iRhythm-brud: Tredjeparts-cloudapps eksponerer patientdata
En sundhedsdatabrud hos iRhythm, et hjerteovervågningsfirma, har afsløret patientoplysninger efter at angribere fik adgang til tredjepartshostede applikationer uden for virksomhedens egen infrastruktur. Hændelsen følger tæt på det rapporterede brud hos Novo Nordisk og understreger et mønster, som sikkerhedsfolk gentagne gange har påpeget: sundhedsdata er kun lige så sikre som det svageste leverandørled. Både for patienter og behandlere er iRhythm-sagen en skarp påmindelse om, at brud på sundhedsdata via tredjepartscloudeksponering nu er en af de mest konsekvenstunge angrebsflader i sundhedsvæsenet.
Hvad skete der i iRhythm-bruddet
iRhythm oplyste, at hackere fik adgang til applikationer hostet af en tredjepartsleverandør, ikke iRhythms egne interne systemer, og gennem den adgang kunne udtrække patientoplysninger. Virksomheden, der fremstiller bærbare hjerteovervågningsenheder som Zio-plasteret, håndterer dybt følsomme data, herunder fysiologiske optagelser og personhenførbare sundhedsjournaler knyttet til hjertelidelser.
Selvom specifikke detaljer om antallet af berørte poster og de præcise metoder ikke er blevet offentliggjort fuldt ud, er den centrale mekanisme væsentlig: angribere behøvede ikke at bryde ind i iRhythms egen perimeter. De gik gennem en leverandør. Denne skelnen har enorm betydning for, hvordan virksomheder og patienter bør tænke over risiko.
Hvorfor tredjepartscloudhosting skaber blinde vinkler, som VPN’er ikke kan lukke
Mange organisationer, herunder sundhedsudbydere, anvender VPN’er for at kryptere trafik og begrænse adgangen til interne systemer. VPN’er er et legitimt og nyttigt værktøj til at beskytte data under transport på tværs af netværk, som en organisation kontrollerer. Men når patientdata befinder sig i applikationer, der hostes af en ekstern leverandør på en separat cloudinfrastruktur, gør en VPN, der beskytter iRhythms eget netværk, intet for at sikre det miljø.
Tredjepartshostede applikationer opererer under leverandørens sikkerhedsstilling, deres adgangskontroller, deres patchplaner og deres evne til at opdage hændelser. Sundhedsorganisationer har ofte begrænset kontraktlig indsigt i, hvordan disse leverandører håndterer sikkerhed i det daglige. Dette er ikke et nicheproblem: det spejler, hvad der skete i ransomwareangrebet mod Cropwise, hvor en udvalgt leverandørplatform blev indgangen for angribere, der søgte værdifulde data lagret uden for den primære organisations hærdede perimeter.
Den blinde vinkel er strukturel. Når data flyttes til et tredjepartsmiljø, bliver ansvaret for sikkerhed fragmenteret, og et brud hos leverandøren bliver et brud for enhver organisation, hvis data befinder sig der.
Et voksende mønster af angreb på sundhedsleverandørers infrastruktur
iRhythm-bruddet kom ikke isoleret. Sundhedsorganisationer er gentagne gange blevet ramt via leverandørafhængigheder i de seneste år. Change Healthcare-hændelsen afslørede oplysninger om cirka 100 millioner mennesker, efter at angribere kompromitterede en kritisk infrastrukturudbyder af betalinger og recepter. Telehealth-platforme, faktureringsselskaber, EPJ-leverandører og datalagre for medicinsk udstyr er alle blevet førsteklasses mål, fordi de aggregerer poster fra snesevis eller hundredvis af sundhedskunder samtidig.
