Op 29 april maakte zorgverzekeringsreus Kaiser Permanente een datalek bekend dat 13,4 miljoen huidige en voormalige verzekeringsleden trof. Het incident was het gevolg van slecht beheerde scripts van derden.
Het Incident
Kaiser Permanente gebruikte trackingcodes om te monitoren hoe leden door de website en mobiele applicaties navigeerden. Sommige van deze pagina's bevatten gevoelige zorggegevens, waardoor de scripts van derden per ongeluk informatie doorgaven aan externe leveranciers die daar geen toegang toe hadden.
Hoewel het lek niet het gevolg was van een script-kaping, benadrukt het een aanzienlijk gebrek aan toezicht op het beheer van scripts van derden binnen de zorgsector en daarbuiten.
Het incident wijst ook op een breder probleem: engineeringteams krijgen vaak ad-hoc de opdracht om scripts van derden te implementeren die zijn gekozen door marketing-, data- of juridische teams. Dit kan ertoe leiden dat engineers het script implementeren zonder de nodige context, waarna het sitebreed wordt uitgerold. Het werkt, maar het heeft nu toegang tot gegevens waar het niet bij mag.
De juiste tooling was waarschijnlijk niet aanwezig om dit probleem te signaleren of te voorkomen.
De Risico's
De kern van het probleem was niet kwaadwillendheid, maar een gebrek aan begrip en ontoereikende openbaarmaking van de gebruikte trackingcode. De gedeelde gegevens omvatten namen, IP-adressen, bezochte pagina's, inlogstatus van gebruikers en zoektermen die werden gebruikt in de online gezondheidsencyclopedie van Kaiser. Hoewel dergelijke trackingscripts zeer gangbaar zijn, moeten ze in de zorgsector voldoen aan privacyregelgeving zoals de Health Insurance Portability and Accountability Act (HIPAA) en andere wetgeving.
De Risico's van Ontoereikende Openbaarmaking
Zorgverleners verwerken gevoelige informatie en elk datalek kan ernstige gevolgen hebben. Hoewel de door Kaiser gedeelde gegevens mogelijk niet worden geclassificeerd als elektronisch beschermde gezondheidsinformatie (ePHI), kan het lek toch leiden tot boetes en vrijwel zeker tot reputatieschade. Het incident laat zien dat veel bedrijven met sterke veiligheids- en complianceteams nog steeds te maken krijgen met slecht beheer van scripts van derden. Een probleem dat we maar al te vaak tegenkomen.
Een Praktische Oplossing
Om dergelijke problemen aan te pakken, kunnen bedrijven robuust Content Security Policies (CSPs) implementeren om scripts van derden op gevoelige pagina's te beheren. Hoewel deze oplossing nadelen heeft zoals ruis in consolelogs, beperkt het effectief het risico op ongeautoriseerd delen van gegevens.
Idealiter zou men, in plaats van scripts globaal uit te rollen, gebruikmaken van conditional rendering: het definiëren van de pagina's waarop scripts mogen laden.
Met cside kun je je scripts van derden ook op een overzichtelijkere manier beheren. Je kunt zien welke scripts op specifieke pagina's worden uitgevoerd en je gebruikers beschermen tegen het renderen van kwaadaardige code.
cside
cside kan signaleren wanneer scripts worden aangetroffen op pagina's met gevoelige informatie. Dit maakt het mogelijk om gedetailleerde, automatisch gegenereerde regels in te stellen die levering blokkeren zonder ruis in consolelogs op pagina's met gevoelige gegevens.
Om de beveiliging van scripts van derden aan te pakken, analyseert onze oplossing scripts voordat ze de browser van de gebruiker bereiken. Door scripts te proxyen en AI in te zetten om kwaadaardige intenties te detecteren, zorgt cside ervoor dat potentiële bedreigingen worden geneutraliseerd voordat ze schade kunnen aanrichten. Deze proactieve aanpak, gecombineerd met analyse van historische context, maakt effectieve monitoring en respons op inbreuken via scripts van derden mogelijk.
Wij monitoren uiteraard ook alle scripts, wat betekent dat dit probleem met ons in gebruik voorkomen had kunnen worden.
