Epic pauzira razvoj radi otklanjanja MyChart bezbednosnih propusta
Epic je obustavio većinu razvoja proizvoda na približno šest nedelja kako bi otklonio bezbednosne propuste koje je otkrio Anthropicov model za sajberbezbednost Mythos. Propusti se odnose na određene korisničke konfiguracije sistema MyChart, koji se u bolnicama i ordinacijama širom SAD koristi za upravljanje sa više od 320 miliona kartona pacijenata.
Osnivačica i izvršna direktorka kompanije Epic Judy Faulkner izjavila je da je pauza uvedena dok traje rad na zaštiti proizvoda. Kompanija nije objavila tehničku prirodu pronađenih grešaka niti je navela koliko je korisničkih okruženja njima obuhvaćeno.
Rizik pristupa bez vidljivog traga
Stirling Martin, glavni direktor za bezbednost u Epicu, rekao je da su pojedine konfiguracije MyCharta mogle omogućiti spoljnim licima pristup zdravstvenim kartonima bez evidentiranja upada u softverskim logovima. Nije potvrđeno da li bi se propust mogao iskoristiti i za neprimećenu izmenu zapisa, ali je Epic procenio da je rizik dovoljan za hitnu sanaciju.
Epic navodi da ne poseduje pristup medicinskim podacima svojih klijenata, jer su za njih odgovorni zdravstveni pružaoci usluga, poput bolnica i lekarskih ordinacija. Ipak, nepoznata ranjivost u proizvodu može ugroziti više pogođenih MyChart sistema i podatke koji se u njima čuvaju.
AI menja tempo otkrivanja ranjivosti
Obustavljanje razvoja radi bezbednosnih popravki nije česta odluka za veliku softversku kompaniju. Ovaj slučaj pokazuje da modeli sposobni za brzo pronalaženje i potencijalno iskorišćavanje ranjivosti menjaju prioritete: problemi koji bi ostali neotkriveni mogu brže doći do tima za bezbednost, ali i do napadača.
Zdravstveni sektor je posebno izložen zbog vrednosti i osetljivosti medicinskih podataka. Napad ransomwareom na Change Healthcare 2024. godine doveo je do krađe zdravstvenih podataka više od 192 miliona ljudi, dok su ove godine incidenti pogodili i CareCloud, McKesson i Craneware. Američko Ministarstvo zdravlja i socijalnih službi vodi slučaj DentaQuesta, koji je zahvatio 15 miliona ljudi, kao najveći zdravstveni incident 2026. godine do sada.
Šta treba proveriti u zdravstvenim okruženjima
Za organizacije koje koriste sisteme za elektronske zdravstvene kartone ključni su redovna provera konfiguracija, kontrola pristupnih prava i nadzor logova. Važnost takvih kontrola dodatno raste uz povezivanje Epica sa ChatGPT-om i medicinskim bazama koje povezuje Epic sa ChatGPT-om i zvaničnim medicinskim bazama, jer integracije zahtevaju jasno razgraničene dozvole i odgovornost za podatke.
Praktičan poslovni zaključak je da bezbednosna sanacija mora imati prednost kada postoji mogućnost nevidljivog pristupa zdravstvenim podacima: razvojne planove treba dopuniti proverom konfiguracija, evidencija i postupaka reagovanja na incidente.