Hva skjedde i SickKids-datalekkasjen

Torontos Hospital for Sick Children, allment kjent som SickKids, har bekreftet en cybersikkerhetshendelse som eksponerte personopplysningene til enkelte nåværende og tidligere ansatte, samt jobbsøkere. Ifølge sykehuset var ikke avviket et resultat av et direkte angrep på deres eget nettverk, men stammer fra en feil i tredjepartsprogramvare som organisasjonen bruker.

Viktig å merke seg er at SickKids har uttalt at kliniske systemer og pasientjournaler ikke ble påvirket av denne hendelsen. Eksponeringen ser ut til å være begrenset til arbeidsstyrkerelaterte data, altså informasjon knyttet til personer som har jobbet ved, eller søkt jobb ved, sykehuset, snarere enn pasientene det betjener. For et barnesykehus som håndterer noe av den mest sensitive medisinske informasjonen man kan tenke seg, er det å holde kliniske systemer isolert fra denne hendelsen et betydningsfullt skille, selv om eksponeringen av ansatt- og søkerdata fortsatt er en alvorlig bekymring for de berørte.

Hvorfor tredjepartsprogramvare er en voksende angrepsvektor

Denne hendelsen passer inn i et mønster som har blitt stadig mer kjent innen helsevesen, finans og andre sektorer som håndterer store mengder personopplysninger: det svakeste leddet er ofte ikke organisasjonens egne forsvar, men programvaren og tjenestene den er avhengig av fra eksterne leverandører. Sykehus, universiteter og selskaper bruker rutinemessig tredjepartsplattformer for HR-funksjoner, lønn, søkeradministrasjon, planlegging og utallige andre operasjonelle oppgaver. Hver av disse integrasjonene representerer et potensielt inngangspunkt som delvis ligger utenfor den direkte kontrollen til institusjonen hvis navn havner i overskriftene.

Denne dynamikken er ikke unik for helsevesenet. Leverandør- og forsyningskjedesårbarheter har drevet dataeksponeringshendelser på tvers av bransjer, inkludert produksjon. En lignende dynamikk utspilte seg da CRPx0-ransomware-gruppen hevdet å ha stjålet data knyttet til Hyundais tyrkiske virksomhet, noe som illustrerer hvordan angripere i økende grad retter seg mot bindevevet mellom organisasjoner, deres partnere og programvaren de er avhengige av, snarere enn å alltid gå direkte etter et selskaps kjerne systemer. Enten inngangspunktet er en billeverandørs nettverk eller et sykehus' HR-programvareleverandør, er den underliggende lærdommen den samme: en organisasjons sikkerhetsprofil er bare så sterk som det svakeste systemet den kobler til.

Hva dette betyr for deg: Ansatte og jobbsøkere

Hvis du for tiden jobber, tidligere har jobbet, eller har søkt en stilling ved SickKids, er denne hendelsen verdt å ta på alvor, selv om kliniske data og pasientdata ikke var involvert. Personopplysninger knyttet til ansettelsesregistre og jobbsøknader kan inkludere navn, kontaktinformasjon og annen identifiserende informasjon som kan brukes til phishing-forsøk, identitetstyveri eller sosial manipulering.

Noen praktiske steg kan bidra til å begrense potensielle følger:

  • Følg med på offisiell kommunikasjon fra SickKids angående avviket og følg eventuelle spesifikke råd sykehuset gir, inkludert instruksjoner om kredittovervåking eller identitetsbeskyttelsestjenester hvis de tilbys.
  • Vær forsiktig med uønskede e-poster, tekstmeldinger eller telefoner som refererer til din ansettelses- eller søkerhistorikk ved SickKids, spesielt de som ber deg klikke på lenker, verifisere kontodetaljer eller oppgi ytterligere personopplysninger.
  • Vurder å oppdatere passord på kontoer som kan dele informasjon med dine ansettelsesregistre, spesielt hvis du har gjenbrukt påloggingsinformasjon på tvers av tjenester.
  • Overvåk kontoutskrifter og kredittrapporter for uvanlig aktivitet i ukene og månedene etter avsløringen.

Selv når en organisasjon bekrefter at sensitiv klinisk eller finansiell data ikke ble berørt, kan eksponert personopplysninger fortsatt utnyttes av opportunistiske svindlere, så litt årvåkenhet nå er en rimelig forholdsregel.

Lærdommer for organisasjoner som vurderer leverandørsikkerhet

For institusjoner som håndterer sensitiv personlig eller medisinsk informasjon, er SickKids-hendelsen en påminnelse om at leverandørrisikostyring fortjener samme granskning som interne sikkerhetskontroller. Organisasjoner bør jevnlig revidere programvaren og plattformene de er avhengige av, forstå hvilke data disse verktøyene kan få tilgang til, og kreve at leverandører viser sterke sikkerhetspraksiser som en betingelse for å drive forretning.

Forsyningskjede- og tredjepartsrisiko er ikke lenger et hypotetisk problem. Det er mekanismen bak mange av avvikene som har skapt overskrifter de siste årene, og det vil sannsynligvis fortsette å forårsake hendelser ved sykehus, selskaper og offentlige etater inntil leverandørsikkerhet blir like stor prioritet som en organisasjons egne perimetersikringer.

Viktige lærdommer

SickKids-datalekkasjen som følge av en tredjepartsprogramvarefeil er en nyttig casestudie i hvordan leverandørsårbarheter, ikke bare direkte angrep, kan sette personopplysninger i risiko selv ved sikkerhetsbevisste institusjoner. Pasientjournaler ble spart denne gangen, men ansatte og jobbsøkere bør være årvåkne overfor phishing-forsøk og overvåke kontoene sine. For organisasjoner forsterker hendelsen at vurdering av tredjepartsprogramvareleverandører ikke lenger er valgfritt. Det er en kjerne del av å beskytte menneskene hvis data du oppbevarer.