รัฐบาลสิงคโปร์จัดแถลงข่าว ยอมรับว่าระบบข้อมูลคนไข้กลาง SingHealth ถูกแฮก โดยเชื่อว่าเป็นการแฮกที่ได้รับการสนับสนุนระดับรัฐ (state sponsor attack) และมุ่งเป้าคนสำคัญบางรายเป็นพิเศษ เช่น ลี เซียน ลุง นายกรัฐมนตรีสิงคโปร์ และรัฐมนตรีบางคน
ฐานข้อมูลทั่วไปผู้ใช้ทั่วไป เช่น ชื่อ, ที่อยู่, เพศ, วันเกิด ถูกดาวน์โหลดออกไป ขณะที่ฐานข้อมูลผลแล็ป, การวินิจฉัย, และบันทึกแพทย์ไม่ได้ถูกดาวน์โหลดออกไปด้วย ข้อมูลทั้งหมดกระทบคนไข้ 1.5 ล้านคน ข้อมูลการจ่ายยาผู้ป่วยนอกอีก 160,000 คน
คนร้ายเข้าสู่ระบบได้ตั้งแต่วันที่ 27 มิถุนายน จนถึงวันที่ 4 กรกฎาคมที่ผ่านมา ข้อมูลในฐานข้อมูลนั้นมีข้อมูลย้อนไปถึงปี 2015
สิงคโปร์มีแผนจะบังคับรวมฐานข้อมูลผู้ป่วยตั้งแต่ปีที่แล้ว ตอนนี้แผนการนี้ถูกหยุดไว้ไม่มีกำหนด ที่ผ่านมา SingHealth เชื่อมต่อข้อมูลระหว่างโรงพยาบาลขนาดใหญ่และคลีนิคบางแห่ง
ที่มา - Strait Times
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
และมุ่งเป้าคนทำคัญ => และมุ่งเป้าคนสำคัญ
แล็ป => แล็บ
คลี => คลิ
นิค => นิก
เรื่องความปลอดภัยเป็นสิ่งที่ยากเสมอ
+1 โดยเฉพาะอย่างยิ่งถ้าโดนเจาะจากระดับรัฐ
เคยมีความเห็นของ Bruce Schneir ไปพูดที่กูเกิลตอนเขาออกหนังสือ Data and Goliath นะครับ ว่าถ้าองค์กรที่มีศักยภาพสูงมาก (เช่น NSA) อยากเจาะระบบใดสักระบบ ก็ไม่มีรอด
แนวทางคงทำได้แค่อย่าให้เขาเพ่งเล็งเราขนาดนั้น หรือระบบของเราดีพอที่มูลค่าข้อมูลมันจะไม่คุ้ม (เจาะทีมันใช้เงิน)
lewcpe.com, @wasonliw
ปัญหาคือใครเป็นคนเข้าระบบ และเข้าถึงฐานข้อมูลได้อย่างไร แล้วระบบไม่สามารถ Detect การใช้งานที่ผิดปกติเลยเหรอ อย่าง Traffic ที่สูงผิดปกติ, เวลาเข้าใช้งานระบบนานกว่า/สั้นกว่าปกติ หรือใช้ SmartCard/Biometric ยืนยันตัวตน อะไรแบบนั้น
หรืออาจเป็นฝีมือคนในรัฐ/หมอที่เข้าถึงได้บางคนหว่า
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
ผมก็คิดงั้น
คิดว่าการบอกว่าเป็นการ แฮกใหญ่อะไรแบบนี้ นี่มัน style เผด็จการทหารไทย สงสัยไปสอนเค้าไว้เค้าเลยทำตาม 555
ระบบสุขภาพของ Singapore นี่คนในประเทศรุ่นใหม่ๆ ด่ากันกระหน่ำมาก โดนกันเองในประเทศนี่ไม่แปลก เพราะมันไม่ใช่เรื่องที่ด่ากันออกมาจน โลกรู้หรือว่าหมั่นไส้
สอนไปทั่วเลยรึเปล่าครับนั่น เป็นแบบนี้หลายประเทศเลยนะ
นอกจากเป็นเผด็จการทหารไทย ยังลามไปสอนคนไว้ทั่วโลด้วยนะเนี่ย ไม่ธรรมดาจริงๆ รบ.นี้
รัสเซียหรือเกาหลีเหนือดีครับ
ระบบรวมศูนย์แบบนี้ยิ่งมีแรงจูงใจที่ทำให้ระบบปลอดภัยมากขึ้นป่าวครับ
ผมคงจะมั่นใจน่าดู ถ้าระบบรักษาความปลอดภัยของผมแข็งแกร่งเท่า นายกรัฐมนตรี
ถึงรอบนี้จะรั่ว แต่มันแกร่งขึ้นเรื่อย ๆ แน่ ๆ ครับ
และยิ่งมีแรงจูงใจให้แฮกด้วยรึเปล่าครับ