For angriberne er økonomien ligetil. At bryde ind i en enkelt tredjepartscloudplatform, der betjener tyve sundhedsorganisationer, giver tyve gange så mange data for stort set den samme indsats. Sundhedsdata opnår høje priser på kriminelle markeder, fordi de indeholder sygehistorier, forsikringsoplysninger, fødselsdatoer og CPR-numre samlet i én pakke, hvilket gør dem langt mere nyttige til svindel og identitetstyveri end rene finansielle legitimationsoplysninger.
Tidspunktet for iRhythms offentliggørelse så tæt på Novo Nordisk-hændelsen antyder enten en koordineret kampagne rettet mod sundhedssektoren eller, mere sandsynligt, at angribere systematisk undersøger de leverandørøkosystemer, som sundhedsvirksomheder deler.
Hvilke privatlivskontroller patienter og sundhedsforbrugere bør kræve nu
Patienter har begrænset direkte kontrol over, hvordan sundhedsvirksomheder håndterer deres leverandørrelationer, men de er ikke helt uden muligheder eller indflydelse.
Spørg om dataopbevaringssted. Når patienter tilmelder sig fjernovervågningsprogrammer, telehealth-tjenester eller enhver digital sundhedsplatform, kan de spørge direkte: Hvor opbevares mine data, og hvem har ellers adgang til dem? Behandlere bør kunne svare klart. Vage svar er et signal, der er værd at notere sig.
Gennemgå HIPAA-tilladelseserklæringer omhyggeligt. Mange patienter underskriver brede tilladelser uden at læse, hvilke tredjeparter der kan modtage deres data. Disse dokumenter beskriver leverandørrelationer og datadelingstilladelser. At læse dem tager tid, men skaber bevidsthed om eksponeringsfladen.
Hold øje med brudmeddelelser. I henhold til HIPAA er omfattede enheder forpligtet til at underrette berørte personer om brud, der påvirker deres beskyttede helbredsoplysninger. Patienter, der modtager sådanne meddelelser, bør tage dem alvorligt, kontrollere, hvilke specifikke data der var involveret, og overveje at foretage kreditfrysning eller svindelalarmer, hvis CPR-numre eller finansielle data var en del af de eksponerede oplysninger.
For sundhedsorganisationer og indkøbsteams er den konkrete foranstaltning leverandørsikkerhedsrevisioner med reelt indhold. Tredjepartsrisikostyringsprogrammer, der omfatter kontraktlige sikkerhedskrav, regelmæssig penetrationstest af leverandørhostede applikationer og dokumenterede procedurer for hændelsesrespons, bør være basisforventninger, ikke valgfrie tilføjelser.
Hvad det betyder for dig
iRhythm-bruddet understreger, at privatliv for patienter i digital sundhed afhænger af hele leverandørkæden, ikke kun den organisation, hvis navn står på enheden eller appen. En VPN, stærke adgangskoder eller tofaktorautentifikation på din patientportal vil ikke beskytte data, når de først er kopieret til en tredjepartscloudapp, som sundhedsvirksomheden ikke selv sikrer direkte.
For almindelige sundhedsforbrugere er det mest praktiske skridt lige nu at gennemgå dit eget digitale sundhedsfodaftryk. Lav en liste over de apps, fjernovervågningstjenester og patientportaler, du bruger, og gennemgå deres privatlivspolitikker for henvisninger til tredjepartsdatabehandlere. Hvis en tjeneste ikke klart kan forklare, hvem der opbevarer dine data, og hvordan de er beskyttet, er det information, der er værd at have, inden en brudmeddelelse lander i din indbakke.
Sundhedsorganisationer, der seriøst ønsker at lukke disse huller, skal bevæge sig ud over perimeterforsvar og behandle leverandørsikkerhed som en forlængelse af deres egen. iRhythm-sagen gør det klart, at spørgsmålet ikke længere er, om sundhedsdata i tredjepartscloudmiljøer vil blive angrebet. Det er, hvor hurtigt organisationer og myndigheder vil lukke de ansvarskløfter, der gør disse angreb så pålideligt vellykkede.
