Security & Privacy for Health Data


Published on

Published in: Technology
  • Be the first to comment

  • Be the first to like this

No Downloads
Total views
On SlideShare
From Embeds
Number of Embeds
Embeds 0
No embeds

No notes for slide

Security & Privacy for Health Data

  1. 1. Security & Privacy of  Health Data Nawanan Theera‐Ampornpunt, M.D., Ph.D. Faculty of Medicine Ramathibodi Hospital Mahidol University August 7, 2013
  2. 2.  Introduction to Information Privacy & Security  Privacy Laws  Protecting Information Privacy & Security  User Security  Malware Outline
  3. 3. Introduction to  Information Privacy &  Security
  4. 4. Malware Threats to Information Security
  5. 5. Sources of the Threats  Hackers  Viruses & Malware  Poorly‐designed systems  Insiders (Employees)  People’s ignorance & lack of knowledge  Disasters & other incidents affecting  information systems
  6. 6.  Disclosure of patient’s confidential information  Unauthorized modification of patient  information  Patient care disrupted  Patient’s health risks  Organization’s financial losses  Damage to reputation & trust Consequences of Attacks on  Health Data & Systems
  7. 7.  Privacy: “The ability of an individual or group  to seclude themselves or information about  themselves and thereby reveal themselves  selectively.” (Wikipedia)  Security: “The degree of protection to safeguard  ... person against danger, damage, loss, and  crime.” (Wikipedia)  Information Security: “Protecting information  and information systems from unauthorized  access, use, disclosure, disruption, modification,  perusal, inspection, recording or destruction”  (Wikipedia) Privacy & Security
  8. 8. Health Information  Privacy Laws
  9. 9.‐pizza Privacy Protections: Why?
  10. 10.  Respect for Persons (Autonomy)  Beneficence  Justice  Non‐maleficence Ethical Principles in Bioethics
  11. 11. Hippocratic Oath ... What I may see or hear in the course of  treatment or even outside of the  treatment in regard to the life of men,  which on no account one must spread  abroad, I will keep myself holding such  things shameful to be spoken about. ...
  12. 12. Thailand’s Health  Information Privacy  Law
  13. 13. 7. ผู้ป่วยมีสิทธิที่จะได้รับการปกปิดข้อมูลเกี่ยวกับ ตนเอง จากผู้ประกอบวิชาชีพด้านสุขภาพโดย เคร่งครัด เว้นแต่จะได้รับความยินยอมจากผู้ป่วย หรือการปฏิบัติหน้าที่ตามกฎหมาย ผู้ป่วยมีสิทธิที่ จะได้รับทราบข้อมูลอย่างครบถ้วน คําประกาศสิทธิผู้ป่วย
  14. 14.  “มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน บุคคล ผู้ใดจะนําไปเปิดเผยในประการที่น่าจะทําให้บุคคลนั้น เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอํานาจหรือสิทธิ ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ ของตนไม่ได้” พรบ.สุขภาพแห่งชาติ พ.ศ. 2550
  15. 15. Privacy Safeguards Image:  Security safeguards  Informed consent  Privacy culture  User awareness building & education  Organizational policy & regulations  Enforcement  Ongoing privacy & security assessments, monitoring,  and protection
  16. 16. Protecting Security
  17. 17. Information Security  Confidentiality  Integrity  Availability
  18. 18. Examples of Confidentiality Risks‐10‐10‐clooney_N.htm
  19. 19. Examples of Integrity Risks‐code‐hacks/ “Operation Aurora” Alleged Targets: Google, Adobe, Juniper Networks,  Yahoo!, Symantec, Northrop Grumman, Morgan Stanley,  Dow Chemical Goal: To gain access to and potentially modify source  code repositories at high tech, security & defense  contractor companies
  20. 20. Examples of Integrity Risks‐000‐InMotion‐Websites‐Hacked‐by‐TiGER‐M‐TE‐223607.shtml Web Defacements
  21. 21. Examples of Availability Risks Viruses/worms that led to instability &  system restart (e.g. Blaster worm)
  22. 22. Alice Simplified Attack Scenarios Server Bob Eve/Mallory
  23. 23. Alice Simplified Attack Scenarios Server Bob ‐ Physical access to client computer ‐ Electronic access (password) ‐ Tricking user into doing something  (malware, phishing & social  engineering) Eve/Mallory
  24. 24. Alice Simplified Attack Scenarios Server Bob ‐ Intercepting (eavesdropping or  “sniffing”) data in transit ‐ Modifying data (“Man‐in‐the‐ middle” attacks) Eve/Mallory
  25. 25. Alice Simplified Attack Scenarios Server Bob ‐ Unauthorized access to servers through ‐ Physical means ‐ User accounts & privileges ‐ Attacks through software vulnerabilities ‐ Attacks using protocol weaknesses ‐ DoS / DDoS attacks Eve/Mallory
