Barcha tahlillaringiz hamma uchun ochiq

Yana bir bor salom! Men yana siz uchun tibbiy ma'lumotlarga ega ochiq ma'lumotlar bazasini topdim. Eslatib o'taman, yaqinda ushbu mavzu bo'yicha uchta maqolam bor edi: DOC+ onlayn tibbiy xizmatidan bemorlar va shifokorlarning shaxsiy ma'lumotlarining sizib chiqishi, "Yaqindagi shifokor" xizmatining zaifligi и tez yordam stantsiyalaridan ma'lumotlarning sizib chiqishi.

Bu safar laboratoriya tarmog'ining tibbiy IT tizimi jurnallari bilan Elasticsearch serveri ommaga taqdim etildi.Molekulyar diagnostika markazi"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Server 1 aprel kuni ertalab topildi va bu menga umuman kulgili tuyulmadi. Muammo haqida xabar CMDga taxminan soat 10 da (Moskva vaqti bilan) keldi va taxminan 15:00 da ma'lumotlar bazasiga kirish imkoni bo'lmadi.

Shodan qidiruv tizimi ma'lumotlariga ko'ra, ushbu server birinchi marta 09.03.2019/XNUMX/XNUMX da ommaga taqdim etilgan. Bu haqida Elasticsearch ochiq ma'lumotlar bazalarini qanday aniqlaydi, Men alohida maqola yozdim.

Jurnallardan, jumladan, juda nozik ma'lumotlarni olish mumkin edi Bemorlarning to'liq ismi, jinsi, tug'ilgan sanalari, shifokorlarning to'liq ismlari, tadqiqot narxi, tadqiqot ma'lumotlari, skrining natijalari bilan fayllar va boshqalar.

Bemor test natijalari bilan jurnalga misol:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Men barcha nozik ma'lumotlarni "X" bilan to'ldirdim. Aslida, hamma narsa ochiq edi.

Bunday jurnallardan (Base64-dan konvertatsiya qilish orqali) skrining natijalari bilan PNG fayllarni o'qish oson ko'rinishda olish oson edi:

Jurnallarning umumiy hajmi 400 MB dan oshdi va jami ular milliondan ortiq yozuvlarni o'z ichiga olgan. Har bir yozuv bemorning noyob ma'lumotlarini aks ettirmasligi aniq.

CMDdan rasmiy javob:

01.04.2019-yil XNUMX-aprelda Elasticsearch xatolar jurnali va saqlash maʼlumotlar bazasida zaiflik mavjudligi haqida maʼlumotni zudlik bilan uzatganingiz uchun sizga minnatdorchilik bildiramiz.

Ushbu ma'lumotlarga asoslanib, xodimlarimiz tegishli mutaxassislar bilan birgalikda ko'rsatilgan ma'lumotlar bazasiga kirishni chekladilar. Maxfiy ma'lumotlarni texnik ma'lumotlar bazasiga o'tkazishdagi xatolik tuzatildi.

Hodisani tahlil qilish jarayonida xato jurnallari bilan ko'rsatilgan ma'lumotlar bazasining jamoat mulkida paydo bo'lishi inson omili bilan bog'liq sabab bilan bog'liqligini aniqlash mumkin edi. Maʼlumotlarga kirish 01.04.2019 da zudlik bilan yopildi.

Ayni paytda ichki va tashqi mutaxassislar maʼlumotlarni himoya qilish boʻyicha AT infratuzilmasini qoʻshimcha tekshirish choralarini koʻrmoqda.

Bizning tashkilotimiz shaxsiy ma'lumotlar bilan ishlash bo'yicha maxsus qoidalar va xodimlarning javobgarlik darajasi tizimini ishlab chiqdi.

Joriy dasturiy ta'minot infratuzilmasi xatolarni saqlash uchun Elasticsearch ma'lumotlar bazasidan foydalanadi. Ba'zi tizimlarning ishonchliligini oshirish uchun tegishli serverlar hamkorimizning ma'lumotlar markaziga, sertifikatlangan dasturiy ta'minot va apparat muhitiga ko'chiriladi.

O'z vaqtida taqdim etilgan ma'lumot uchun rahmat.

Ma'lumotlarning sizib chiqishi va insayderlar haqidagi yangiliklarni har doim mening Telegram kanalimda topishingiz mumkin "Ma'lumotlarning tarqalishi".

Manba: www.habr.com