স্বাস্থ্যসেবা বিপর্যয়: ডেটা লঙ্ঘন কয়েক ডজন হাসপাতাল এবং ক্লিনিককে আঘাত করেছে

এইচসিএ হেলথকেয়ার, ফ্লোরিডা এবং অন্যান্য 19 টি রাজ্যে বিস্তৃত উপস্থিতি সহ একটি বিশিষ্ট স্বাস্থ্যসেবা সরবরাহকারী, সম্প্রতি একটি গুরুতর ডেটা লঙ্ঘনের শিকার হয়েছে যা সম্ভবত 11 মিলিয়ন লোককে প্রভাবিত করে। একটি অনলাইন ফোরামে রোগীর ব্যক্তিগত তথ্য প্রকাশিত হওয়ার পরে অস্বস্তিকর ঘটনাটি প্রকাশ্যে আসে।

বিশেষত, লঙ্ঘন করা ডেটাসেটে সংবেদনশীল ব্যক্তিগতভাবে সনাক্তকরণ তথ্য (পিআইআই) অন্তর্ভুক্ত ছিল, যার মধ্যে রয়েছে:

• রোগীদের নাম, শহর, রাজ্য ও জিপ কোড
• যোগাযোগের বিশদ যেমন টেলিফোন নম্বর এবং ইমেল ঠিকানা, লিঙ্গ এবং জন্ম তারিখ সহ
• নির্দিষ্ট পরিষেবার তারিখ, অবস্থান ও আসন্ন অ্যাপয়েন্টমেন্টের তারিখগুলি

এইচসিএর বিবৃতি অনুসারে, হুমকিদাতারা "বাহ্যিক স্টোরেজ অবস্থান" থেকে 27 মিলিয়ন সারি ডেটা চুরি করেছে তবে এটি এইচসিএর নেটওয়ার্ক বা সিস্টেমে "কোনও দূষিত কার্যকলাপ" সনাক্ত করতে পারেনি।

আইবিএম সিকিউরিটির ২০২৩ সালের কস্ট অব এ ডেটা ব্রিচ রিপোর্ট অনুসারে, স্বাস্থ্যসেবা ডেটা লঙ্ঘনের গড় ব্যয় ১১ মিলিয়ন ডলারে উন্নীত হওয়ার সাথে সাথে এটি স্বাস্থ্যসেবা শিল্পে শক্তিশালী সাইবারসিকিউরিটি অনুশীলনের ক্রমবর্ধমান গুরুত্বের একটি স্পষ্ট অনুস্মারক হিসাবে কাজ করে।

পনেমন ইনস্টিটিউট এবং ভেরিজন ডেটা ব্রিচ ইনভেস্টিগেশনস রিপোর্টস দ্বারা ধারাবাহিকভাবে রিপোর্ট করা হিসাবে স্বাস্থ্য শিল্প অন্যান্য সমস্ত খাতের তুলনায় উচ্চতর সংখ্যক ডেটা লঙ্ঘনের মুখোমুখি হয়।

কেন এই ঘটনাগুলো ঘটছে?

এই উদাহরণে, একটি "বাহ্যিক স্টোরেজ অবস্থান" এর অননুমোদিত অ্যাক্সেস বিশাল ডেটা চুরিকে সহজতর করেছিল। ঐতিহ্যগতভাবে, স্টোরেজ অবস্থানগুলি অভ্যন্তরীণ দ্বারা কঠোরভাবে সুরক্ষিত থাকবে Data Loss Prevention নিয়ন্ত্রণ বা ডাটাবেস কার্যকলাপ পর্যবেক্ষণ প্রযুক্তি অভ্যন্তরীণ অবকাঠামোর ভিতরে সমাহিত।

দুর্ভাগ্যক্রমে, তবে, আধুনিক দিনের ব্যবসা এবং আইটি অপারেশনগুলির বাস্তবতা সেই সঞ্চিত ডেটার সাথে ইন্টারফেস করার জন্য বিভিন্ন ধরণের ব্যবহারকারী, ডিভাইস, অবস্থান, প্রসঙ্গ এবং ব্যবসায়িক উদ্দেশ্যে জড়িত। এই ভেরিয়েবলগুলি কীভাবে ডেটা সুরক্ষিত করা দরকার তার জন্য অনন্য চ্যালেঞ্জ উপস্থাপন করে; বিশেষ করে ঐতিহ্যগত নেটওয়ার্ক পরিধি বাইরে "বহিরাগত স্টোরেজ অবস্থান" অ্যাক্সেস করার ক্ষেত্রে।

