2018年SingHealth数据泄露事件

2018年SingHealth数据泄露事件是发生在新加坡的，由身份不明的攻击者造成的数据泄露事件。2018年6月27日至7月4日期间，约有150万份新加坡保健服務集團（英语：SingHealth）的患者个人资料、16万名患者的门诊配药记录遭到泄露。 攻击者访问并复制了自2015年5月1日起至2018年7月4日所有前往专科、综合医疗机构就诊的患者个人信息，其中包括姓名、 新加坡国民身份证号、家庭住址、出生日期、种族和性别。 患者的诊断信息、检查结果和医嘱等信息没有遭到泄露。 ^[1] 亚洲新闻频道报道称，攻击者的目标是李显龙总理的信息。^[2]

2018年SingHealth数据泄露事件

日期	2018.06.27 - 2018.07.04
持续时间	8 天
地点	新加坡
类型	高级长期威胁
起因	员工安全意识淡薄，缺陷修复缓慢
参与者	身份不明

发现

2018年7月4日，新加坡公共卫生服务的信息技术提供商——综合卫生信息系统（IHIS）的数据库管理员在SingHealth某一个IT数据库发现了异常活动，管理员随即针对可能的入侵活动采取预防措施，加强了对网络流量的监控,4日后仍不断有更多异常操作被发现，但并没有导致数据泄露^[3]。

管理员认定数据库遭到攻击，通知了IHIS并于7月10日通知新加坡网络安全局进行法律取证调查。安全局调查发现罪犯通过攻陷一台前端工作站来获取整个网络系统的访问权限和数据库登录信息，犯罪过程中还掩盖了其数字脚印^[3]。

7月20日，新加坡通讯及新闻部与新加坡卫生部发布声明，向公众公开此次攻击的信息。^[2][4]攻击被发现到公开信息的十天中，新加坡有关部门对IT系统进行了全面加固、对攻击进行了初步调查、统计遭受影响的患者名单并为信息公开做了一些准备^[5]。声明后，个人数据遭窃的患者陆续收到通知短信^[3]。

调查

在议会发言时，新加坡通信和信息部长易华仁（英语：S. Iswaran）称此次泄露的攻击者与某些地区有复杂的关系，这种关系帮助他们编写了能够绕过SingHealth防病毒安全套件的极具针对性的恶意程序。出于国家安全的考虑，会上伊斯瓦兰没有指明他所说的地区。^[6]

2018年7月24日，新加坡政府组建调查委员会调查袭击的原因，并研究预防此类网络袭击的措施。 委员会由前地区首席法官理查德·马格纳斯（Richard Magnus）担任主席， Quann World首席执行官李福新（Lee Fook Sun）、Sheares Healthcare Management集团首席运营官T.K. Udairam和新加坡全国职工总会（英语：National Trades Union Congress）助理秘书长詹惠凤（Cham Hui Fong）组成。^[7] 委员会呼吁总检察长办公室提供证据，总检察长办公室任命网络安全局在刑事调查部的支持下开展调查工作。

8月28日，委员会举行了闭门和公开听证会，9月21日至10月5日举行了另一部分听证会^{[8][9][10][11]}。此外，个人数据保护委员会针对可能违反《个人数据保护法》的情况进行了一些调查，确定了这方面后续应当采取的行动。^[12]

调查委员会听证会

事后召开的一系列听证会于2018年11月14日结束，最后陈述于2018年11月30日举行。^[13] 2018年12月31日，委员会向易華仁提交调查报告。

2019年1月10日，委员会公开发布调查报告。^[14]

公开发布版本的调查报告

2019年1月10日，调查委员会发布了SingHealth事件的调查报告。报告指出SingHealth的员工没有受到充分的网络安全培训，因此无法阻止攻击。关键员工在网络攻击发起时由于畏惧没有立即采取阻止袭击的行动。更糟糕的是，攻击者的技术高明，而系统漏洞没有尽快修复。因此，攻击者很容易闯入。该报告指出，如果工作人员接受了充分的培训，并迅速修复漏洞，这次攻击本可以避免。报告还认为此次袭击来自于某个高级持续威胁组织。^[15]

在同一份报告中，调查委员会提出了促进网络安全的16项建议，分为优先建议和附加建议。^[16]它们是:

