หน่วยบริการเลือดและการปลูกถ่ายแห่งชาติ (NHS Blood and Transplant) กำลังสอบสวนเหตุข้อมูลรั่วไหล หลังจากพบว่า ข้อมูลทางการแพทย์ของผู้ป่วยปลูกถ่ายอวัยวะทั่วสหราชอาณาจักรถูกส่งผ่านเครือข่ายเพจเจอร์ที่ไม่มีการเข้ารหัส การเปิดเผยครั้งนี้ ซึ่งรายงานครั้งแรกโดย BBC ได้ดึงความสนใจไปที่เทคโนโลยีที่หลายคนคิดว่าถูกเลิกใช้ในการสื่อสารด้านสุขภาพที่ละเอียดอ่อนไปหลายปีแล้ว และทำให้เกิดคำถามใหม่เกี่ยวกับว่าระบบเดิมยังคงเปิดเผยข้อมูลผู้ป่วยภายใน NHS ต่อไปได้อย่างไร

เกิดอะไรขึ้น

ตามรายงานของ BBC หน่วยบริการเลือดและการปลูกถ่ายแห่งชาติอาศัยเครือข่ายเพจเจอร์ในการส่งข้อมูลที่เกี่ยวข้องกับผู้ป่วยปลูกถ่ายอวัยวะ และข้อมูลดังกล่าวถูกส่งโดยไม่มีการเข้ารหัส เพจเจอร์ ซึ่งครั้งหนึ่งเคยเป็นเครื่องมือหลักในการสื่อสารในโรงพยาบาลในช่วงทศวรรษ 1980 และ 1990 ส่งข้อความเป็นสัญญาณวิทยุธรรมดา ต่างจากแพลตฟอร์มการส่งข้อความที่เข้ารหัสสมัยใหม่ ผู้ที่มีอุปกรณ์ที่เหมาะสมและความรู้ทางเทคนิคเพียงพอสามารถดักจับการส่งสัญญาณเหล่านี้ได้ หน่วยบริการเลือดและการปลูกถ่ายแห่งชาติยืนยันว่า กำลังสอบสวนว่าการรั่วไหลเกิดขึ้นได้อย่างไร และต้องดำเนินการขั้นตอนใดเพื่อป้องกันไม่ให้เกิดเหตุซ้ำ แม้ว่ารายละเอียดทั้งหมดเกี่ยวกับขอบเขตและระยะเวลาของการเปิดเผยข้อมูลยังไม่ได้รับการเปิดเผยต่อสาธารณะ

ความจริงที่ว่าองค์กรบริการสุขภาพระดับชาติยังคงใช้เทคโนโลยีอายุหลายทศวรรษนี้เพื่อเคลื่อนย้ายข้อมูลทางการแพทย์ เป็นส่วนหนึ่งของเรื่องราวที่ได้รับความสนใจมากที่สุด เพจเจอร์ถูกใช้อย่างแพร่หลายในวงการสุขภาพเพราะมีความน่าเชื่อถือและทำงานได้ในพื้นที่ที่สัญญาณโทรศัพท์มือถืออ่อน รวมถึงชั้นใต้ดินของโรงพยาบาลและห้องที่ป้องกันสัญญาณ แต่ความน่าเชื่อถือนั้นแลกมาด้วยความปลอดภัย: เครือข่ายเพจเจอร์ส่วนใหญ่ไม่เคยถูกออกแบบมาให้มีการเข้ารหัส หมายความว่าข้อมูลใดก็ตามที่ส่งผ่านเครือข่ายเหล่านี้ รวมถึงเวชระเบียนการปลูกถ่าย อาจถูกบุคคลที่ไม่ได้รับอนุญาตดักจับได้ในทางทฤษฎี