স্বাস্থ্যসেবা ব্যবস্থার আন্তঃসংযুক্ত প্রকৃতির পরিপ্রেক্ষিতে, একটি একক লক্ষ্যের আপস সুদূরপ্রসারী প্রভাব ফেলতে পারে।

সেন্টার ফর ইন্টারনেট সিকিউরিটি (সিআইএস) এর মতে, "ব্যক্তিগত স্বাস্থ্য তথ্য (পিএইচআই) কালো বাজারে ক্রেডিট কার্ডের প্রমাণপত্রাদি বা নিয়মিত ব্যক্তিগতভাবে সনাক্তযোগ্য তথ্য (পিআইআই) এর চেয়ে বেশি মূল্যবান। অতএব, সাইবার অপরাধীদের মেডিকেল ডাটাবেসগুলিকে লক্ষ্যবস্তু করার জন্য একটি উচ্চ উত্সাহ রয়েছে।

ক্রমাগত একটি গুরুতর হুমকি হিসাবে উঠে আসা, সাইবার আক্রমণগুলি সংস্থাগুলির জন্য উল্লেখযোগ্য ঝুঁকি তৈরি করে, ব্যবসায়ের ক্রিয়াকলাপ, বৌদ্ধিক সম্পত্তি, সংবেদনশীল ডেটা এবং খ্যাতির সম্ভাব্য ক্ষতিকে অন্তর্ভুক্ত করে। তবে, স্বাস্থ্যসেবা ক্ষেত্রে, ঝুঁকিগুলি আরও বেশি উত্থাপিত হয়। ডেটা ক্ষতি জীবন-হুমকির পরিণতি হতে পারে, যখন রোগীর রেকর্ড চুরি ক্ষতিগ্রস্থ ব্যক্তিদের উপর স্থায়ী প্রভাব সহ গোপনীয়তার লঙ্ঘন গঠন করে।

স্বাস্থ্যসেবা খাত, বিশেষত, বেশ কয়েকটি সাইবার নিরাপত্তা চ্যালেঞ্জের সাথে লড়াই করছে:

• নিরাপদ ডিজিটাল অবকাঠামোতে অপর্যাপ্ত বিনিয়োগ
• অপর্যাপ্ত প্রশিক্ষণ
• পুরানো এবং ঝুঁকিপূর্ণ অবকাঠামো
• সাবপার সাইবার সিকিউরিটি প্র্যাকটিস
• মাল্টি-এজেন্সি নির্ভরতা থেকে উদ্ভূত জটিলতা
• সাইবার নিরাপত্তা বাস্তবায়নের সাথে যুক্ত উচ্চ ব্যয়
• কর্মীদের মধ্যে সাইবার সাক্ষরতার অভাব

এই সমস্যাগুলির জমে থাকা অসংখ্য দুর্বলতা এবং অপর্যাপ্তভাবে সুরক্ষিত এন্ট্রি পয়েন্ট তৈরি করে যা হুমকি অভিনেতাদের দ্বারা শোষণের জন্য পরিপক্ক। যখন এই দুর্বলতাগুলি অত্যন্ত সংবেদনশীল এবং মূল্যবান ডেটা সুরক্ষার জন্য নির্ভর করা হয়, তখন সম্ভাব্য পরিণতিগুলি অপরিসীম হয়ে ওঠে, যার ফলে ব্যাপক ক্ষতি হয়।

কি করা যায়?

