Mitä tapahtui SickKids-tietomurrossa

Toronton lastensairaala, joka tunnetaan laajalti nimellä SickKids, on vahvistanut tietoturvaloukkauksen, joka altisti joidenkin nykyisten ja entisten työntekijöiden sekä työnhakijoiden henkilötiedot. Sairaalan mukaan tietomurto ei johtunut suorasta hyökkäyksestä sen omaan verkkoon, vaan se sai alkunsa organisaation käyttämän kolmannen osapuolen ohjelmiston haavoittuvuudesta.

Tärkeää on, että SickKids on ilmoittanut, etteivät kliiniset järjestelmät tai potilastiedot vaarantuneet tässä tapauksessa. Altistuminen näyttää rajoittuvan henkilöstöön liittyviin tietoihin, eli tietoihin, jotka liittyvät ihmisiin, jotka ovat työskennelleet tai hakeneet töitä sairaalasta, ei sen potilaisiin. Lastensairaalalle, joka käsittelee joitakin arkaluontoisimmista mahdollisista lääketieteellisistä tiedoista, kliinisten järjestelmien pitäminen erillään tästä tapauksesta on merkittävä ero, vaikka työntekijöiden ja hakijoiden tietojen altistuminen on edelleen vakava huolenaihe asianomaisille.

Miksi kolmannen osapuolen ohjelmistot ovat kasvava hyökkäysvektori

Tämä tapaus sopii kaavaan, josta on tullut yhä tutumpi terveydenhuollossa, rahoitusalalla ja muilla aloilla, jotka käsittelevät suuria määriä henkilötietoja: heikoin lenkki ei useinkaan ole organisaation omat puolustusmekanismit, vaan ohjelmistot ja palvelut, joihin se luottaa ulkopuolisilta toimittajilta. Sairaalat, yliopistot ja yritykset käyttävät rutiininomaisesti kolmannen osapuolen alustoja HR-toimintoihin, palkanlaskentaan, hakijaseurantaan, aikataulutukseen ja lukuisiin muihin operatiivisiin tehtäviin. Jokainen näistä integraatioista edustaa mahdollista sisäänpääsykohtaa, joka on osittain sen instituution suoran hallinnan ulkopuolella, jonka nimi päätyy otsikoihin.

Tämä dynamiikka ei ole ainutlaatuinen terveydenhuollolle. Toimittaja- ja toimitusketjun haavoittuvuudet ovat aiheuttaneet tietojen altistumistapauksia eri toimialoilla, myös valmistuksessa. Vastaava dynamiikka toteutui, kun CRPx0-kiristysohjelmaryhmä väitti varastaneensa Hyundai:n Turkin toimintaan liittyviä tietoja, mikä osoittaa, kuinka hyökkääjät kohdistavat toimintansa yhä useammin organisaatioiden, niiden kumppaneiden ja niiden käyttämien ohjelmistojen väliseen kudokseen sen sijaan, että ne hyökkäisivät aina suoraan yrityksen ydinfärjestelmiin. Olipa sisäänpääsykohta automaalitoimittajan verkko tai sairaalan HR-ohjelmistotoimittaja, perimmäinen opetus on sama: organisaation tietoturvataso on vain yhtä vahva kuin heikoin järjestelmä, johon se on yhteydessä.

Mitä tämä tarkoittaa sinulle: Työntekijät ja työnhakijat

Jos työskentelet tällä hetkellä, olet työskennellyt aiemmin tai olet hakenut työpaikkaa SickKidsistä, tämä tapaus kannattaa ottaa vakavasti, vaikka kliiniset ja potilastiedot eivät olleet mukana. Työsuhdetietoihin ja työhakemuksiin liittyvät henkilötiedot voivat sisältää nimiä, yhteystietoja ja muita tunnistetietoja, joita voitaisiin käyttää tietojenkalasteluun, identiteettivarkauteen tai sosiaaliseen manipulointiin.

Muutama käytännön toimenpide voi auttaa rajoittamaan mahdollisia seurauksia:

  • Pidä silmällä SickKidsin virallisia tiedonantoja tietomurrosta ja noudata kaikkia sairaalan antamia erityisohjeita, mukaan lukien ohjeet luottotietojen seurannasta tai henkilöllisyyden suojapalveluista, jos niitä tarjotaan.
  • Ole varovainen pyytämättä tulleiden sähköpostien, tekstiviestien tai puheluiden suhteen, jotka viittaavat työsuhteeseesi tai hakemushistoriaasi SickKidsissä, erityisesti niiden, jotka pyytävät sinua klikkaamaan linkkejä, vahvistamaan tilin tietoja tai antamaan lisää henkilötietoja.
  • Harkitse salasanojen päivittämistä tileillä, jotka saattavat jakaa tietoja työsuhdetietojesi kanssa, erityisesti jos olet käyttänyt samoja tunnuksia useissa palveluissa.
  • Seuraa taloustilitietoja ja luottotietojasi epätavallisen toiminnan varalta viikkojen ja kuukausien ajan tiedonannon jälkeen.

Vaikka organisaatio vahvistaa, ettei arkaluontoisiin kliinisiin tai taloudellisiin tietoihin koskettu, altistuneita henkilötietoja voidaan silti hyödyntää opportunististen huijareiden toimesta, joten pieni valppaus nyt on kohtuullinen varotoimi.

Oppeja organisaatioille toimittajien tietoturvan arvioinnissa

Arkaluontoisia henkilö- tai potilastietoja käsitteleville instituutioille SickKids-tapaus on muistutus siitä, että toimittajariskien hallinta ansaitsee yhtä suuren huomion kuin sisäiset tietoturvakontrollit. Organisaatioiden tulisi säännöllisesti auditoida käyttämänsä ohjelmistot ja alustat, ymmärtää, mihin tietoihin nämä työkalut pääsevät käsiksi, ja vaatia toimittajilta vahvoja tietoturvakäytäntöjä edellytyksenä liiketoiminnalle.

Toimitusketju- ja kolmannen osapuolen riskit eivät ole enää hypoteettinen huolenaihe. Ne ovat mekanismi monien viime vuosina otsikoihin päätyneiden tietomurtojen takana, ja ne todennäköisesti aiheuttavat edelleen tapauksia sairaaloissa, yrityksissä ja valtion virastoissa, kunnes toimittajien tietoturvasta tulee yhtä tärkeä prioriteetti kuin organisaation omista reunapuolustuksista.

Keskeiset opit

SickKidsin tietomurron kolmannen osapuolen ohjelmistohaavoittuvuus on hyödyllinen tapaustutkimus siitä, kuinka toimittajien haavoittuvuudet, eivät vain suorat hyökkäykset, voivat asettaa henkilötiedot riskiin jopa tietoturvatietoisissa instituutioissa. Potilastiedot säästyivät tällä kertaa, mutta työntekijöiden ja työnhakijoiden tulisi pysyä valppaina tietojenkalasteluyritysten varalta ja seurata tilejään. Organisaatioille tapaus vahvistaa, että kolmannen osapuolen ohjelmistotoimittajien arviointi ei ole enää valinnaista. Se on keskeinen osa niiden ihmisten tietojen suojaamista, joiden tietoja hallussaan pidät.