Hvad skete der i SickKids-databruddet?

Torontos Hospital for Sick Children, alment kendt som SickKids, har bekræftet en cybersikkerhedshændelse, der eksponerede personoplysninger om nogle nuværende og tidligere medarbejdere samt jobansøgere. Ifølge hospitalet skyldtes bruddet ikke et direkte angreb på dets eget netværk, men stammede fra en fejl i tredjepartssoftware, som organisationen anvender.

Det er vigtigt at bemærke, at SickKids har oplyst, at kliniske systemer og patientjournaler ikke blev påvirket af denne hændelse. Eksponeringen ser ud til at være begrænset til arbejdsstyrkerelaterede data, hvilket betyder oplysninger knyttet til personer, der har arbejdet på eller søgt job på hospitalet, snarere end de patienter, det betjener. For et børnehospital, der håndterer noget af det mest følsomme medicinske information, man kan forestille sig, er det at holde kliniske systemer isoleret fra denne hændelse en meningsfuld forskel, selvom eksponeringen af medarbejder- og ansøgerdata fortsat er en alvorlig bekymring for de berørte.

Hvorfor tredjepartssoftware er en voksende angrebsvektor

Denne hændelse passer ind i et mønster, der er blevet stadig mere velkendt på tværs af sundhedssektoren, finanssektoren og andre brancher, der håndterer store mængder personoplysninger: det svageste led er ofte ikke organisationens egne forsvar, men den software og de tjenester, den er afhængig af fra eksterne leverandører. Hospitaler, universiteter og virksomheder bruger regelmæssigt tredjepartsplatforme til HR-funktioner, løn, ansøgningssporing, planlægning og utallige andre operationelle opgaver. Hver af disse integrationer repræsenterer et potentielt indgangspunkt, der delvist ligger uden for direkte kontrol af den institution, hvis navn ender i overskrifterne.

Denne dynamik er ikke unik for sundhedssektoren. Leverandør- og forsyningskædesårbarheder har drevet dataeksponeringshændelser på tværs af brancher, herunder fremstilling. En lignende dynamik udspillede sig, da CRPx0-ransomwaregruppen hævdede at have stjålet data knyttet til Hyundais tyrkiske aktiviteter, hvilket illustrerer, hvordan angribere i stigende grad målretter forbindelsesvævet mellem organisationer, deres partnere og den software, de er afhængige af, snarere end altid at gå direkte efter virksomhedens kerne-systemer. Uanset om indgangspunktet er en bileverandørs netværk eller et hospitals HR-softwareleverandør, er den underliggende lære den samme: en organisations sikkerhedspostur er kun så stærk som det svageste system, den forbinder til.

Hvad dette betyder for dig: Medarbejdere og jobansøgere

Hvis du i øjeblikket arbejder, tidligere har arbejdet eller har søgt en stilling på SickKids, er denne hændelse værd at tage alvorligt, selvom kliniske og patientdata ikke var involveret. Personoplysninger knyttet til ansættelsesregistre og jobansøgninger kan omfatte navne, kontaktoplysninger og andre identificerende oplysninger, der kan bruges til phishing-forsøg, identitetstyveri eller social engineering.

Et par praktiske skridt kan hjælpe med at begrænse potentielle følgevirkninger:

  • Hold øje med enhver officiel kommunikation fra SickKids vedrørende bruddet, og følg enhver specifik vejledning, hospitalet giver, herunder instruktioner om kreditovervågning eller identitetsbeskyttelsestjenester, hvis de tilbydes.
  • Vær forsigtig med uopfordrede e-mails, tekstbeskeder eller opkald, der henviser til din ansættelses- eller ansøgningshistorie hos SickKids, især dem, der beder dig klikke på links, bekræfte kontodetaljer eller give yderligere personoplysninger.
  • Overvej at opdatere adgangskoder på konti, der kan dele oplysninger med dine ansættelsesregistre, især hvis du har genbrugt legitimationsoplysninger på tværs af tjenester.
  • Overvåg finansielle opgørelser og kreditrapporter for usædvanlig aktivitet i ugerne og månederne efter offentliggørelsen.

Selv når en organisation bekræfter, at følsomme kliniske eller finansielle data ikke blev rørt, kan eksponerede personoplysninger stadig udnyttes af opportunistiske svindlere, så lidt årvågenhed nu er en rimelig forholdsregel.

Lektioner for organisationer, der gransker leverandørsikkerhed

For institutioner, der håndterer følsomme person- eller medicinske data, er SickKids-hændelsen en påmindelse om, at leverandørrisikostyring fortjener samme granskning som interne sikkerhedskontroller. Organisationer bør regelmæssigt revidere den software og de platforme, de er afhængige af, forstå, hvilke data disse værktøjer kan få adgang til, og kræve, at leverandører demonstrerer stærke sikkerhedspraksisser som en betingelse for at drive forretning.

Forsyningskæde- og tredjepartsrisiko er ikke længere en hypotetisk bekymring. Det er mekanismen bag mange af de brud, der har skabt overskrifter i de seneste år, og det vil sandsynligvis fortsætte med at drive hændelser på hospitaler, virksomheder og offentlige myndigheder, indtil leverandørsikkerhed bliver lige så stor en prioritet som en organisations egne perimeterforsvar.

Vigtigste pointer

SickKids-databruddets tredjepartssoftwarefejl er en nyttig case study i, hvordan leverandørsårbarheder, ikke kun direkte angreb, kan bringe personoplysninger i fare selv på sikkerhedsbevidste institutioner. Patientjournaler blev skånet denne gang, men medarbejdere og jobansøgere bør forblive på vagt over for phishing-forsøg og overvåge deres konti. For organisationer understreger hændelsen, at granskning af tredjepartssoftwareleverandører ikke længere er valgfrit. Det er en kerne-del af at beskytte de mennesker, hvis data du opbevarer.