দুর্ভাগ্যক্রমে, এই ডেটা লঙ্ঘনগুলি গড় ব্যক্তির নিয়ন্ত্রণের বাইরে। স্বাস্থ্যসেবা সরবরাহকারীরা সাধারণত আপনার চিকিত্সার জন্য আপনার কাছ থেকে সংগ্রহ করা তথ্য ব্যবহার করেন, তাই আপনি হাসপাতাল এবং স্বাস্থ্যসেবা সরবরাহকারীদের কাছ থেকে নির্দিষ্ট বিবরণ আটকাতে পারবেন না।

আন্তঃসংযুক্ত নেটওয়ার্কগুলির আধুনিক যুগে - যেমন হাসপাতাল এবং স্বাস্থ্যসেবা সরবরাহকারীদের দ্বারা ব্যবহৃত- সংস্থাগুলি প্রায়শই তাদের ডেটা সংরক্ষণ এবং পরিচালনা করতে তৃতীয় পক্ষের ডেটা সেন্টার, আউটসোর্সড ডেটা গুদামজাতকরণ সমাধান বা ক্লাউড স্টোরেজ সরবরাহকারীদের মতো বাহ্যিক স্টোরেজ অবস্থানের উপর নির্ভর করে। যদিও এই বাহ্যিক স্টোরেজ সমাধানগুলি সুবিধা, স্কেলেবিলিটি এবং ব্যয়-কার্যকারিতা সরবরাহ করে, তারা উল্লেখযোগ্য সুরক্ষা ঝুঁকিও প্রবর্তন করে। এখানেই এর ধারণা Zero Trust Network Access (জেডটিএনএ) খেলায় আসে।

জেডটিএনএ প্রতিটি অনুরোধকে (উদাহরণস্বরূপ: বাহ্যিক স্টোরেজ অবস্থানে অ্যাক্সেসের অনুরোধ) সম্ভাব্য দূষিত হিসাবে বিবেচনা করে এবং প্রক্রিয়াটির প্রতিটি পদক্ষেপে যাচাইকরণ এবং অনুমোদনের প্রয়োজন হয়। নিম্নলিখিত কারণগুলির জন্য বাহ্যিক স্টোরেজ অবস্থানগুলির সাথে কাজ করার সময় এটি বিশেষত গুরুত্বপূর্ণ:

• ডেটা এক্সপোজার এবং লিকেজ: বাহ্যিক স্টোরেজ অবস্থানগুলি, বিশেষত ক্লাউড স্টোরেজ পরিষেবাদিগুলি কোনও পরিষেবা সরবরাহকারীর কর্মচারী এবং অন্যান্য ব্যবহারকারী সহ অসংখ্য পক্ষের দ্বারা অ্যাক্সেস করা যেতে পারে। যথাযথ সুরক্ষা ব্যবস্থা ছাড়া, সংবেদনশীল তথ্য অননুমোদিত ব্যক্তিদের দ্বারা অজান্তেই উন্মোচিত, ফাঁস বা অ্যাক্সেস করা হতে পারে।
• ক্রেডেনশিয়াল আপস: যদি কোনও আক্রমণকারী ফিশিং, সোশ্যাল ইঞ্জিনিয়ারিং বা অন্যান্য উপায়ে বৈধ শংসাপত্রগুলিতে অ্যাক্সেস অর্জন করে তবে তারা বাহ্যিক স্টোরেজ অবস্থান এবং এর মধ্যে থাকা ডেটা অ্যাক্সেস করতে এই শংসাপত্রগুলি কাজে লাগাতে পারে। জেডটিএনএ অতিরিক্ত প্রমাণীকরণের কারণগুলির প্রয়োজন এবং অনুরোধকারী পক্ষের বিশ্বাসের স্তরের ক্রমাগত পুনর্মূল্যায়ন করে আপোসযুক্ত শংসাপত্রগুলির প্রভাবকে হ্রাস করে।
• অভ্যন্তরীণ হুমকি: প্রতিষ্ঠানগুলো তাদের কর্মীদের ওপর আস্থা রাখলেও অভ্যন্তরীণ হুমকির সম্ভাবনা রয়ে গেছে। বাহ্যিক স্টোরেজ অবস্থানগুলিতে বৈধ অ্যাক্সেস সহ কর্মচারীরা তাদের বিশেষাধিকারের অপব্যবহার করতে পারে বা শংসাপত্র চুরির শিকার হতে পারে, যার ফলে সম্ভাব্য ডেটা লঙ্ঘন হতে পারে। জেডটিএনএ ক্রমাগত ব্যবহারকারীর ভঙ্গি, প্রসঙ্গ এবং আচরণের মূল্যায়ন করে এই ঝুঁকি হ্রাস করে।
• পার্শ্বীয় আন্দোলন: যদি কোনও আক্রমণকারী সফলভাবে কোনও সংস্থার নেটওয়ার্কে অনুপ্রবেশ করে তবে তারা পার্শ্বীয়ভাবে সরানোর চেষ্টা করতে পারে এবং স্টোরেজ অবস্থানগুলিতে অ্যাক্সেস পেতে পারে - হয় অভ্যন্তরীণভাবে বা বাহ্যিকভাবে সংযুক্ত। জেডটিএনএ পার্শ্বীয় চলাচলের সুযোগকে সীমাবদ্ধ করে, আক্রমণের পৃষ্ঠকে হ্রাস করে এবং সম্ভাব্য ক্ষতি সীমাবদ্ধ করে।
• ইন্টিগ্রেটেড ডেটা সুরক্ষা: এম্বেডেড Data Loss Prevention (ডিএলপি) ক্ষমতাগুলি অননুমোদিত ব্যবহারকারীদের কোনও অবস্থান বা ডিভাইস থেকে সংবেদনশীল ডেটা আপলোড, ডাউনলোড এবং এমনকি দেখতে বাধা দেয়। ক্রমাগত ডিভাইস ভঙ্গি মূল্যায়নের ভিত্তিতে অভিযোজিত অ্যাক্সেস নিয়ন্ত্রণগুলি প্রয়োগ করা যেতে পারে।

