Ransomwarebende dreigt 3TB aan patiëntendata van Schotse NHS te lekken

Zowat de hele medische wereld draait op plain text data, zijnde HL7.
Dat is een standaard formaat dat wereldwijd wordt gebruikt voor zowat alles wat medisch is.
In zo 1 tekst record kan zowat alles staan gaande van de identiteit van de patient, de behandelende arts, telefoonnummers, adressen,het type onderzoek, het resultaat van dat onderzoek,...

Dat kan een bericht zijn als in "patient x is opgenomen op spoed", tot "er is een labo resultaat verwerkt van patient x, aangevraagd door dokter y, er is gecontroleerd op A, B, C, D en de resultaten van die parameters zijn 1, 2, 3 en 4"

MSH|^~\&|MESA_RPT_MGR|EAST_RADIOLOGY|iFW|XYZ|||ORU^R01|MESA3b|P|2.4||||||||
PID|||CR3^^^ADT1||CRTHREE^PAUL|||||||||||||PatientAcct||||||||||||
PV1||1|CE||||12345^SMITH^BARON^H|||||||||||
OBR|||||||20010501141500.0000||||||||||||||||||F||||||||||||||||||
OBX|1|HD|SR Instance UID||1.113654.1.2001.30.2.1||||||F||||||
OBX|2|TX|SR Text||Radiology Report History Cough Findings PA evaluation of the chest demonstrates the lungs to be expanded and clear. Conclusions Normal PA chest x-ray.||||||F||||||
CTI|study1|^1|^10_EP1

Daarmee worden de duizenden en duizenden verschillende toestellen en applicaties aan elkaar gekoppeld.
Die data bestaat dus gewoon uit lange text strings, "pipe separated". Het medium waar het overheen gaat kan wel geencrypteerd zijn, de data zelf niet.

Het is net zo simpel gehouden omdat je met erg veel low level devices zit, en niet voor elke toepassing (wij hebben er een paar honderd verschillende verspreid over alle mogelijke disciplines en afdelingen) een complex integratietraject wil.

Toestellen zenden HL7 richting een Mirth server (of andere broker), de broker stuurt dit verder naar een applicatieserver, of naar andere ziekenhuizen, andere EPDs,...

Hetzelfde zie je met zaken als DICOM, een standaard die in de gehele medisceh werlde wordt gebruikt voor PACS beelden. Heel simpel gezegd een beetje een mengeling van HL7, SMB en JPG. Als je dat verkeer onderschept ka nej erpefct izen wie de patient ism welk deel van het lichaam op de foto/video staat,... Dat zien we bijvoorbeeld perfect in onze Armis, die hele port mirrors neemt. Die kan zeggen wanneer, welke scanner welk deel van het lichaam gescand heeft.

voor zowel DICOM als HL7 heb je wel mogelijkheden tot encryptie, maar dat wordt dan in de meeste gevallen weer niet ondersteund door de (vaak) low level toestellen die het doorsturen. Dat kan gaan van draagbare bloedgasmeters, tot SpotCheck monitors, telemetrietoestellen,.... Toestellen die vaak zo simpel mogelijk gehouden worden, dus ook de manier van transmissie van de data.

Op netwerkvlak los je dat op door microsegmentatie waardoor het (in theorie) niet makkelijk onderschept kan worden. Ergens komt dat natuurlijk wel samen op iets als een Mirth server of andere brokers. Als die gecomprommiteerd worden heb je natuurlijk een probleem (zoals de NHS)

[Reactie gewijzigd door DinX op 29 maart 2024 09:12]