ทำไมเพจเจอร์ที่ไม่มีการเข้ารหัสจึงเป็นความเสี่ยงต่อความเป็นส่วนตัว

ข้อมูลทางการแพทย์ที่เกี่ยวข้องกับการปลูกถ่ายอวัยวะเป็นข้อมูลที่ละเอียดอ่อนที่สุดประเภทหนึ่งที่ระบบสุขภาพดูแลอยู่ ซึ่งอาจรวมถึงรายละเอียดเกี่ยวกับการวินิจฉัย ประวัติการรักษา และสถานะการจับคู่อวัยวะของผู้ป่วย ซึ่งทั้งหมดนี้ได้รับการคุ้มครองภายใต้กฎหมายคุ้มครองข้อมูลของสหราชอาณาจักร เมื่อข้อมูลประเภทนี้เดินทางผ่านช่องทางที่ไม่มีการเข้ารหัส ข้อมูลจะเสี่ยงต่อการถูกเข้าถึงในแบบที่คนส่วนใหญ่ไม่คาดคิดจากสถาบันสมัยใหม่ ไม่มีกลไกในตัวที่จะยืนยันว่าใครได้รับข้อความเพจเจอร์ และไม่มีวิธียืนยันว่าข้อมูลถูกดักจับระหว่างการส่งหรือไม่

กรณีนี้เป็นเครื่องเตือนใจว่า การรั่วไหลของข้อมูลไม่ได้เกิดจากการโจมตีทางแฮ็กเกอร์ที่ซับซ้อนเสมอไป บางครั้งช่องโหว่อยู่ในโครงสร้างพื้นฐานที่ล้าสมัยซึ่งองค์กรไม่เคยมีโอกาสเปลี่ยนใหม่ การเปิดเผยเครือข่ายเพจเจอร์ครั้งนี้ชี้ให้เห็นปัญหาที่กว้างขึ้นในองค์กรขนาดใหญ่: ระบบเดิมมักอยู่ยาวนานเกินกว่าที่คาดไว้ เพราะการเปลี่ยนระบบใหม่มีต้นทุนสูง ก่อความวุ่นวาย หรือถูกมองข้ามท่ามกลางลำดับความสำคัญด้านความปลอดภัยทางไซเบอร์ที่เห็นได้ชัดกว่า

รูปแบบของปัญหาความปลอดภัยข้อมูล NHS

เหตุการณ์นี้เพิ่มเข้าไปในรายการปัญหาความปลอดภัยข้อมูลที่เกี่ยวข้องกับ NHS ที่เพิ่มขึ้นในช่วงไม่กี่ปีที่ผ่านมา รายงานก่อนหน้านี้ระบุว่า ข้อมูลผู้ป่วยที่ถูกขโมยจากการโจมตีแรนซัมแวร์ Synnovis ปรากฏบนดาร์กเว็บ ทำให้เวชระเบียนที่ละเอียดอ่อนตกอยู่ในความเสี่ยงระยะยาวสำหรับผู้ที่ได้รับผลกระทบ นอกจากนี้ หน่วยงาน NHS ในเอสเซกซ์ยืนยันการรั่วไหลจากแรนซัมแวร์ Qilin สองปีหลังจากเกิดเหตุ ซึ่งแสดงให้เห็นว่าการเปิดเผยขนาดเต็มของเหตุการณ์ข้อมูลด้านสุขภาพอาจใช้เวลานานเพียงใด

แม้ว่าปัญหาเพจเจอร์ของหน่วยบริการเลือดและการปลูกถ่ายแห่งชาติจะไม่ใช่การโจมตีด้วยแรนซัมแวร์ แต่ก็เข้ากับรูปแบบกว้าง ๆ เดียวกันนี้: ข้อมูลผู้ป่วยที่ละเอียดอ่อนเคลื่อนผ่านระบบที่ไม่ได้ถูกสร้างขึ้น หรือไม่ได้รับการบำรุงรักษาอย่างเพียงพออีกต่อไป เพื่อปกป้องข้อมูล ไม่ว่าสาเหตุจะเป็นเซิร์ฟเวอร์ที่ไม่ได้รับการอัปเดต โน้ตบุ๊กที่ถูกขโมย หรือเครือข่ายเพจเจอร์ที่ไม่เคยถูกออกแบบมาให้เข้ารหัส ผลลัพธ์สำหรับผู้ป่วยก็เหมือนกัน ข้อมูลทางการแพทย์ส่วนตัวของพวกเขาถูกเปิดเผยในแบบที่พวกเขาไม่เคยยินยอม และมักไม่รู้จนกระทั่งเวลาผ่านไปนาน

