Amgen เปิดเผยการละเมิดข้อมูลคลาวด์ที่ทำให้ข้อมูลสุขภาพผู้ป่วยและข้อมูลบริษัทรั่วไหล

Amgen บริษัทผลิตยาแอมเจน ระบุว่าตัวเองเผชิญกับการละเมิดข้อมูลเมื่อผู้ไม่ประสงค์ดีเข้าถึงระบบคลาวด์หลายแห่งที่ดำเนินงานโดยผู้ให้บริการภายนอก ทำให้ข้อมูลบริษัทและข้อมูลสุขภาพของผู้ป่วยถูกเปิดเผย การรั่วไหลในระดับนี้อาจส่งผลต่อความเชื่อมั่นของผู้ลงทุนและผู้ป่วย รวมถึงกระตุ้นการตรวจสอบจากหน่วยกำกับดูแลด้านความปลอดภัยข้อมูลทางการแพทย์

Overview

Amgen เป็นหนึ่งในบริษัทชีวเวชภัณฑ์ที่ใหญ่ที่สุดของสหรัฐอเมริกา ซึ่งใช้โครงสร้างคลาวด์เพื่อจัดเก็บและประมวลผลข้อมูลวิจัย การพัฒนายาใหม่ และบันทึกสุขภาพของผู้ป่วยตามมาตรฐาน HIPAA ระบบคลาวด์เหล่านี้ดำเนินการโดยผู้ให้บริการภายนอกหลายราย เพื่อลดต้นทุนและเพิ่มความยืดหยุ่นทางเทคโนโลยี

อย่างไรก็ตาม การใช้บริการจากบุคคลที่สามทำให้ Amgen พึ่งพาความปลอดภัยของผู้ให้บริการเหล่านั้นเป็นหลัก เมื่อมีการเจาะระบบเข้าถึงข้อมูลในหลายคลาวด์พร้อมกัน ความเสี่ยงต่อการรั่วไหลจึงเพิ่มขึ้นโดยเฉพาะอย่างยิ่งเมื่อไม่มีการแบ่งแยกหรือป้องกันระดับสูงระหว่างข้อมูลภายในและข้อมูลลูกค้า

ตามที่ Amgen รายงานต่อสาธารณะ มีผู้ไม่ประสงค์ดีได้ทำการขโมย ข้อมูลบริษัท และ ข้อมูลสุขภาพของผู้ป่วย ที่เก็บอยู่ในคลาวด์เหล่านั้น การละเมิดดังกล่าวถูกตรวจพบหลังจากที่ระบบเฝ้าตรวจจับความผิดปกติแจ้งเตือน ทีมรักษาความปลอดภัยภายในได้ทำการสอบสวนและยืนยันว่าข้อมูลส่วนใดบ้างที่อาจได้รับผลกระทบ

Breach Details

ข้อมูลที่ถูกรั่วไหลประกอบด้วยสองประเภทหลัก ได้แก่

• ข้อมูลสุขภาพของผู้ป่วย ซึ่งรวมถึงประวัติการรักษา รายละเอียดยา และผลการตรวจสอบทางการแพทย์
• ข้อมูลภายในของบริษัท เช่น เอกสารวิจัย, แผนธุรกิจ, ข้อมูลเกี่ยวกับการพัฒนายาใหม่และข้อมูลการเงินบางส่วน

โดยผู้โจมตีไม่ได้จำกัดตัวเองไว้ที่ระบบเดียว แต่ได้เข้าถึงหลายคลาวด์ที่ดำเนินงานโดยผู้ให้บริการภายนอก ทำให้ขอบเขตของการละเมิดกว้างกว่าเหตุการณ์ในอดีตซึ่งมักเกิดจากช่องโหว่ในระบบเดียว

Amgen ยังไม่ได้เปิดเผยจำนวนบันทึกที่ถูกขโมยหรือชื่อผู้ให้บริการคลาวด์ที่ได้รับผลกระทบ ซึ่งเป็นข้อมูลสำคัญในการประเมินความเสียหายระดับเต็มรูปแบบ อย่างไรก็ตาม บริษัทได้ระบุว่าข้อมูลส่วนใหญ่เกี่ยวข้องกับการดำเนินงานและการวิจัยของบริษัท

Response & Mitigation

หลังจากตรวจพบเหตุการณ์ Amgen ได้ทำการหยุดการเข้าถึงระบบคลาวด์ที่อาจถูกคุกคามโดยทันที และเริ่มกระบวนการตรวจสอบภายในเพื่อระบุแหล่งที่มาของการเจาะระบบ นอกจากนี้ยังได้แจ้งหน่วยงานกำกับดูแลด้านความปลอดภัยข้อมูลและหน่วยงานรักษาความปลอดภัยไซเบอร์ระดับชาติ

