国歌被盗客户数据未加密

如何最好地保护客户数据由每个健康保险公司决定。CNET健康保险公司Anthem说,包含8000万人个人信息的黑客数据库没有加密。但问题是:公司并不需要这样做。

周三,Anthem透露,它遭到黑客的攻击,黑客闯入服务器,窃取了多达8000万现任和前任成员和员工的个人信息。该公司CEO约瑟夫·瑞典语说,这种非常复杂的外部网络攻击可以获得姓名、出生日期、会员身份证、社会保险号码、地址、电话号码、电子邮件地址和就业信息。然而,没有证据显示信用卡或医疗记录受到损害。

遵循健全安全政策的公司通常会加密储存在伺服器上的某些客户资料。加密数据使黑客更难但并非不可能查看或出售他们窃取的信息。但Anthem在这方面没有遵循这样的准则。为什么不呢?

根据联邦健康保险便携性和责任法案( HIPAA ),健康保险公司不需要对存储在服务器上的数据进行加密。HIPAA裁决建议,如果健康保险公司认为这是减轻风险的适当措施,则使用加密。但由于缺乏具体的要求,实际上要由每个公司来决定如何保护其数据。Anthem女发言人克里斯汀·宾斯告诉《华尔街日报》,公司在个人数据移入或移出数据库时加密,但在存储时不加密,她说这种做法在业界很常见。

当数据驻留在数据库中时,我们使用其他措施(包括提升的用户凭据)来限制对数据的访问, Binns补充道。

加密数据会更好地保护数据,但这样做也会对健康保险公司构成挑战。一位知情人士告诉《华尔街日报》:“具体而言,加密将使Anthem员工更难跟踪医疗保健趋势或与医疗保健提供商和州政府共享数据”。

但是,加密数据是否可以防止数据被盗?不,国歌的发言人说。发言人告诉CNET说:

Anthem s数据库是绕过我们的安全协议访问的。由于管理员的凭据遭到破坏,额外的加密不会阻止攻击。

因此,如果单靠加密无法始终防止数据被盗,公司将面临更大的挑战,即确保实施所有可能的安全措施。但我们面临的世界是,黑客往往比不得不保护客户数据的安全专业人员更聪明、更狡猾。哥伦比亚大学计算机科学系教授史蒂文·贝洛温在Ars Technica上发表的一篇文章中说,敏感数据库一直在使用,这意味着它们不断被解密。这也意味着加密密钥在内存或其他地方可供精明的黑客窃取。贝洛温认为,问题更多在于如何控制对数据库的访问。Bellovin说:

保护像Anthem s这样的大型数据库是一项挑战。我们需要更好的软件安全性,我们需要更好的结构工具来将真正敏感的数据与普通的、保护不力的机器隔离开来。甚至可能有加密的作用,但是简单地加密社会安全号码不会有多大作用。路透社周五报道,针对国歌的攻击引发了美国多个州的调查。康涅狄格州、伊利诺伊州、马萨诸塞州、阿肯色州和北卡罗来纳州的总检察长正在调查此事。康涅狄格州司法部长乔治·杰普森已经要求Anthem提供有关其安全措施、导致黑客被发现的事件以及该公司为确保此类攻击不再发生而采取的步骤的详细信息。知情人士告诉哥伦比亚广播公司( CBS News )

FBI正在调查这起袭击事件可能来自海外,可能来自中国。周三,联邦调查局证实正在调查这起黑客事件,但没有透露任何具体嫌疑人。FBI发言人保罗·布列松说:「至于中国,我不知道。」路透社。我想我们还不知道。我们的调查正在进行中。

然而,周四,调查人员开始关注中国的一个团体。调查人员告诉《华尔街日报》,黑客使用的恶意软件和工具几乎完全是中国网络间谍使用的。