ผมไม่เขื่อว่าความปลอดภัยของรัฐบาลจะปลอดภัยพอนะ
Ok เมื่อเริ่มต้นระบบอาจจะปลอดภัยพอ แต่ผมมองว่าเมิ่อผ่านไปสักพักระบบจะไม่ได้รับการบำรุงรักษาด้านความปลอดภัยอย่างเพียงพอ ในขณะที่อีกฝั่งก็มีการค้นคว้าเทคนิคการแฮกใหม่ๆขึ้นมาเรื่อยๆ
"If it works, don't fix it" ท่องไว้ครับ ต้องให้เกิดเหตุก่อนถึงจะแพทช์
บ้านเราดีหน่อยเป็น Intra เลยไม่โดนเป็นวงกว้าง
จริงๆเรื่องรวบรวมข้อมูลคนไข้เป็นเรื่องสำคัญมากเพราะไปรักษาที่ไหนจะได้มีประวัติเพื่อการวินิจฉัยที่แม่นยำรักษาได้มีประสิทธิภาพ และไม่ต้องมานั่งกรอกใหม่ทุครั้ง แต่การรวมศูนย์อาจเป็นกลายเป็นจุดล่อเป้าให้แฮกเกอร์แฮกได้ข้อมูลจำนวนมาก ผมว่าควรทำระบบแลกเปลี่ยนข้อมูลระหว่างแล้วแล้วมีตัวยืนยันทรานแซกชั่นด้วยบล็อกเชนน่าจะเวิร์คกว่า
ถ้าได้รั่วก็แก้ยากกว่าเดิม
แก้ยากกว่าเดิมยังไงหรอครับ ขอความเห็นเพิ่มเติมครับ
ไม่ยากหรอก
ไม่ยากแต่ปะไม่ได้เลยอะไรแบบนี้หรือเปล่าครับ ?
blockchain "ไม่เคย" แก้ปัญหาข้อมูลรั่วครับ ตรงกันข้ามมันเอาข้อมูลที่เคยปิดลับกลับมาเปิดต่อสาธารณะ (เงินคริปโตทั้งหลายดูประวัติบัญชีได้ จากเดิมที่เป็นข้อมูลลับ)
ช่วงหลังมีความพยายามทำให้ข้อมูลใน blockchain มีความลับบ้างด้วยเทคนิคต่างๆ กันไป แต่ผมมองว่าเป็นการปะผุ เพราะโดยแนวคิดของมันคือการเปิดให้คนอื่นตรวจสอบแต่แรก พอพยายามปิดมากๆ เข้าก็อาจจะตั้งคำถามว่าจะทำ blockchain ทำไม ซึ่งโครงการจำนวนมากก็ไม่ควรทำ ทำไปไม่ได้ใช้ ทำสักให้ได้ชื่อว่ามีบล็อคเชน
lewcpe.com, @wasonliw
ตามนี้ครับ
อย่างที่กล่าวครับผมมองว่าให้บล็อกเชนทำตัวเป็นตัวล็อกทรานแซกชั่นเพื่อให้ข้อมูลโปร่งใส ระหว่างองค์กร แต่ข้อมูลยังอยู่ที่หน่วยงานต่างๆเสมอครับ เวลาใครจะใช้ก็ร้องขอแล้ว log ไว้ว่าใครจะใช้ ข้อมูลจะได้ไม่ต้องมารวมศูนย์ครับของใครของมันแต่เวลาร้องขอก็โปร่งใสว่าที่ไหนเคยร้องขอข้อมูลอะไร มันก็จะลดผลกระทบจากการมีข้อมูลรั่วจากที่ๆเดียวจำนวนมาก เช่น ผู้ป่วย A มาโรงพยบาล B และเคยมีประวัติที่โรงพยยาบาล C โรงพยาบาล A ก็จะร้องขอไปยังโรงพยาบาล C โดยตรง และlog ไว้ที่ส่วนกลางว่าโรงพยาบาล A เคยขอโรงพยาบาล C นะ สุดท้ายส่วนกลางจะรู้แค่ว่าใครเคยขอใครที่ไหน โรงพยาบาล B ก็สบายใจว่าข้อมูลที่ส่งไปจากระบบนี้ก็จะไปสู่โรงพยาบาล C ได้ถูกต้อง และโรงพยาบาล C ก็สบายใจว่าได้รับข้อมูลมาถูกต้อง แฮกเกอร์ต่อให้เอาข้อมูลส่วนกลางไปได้ก็จะรู้แค่ว่าใครเคยขอข้อมูลจากใคร ก็จะทำให้แฮกเกอร์ต้องไปตามแฮกโรงพยาบาลซึ่งมันซับซ้อนกว่ารวมศูนย์
ดู CT log ของระบบ CA ที่ใช้เข้ารหัสเว็บทุกวันนี้เลยครับ เรื่องเดียวกัน transaction มหาศาล (บันทึกการออก cert ทุกใบ) ตรวจสอบได้จากสาธารณะ ยืนยันการบันทึกโดนหลาย party
ไม่ต้องใช้ blockchain
lewcpe.com, @wasonliw