxışda kiçik görünə bilər, ancaq kiber təhlükəsizlikdə hər zaman dediyimiz bir şey var: vacib olan təsirlənən insanların sayı deyil, məlumatın həssaslığıdır. Bu 56 nəfər üçün, ən özəl sağlamlıq məlumatlarının nəzarətsiz bir şəkildə internetə açıq olması tam bir kabusdur. Bir xəstənin bir səhiyyə müəssisəsinə duyduğu etimad, müalicənin ən təməl parçasıdır. Bu etimadın bu qədər sadə bir səhlənkarlıqla sarsılması, təkcə məlumat təhlükəsizliyi baxımından deyil, həm də pasiyent-qurum münasibəti baxımından bərpası çətin olan bir zərər buraxır.
Nə Edə Bilərsiniz
Bu xüsusi hadisədə təsirlənən 56 nəfər yəqin ki, HSE tərəfindən birbaşa məlumatlandırılıb. Lakin bu cür hadisələr hamımız üçün bir xəbərdarlıqdır. Əgər məlumatlarınızın bir səhiyyə müəssisəsində və ya başqa bir yerdə sızdırıldığından narahatsınızsa, görə biləcəyiniz bəzi tədbirlər var:
- Fişinq Hücumlarına Qarşı Diqqətli Olun: Sizə gələn e-poçt, SMS və ya telefon zənglərində şəxsi məlumatlarınıza (xüsusilə də sağlamlıq məlumatlarınıza) istinad edən mesajlara şübhə ilə yanaşın. Fırıldaqçılar, sızdırılmış məlumatlardan istifadə edərək son dərəcə inandırıcı ssenarilər yarada bilərlər.
- Hesablarınızı Gözdən Keçirin: Fərqli platformalarda eyni şifrədən istifadə etməkdən çəkinin. Xüsusilə maliyyə və səhiyyə xidmətləri aldığınız platformaların şifrələrinin güclü və unikal olduğundan əmin olun.
- Kredit Hesabatlarınızı Yoxlayın: Şəxsiyyət oğurluğuna qarşı ayıq olmaq üçün kredit hesabatlarınızı mütəmadi olaraq yoxlayaraq adınıza açılmış şübhəli hesab və ya kredit olub olmadığını görə bilərsiniz.
- Ümumi Vəziyyətinizi Öyrənin: Məlumatlarınızın daha əvvəl başqa sızıntılarda yer alıb-almadığını bilmək istəyirsinizsə, etibarlı platformalar vasitəsilə bir Melumat Sizintisi Sorgusu apara bilərsiniz. Bu, ümumi rəqəmsal risk profilinizi anlamağınıza kömək edər.
Şirkət Nə Deyir
Gözlənildiyi kimi, HSE qərara və cərimənin məbləğinə etiraz etdi. Qurumun müdafiəsi bir neçə əsas arqumentə əsaslanırdı. Birincisi, HSE cərimənin "qeyri-mütənasib" olduğunu iddia etdi. İkinci və daha diqqət çəkən iddiaları isə, sızdırılan məlumatların "kənara çıxarıldığına və ya sui-istifadə edildiyinə dair heç bir dəlil olmadığı" istiqamətində idi. Bu, məlumat pozuntusu yaşayan şirkətlərin tez-tez müraciət etdiyi bir müdafiə mexanizmidir. Lakin DPC bu arqumenti qəbul etmədi. Məlumatların mühafizəsi qanunları, təkcə məlumatların sui-istifadəsini deyil, həm də məlumatları riskə atacaq səviyyədə qeyri-kafi təhlükəsizlik tədbirləri görməyi də cəzalandırır. Yəni qapını kilidləməməyiniz, oğru girməsə belə bir səhlənkarlıqdır.
HSE həmçinin, pozuntu aşkar edildikdən sonra vəziyyəti düzəltmək üçün müxtəlif "düzəldici tədbirlər" gördüyünü bildirdi. DPC, HSE-nin bu addımları atdığını qəbul etdi, lakin ilkin səhlənkarlığın ciddiliyini nəzərə alaraq, 300.000 avroluq cərimənin uyğun olduğuna qərar verdi. Bu vəziyyət, bir pozuntudan sonra sürətli hərəkət etməyin vacib olduğunu, ancaq bunun sizi ilkin məsuliyyətlərinizdən azad etməyəcəyini göstərən aydın bir mesaj verir.