যখন কোনও মূল্যবান ডেটা সুরক্ষার কথা আসে - অনেক কম সংবেদনশীল, ব্যক্তিগত স্বাস্থ্য রেকর্ড - কীভাবে এবং কোথায় ডেটা সংরক্ষণ করা হচ্ছে, অ্যাক্সেস করা হচ্ছে এবং ব্যবহার করা হচ্ছে এবং কার বা কোন সম্পদ দ্বারা শক্তিশালী ফোকাস প্রয়োগ করা দরকার।

সংস্থাগুলি ইতিমধ্যে ফাঁস হওয়া ডেটার জন্য পূর্ববর্তীভাবে "হুমকি শিকার" করতে পারে না। এমন কোনও পণ্য বা সরঞ্জাম নেই যা আপনার ইতিমধ্যে ফাঁস হওয়া ডেটা খুঁজে পেতে পারে, সময়ের হাত ফিরিয়ে দিতে পারে এবং আবার সবকিছু একত্রিত করতে পারে! এ কারণেই ডেটা সুরক্ষা ডেটা আবিষ্কার, সনাক্তকরণ, শ্রেণিবদ্ধকরণ এবং সুরক্ষার একটি সক্রিয় শাসনের উপর নির্ভর করে যাতে লঙ্ঘনগুলি প্রথম স্থানে ঘটতে না পারে।

শ্রেণিবদ্ধকরণ ফাইল এবং সামগ্রীতে সামগ্রীর আঙুলের ছাপ বা ট্যাগ / সংজ্ঞা প্রয়োগ করে সংবেদনশীল সামগ্রী সনাক্ত এবং ট্র্যাক করে। কিছু সংস্থার বিদ্যমান ডেটা শ্রেণিবদ্ধকরণ যেমন টাইটাস, বোল্ডন জেমস বা মাইক্রোসফ্টের আজুর তথ্য সুরক্ষা (এআইপি) থাকতে পারে। কিছু ডিএলপি সমাধান সামগ্রিক প্রক্রিয়াটি দ্রুত ট্র্যাক করার জন্য বিদ্যমান শ্রেণিবিন্যাসের সাথে সংহত এবং লিভারেজ উভয়ই করার ক্ষমতা সরবরাহ করে।

আপনার সুরক্ষা অনুশীলনগুলিতে ডেটা শ্রেণিবদ্ধকরণকে সংহত করার কয়েকটি উপায় রয়েছে, যার মধ্যে রয়েছে (তবে সীমাবদ্ধ নয়):

