2018年SingHealth数据泄露事件

**2018 年 SingHealth 數據泄露事件**是發生在新加坡的，由身份不明的攻擊者造成的數據泄露事件。2018 年 6 月 27 日至 7 月 4 日期間，約有 150 萬份新加坡保健服務集團的患者個人資料、16 萬名患者的門診配藥記錄遭到泄露。 攻擊者訪問並複製了自 2015 年 5 月 1 日起至 2018 年 7 月 4 日所有前往專科、綜合醫療機構就診的患者個人信息，其中包括姓名、 新加坡國民身份證號、家庭住址、出生日期、種族和性別。 患者的診斷信息、檢查結果和醫囑等信息沒有遭到泄露。 亞洲新聞頻道報導稱，攻擊者的目標是李顯龍總理的信息。

## 發現

2018 年 7 月 4 日，新加坡公共衛生服務的信息技術提供商 —— 綜合衛生信息系統（IHIS）的資料庫管理員在 SingHealth 某一個 IT 資料庫發現了異常活動，管理員隨即針對可能的入侵活動採取預防措施，加強了對網絡流量的監控，4 日後仍不斷有更多異常操作被發現，但並沒有導致數據泄露。

管理員認定資料庫遭到攻擊，通知了 IHIS 並於 7 月 10 日通知新加坡網絡安全局進行法律取證調查。安全局調查發現罪犯通過攻陷一台前端工作站來獲取整個網絡系統的訪問權限和資料庫登錄信息，犯罪過程中還掩蓋了其數字腳印。

7 月 20 日，新加坡通訊及新聞部與新加坡衛生部發布聲明，向公眾公開此次攻擊的信息。攻擊被發現到公開信息的十天中，新加坡有關部門對 IT 系統進行了全面加固、對攻擊進行了初步調查、統計遭受影響的患者名單並為信息公開做了一些準備。聲明後，個人數據遭竊的患者陸續收到通知簡訊。

## 調查

在議會發言時，新加坡通信和信息部長易華仁稱此次泄露的攻擊者與某些地區有複雜的關係，這種關係幫助他們編寫了能夠繞過 SingHealth 防病毒安全套件的極具針對性的惡意程序。出於國家安全的考慮，會上伊斯瓦蘭沒有指明他所說的地區。

2018 年 7 月 24 日，新加坡政府組建調查委員會調查襲擊的原因，並研究預防此類網絡襲擊的措施。 委員會由前地區首席法官理察・馬格納斯（Richard Magnus）擔任主席， Quann World 執行長李福新（Lee Fook Sun）、Sheares Healthcare Management 集團營運長 T.K. Udairam 和新加坡全國職工總會助理秘書長詹惠鳳（Cham Hui Fong）組成。 委員會呼籲總檢察長辦公室提供證據，總檢察長辦公室任命網絡安全局在刑事調查部的支持下開展調查工作。

8 月 28 日，委員會舉行了閉門和公開聽證會，9 月 21 日至 10 月 5 日舉行了另一部分聽證會。此外，個人數據保護委員會針對可能違反《個人數據保護法》的情況進行了一些調查，確定了這方面後續應當採取的行動。

## 調查委員會聽證會

事後召開的一系列聽證會於 2018 年 11 月 14 日結束，最後陳述於 2018 年 11 月 30 日舉行。 2018 年 12 月 31 日，委員會向易華仁提交調查報告。

2019 年 1 月 10 日，委員會公開發布調查報告。

## 公開發布版本的調查報告

2019 年 1 月 10 日，調查委員會發布了 SingHealth 事件的調查報告。報告指出 SingHealth 的員工沒有受到充分的網絡安全培訓，因此無法阻止攻擊。關鍵員工在網絡攻擊發起時由於畏懼沒有立即採取阻止襲擊的行動。更糟糕的是，攻擊者的技術高明，而系統漏洞沒有儘快修復。因此，攻擊者很容易闖入。該報告指出，如果工作人員接受了充分的培訓，並迅速修復漏洞，這次攻擊本可以避免。報告還認為此次襲擊來自於某個高級持續威脅組織。

在同一份報告中，調查委員會提出了促進網絡安全的 16 項建議，分為優先建議和附加建議。它們是:

* 優先：
  * iHiS 和公共衛生機構應加強其安全設施建設；
  * 審查線上服務安全程序來對防禦和應對網絡攻擊的能力進行評估；
  * 提高員工防範網絡攻擊的意識；
  * 特別是針對關鍵信息基礎設施 (CII) 系統，開展更高強度的安全檢查；
  * 對擁有特權的管理員帳戶進行更嚴格的控制與監控；
  * 改進事件響應過程；
  * 打造行業與政府的合作夥伴關係，實現更安全的政府網絡服務；
* 附加：
  * 必須認真對待及定期進行資訊科技安保風險評估及審核；
  * 必須加強對電子醫療記錄保密性的保障措施；
  * 提高域安全性；
  * 採用更健壯的補丁管理流程；
  * 實施以網絡安全為重點的軟體升級政策；
  * 使用 Internet 訪問策略控制外部網絡暴露；
  * 明確網絡安全事件應對指導方針
  * 提高計算機安全事件響應人員的能力
  * 考慮對該網絡進行入侵後的獨立取證審查

2019 年 1 月 15 日，易華仁在國會宣布政府將接受委員會的調查報告，並完全採納報告中提出的建議。此次事件還加速了針對提高關鍵信息基礎設施安全性的網絡安全法的通過。 新加坡衛生部部長顏金勇在國會同時宣布將作出增強 IHiS 管理運作能力的改革。亞洲新聞網報導稱，衛生部將設置向衛生部常任秘書長報告的首席信息安全官（MOH CISO），而 IHiS 也將僱傭一名專職網絡安全治理的主管，從集群的層面對 IHiS 的安全做出調整，「二者將分別進行他們的工作，這將有助於提升 IT 系統的管理運作能力。」此外，衛生部將為公共衛生系統設置加強的「三道防線」系統，並在國立大學衛生系統中試點部署「虛擬瀏覽器」。網絡攻擊事件後，針對公衛員工的網際網路隔離措施將會繼續實施，而此前的強制向國家電子醫療檔案（NEHR）上傳所有患者數據的政策將繼續暫緩執行。

## 善後

在遭受網絡攻擊後，工作人員切斷了所有可訪問醫療保健網絡的公共醫療保健 IT 終端的網際網路連結，並設置了額外的系統監控和控制措施。

攻擊導致新加坡「智慧國度」計劃暫停了兩周。在此期間，有關機構對公共部門的網絡安全政策進行了審查。審查報告敦促公共部門使用新安全措施、隔離網際網路接入或使用更安全的網關控制網際網路流量。

此次襲擊也引起了一些醫療從業者對新加坡政府集中電子化管理患者數據的擔憂，不過衛生部暫停執行 NEHR 強制上傳政策，並於 2018 年 8 月 6 日宣布，由網安機構和普華永道組成的一個獨立審查團體將在重啟 NEHR 前對其進行審查。

事件發生後，IHiS 也針對數據泄露問題增強了公衛系統的安全防護。IHiS 要求在 24 小時內報告可疑 IT 事件，並在各大醫院採取包括為所有管理員提供雙因素認證、部署主動式威脅搜查和情報收集策略、只允許安裝了最新安全更新的計算機連結醫療網絡以及新的資料庫活動監控等更強的安全措施。為了在醫療保健系統的某些部分持久化使用網絡分離方案 (ISS)，IHiS 已經進行了一些研究，並部署了虛擬瀏覽器試點。

2019 年 1 月 14 日，綜合衛生信息系統以事件處理不當和對網絡攻擊理解的理由解僱了兩名員工，另有一名員工遭到降級。兩名中層領導、包括 CEO Bruce Liang 在內的五名高層管理者受到經濟處罰。此外，儘管並非他們的分內之事，三位員工積極參與處理此次事件，也因此得到 IHiS 的表彰。事後，IHiS 迅速制定了 18 項加強網絡安全的措施。

15 日，個人數據保護委員會（Personal Data Protection Commission）以《2012 年個人數據保護法》充分保護個人數據的指控對 IHiS 和 SingHealth 分別處以 75 萬新元和 25 萬新元的罰款，原因是他們沒有按照該法充分保護個人數據，這是新加坡針對數據泄露開出的最大罰單。

## 參考文獻