芬兰政府方表法保护来自网络罪犯的数据

芬兰的Vastaamo心​​理治疗中心的巨额数据安全漏洞和网络赎金攻击已激起了政府的迅速回应，这些回应是引进更严格的法律和措施，以保护该国的数据库和网络罪犯的敏感信息。

黑客将于2018年11月渗透到Vastaamo的患者数据库和中央医疗记录，并在2019年春季再次，但它仅在今年9月，Vastaamo的董事会告知当局关于黑客的机构。

瓦斯塔姆的违约，影响了40,000名患者，导致黑客要求的赎金。芬兰国家调查局（NBI）正在与国家网络安全中心和芬兰国家安全和情报服务的科学犯罪专家合作进行违约。

政府新的反黑客措施旨在加强身份核查议定书，并简化改变个人身份证码的过程。目前，只允许在特殊情况下更改其个人身份证号码，并且新立法将收紧规定和控制个人身份证码的安全处理。

在芬兰数据安全法的重要借水中，新立法将要求所有提供社会和医疗保健服务的企业加入Kanta的国立国有数字服务平台。Kanta操作了一个安全的数据库系统，需要增强银行码支持的电子识别，以访问社会福利和医疗保健部门数据库。所有公共部门的社会福利和医疗保健服务使用Kanta系统，这是私营企业的自愿。

根据芬兰政府的建议，所有严重的网络安全事项的监督将转向单一部。目前，对网络犯罪问题和个人数据安全的监督责任在多个政府分支机构中传播，包括运输和通信部，内部和金融部门，各自采用不同的网络安全和数据黑客方法。

“新闻和更强大的立法的紧迫性毫无疑问，”地方政府部长Siripa Paatero说，该部长作为财政部的一部分。“Vastaamo的数据违规和敲诈勒索创造了无辜的受害者。敏感的个人数据已陷入犯罪分子的手中。我们打算有一项立法法案，准备在2021年初提起议会。“

公开披露Vastaamo的序列数据违规行为于9月29日出现，并于本公司董事会推出的内部探针导致10月份解雇了首席执行官Ville Tapio。

调查发现，Tapio未能通知董事会，患者和执法部门关于2018年和2019年发生的网络攻击和数据违规行为。询问还批评了Tapio未能通知董事会或当局关于Vastaamo IT安全系统中的历史缺点。

在驳回首席执行官时，Vastaamo的董事会拒绝了Tapio的解释，即他首先在私人心理治疗服务公司IT安全基础设施和数据存储寄存器的全面审计后，他首先意识到数据泄露。董事会确定Tapio在2018年和2019年已知数据泄露，但选择隐瞒董事会和当局的活动。

基于赫尔辛基的Venture首都集团Intera合作伙伴的Vastaamo的主要业主通过提交与其于2019年5月收购Vastaamo有关的诉讼来回应9月的数据违规和敲诈勒索需求。

Intera已委托对Vastaamo的IT和数据安全系统的预先收购审计，这些系统在2019年春季成立了对交易的尽职调查。Intra Ceo Jokke Paananen表示，该审计在Vastaamo的IT安全和个人数据存储系统中没有发现任何“关键数据安全性缺陷”。

“如果在数据安全漏洞的瓦斯塔姆通过瓦斯卡通知国际意大利，或者已知其它安全系统中有缺陷的历史问题，我们就不会随访，”潘纳伦说。“2019年3月，Intera和Vastaamo的董事会没有被告知IT安全缺点或数据违约。我们现在知道Vastaamo的首席执行官于2018年和2019年了解数据泄露，以及其数据安全保护和防御的问题。“

瓦斯拉姆在9月底公开披露了数据黑客，导致公司与患者及其家庭联络，有关采取的步骤，以保护所讨论其记录数据库和寄存器的数据的完整性。

该公司延迟了在NBI的说明下向客户通知客户数据黑客。TuomasKahri表示，患者和他们的家人被要求与网络黑客联络，并在比特币赎金的要求下达到200欧元至500欧元，这是TuomasKahri，瓦斯卡莫的董事长。

“调查当局要求我们限制了我们的沟通和关于此事信息的分享，”他说。“警方引用了对美国施加报告限制的运作原因。”

Vastaamo为受影响的患者及其家庭提供专业治疗咨询，继续评估数据泄露的规模和对患者的影响。该公司还提供在深入分析其IT安全系统期间发现的新数据，以便NBI和芬兰的数据保护监察员。

10月初，Vastaamo签约了Nixu在其数据存储，管理和检索系统上检查和升级安全性。IT公司没有发现2019年3月后进一步数据违约的证据，已通过其对NBI和其他当局的法医评估收集的信息。

与敲诈勒索相关联系，黑客已发布敏感的文件，包括患者诊断，医学历史记录和联系信息，在暗网上。敲诈勒索，抢占比特币赎金的税收总计100万欧元，以便进一步公开泄露机密患者信息，广泛的针对Vastaamo的高级管理人员和史式患者。

黑客威胁每天发布100名患者的细节，直到达到赎金需求。10月21日在黑暗的网络上发表了保密医疗记录的第一个批评。从那时起，基于NBI数据，瓦斯拉姆的14至20个客户“受害者”都会产生敲诈勒索的需求并将赎金支付给黑客未公开的比特币账户。

在芬兰安全软件制造商F-Secure的首席研究官MikkoHyppönen表示，比特币的付款不是一个完全匿名的交易，并且可以追溯。

“比特币是困难的，但不可能追踪，”他说。“如果勒索者将比特素转换为欧元，美元或卢布，则理想的情况是。然后可以在现实世界中追踪金钱。在瓦斯拉莫的情况下，我们可以看到的，这尚未发生。“