Zure analisi guztiak publikoki eskuragarri daude

Kaixo berriro! Berriro aurkitu dut datu-base ireki bat zuretzat mediku datuekin. Gogorarazten dizut duela gutxi nire hiru artikulu izan zirela gai honi buruz: Pazienteen eta medikuen datu pertsonalen filtrazioa DOC+ lineako mediku zerbitzutik, “Doctor Nearby” zerbitzuaren ahultasuna и anbulantzia geltokietako datuen ihesa.

Oraingoan, laborategiko sareko informatika-sistema medikoko erregistroak dituen Elasticsearch zerbitzaria publikoki eskuragarri zegoen.Diagnostiko Molekularrako Zentroa"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Zerbitzaria apirilaren 1eko goizean aurkitu zuten eta ez zitzaidan batere dibertigarria iruditu. Arazoari buruzko jakinarazpena CMDra joan zen 10:15etan (Moskuko ordua) eta 00:XNUMXetan datu-basea eskuraezin bihurtu zen.

Shodan bilatzailearen arabera, zerbitzari hau 09.03.2019/XNUMX/XNUMXan jarri zen jendaurrean eskuragarri. Horri buruz Elasticsearch-ek datu-base irekiak nola detektatzen dituen, aparteko artikulu bat idatzi nuen.

Erregistroetatik informazio oso sentikorra lor liteke, besteak beste Izen-abizenak, sexua, pazienteen jaiotegunak, medikuen izen-abizenak, ikerketaren kostua, ikerketaren datuak, baheketa-emaitzak dituzten fitxategiak eta askoz gehiago.

Pazientearen proben emaitzekin erregistro baten adibidea:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Datu sentikor guztiak "X" batekin bete ditut. Egia esan, dena zabalik mantendu zen.

Erregistro horietatik erraza zen (Base64-tik bihurtuta) PNG fitxategiak lortzea pantailaren emaitzekin, jada irakurterraza moduan:

Erregistroen guztizko tamaina 400 MB baino gehiagokoa zen eta guztira milioi bat sarrera baino gehiago zituzten. Argi dago erregistro guztiek ez zutela pazientearen datu bakarrak adierazten.

CMDren erantzun ofiziala:

Eskerrak eman nahi dizugu 01.04.2019ko apirilaren XNUMXean Elasticsearch erroreen erregistroan eta biltegiratze datu-basean ahultasun bat egoteari buruzko informazioa berehala igortzeagatik.

Informazio horretan oinarrituta, gure langileek, dagokion espezialistarekin batera, zehaztutako datu-baserako sarbidea mugatu zuten. Datu-base teknikora isilpeko informazioa transferitzeko errorea konpondu da.

Gertaeraren analisian, jakin ahal izan zen zehaztutako datu-basea domeinu publikoan errore-erregistroak dituena agertzea giza faktorearekin lotutako arrazoi batengatik izan zela. Datuetarako sarbidea berehala itxi zen 01.04.2019/XNUMX/XNUMXan.

Momentu honetan, barneko eta kanpoko espezialistak neurriak hartzen ari dira datuen babeserako IT azpiegiturak ikuskatzeko.

Gure erakundeak datu pertsonalekin lan egiteko araudi berezia eta langileen erantzukizun-maila sistema bat garatu du.

Egungo software azpiegiturak Elasticsearch datu-base bat erabiltzen du akatsak gordetzeko. Sistema batzuen fidagarritasuna hobetzeko, dagozkion zerbitzariak gure bazkidearen datu zentrora migratuko dira, software eta hardware ingurune ziurtatu batera.

Eskerrik asko emandako informazio puntualagatik.

Informazio filtrazioei eta barrukoei buruzko albisteak beti aurki daitezke nire Telegram kanalean "Informazio ihesak'.

Iturria: www.habr.com