Утечка в больнице Талламора обошлась HSE в 300 000 евро
Исполнительный орган здравоохранения Ирландии (HSE) был оштрафован Комиссией по защите данных (DPC) на 300 000 евро за нарушение безопасности в Региональной больнице Мидленда в Талламоре, которое привело к утечке конфиденциальных данных пациентов в интернет. Основной причиной стала простая ошибка конфигурации, остававшаяся незамеченной в течение 18 месяцев.
Что произошло
Орган по защите данных Ирландии, Комиссия по защите данных (DPC), выставил крупный счет Исполнительному органу здравоохранения страны (HSE). HSE был оштрафован на 300 000 евро за утечку данных в Региональной больнице Мидленда в Талламоре. Этот инцидент является последней главой в истории халатности, слишком распространенной в мире кибербезопасности, но последствия которой всегда серьезны. Этот штраф стал результатом длительного расследования DPC утечки, произошедшей в период с марта по апрель 2021 года. Да, вы не ослышались, событие не новое. Однако это типичный пример того, как долго могут длиться регуляторные и юридические процессы. Когда организации сталкиваются с нарушением, его отголоски могут ощущаться в их финансовых отчетах даже спустя годы.
Решение DPC основано на нарушении статьи 32(1) Общего регламента по защите данных (GDPR). Проще говоря, эта статья требует от контролеров данных (в данном случае HSE) принимать «соответствующие технические и организационные меры» для обеспечения уровня безопасности, соответствующего риску обрабатываемых данных. DPC постановила, что HSE не выполнила это обязательство. Выводы комиссии показывают, что утечка произошла из-за базовой уязвимости в системе безопасности, а не из-за сложной кибератаки. Тот факт, что государственное медицинское учреждение допустило такую фундаментальную ошибку при защите самых конфиденциальных данных, отчасти объясняет размер штрафа. Это решение еще раз жирно подчеркивает ответственность государственных учреждений в области кибербезопасности.
Какие данные были скомпрометированы
Тип данных, скомпрометированных в результате утечки, подчеркивает серьезность инцидента. Это не простая утечка списка адресов электронной почты. Злоумышленники получили доступ к чрезвычайно личной и конфиденциальной информации пациентов. Давайте посмотрим на список:
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →- Полные имена: Самая основная информация для идентификации.
- Адреса: Могут использоваться для создания рисков физической безопасности и мошенничества.
- Даты рождения: Неотъемлемый компонент для кражи личных данных.
- Номера медицинских карт: Уникальный идентификатор пациента в системе здравоохранения.
- Краткие клинические заметки, касающиеся их диагнозов: Вот это данные, которые полностью меняют картину. Состояние здоровья человека, его диагнозы, возможно, заметки о его психическом здоровье... Попадание этой информации в чужие руки может привести не только к финансовому мошенничеству, но и к шантажу, дискриминации и серьезным психологическим травмам.
Сочетание этих данных является настоящим сокровищем для киберпреступников. Хотя с именем, адресом и датой рождения человека уже можно совершить множество мошеннических действий, добавление медицинских диагнозов многократно увеличивает риск. Эта информация может быть использована для организации очень убедительных фишинговых атак. Например, мошенник, зная реальный диагноз человека, может попытаться продать ему поддельные методы лечения или лекарства. Или он может использовать эту информацию для шантажа, угрожая публично унизить человека. Конфиденциальность данных помогает нам понять, почему HSE получила такой большой штраф.
Как произошла атака
Это, пожалуй, самая неприятная часть истории. Это нарушение не было результатом многомесячной операции сложной, спонсируемой государством хакерской группы. Напротив, оно было вызвано чрезвычайно простой и предотвратимой ошибкой. Согласно источнику, больница использовала «Систему управления обслуживанием пациентов», которая была «неправильно сконфигурирована». Что это значит? Проще говоря, эта база данных с конфиденциальной информацией, которая в норме должна быть доступна только из внутренней сети больницы, была полностью открыта для интернета. То есть любой, кто знал правильный адрес, мог получить доступ к этой информации, не сталкиваясь с какими-либо паролями или уровнями безопасности.