• 优先：
  • iHiS和公共卫生机构应加强其安全设施建设；
  • 审查线上服务安全程序来对防御和应对网络攻击的能力进行评估；
  • 提高员工防范网络攻击的意识；
  • 特别是针对关键信息基础设施(CII)系统，开展更高强度的安全检查；
  • 对拥有特权的管理员帐户进行更严格的控制与监控；
  • 改进事件响应过程；
  • 打造行业与政府的合作伙伴关系，实现更安全的政府网络服务；
• 附加：
  • 必须认真对待及定期进行资讯科技安保风险评估及审核；
  • 必须加强对电子医疗记录保密性的保障措施；
  • 提高域安全性；
  • 采用更健壮的补丁管理流程；
  • 实施以网络安全为重点的软件升级政策；
  • 使用Internet访问策略控制外部网络暴露；
  • 明确网络安全事件应对指导方针
  • 提高计算机安全事件响应人员的能力
  • 考虑对该网络进行入侵后的独立取证审查

2019年1月15日，易華仁在国会宣布政府将接受委员会的调查报告，并完全采纳报告中提出的建议。此次事件还加速了针对提高关键信息基础设施安全性的网络安全法的通过。^[17] 新加坡卫生部部长颜金勇在国会同时宣布将作出增强IHiS管理运作能力的改革。亚洲新闻网报道称，卫生部将设置向卫生部常任秘书长报告的首席信息安全官（MOH CISO），而IHiS也将雇佣一名专职网络安全治理的主管，从集群的层面对IHiS的安全做出调整，“二者将分别进行他们的工作，这将有助于提升IT系统的管理运作能力。”此外，卫生部将为公共卫生系统设置加强的“三道防线”系统，并在国立大学卫生系统中试点部署“虚拟浏览器”。网络攻击事件后，针对公卫员工的互联网隔离措施将会继续实施，而此前的强制向国家电子医疗档案（NEHR）上传所有患者数据的政策将继续暂缓执行。^[18][19]

善后

在遭受网络攻击后，工作人员切断了所有可访问医疗保健网络的公共医疗保健IT终端的互联网链接，并设置了额外的系统监控和控制措施。^[20]

攻击导致新加坡“智慧国度”计划暂停了两周。在此期间，有关机构对公共部门的网络安全政策进行了审查。审查报告敦促公共部门使用新安全措施、隔离互联网接入或使用更安全的网关控制互联网流量。^[21]

此次袭击也引起了一些医疗从业者对新加坡政府集中电子化管理患者数据的担忧，不过卫生部暂停执行NEHR强制上传政策，并于2018年8月6日宣布，由网安机构和普华永道组成的一个独立审查团体将在重启NEHR前对其进行审查。^[22]

事件发生后，IHiS也针对数据泄露问题增强了公卫系统的安全防护。IHiS要求在24小时内报告可疑IT事件，并在各大医院采取包括为所有管理员提供双因素认证、部署主动式威胁搜查和情报收集策略、只允许安装了最新安全更新的计算机链接医疗网络以及新的数据库活动监控等更强的安全措施。为了在医疗保健系统的某些部分持久化使用网络分离方案(ISS)，IHiS已经进行了一些研究，并部署了虚拟浏览器试点。^[23]

2019年1月14日，综合卫生信息系统以事件处理不当和对网络攻击理解的理由解雇了两名员工，另有一名员工遭到降级。两名中层领导、包括CEO Bruce Liang在内的五名高层管理者受到经济处罚。此外，尽管并非他们的分内之事，三位员工积极参与处理此次事件，也因此得到IHiS的表彰。事后，IHiS迅速制定了18项加强网络安全的措施。^[24]

15日，个人数据保护委员会（Personal Data Protection Commission）以《2012年个人数据保护法（英语：Personal Data Protection Act 2012 (Singapore)）》充分保护个人数据的指控对IHiS和SingHealth分别处以75万新元和25万新元的罚款，原因是他们没有按照該法充分保护个人数据，这是新加坡针对数据泄露开出的最大罚单。^[25]