บริษัทได้ส่งจดหมายเตือนให้ผู้ป่วยและพันธมิตรทางธุรกิจที่อาจได้รับผลกระทบ พร้อมเสนอการตรวจสอบเครดิตและบริการช่วยเหลือด้านความเป็นส่วนตัวเพื่อป้องกันการนำข้อมูลไปใช้ในทางที่ผิด

Amgen ยังประกาศว่าจะทำงานร่วมกับผู้ให้บริการคลาวด์เพื่อดำเนินการแก้ไขช่องโหว่ที่พบ รวมถึงเพิ่มมาตรการรักษาความปลอดภัย เช่น การเข้ารหัสขั้นสูง, ระบบตรวจจับพฤติกรรมที่ไม่ปกติ และการทดสอบเจาะระบบ (penetration testing) อย่างต่อเนื่อง

Regulatory & Legal Implications

การรั่วไหลของ ข้อมูลสุขภาพ ทำให้ Amgen ต้องเผชิญกับข้อกำหนดตาม HIPAA ซึ่งบังคับให้บริษัทต้องแจ้งเหตุการณ์ละเมิดภายใน 60 วันต่อผู้ที่ได้รับผลกระทบและสถาบันกำกับดูแล หากพบว่ามีการละเลยในการปกป้องข้อมูล บริษัทอาจเสี่ยงต่อการถูกปรับจำนวนหลายล้านดอลลาร์

นอกจากนี้ ยังมีความเป็นไปได้ที่ผู้ป่วยหรือกลุ่มผู้เสียหายจะดำเนินคดีตามกฎหมายรัฐธรรมนูญด้านข้อมูลส่วนบุคคล (data privacy) หรือเรียกร้องค่าเสียหายในศาลอเมริกัน ซึ่งอาจส่งผลต่อภาพลักษณ์และมูลค่าหุ้นของ Amgen อย่างมีนัยสำคัญ

บริษัทได้ให้คำมั่นว่าจะปฏิบัติตามกระบวนการตรวจสอบโดยหน่วยงานกำกับดูแลอย่างเคร่งครัด และจะปรับปรุงมาตรการความปลอดภัยเพื่อสอดคล้องกับมาตรฐานอุตสาหกรรมใหม่ที่อาจเกิดขึ้นจากเหตุการณ์นี้

Industry Impact

เหตุการณ์ของ Amgen เป็นหนึ่งในหลายกรณีล่าสุดที่บริษัทไฮเทคและชีวเวชภัณฑ์ต้องเผชิญกับการโจมตีผ่านระบบคลาวด์ การละเมิดดังกล่าวแสดงให้เห็นว่าการพึ่งพา third‑party service providers ไม่ได้หมายความว่าจะปลอดภัยโดยอัตโนมัติ

หลายบริษัทในอุตสาหกรรมจะเริ่มทบทวนข้อตกลงการให้บริการ (SLA) กับผู้ให้บริการคลาวด์ เพิ่มเงื่อนไขเกี่ยวกับการตรวจสอบด้านความปลอดภัยและการรายงานเหตุการณ์ นอกจากนี้ ความต้องการเทคโนโลยี Zero‑Trust Architecture และการเข้ารหัสแบบ end‑to‑end จะเพิ่มขึ้นอย่างชัดเจน

นักวิเคราะห์เชื่อว่าการรั่วไหลของข้อมูลสุขภาพอาจกระตุ้นให้ผู้กำกับดูแลทั่วโลกออกแนวทางใหม่หรือปรับข้อบังคับเดิมเพื่อให้สอดคล้องกับการใช้เทคโนโลยีคลาวด์ในภาคการแพทย์ ซึ่งจะส่งผลต่อวิธีที่บริษัทชีวเวชต้องจัดการข้อมูลสำคัญของผู้ป่วยในอนาคต

Summary

Amgen ประกาศว่าตัวเองประสบเหตุละเมิดข้อมูลผ่านระบบคลาวด์หลายแห่งของผู้ให้บริการภายนอก ทำให้ ข้อมูลสุขภาพของผู้ป่วย และ ข้อมูลภายในบริษัท ถูกเปิดเผย การตอบสนองรวมถึงการหยุดบริการ ตรวจสอบความเสียหายและแจ้งหน่วยกำกับดูแล คาดว่าเหตุการณ์นี้จะกระตุ้นมาตรการรักษาความปลอดภัยที่เข้มข้นขึ้นในอุตสาหกรรมชีวเวชและเทคโนโลยีคลาวด์.