आपके सभी विश्लेषण सार्वजनिक रूप से उपलब्ध हैं।

फिर से नमस्कार! मुझे फिर से आपके लिए मेडिकल डेटा वाला एक खुला डेटाबेस मिला। आपको याद दिला दूं कि अभी हाल ही में इस विषय पर मेरे तीन लेख थे: ऑनलाइन चिकित्सा सेवा DOC + से मरीजों और डॉक्टरों के व्यक्तिगत डेटा का रिसाव , डॉक्टर नियर सेवा की भेद्यता, और आपातकालीन चिकित्सा स्टेशनों से डेटा का रिसाव ।

इस बार सेंटर फॉर मॉलिक्यूलर डायग्नोस्टिक्स (सीएमडी, www.cmd-online.ru) की प्रयोगशालाओं के नेटवर्क के मेडिकल आईटी सिस्टम के लॉग के साथ एलियटिक्स खोज सर्वर खुली पहुंच में रहा।

: . . , .

पहली अप्रैल की सुबह सर्वर को खोजा गया था, और यह मुझे बिल्कुल भी हास्यास्पद नहीं लगा। समस्या की सूचना सीएमडी में लगभग 10 बजे (जीएमटी) में चली गई और लगभग 3 बजे आधार अप्राप्य हो गया।

Shodan सर्च इंजन के अनुसार, यह सर्वर पहली बार 03/09/2019 को ओपन एक्सेस के लिए आया था। एलिस्टिक्स खोज डेटाबेस कैसे खुले हैं , इसके बारे में मैंने एक अलग लेख लिखा है।

नाम, लिंग, रोगी की जन्मतिथि, डॉक्टरों का नाम, अध्ययन की लागत, अनुसंधान डेटा, स्क्रीनिंग परिणाम फ़ाइलों और बहुत कुछ सहित लॉग्स से बहुत संवेदनशील जानकारी प्राप्त करना संभव था।

रोगी परीक्षणों के परिणामों के साथ लॉग का एक उदाहरण:

 "<Message FromSystem=\"CMDLis\" ToSystem=\"Any\" Date=\"2019-02-26T14:40:23.773\"><Patient ID=\"9663150\" Code=\"A18196930\" Family=\"XXX\" Name=\"XXX\" Patronymic=\"XXX\" BornDate=\"XXX-03-29\" SexType=\"F\"><Document></Document><Order ID=\"11616539\" Number=\"DWW9867570\" State=\"normal\" Date=\"2017-11-29T12:58:26.933\" Department=\"1513\" DepartmentAltey=\"13232\" DepartmentName=\" \" FullPrice=\"1404.0000\" Price=\"1404.0000\" Debt=\"1404.0000\" NaprOrdered=\"2\" NaprCompleted=\"2\" ReadyDate=\"2017-12-01T07:30:01\" FinishDate=\"2017-11-29T20:39:52.870\" Registrator=\"A759\" Doctor=\"A75619\" DoctorFamily=\"XXX\" DoctorName=\"XXX\" DoctorPatronymic=\"XXX\"><OrderInfo Name=\"TEMP_CODE\">0423BF97FA5E</OrderInfo><OrderInfo Name=\"\">-1</OrderInfo><OrderInfo Name=\"\">DWW98675708386841791</OrderInfo><OrderInfo Name=\"\">0</OrderInfo><OrderInfo Name=\"\">18.03.2019</OrderInfo><OrderInfo Name=\"\"> RU.1303.00601</OrderInfo><Serv Link=\"1\" PathologyServ=\"1\" Code=\"110101\" Name=\"   (Urine test)   \" Priority=\"NORMAL\" FullPrice=\"98.0000\" Price=\"98.0000\" ReadyDate=\"2017-11-30T07:30:01\" FinishDate=\"2017-11-29T20:14:22.160\" State=\"normal\"/><Serv Link=\"2\" Code=\"300024\" Name=\"  II  ,     ,  LifeCycle (DELFIA)\" Priority=\"NORMAL\" FullPrice=\"1306.0000\" Price=\"1306.0000\" ReadyDate=\"2017-12-01T07:30:01\" FinishDate=\"2017-11-29T20:39:52.870\" State=\"normal\"/><Probe ID=\"64213791\" Number=\"3716965325\" Date=\"2017-11-29T00:00:00\" OuterNumber=\"66477805\" Barcode=\"3716965325\" Biomater=\"66\" BiomaterName=\" ()\" Type=\"physical\"><Probe ID=\"64213796\" Number=\"P80V0018\" Date=\"2017-11-29T12:58:26.933\" Biomater=\"66\" BiomaterName=\" ()\" WorkList=\"80\" WorkListName=\" \" Type=\"virtual\"><Param State=\"Valid\" User=\"A872\" UserFIO=\"XXX\" UserStaff=\" \" Code=\"3005\" guid=\"7BA0745FD502A80C73C2CAD341610598\" Name=\"  II  ,     ,  LifeCycle (DELFIA)\" Group=\" \" GroupCode=\"80\" GroupSort=\"0\" Page=\"1\" Sort=\"2\"><LinkServ IsOptional=\"0\">2</LinkServ><Result Name=\"  II  ,     ,  LifeCycle (DELFIA)\" Value=\" (.)\" User=\"A872\" UserFIO=\"XXX\" Date=\"2017-11-29T20:39:03.370\" isVisible=\"1\" HidePathology=\"0\" IsNew=\"0\"><File Name=\"  2 _page1.png\" Type=\"image\" Format=\"png\" Title=\"3716965325_prenetal2_page1\" Description=\"  2 _page1\" Sort=\"1\">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888/// 

