案例一:醫院力行分層授權確保資料不外洩
醫院是救人醫病的地方,經手的資料都與個人息息相關。A醫院資訊室主任表示,醫院除了要保護人命,也同樣要負有保護與人命相關的重要資料的責任。
醫院的機密資料相對其他產業來得多,不只是病歷資料、臨床診斷資料、醫研資料,甚至是採購訂單、進銷存和薪資財會資料等。資訊室主任指出,A醫院的醫研資料因為資料量大,對外有獨立的連網通道,資料權限也掌握在醫研部門手中,資訊室則負責其他資料的安全性。
因為資料類型多,有許多資料隱含個人隱私,透過層級節制的授權方式,來做到避免資料外洩。
資訊室主任說,將每一個類型的資料庫切割、獨立,避免駭客入侵時,可以從其中一個資料庫窺得全貌,是A醫院避免資料外洩的第一步。因為醫院的資料庫存取速度頻繁,也經常需要進行資料分析,對資料庫加密的方式並不適合A醫院,因此,A醫院透過層級節制的授權方式,讓權限與資料機密程度能夠相符合。
資訊室主任表示,A醫院有資安事件處理小組,以行政副院長為首;為了配合電子病歷的施行,也制訂了電子病歷調閱管理辦法。但問題在於不同資料各自有其主管的部門,如何做到真正授權與資料機密程度相符合,最好的方法就是由資料擁有者決定誰有權讀取相關資料。也因此,A醫院有了嚴謹的分層授權流程。
案例二:加州某大學分校的健康服務中心電腦遭到駭客攻擊
加州某大學分校的健康服務中心電腦遭到駭客攻擊,超過16萬名學生、校友和其他民眾的個人資料可能被竊。
該分校技術長在2009/05/8週五的記者會上表示,其中9.7萬人的社會安全碼包含在失竊的資料中,面臨身份被盜用的風險,但目前不確定駭客能否將號碼對上正確的人名。
攻擊者進入一個公眾網站,然後繞過額外的防護措施,取得儲存在同一伺服器的資料。負責健康與人道服務的助理副校長強調,除了社會安全碼,被入侵的資料庫還存有健康保險資料,和非治療的就醫資料,如預防注射記錄和民眾就診過的醫師姓名。這次意外沒有任何病歷資料(如診斷、治療和用藥等記錄)外洩。他說:「他們的身分資料沒有失竊。只有部分資料被竊。」
攻擊事件始自2008年10月9日,一直持續到今年4月9日,一位校園電腦管理員在進行例行維護時,才發現攻擊者留下的訊息。登入記錄顯示,這次攻擊來自海外,技術長說:「主要是在亞洲地區。」他稍後指明是中國。 技術長說,雖然校園警方和聯邦調查局(FBI)立刻接獲通報,一直到4月21日他們才發現資料被竊。之後,調查焦點即是找出哪些資料被竊和哪些人可能受害。駭客究竟使用何種技巧發動攻擊,目前仍在調查中。
資料庫安全軟體商推測,看起來這應是一次資料隱碼(SQL injection)攻擊。也就是為網站提供資訊的資料庫被植入小型的惡意指令。相關單位也質疑該分校沒有適當的監督工具,才會讓攻擊持續6個月才發現,以及該校為何用同一台的伺服器存放不同安全等級的資料。
校方已開始用電郵和郵寄信件通知16萬可能受害的民眾。這些人包括許多該分校的校友和學生,以及他們的父母或配偶。他們都曾在大學的健康中心接受相關服務。另外還包括以該分校健康中心為特約醫院的3,400名加州某學院的學生。 校方已提醒這些民眾對個人帳戶設定詐欺警報,並設立一個網站和電話熱線協助受害人。
技術長表示,2005年,該分校研究所申請單位一台存有橫跨30年共9.8萬人個資的電腦被竊,因此該校具有處理這類安全危機的經驗。該分校和許多有名望的機構一樣,難逃日漸高明和惡意的攻擊。他說:「我們要抵禦來自世界各地的攻擊。」