สิ่งนี้หมายความต่อคุณอย่างไร

หากคุณหรือสมาชิกในครอบครัวเกี่ยวข้องกับกระบวนการปลูกถ่ายที่ดำเนินการโดยหน่วยบริการเลือดและการปลูกถ่ายแห่งชาติ การรั่วไหลครั้งนี้อาจน่ากังวล แม้ว่าคุณจะยังไม่ได้รับการแจ้งโดยตรงก็ตาม ควรติดตามการสื่อสารอย่างเป็นทางการจากหน่วยบริการเลือดและการปลูกถ่ายแห่งชาติเกี่ยวกับการสอบสวน และระมัดระวังข้อความที่ไม่พึงประสงค์ใด ๆ ที่อ้างว่ามาจาก NHS และขอรายละเอียดส่วนบุคคล เนื่องจากการรั่วไหลแบบนี้อาจถูกใช้โดยมิจฉาชีพที่แอบอ้างว่าติดตามผลจากเหตุการณ์ดังกล่าว

ในวงกว้างขึ้น เรื่องนี้เป็นกรณีศึกษาที่มีประโยชน์สำหรับผู้ที่สนใจว่าความปลอดภัยข้อมูลด้านสุขภาพทำงานเบื้องหลังจริง ๆ อย่างไร การเข้ารหัสไม่ใช่เพียงการทำเครื่องหมายในรายการตรวจสอบทางเทคนิคเท่านั้น แต่บ่อยครั้งเป็นสิ่งเดียวที่กั้นระหว่างการสื่อสารทางการแพทย์ทั่วไปกับการเข้าถึงโดยไม่ได้รับอนุญาต ผู้ป่วยส่วนใหญ่มองเห็นระบบที่ใช้ถือข้อมูลของตนได้น้อยมาก ซึ่งเป็นเหตุผลว่าทำไมการกำกับดูแลและการรายงานต่อสาธารณะเกี่ยวกับเหตุการณ์เช่นนี้จึงสำคัญ

ประเด็นสำคัญ

การสอบสวนของหน่วยบริการเลือดและการปลูกถ่ายแห่งชาติเกี่ยวกับการรั่วไหลที่เกี่ยวข้องกับเพจเจอร์ครั้งนี้ยังดำเนินอยู่ และมีแนวโน้มว่าจะมีรายละเอียดเพิ่มเติมปรากฏขึ้นเมื่อการตรวจสอบดำเนินต่อไป ในระหว่างนี้ ผู้ป่วยที่ได้รับบริการจาก NHS สามารถดำเนินการที่ sensible ได้สองสามขั้นตอน: ติดตามการอัปเดตอย่างเป็นทางการ หลีกเลี่ยงการแบ่งปันรายละเอียดส่วนตัวหรือทางการแพทย์เพื่อตอบสนองต่อการโทรหรือข้อความที่ไม่คาดคิด และพิจารณาสอบถามผู้ให้บริการดูแลของคุณโดยตรงว่าวิธีการสื่อสารใดที่ใช้จัดการข้อมูลของคุณ ในขณะที่เทคโนโลยีเดิมอย่างเพจเจอร์ยังคงปรากฏในเรื่องราวการรั่วไหลของข้อมูลสมัยใหม่ เหตุการณ์นี้เป็นเครื่องเตือนใจที่ทันท่วงทีว่าโครงสร้างพื้นฐานที่ล้าสมัยสามารถแบกรับความเสี่ยงด้านความเป็นส่วนตัวที่มากเกินสัดส่วนได้ แม้แต่ในสถาบันที่ได้รับความไว้วางใจให้ดูแลข้อมูลที่ละเอียดอ่อนที่สุดเท่าที่จะจินตนาการได้