मैंने "X" प्रतीक के साथ सभी संवेदनशील डेटा बनाए। वास्तव में, सब कुछ खुले रूप में संग्रहीत किया गया था।

ऐसे लॉग से यह आसान था (बेस 64 से रिकॉल करके) स्क्रीनिंग के परिणामों के साथ पीएनजी फाइलें प्राप्त करने के लिए, पहले से ही एक आसान-से-पढ़ने वाले फॉर्म में:

लॉग का कुल आकार 400 एमबी से अधिक हो गया और कुल में उनमें एक लाख से अधिक प्रविष्टियाँ थीं। यह स्पष्ट है कि प्रत्येक रिकॉर्ड अद्वितीय रोगी डेटा नहीं था।

सीएमडी से आधिकारिक जवाब:

हम एलिटिक्सखोज त्रुटि लॉगिंग और भंडारण डेटाबेस में कमजोरियों की उपलब्धता के बारे में जानकारी के लिए धन्यवाद करना चाहते हैं जो तुरंत 04/01/2019 को प्रेषित किया गया था।

इस जानकारी के आधार पर, हमारे कर्मचारियों, प्रासंगिक विशेषज्ञों के साथ, इस डेटाबेस तक सीमित पहुंच। गोपनीय जानकारी को तकनीकी आधार पर स्थानांतरित करने में त्रुटि को ठीक किया गया है।

घटना के विश्लेषण के दौरान, यह पता लगाना संभव था कि सार्वजनिक डोमेन में त्रुटि लॉग के साथ निर्दिष्ट डेटाबेस की उपस्थिति मानव कारक से संबंधित कारण के कारण हुई। डेटा तक पहुंच तुरंत 01/01/2019 को बंद कर दी गई।

फिलहाल, आंतरिक और बाहरी विशेषज्ञों द्वारा डेटा सुरक्षा के लिए आईटी बुनियादी ढांचे का अतिरिक्त ऑडिट करने के लिए उपाय किए जा रहे हैं।

हमारे संगठन ने व्यक्तिगत डेटा और कर्मियों की स्तरीय जिम्मेदारी की प्रणाली के साथ काम करने के लिए विशेष नियम विकसित किए हैं।

वर्तमान सॉफ़्टवेयर संरचना में त्रुटियों को संग्रहीत करने के लिए एलीस्टेकर्च डेटाबेस का उपयोग शामिल है। कुछ प्रणालियों की विश्वसनीयता बढ़ाने के लिए, संबंधित सर्वर हमारे साथी के डेटा केंद्र में, एक प्रमाणित सॉफ़्टवेयर और हार्डवेयर वातावरण में माइग्रेट हो जाएंगे।

आपकी समय पर जानकारी के लिए धन्यवाद।

सूचना लीक और अंदरूनी सूत्रों के बारे में समाचार हमेशा मेरे टेलीग्राम चैनल " सूचना लीक " पर पाया जा सकता है।