参考文献

1. Tham, Irene. Personal info of 1.5m SingHealth patients, including PM Lee, stolen in Singapore's worst cyber attack. The Straits Times. 2018-07-20 [2018-10-02]. （原始内容于2018-08-22）. 
2. Kwang, Kevin. Singapore health system hit by 'most serious breach of personal data' in cyberattack; PM Lee's data targeted. Channel NewsAsia. 2018-07-20 [2020-08-28]. （原始内容于2018-07-26）.  引用错误：带有name属性“:0”的<ref>标签用不同内容定义了多次
3. Hackers stole data of PM Lee and 1.5 million patients in 'major cyberattack' on SingHealth. TODAYonline. 2018-07-20 [2018-10-02]. （原始内容于2018-07-21）. 
4. Tham, Irene. Personal info of 1.5m SingHealth patients, including PM Lee, stolen in Singapore's worst cyber attack. The Straits Times. 2018-07-20 [2019-09-03]. （原始内容于2018-08-22）. 
5. Baharudin, Hariz. Ministers' answers. The Straits Times. 2018-08-07 [2018-08-16]. （原始内容于2018-08-17）. 
6. Singapore Minister: Major Cyberattack May Be State-Linked. Associated Press. 2018-08-06 [2018-08-16]. （原始内容于2018-08-17）. 
7. Tham, Irene. 4-member Committee of Inquiry convened to investigate SingHealth cyber attack. The Straits Times. 2018-07-24 [2020-01-20]. （原始内容于2020-10-02）. 
8. Baharudin, Hariz. COI hearings on SingHealth cyber attack from Aug 28. The Straits Times. 2018-08-08 [2018-08-16]. （原始内容于2018-08-17）. 
9. Tham, Irene. Hearings on SingHealth cyber breach from Sept 21. The Straits Times. 2018-09-12 [2020-01-22]. （原始内容于2020-10-02）. 
10. Wong, Pei Ting. SingHealth cyber attack hearings resume Sept 21; inquiry committee seeks recommendations from the public. Today. 2018-09-11 [2020-01-22]. （原始内容于2020-11-09）. 
11. Schedule of Public Hearing Convened by COI into the Cyber Attack on SingHealth. Ministry of Communications and Information. 2018-09-20 [2020-01-22]. （原始内容于2020-10-02）. 
12. Tham, Irene. Singapore's privacy watchdog to investigate SingHealth data breach. The Straits Times. 2018-07-24 [2020-01-20]. （原始内容于2020-11-09）. 
13. Conclusion of Scheduled Hearings for COI into SingHealth Cyber Attack. MCI. 2018-11-14 [2020-02-17]. （原始内容于2020-10-02）. 
14. Tham, Irene. Top-secret report on SingHealth attack submitted to Minister-in-charge of Cyber Security. The Straits Times. 2018-12-31 [2020-02-17]. （原始内容于2020-10-02）. 
15. Tham, Irene; Baharudin, Hariz. COI on SingHealth cyber attack: 5 key findings. The Straits Times. 2019-01-10 [2019-09-03]. （原始内容于2020-10-02）. 
16. Baharudin, Hariz. COI on SingHealth cyber attack: 16 recommendations. The Straits Times. 2019-01-10 [2019-09-03]. （原始内容于2020-10-02）. 
17. SingHealth cyberattack: Govt to fully adopt COI recommendations, S Iswaran says. Channel NewsAsia. 2019-01-15 [2019-09-03]. （原始内容于2020-10-02）. 
18. Abu Baker, Jalelah. SingHealth cyberattack: IHiS, public healthcare system to see enhanced governance, changes to organisational structure. Channel NewsAsia. 2019-01-15 [2019-09-03]. （原始内容于2020-10-02）. 
19. Wong, Pei Ting. Doctors raise concerns again over national e-records system after data breach at SingHealth. TODAYonline. 2018-07-23 [2018-08-16]. （原始内容于2018-08-17）. 
20. SingHealth cyberattack: Internet surfing delinked at all public healthcare clusters. Channel NewsAsia. [2018-08-16]. （原始内容于2018-08-17）. 
21. Tham, Irene. SingHealth cyber attack: Pause on Smart Nation projects lifted; 11 critical sectors told to review untrusted external connections. The Straits Times. 2018-08-03 [2018-08-16]. （原始内容于2018-08-17）. 
22. Choo, Cynthia. National e-records system to undergo ‘rigorous’ security review before proceeding with mandatory contribution. Today. 2018-08-06 [2019-09-03]. （原始内容于2020-11-11）. 
23. Tham, Irene. New measures to strengthen public healthcare systems following SingHealth data breach. The Straits Times. 2018-11-01 [2020-02-17]. （原始内容于2020-10-02）. 
24. Mohan, Matthew; Sim, Fann. SingHealth cyberattack: IHiS sacks 2 employees, imposes financial penalty on CEO. Channel NewsAsia. 2019-01-14 [2019-09-03]. （原始内容于2020-11-07）. 
25. Mohan, Matthew. PDPC fines IHiS, SingHealth combined S$1 million for data breach following cyberattack. Channel NewsAsia. 2019-01-15 [2019-09-03]. （原始内容于2020-11-11）.