• কনটেন্ট ফিঙ্গারপ্রিন্টিং: সংবেদনশীল বা গোপনীয় তথ্যকে তার চারপাশে সম্মতি নীতি তৈরি করে সংস্থা ছেড়ে যাওয়া থেকে বিরত রাখতে আপনার ডেটার ঘূর্ণায়মান হ্যাশের সূচী তৈরি করুন।
• ফাইল / ডেটা বৈশিষ্ট্য: কীওয়ার্ড এবং অভিধান, ফাইল মেটাডেটা বা ফাইল / নথির মধ্যে থাকা সামগ্রীর উপর ভিত্তি করে ফাইলগুলি শ্রেণিবদ্ধ করার ক্ষমতা সরবরাহ করে।
• অপটিক্যাল ক্যারেক্টার রিকগনিশন (OCR): ট্যাক্স কাগজপত্র, পাসপোর্ট, ক্রেডিট কার্ডের তথ্য বা ব্যক্তিগতভাবে সনাক্তকরণযোগ্য ডেটা যা চিত্র হিসাবে আপলোড বা ভাগ করা যেতে পারে তার বিরুদ্ধে ডিএলপি সুরক্ষা বাড়ায়।
• ইনডেক্স ডকুমেন্ট ম্যাচিং (IDM): আপনাকে ওয়ার্ড, পিডিএফ, পাওয়ারপয়েন্ট বা সিএডি ডকুমেন্টের মতো নথিতে সংবেদনশীল কর্পোরেট ডেটার সামগ্রীর আঙুলের ছাপ দেয়, সংবেদনশীল ডেটার সনাক্তকরণ নির্ভুলতা উন্নত করে যা অন্যথায় খুঁজে পাওয়া কঠিন হবে।
• সঠিক ডেটা ম্যাচিং (ইডিএম): স্ট্রাকচার্ড সংবেদনশীল ডেটার ফিঙ্গারপ্রিন্টিং সম্পাদন করে, যা PII এবং স্প্রেডশিট বা CSV-এর মতো স্ট্রাকচার্ড ডেটা ফাইলে সঞ্চিত অন্যান্য গোপনীয় ডেটা সনাক্ত করতে ডিজাইন করা হয়েছে, খুব উচ্চ সনাক্তকরণ নির্ভুলতা এবং কম মিথ্যা ইতিবাচক হারের সাথে।

বিশেষ করে ইডিএমের ক্ষেত্রে, Skyhigh Security এটি আঙুলের ছাপ স্থাপন করতে ব্যবহার করে - 6 বিলিয়ন কোষ পর্যন্ত - যা একটি সারি এবং কলাম ফর্ম্যাটে সংবেদনশীল ব্যবহারকারী ডাটাবেস রেকর্ডগুলি রক্ষা করে (সাধারণত সিএসভি ফর্ম্যাটে একটি ডাটাবেস থেকে বের করা), সেই ডেটার কাঠামোগত সূচক তৈরি করে এবং সংবেদনশীল তথ্য সংস্থাটি ছেড়ে যাওয়া থেকে রোধ করতে ডিএলপি নীতি ব্যবহার করে।

এই ক্ষেত্রে, রোগীর মেডিকেল রেকর্ড (এবং আরও সামগ্রিকভাবে, কর্মচারী এবং / অথবা গ্রাহক রেকর্ড ইত্যাদি) বড় এবং সংবেদনশীল তথ্য গোষ্ঠীগুলির সাধারণ উদাহরণ যা সুরক্ষা প্রয়োজন। যদিও আপনি নিদর্শন এবং অভিধানের পদগুলি মিলিয়ে এই জাতীয় রেকর্ডগুলি সুরক্ষিত করতে পারেন, তবে ডেটা ম্যাচিংয়ের এই পদ্ধতিগুলির জন্য জটিল শর্ত এবং নিয়ম যুক্তি প্রয়োজন, যা মিথ্যা মিলের প্রবণ।

