Tài khoản quản trị ẩn của nhà thầu nha khoa để lộ 4.000 hồ sơ bệnh nhân
"A dental practice left an unused contractor-created admin account active for at least three years, giving access to about 4,000 patient records after the contractor had departed. The issue created a potential HIPAA compliance risk; the accounts were removed and the client implemented automatic access shutdowns and periodic access reviews."
Nguy cơ truy cập trái phép dữ liệu y tế do tài khoản quản trị bị bỏ quên; phát sinh rủi ro HIPAA và cần thu hồi quyền truy cập ngay khi quan hệ nhà thầu kết thúc.
Có thể ảnh hưởng đến tuân thủ pháp lý, uy tín và chi phí khắc phục; cần quy trình offboarding và kiểm tra quyền định kỳ để giảm gián đoạn vận hành.
Một cuộc kiểm tra an ninh tại một phòng khám nha khoa đã phát hiện ba tài khoản quản trị có quyền truy cập vào cơ sở dữ liệu bệnh nhân, trong đó có một tài khoản do nhà thầu tạo ra nhưng vẫn tồn tại ít nhất 3 năm sau khi đơn vị này ngừng sử dụng từ 2021. Tài khoản này có thể xem khoảng 4.000 hồ sơ bệnh nhân, làm phát sinh nguy cơ liên quan đến HIPAA vì dữ liệu y tế được bảo vệ có thể vẫn bị truy cập bởi người không còn được phép.
Theo nội dung ghi nhận, quản lý vận hành của phòng khám không biết tài khoản này tồn tại. Sau khi phát hiện, đơn vị kiểm tra đã xóa các tài khoản quản trị liên quan và thiết lập quy trình mới để giảm rủi ro tái diễn.
Khuyến nghị kỹ thuật cho các tổ chức là rà soát đầy đủ mọi tài khoản do nhà cung cấp/nhà thầu tạo ra, không chỉ tài khoản của nhân viên nội bộ; áp dụng tự động vô hiệu hóa quyền truy cập khi kết thúc hợp đồng; và thực hiện đánh giá quyền truy cập định kỳ ít nhất 2 lần mỗi năm. Trường hợp này cho thấy các “tài khoản zombie” thường bị bỏ sót lâu dài và có thể tạo ra rủi ro tuân thủ cũng như rủi ro an ninh đáng kể.