Epic остановила разработку продуктов ради исправления уязвимостей MyChart
Epic почти на шесть недель приостановила большую часть разработки продуктов, чтобы устранить уязвимости в MyChart, обнаруженные моделью кибербезопасности Anthropic Mythos. MyChart используется больницами и врачебными практиками США для ведения более 320 млн записей пациентов.
Что известно об обнаруженных ошибках
Основательница и генеральный директор Epic Джуди Фолкнер сообщила Modern Healthcare, что пауза нужна для работ по защите продуктов компании. Она ожидает, что этот период продлится около шести недель.
Директор по информационной безопасности Epic Стирлинг Мартин рассказал The Times, что некоторые конфигурации MyChart у клиентов могли позволять посторонним получать доступ к медицинским записям. При этом программные журналы могли не фиксировать само вторжение.
Epic не раскрыла характер ошибок. Мартин также отметил, что Mythos не установила, можно ли было бы незаметно изменять записи пациентов, однако компания сочла выявленный риск достаточным основанием для исправления проблем.
Распределённая ответственность за данные
Epic заявляет, что не имеет доступа к медицинским данным клиентов: за их хранение и защиту отвечают поставщики медицинских услуг, включая больницы и врачебные кабинеты. Однако неизвестная самой Epic ошибка потенциально могла бы затронуть несколько развернутых систем MyChart и данные, которые в них хранятся.
Контекст использования ИИ в медтехе расширяется: интеграция Epic и медицинских баз с ChatGPT связывает Epic, официальные медицинские базы и ChatGPT в единой технологической цепочке. Случай с Mythos показывает, что такие инструменты способны быстро находить недостатки и требуют отдельного контроля при внедрении.
Почему пауза разработки важна
Остановка продуктовой разработки ради исправления уязвимостей встречается нечасто. При этом ИИ-инструменты, способные ускорять поиск и эксплуатацию слабых мест, усиливают опасения, что злоумышленникам станет проще похищать данные.
Атаки на здравоохранение остаются заметной проблемой из-за высокой чувствительности медицинской информации. В 2024 году атака-вымогатель на Change Healthcare, принадлежащую UnitedHealth, привела к хищению данных более чем 192 млн человек.
Для организаций, использующих MyChart, практический вывод состоит в проверке собственных конфигураций доступа, журналов событий и процесса установки исправлений Epic. Поставщикам медуслуг также важно учитывать, что ответственность за данные пациентов лежит на них, даже когда программную платформу предоставляет внешний разработчик.