事件概要：
2022 年 10 月，黑客在未经授权的情况下进入 CentraState 的计算机系统，窃取了 625,000 多人的个人数据。被盗数据包括姓名、地址、出生日期、社会保险号和有限的医疗信息。CentraState 表示，他们于 2022 年 10 月 20 日发现了这一漏洞，并努力确保系统安全。他们正在为受影响者提供免费的信用监控和身份保护服务。
在CentraState Healthcare System向约61.7万名患者发送了通知信几天后，就有人对其提起了诉讼。诉讼指控CentraState医疗中心因未能实施足够和合理的保障措施以保护患者的敏感数据而存在疏忽。诉讼还声称，由于医疗中心未能保护患者数据，原告和其他受影响的人现在面临着身份盗窃和欺诈的风险，并将不得不花费大量时间和金钱来保护自己免受身份盗窃和欺诈的侵害。诉讼寻求经济赔偿、报销费用以及禁令。对此，昆明亭长朗然科技有限公司网络安全顾问专员董志军表示：网络安全事件带来的后果或者说不良影响包括直接的和间接的损失，包括我们常说的经济损失、信誉损失和法律诉讼。能不能试图掩饰而不发布安全事故通知呢？当然，在法治不健全的区域，可能可以花费些功夫掩盖过去，只要打点到位，即使是用户的个人数据被传至暗网地下市场，在面对受害者的质询时，仍然可以保持厚着脸皮不承认的态度。除非事件闹成举国大新闻引起舆论公愤，否则谁也没有办法有效证明其被欺诈源自于个人数据的泄露，甚至可以收买或借力压制那些有疑心想调查真相的刺头受害者。不过在法治相对健全的地区，那样做的后果可能难以承受，因为媒体监督的力量很强大，公司的权利意识也很强，对数据泄露事件隐瞒不报是严重违反数据安全保护相关法规的行为，恶果不仅仅是经济处罚、吊销牌照和彻底封杀，责任人甚至难逃坐牢的厄运。
潜在根源：
尽管尚未得到证实，但这次成功的网络攻击表明 CentraState 的安全防御系统存在漏洞，使黑客得以渗透其系统并访问包含患者数据的敏感数据库。虽然如此，常见的根本原因无外乎如下：
- 未打补丁的软件漏洞被黑客利用
- 成功的网络钓鱼攻击诱使员工泄露凭证
- 内部人员出于恶意目的滥用数据访问权限
- 包含未加密敏感数据的设备丢失/被盗
- 配置错误的数据库、服务器或云存储暴露数据
经验教训：
- 实施先进的威胁检测和监控，更快地发现漏洞
- 对静态和传输中的敏感数据进行加密，使其在被盗时无法使用
- 执行强大的访问控制和最小特权原则
- 提供网络安全意识培训，防止社会工程学攻击
- 制定强有力的事件响应和数据泄露通知计划
- 投资 IT 安全团队、工具和流程，以应对不断变化的网络威胁
彻底的调查可能会找出漏洞的根本原因，需要对人员、流程和技术进行补救。加强整体网络安全态势对于保护患者数据的完整性和隐私至关重要。其中，以预防社交工程攻击为重点的网络安全意识培训至关重要，尤其是在处理敏感患者数据的医疗机构中。以下是安全意识培训应涵盖的一些关键要素：
- 网络钓鱼意识： 教育员工如何识别网络钓鱼电子邮件、短信和电话。教他们在回复之前核实任何索取敏感信息或登录的请求的合法性。
- 网络钓鱼/网络钓鱼：让员工了解网络犯罪分子为获取访问权限或窃取数据而使用的网络钓鱼（通过短信/文本钓鱼）和网络钓鱼（语音钓鱼）策略。
- 伪装： 重点介绍攻击者如何假冒同事、经理、技术支持或其他可信实体来制造借口并获得受害者的信任。
- 实体安全： 提醒员工警惕尾随（允许未经授权人员通过安全区域），保护徽章、笔记本电脑和敏感文件不被窥探。
- 谨慎使用社交媒体： 指导员工小心谨慎地在网上过度分享个人信息，以免助长社交工程企图。
- 数据保护： 强化仅通过经批准的安全渠道共享/传输敏感数据的政策。
- 报告事件： 制定明确的程序，让员工报告可疑的社交工程攻击或事件。
安全意识培训应包括真实案例分析、网络钓鱼模拟，并促进安全警惕文化。还建议定期举行安全复习和测试员工的安全意识。昆明亭长朗然科技有限公司创作了大量的防网络钓鱼及社交工程攻击的教学作品，包括安全意识动画视频、平面图片和电子教程，欢迎有兴趣的客户及伙伴联系我们，预览相关的作品，体验相关的系统，并进行采购，以便对员工们进行相关的安全意识培训。
昆明亭长朗然科技有限公司
- 电话：0871-67122372
- 手机：18206751343
- 微信：18206751343
- 邮箱：info@securemymind.com
- QQ：1767022898
