Платформа UK Biobank скоро відновить роботу після скандалу з продажем даних на Alibaba

UK Biobank стверджує, що його Research Analysis Platform тепер захищена і що науковці скоро повернуть собі доступ, місяці після того, як дані всіх 500 000 волонтерів внесли до списку продажу на Alibaba. Благодійна організація чекає схвалення від контролерів медичних даних і центрального уряду перед повторним запуском хмарного сервісу. Понад 20 000 дослідників використовують набір даних, який підтримує дослідження раку, деменції, хвороби Паркінсона та імунітету до COVID-19.

Незалежний огляд підтримує відновлення

Професор сер Рорі Коллінз, головний виконавчий директор UK Biobank, заявив у п'ятницю, що організація завершила роботу, щоб гарантувати захищеність платформи. Незалежна кібербезпекова компанія перевірила цей прогрес, і її звіт рекомендує відкрити платформу знову. Спочатку UK Biobank повідомляв дослідникам, що слід очікувати повторного запуску до вересня 2026 року, але оновлення минулого місяця зазначило, що потрібно дочекатися незалежної оцінки, попри вже зроблені необхідні поліпшення безпеки.

Поетапне повернення з ручними перевірками

Благодійна організація почне поетапне повернення дослідників після отримання необхідних схвалень, хоча спочатку дослідники не зможуть завантажувати файли результатів. Вона випробує систему ручної перевірки виводу, у якій люди-рецензенти перевірятимуть файли, які дослідники хочуть завантажити, перш ніж дозволити це зробити, перед автоматичним процесом, очікуваним наступного року. Дослідникам також заборонять створювати публічні застосунки та ділитися інструментами з зовнішніми колегами, доки ця система ручної перевірки не запрацює повністю.

Технічні зміни та правила щодо даних

Дослідників попередили, що вони не зможуть оновлювати або видавати дані і зможуть працювати лише з наявними даними. Вони мають очікувати автоматичного виходу з системи після 15 хвилин неактивності, причому повторна автентифікація вимагатиме двофакторної автентифікації. Інші зміни включають неможливість підключення через SSH до завдань, запуск інтерактивних інструментів через ізольований перегляд, який обмежує передачу даних між вебзастосунками та локальною системою користувача, а також деякі обмеження на використання командного рядка.

Деідентифіковані дані в коді

UK Biobank каже, що працює над днем, коли дослідники, які використовують його платформу, не зберігатимуть жодних даних на власних комп'ютерах і працюватимуть лише з даними, завантаженими до сховищ, які він розміщує. Однак деідентифіковані дані випадково потрапляють до коду, коли дані завантажують до онлайн-сховищ. Благодійна організація щодня автоматично сканує ці сховища, щоб виявляти помилки, і надає дослідникам навчання, щоб допомогти запобігти таким випадкам.

Санкції за оприлюднені дані учасників

Коллінз сказав, що більшість дослідників підтвердили видалення деідентифікованих даних зі своїх проєктів після атаки, але інші не зробили цього і не будуть допущені назад на платформу, доки не зроблять. Він сказав, що UK Biobank досі виявляє невелику кількість кодових сховищ, які містять деідентифіковані дані учасників. Оскільки це становить серйозне порушення Угоди про передачу матеріалів, до відповідальних дослідників застосовують санкції. Дослідників, спійманих на оприлюдненні даних учасників у своєму коді, змусять перенести свої аналізи на платформу, видалити будь-які завантажені дані та пройти додаткове навчання, перш ніж їм знову дозволять доступ.

Джерела: The Register