Koblet uautorisert maskin til sykehuset pasientsystem. Så forsvant han med maskinen ut av landet

[Redaksjonen.]

Koblet uautorisert maskin til sykehuset pasientsystem. Så forsvant han med maskinen ut av landet

[Gjest Slettet-8e9ZOJ]

"Informasjonssikkerhetsleder Christian Jacobsen hos Sykehuspartner sier at det ble gjort nødvendige tiltak etter den uønskede hendelsen." ? skal ikke tiltak gjøres så slikt ikke skjer? Hjelper fiiiiiiiiiint lite med etterpåklokskap når det kommer til slike hendelser. Er info på avveie, så er de det. Jeg kan å gjerne slette all data etter en jobb, eller ikke, men sier selvfølgelig at all data vil bli slettet. Etter noen år i teknikeryrket, så vet jeg at man ikke alltid gjør som man sier, men helelr sier det man egentlig skal gjøre i forhold til kunden. Gjøre kunden blid. Dårlig av sykehuspartner dette,, slett arbeid. Dette burde få kosekvenser. Jeg har aldri sluppet en ekstern leverandør uansett opphav inn på systemer jeg har ansvar for for, uten kontroll og oppfølgning, samt bruk av intern maskin og ikke medbrakt maskin? utrolig AMATØRMESSIG.

[Moskus]

"Informasjonssikkerhetsleder Christian Jacobsen hos Sykehuspartner sier at det ble gjort nødvendige tiltak etter den uønskede hendelsen." ? skal ikke tiltak gjøres så slikt ikke skjer? Hjelper fiiiiiiiiiint lite med etterpåklokskap når det kommer til slike hendelser.

Det er jo greit hvis de lærer av hendelsen slik at det ikke​ skjer en annen gang også...

[Gjest Slettet-Pqy3rC]

...samt bruk av intern maskin og ikke medbrakt maskin?

Jeg funderte også litt på det at eksernt utstyr kunne benyttes såpass enkelt.

 

Jeg kom frem til at den medbrakte maskinen sannsynligvis ble koblet til tekniskt utstyr som i sin tur hadde tilgang til nettverket. (Jeg håper ikke fremmed utstyr uten videre kunne kobles direkte til nettet deres.)

 

Slike "backdoor support"-løsninger er en økende utfordring. Bare noen få uker siden jeg hadde en runde med noen "kopimaskiner/printere" som var gitt litt vel mye tilgang. Leverandør/fabrikant kunne jo logge seg inn på disse i supportøyemed, og hadde jo dermed den tilgangen til det lokale nettet som maskinene var blitt gitt.

Endret 14. november 2016 av Slettet-Pqy3rC

[7GPH2UL7]

Forsikringsselskap kjøper slike opplysninger

[Johannes P]

De som tror dette er første gang en slik hendelse skjer er relativt naive.

Personnummer, pasientdata og kredittkortinformasjon florerer i det media omtaler som "deep web"

[Superprofessor X]

"men tredjepartsleverandør forsikrer oss om at dataene er slettet, så da velger vi å stole på det"

 

lol... ja vi får stole på at disse rutinene bare er til pynt.

[tovare]

Er ikke dette i overkant hysterisk å blåse opp til en sak?

 

Datatilsynet lukket tilsynelatende saken med bruk av litt sunn fornuft og forståelse av loven.

[mandela]

Det jeg egentlig lurer mest på er om noen hos Sykehuspartner spilte av denne videoen og lolla når feilen ble oppdaget:

 

Takk til Tiltman for "backdoor support"-løsning-kommentaren, tror at mange kan har godt av å bli påminnet om denne sårbarheten.

[Fri diskusjon og kunnskap]

"I etterkant av den opprinnelige avviksrapporten har vi mottatt en bekreftelse på at alle opplysninger på den omtalte datamaskinen har blitt slettet på en måte som man finner tilfredsstillende"

 

En bekreftelse fra noen som stakk til utlandet, og  ikke kom tilbake med utstyret selv om det antagelig ble beordret?

 

Beroligende?

[tovare]

"I etterkant av den opprinnelige avviksrapporten har vi mottatt en bekreftelse på at alle opplysninger på den omtalte datamaskinen har blitt slettet på en måte som man finner tilfredsstillende"

 

En bekreftelse fra noen som stakk til utlandet, og  ikke kom tilbake med utstyret selv om det antagelig ble beordret?

 

Beroligende?

 

Ja, siden personen ble flydd inn av leverandør, er det sannsynligvis en person som rutinemessig jobber med denne type data i flere land i EU, med tilsvarende strenge krav til beskyttelse av personvernet. Men, så har dette norske sykehuset litt egne rutiner kanskje en kultur for mistillit til egne leverandører som gjør at man blir litt usikker.

[Geir Amundsen]

Dette er grunnen til at i alle fall jeg holder meg unna e-journal.

[Zork]

Er ikke dette i overkant hysterisk å blåse opp til en sak?

Datatilsynet lukket tilsynelatende saken med bruk av litt sunn fornuft og forståelse av loven.

Jo, dette virker som en ikke-sak som er blåst opp kun for å konstruere en sak.

 

Mulig det er noen formelle regler som ikke er fulgt her, men noen praktiske konsekvenser høres det vel ikke ut som om dette har.

[digimator]

Dette er grunnen til at i alle fall jeg holder meg unna e-journal.

 

Korleis er dette relatert til e-journal?

[Aetius]

Dette er grunnen til at i alle fall jeg holder meg unna e-journal.

 

Hva er det du mener med "e-journal"? Meg bekjent er det ingen ting som heter det.

[Xantippe]

Var teknikeren utlending som aldri kom tilbake til Norge?

Er teknikeren avhørt?

Hvis han tok med seg pasientdata betyr dette også at han hadde et mål med dette; Salg av dataene til andre.

Får norske forsikringsselskaper tilgang til disse dataene, betyr det sannsynligvis høyere forsikringspremier for mange, og like sannsynlig umulig for mange å tegne sykeforsikring.

Pasientdata på avveie er svært skadelig.

Hendelsen burde fått konsekvenser for de ansvarlige for IT ved sykehuset.

Det er umulig å rette opp skaden i ettertid.

[Ano__Nym]

 

...samt bruk av intern maskin og ikke medbrakt maskin?

Jeg funderte også litt på det at eksernt utstyr kunne benyttes såpass enkelt.

 

Jeg kom frem til at den medbrakte maskinen sannsynligvis ble koblet til tekniskt utstyr som i sin tur hadde tilgang til nettverket. (Jeg håper ikke fremmed utstyr uten videre kunne kobles direkte til nettet deres.)

 

Slike "backdoor support"-løsninger er en økende utfordring. Bare noen få uker siden jeg hadde en runde med noen "kopimaskiner/printere" som var gitt litt vel mye tilgang. Leverandør/fabrikant kunne jo logge seg inn på disse i supportøyemed, og hadde jo dermed den tilgangen til det lokale nettet som maskinene var blitt gitt.

Slike maskiner trenger jo minimal tilgang tilbake i nettverket. Maks til en mappe på server for innscanning.