Расследование DPC показало, что эта ужасающая уязвимость существовала «не менее 18 месяцев» до того, как было обнаружено нарушение. В течение полутора лет самая личная информация пациентов находилась в цифровом пространстве практически без защиты. Эта ситуация указывает не только на техническую ошибку, но и на серьезную организационную халатность. Периодические аудиты безопасности, тесты на проникновение или даже простая проверка конфигурации могли бы выявить эту уязвимость гораздо раньше. Похоже, систему установили и больше никто не оглядывался назад. Эта халатность привела к тому, что неуполномоченная третья сторона получила доступ к системе и скомпрометировала данные в период с марта по апрель 2021 года.
Кто пострадал
Число людей, непосредственно пострадавших от этой элементарной ошибки безопасности, составило 56 человек. Эти 56 человек — пациенты, получавшие лечение или услуги в Региональной больнице Мидленда. На первый взгляд цифра может показаться небольшой, но в кибербезопасности мы всегда говорим: важна не численность пострадавших, а конфиденциальность данных. Для этих 56 человек раскрытие их самой личной медицинской информации в неконтролируемом интернете — это настоящий кошмар. Доверие пациента к медицинскому учреждению является фундаментальной частью лечения. Когда это доверие подрывается такой простой халатностью, это наносит труднопоправимый ущерб не только с точки зрения безопасности данных, но и в отношениях между пациентом и учреждением.
Что вы можете сделать
56 человек, пострадавших в этом конкретном инциденте, вероятно, были уведомлены HSE напрямую. Однако подобные инциденты служат предупреждением для всех нас. Если вы обеспокоены тем, что ваши данные могли быть скомпрометированы медицинским учреждением или где-либо еще, есть некоторые шаги, которые вы можете предпринять:
- Остерегайтесь фишинговых атак: Скептически относитесь к электронным письмам, SMS-сообщениям или телефонным звонкам, в которых упоминается ваша личная информация (особенно медицинская). Мошенники могут использовать утекшие данные для создания очень правдоподобных сценариев.
- Проверьте свои учетные записи: Избегайте использования одного и того же пароля на разных платформах. Убедитесь, что пароли для ваших финансовых и медицинских платформ надежны и уникальны.
- Проверяйте свои кредитные отчеты: Чтобы быть начеку в отношении кражи личных данных, регулярно проверяйте свои кредитные отчеты, чтобы увидеть, не были ли открыты на ваше имя подозрительные счета или кредиты.
- Узнайте свой общий статус: Если вам интересно, появлялись ли ваши данные в других известных утечках, вы можете выполнить Poisk utechki dannih через надежные платформы. Это поможет вам понять ваш общий профиль цифрового риска.
Что говорит компания
Как и ожидалось, HSE оспорила решение и сумму штрафа. Защита организации основывалась на нескольких ключевых аргументах. Во-первых, HSE утверждала, что штраф является «непропорциональным». Их второе, более примечательное заявление заключалось в том, что «нет доказательств того, что скомпрометированные данные были выгружены или использованы не по назначению». Это распространенный защитный механизм для компаний, столкнувшихся с утечкой данных. Однако DPC не приняла этот аргумент. Законы о защите данных наказывают не только за неправомерное использование данных, но и за непринятие адекватных мер безопасности, которые подвергают данные риску. Другими словами, если вы не заперли дверь, это халатность, даже если вор не вошел.
HSE также заявила, что после обнаружения нарушения были предприняты различные «исправительные меры» для устранения ситуации. DPC признала, что HSE предприняла эти шаги, но решила, что серьезность первоначальной халатности оправдывает штраф в размере 300 000 евро. Это является ясным сигналом о том, что, хотя быстрое реагирование после нарушения важно, оно не освобождает вас от ваших первоначальных обязанностей.