  26. 26. Alice Simplified Attack Scenarios Server Bob Other & newer forms of  attacks possible Eve/Mallory
  27. 27. Alice Safeguarding Against Attacks Server Bob Administrative Security ‐ Security & privacy policy ‐ Governance of security risk management & response ‐ Uniform enforcement of policy & monitoring ‐ Disaster recovery planning (DRP) & Business continuity  planning/management (BCP/BCM) ‐ Legal obligations, requirements & disclaimers
  28. 28. Alice Safeguarding Against Attacks Server Bob Physical Security ‐ Protecting physical access of clients & servers ‐ Locks & chains, locked rooms, security cameras ‐ Mobile device security ‐ Secure storage & secure disposition of storage devices
  29. 29. Alice Safeguarding Against Attacks Server Bob User Security ‐ User account management ‐ Strong p/w policy (length, complexity, expiry, no meaning) ‐ Principle of Least Privilege ‐ “Clear desk, clear screen policy” ‐ Audit trails ‐ Education, awareness building & policy enforcement ‐ Alerts & education about phishing & social engineering
  30. 30. Alice Safeguarding Against Attacks Server Bob System Security ‐ Antivirus, antispyware, personal firewall, intrusion  detection/prevention system (IDS/IPS), log files, monitoring ‐ Updates, patches, fixes of operating system vulnerabilities &  application vulnerabilities ‐ Redundancy (avoid “Single Point of Failure”)
  31. 31. Alice Safeguarding Against Attacks Server Bob Software Security ‐ Software (clients & servers) that is secure by design ‐ Software testing against failures, bugs, invalid inputs,  performance issues & attacks ‐ Updates to patch vulnerabilities
  32. 32. Alice Safeguarding Against Attacks Server Bob Network Security ‐ Access control (physical & electronic) to network devices ‐ Use of secure network protocols if possible ‐ Data encryption during transit if possible ‐ Bandwidth monitoring & control
  33. 33. Alice Safeguarding Against Attacks Server Bob Database Security ‐ Access control to databases & storage devices ‐ Encryption of data stored in databases if necessary ‐ Secure destruction of data after use ‐ Access control to queries/reports
  34. 34. User Security
  35. 35. Need for Strong Password Policy So, two informaticians walk into a bar... The bouncer says,  ʺWhatʹs the password.ʺ  One says, ʺPassword?ʺ  The bouncer lets them  in.  Credits: @RossMartin & AMIA (2012)
  36. 36.  Access control  Selective restriction of access to the system  Role‐based access control  Access control based on the person’s role  (rather than identity)  Audit trails  Logs/records that provide evidence of  sequence of activities User Security
  37. 37.  Identification  Identifying who you are  Usually done by user IDs or some other unique codes  Authentication  Confirming that you truly are who you identify  Usually done by keys, PIN, passwords or biometrics  Authorization  Specifying/verifying how much you have access  Determined based on system owner’s policy & system  configurations  “Principle of Least Privilege” User Security
  38. 38.  Multiple‐Factor Authentication  Two‐Factor Authentication  Use of multiple means (“factors”) for authentication  Types of Authentication Factors  Something you know  Password, PIN, etc.  Something you have  Keys, cards, tokens, devices (e.g. mobile phones)  Something you are  Biometrics User Security
  39. 39. Recommended Password Policy  Length  8 characters or more (to slow down brute‐force attacks)  Complexity (to slow down brute‐force attacks)  Consists of 3 of 4 categories of characters  Uppercase letters  Lowercase letters  Numbers  Symbols (except symbols that have special uses by the  system or that can be used to hack system, e.g. SQL Injection)  No meaning (“Dictionary Attacks”)  Not simple patterns (12345678, 11111111) (to slow down  brute‐ force attacks & prevent dictionary attacks)  Not easy to guess (birthday, family names, etc.) (to prevent  unknown & known persons from guessing) Personal opinion. No legal responsibility assumed.