নাম, জন্ম তারিখ, অনন্য রোগী সনাক্তকারী এবং টেলিফোন নম্বরের মতো সংবেদনশীল রেকর্ডের পৃথক ক্ষেত্রগুলি মেলানো দরকারী নাও হতে পারে এবং সহজেই একটি মিথ্যা মিল হতে পারে। তবে একই পাঠ্যের (যেমন একটি ইমেল বা একটি নথি) মধ্যে একই সংবেদনশীল রেকর্ডের দুই বা ততোধিক ক্ষেত্র (উদাহরণস্বরূপ, নাম এবং সামাজিক সুরক্ষা নম্বর উভয়ই) মেলানো ইঙ্গিত দেয় যে অর্থপূর্ণ সম্পর্কিত তথ্য উপস্থিত রয়েছে। ইডিএম (বর্ধিত) আঙুলের ছাপগুলি মূল ব্যবহারকারীর রেকর্ডের বিরুদ্ধে একটি রেকর্ড (লাইন বা সারি) এর একটি নির্দিষ্ট সান্নিধ্যের মধ্যে সংজ্ঞায়িত কলামগুলিতে প্রকৃত শব্দগুলির সাথে মেলে, যা মিথ্যা মিল রোধ করে।

মৌলিকভাবে, এগুলি একটি এন্টারপ্রাইজ-গ্রেড ডিএলপি সমাধান এবং শাসনের মধ্যে অন্তর্ভুক্ত ন্যূনতম ক্ষমতা হওয়া উচিত।

বিদ্যমান গ্রাহকদের জন্য, Skyhigh Securityএর ইউনিফাইড ডেটা সুরক্ষা সংবেদনশীল তথ্যের একটি ভিজ্যুয়াল উপস্থাপনা সরবরাহ করে যা দেখায় যে এটি কোথায় বিতরণ করা হয়েছে, কীভাবে এটি ব্যবহার করা হচ্ছে এবং কোথায় এটি সমস্ত ক্লাউড অ্যাপ্লিকেশন, ওয়েব, ব্যক্তিগত অ্যাপ্লিকেশন, ইমেল এবং এন্ডপয়েন্টগুলিতে বহিষ্কার করা হয়েছে, ডেটা সম্মতির ঝুঁকিগুলি হাইলাইট করে। Skyhigh Security ডেটা সুরক্ষা নীতিগুলিতে শ্রেণিবদ্ধকরণ প্রয়োগ করে ডেটা ক্ষতির বিরুদ্ধে সুরক্ষা দেয় যা ক্রিয়াগুলি ট্রিগার করে, সংবেদনশীল ডেটা সনাক্ত করা হলে ঘটনাগুলি উত্পন্ন করে।

স্থানীয়ভাবে, Skyhigh Securityএর Cloud Access Security Broker (সিএএসবি) প্ল্যাটফর্ম অস্ট্রেলিয়ান মেডিকেয়ার নম্বর, ডিইএ রেজিস্ট্রেশন নম্বর, জাতীয় ড্রাগ কোড (এনডিসি), জাতীয় সরবরাহকারী সনাক্তকরণ (এনপিআই), ইউকে ন্যাশনাল হেলথ সার্ভিস (এনএইচএস) নম্বর এবং আরও অনেক কিছু সহ স্বাস্থ্যসেবা ডেটা সনাক্তকারীদের জন্য অন্তর্নির্মিত সংজ্ঞা, বৈধতা এবং কীওয়ার্ড তথ্য সমর্থন করে।

বাস্তবতা হ'ল, আপনার ডেটা ক্রমাগত আবিষ্কার, সংজ্ঞা, শ্রেণিবদ্ধকরণ এবং সুরক্ষিত করা কোনও সহজ "সেট এবং ভুলে যাওয়া" কাজ নয়, বা পুঙ্খানুপুঙ্খভাবে এবং সঠিকভাবে করা হলে এটি কোনও সুপারফাস্ট অনুশীলন নয়।

ডেটা শ্রেণিবদ্ধকরণ ডেটা সুরক্ষা এবং ডেটা গোপনীয়তার অন্যতম মূল কারণ। অতএব, ডেটা আবিষ্কার, সংজ্ঞা এবং শ্রেণিবদ্ধকরণের জন্য সাধারণ অনুশীলনগুলির একটি শক্তিশালী ভিত্তি স্থাপনের মাধ্যমে, সংস্থাগুলি যেখানেই থাকুক না কেন সম্ভাব্য ফুটো চ্যানেলগুলিতে আরও বিস্তৃত এবং যথেষ্ট ডেটা সুরক্ষা প্রয়োগ করতে পারে।