  40. 40. Recommended Password Policy  Expiration (to make brute‐force attacks not possible)  6‐8 months  Decreasing over time because of increasing computer’s  speed  But be careful! Too short duration will force users to write  passwords down  Secure password storage in database or system  (encrypted or store only password hashes)  Secure password confirmation  Secure “forget password” policy  Different password for each account. Create variations  to help remember. If not possible, have different sets of  accounts for differing security needs (e.g., bank  accounts vs. social media sites) Personal opinion. No legal responsibility assumed.
  41. 41. Techniques to Remember Passwords  One easy & secure way: password  mnemonic  Think of a full sentence that you can  remember  Ideally the sentence should have 8 or more  words, with numbers and symbols  Use first character of each word as password  Sentence: I love reading all 7 Harry Potter  books!  Password: Ilra7HPb!  Voila! Personal opinion. No legal responsibility assumed.
  42. 42. Dear Email Account User, We wrote to you on 11th January 2010 advising that you change the password on your account in order to prevent any unauthorised account access following the network instruction we previously communicated. all Mailhub systems will undergo regularly scheduled maintenance. Access to your e‐mail via the Webmail client will be unavailable for some time during this maintenance period. We are currently upgrading our data base and e‐mail account center i.e homepage view. We shall be deleting old [ accounts which are no longer active to create more space for new accountsusers. we have also investigated a system wide security audit to improve and enhance our current security. In order to continue using our services you are require to update and re‐comfirmed your email account details as requested below. To complete your account re‐comfirmation,you must reply to this email immediately and enter your account details as requested below. Username : Password : Date of Birth: Future Password : Social Engineering Examples Real social‐engineering e‐mail received by Speaker
  43. 43. Phishing Real phishing e‐mail received by Speaker
  44. 44.  Poor grammar  Lots of typos  Trying very hard to convince you to open  attachment, click on link, or reply without  enough detail  May appear to be from known person (rely on  trust & innocence) Signs of a Phishing Attack
  45. 45.  Don’t be too trusting of people  Always be suspicious & alert  An e‐mail with your friend’s name & info doesn’t have  to come from him/her  Look for signs of phishing attacks  Don’t open attachments unless you expect them  Scan for viruses before opening attachments  Don’t click links in e‐mail. Directly type in browser  using known & trusted URLs  Especially cautioned if ask for passwords, bank  accounts, credit card numbers, social security numbers,  etc. Ways to Protect against Phishing
  46. 46. Malware
  47. 47.  Virus  Propagating malware that requires user action  to propagate  Infects executable files, data files with  executable contents (e.g. Macro), boot sectors  Worm  Self‐propagating malware  Trojan  A legitimate program with additional, hidden  functionality Malware
  48. 48.  Spyware  Trojan that spies for & steals personal  information  Backdoor/Trapdoor  A hole left behind by malware for future access Malware
  49. 49.  Rogue Antispyware (Ransomware)  Software that tricks or forces users to pay before fixing  (real or hoax) spyware detected  Botnet  A collection of Internet‐connected computers that have  been compromised (bots) which controller of the  botnet can use to do something (e.g. do DDoS attacks) Malware
  50. 50.  Installed & updated antivirus, antispyware, &  personal firewall  Check for known signatures  Check for improper file changes (integrity failures)  Check for generic patterns of malware (for unknown  malware): “Heuristics scan”  Firewall: Block certain network traffic in and out  Sandboxing  Network monitoring & containment  User education  Software patches, more secure protocols Defense Against Malware
  51. 51.  Social media spams/scams/clickjacking  Social media privacy issues  User privacy settings  Location services  Mobile device malware & other privacy risks  Stuxnet (advanced malware targeting certain  countries)  Advanced persistent threats (APT) by  governments & corporations against specific  targets Newer Threats
  52. 52. Q & A