COI SingHealth: Pengurusan bimbang siasatan terjejas jika pihak awam diberitahu awal tentang godaman

SINGAPURA: SingHealth menunda pemberitahuan kepada orang awam tentang serangan siber ke atas pangkalan datanya kerana bimbang bahawa pengumuman awal boleh menjejas penyiasatan. Demikian dibentangkan kepada Jawatankuasa Siasatan (COI) berhubung kes itu pada Isnin (5 Nov).

Lebih banyak maklumat juga diperlukan bagi memastikan kebocoran data itu dapat dibendung, kata Profesor Kenneth Kwek kepada COI. Prof Kwek merupakan Timbalan Ketua Pegawai Eksekutif SingHealth (Informatik dan Perubahan Organisasi).

Orang ramai diberitahu tentang serangan siber - yang mengakibatkan rekod 1.5 juta pesakit SingHealth diakses dan disalin - pada 20 Julai.

Pentadbir pangkalan data dari Sistem Maklumat Kesihatan Bersepadu (IHiS) - agensi pusat IT bagi sektor kesihatan - mengesan pencerobohan itu pada 4 Julai.

Sejak September, COI mengadakan sidang perbicaraan awam bagi menyiasat apa yang berlaku sewaktu pencerobohan itu.

PERLU LEBIH MAKLUMAT

COI itu diberitahu bahawa Prof Kwek pertama kali mendapat panggilan telefon daripada Encik Benedict Tan, Ketua Pegawai Maklumat kumpulan SingHealth, pada 9 Julai. Prof Kwek diberitahu oleh Encik Tan bahawa IHiS mengesan beberapa "aktiviti mencurigakan pada salah satu pangkalan data SingHealth".

Sehari kemudian, Encik Tan menghantar emel memberitahu Prof Kwek bahawa "(berlakunya) akses tanpa kebenaran" ke pangkalan data pengeluaran SCM (Pengurus Klinikal Sunrise) pada 4 Julai.

Emel tersebut turut dihantar kepada Ketua Pegawai Eksekutif kumpulan SingHealth Professor Ivy Ng dan Ketua Pegawai Operasi kumpulan SingHealth Tan Jack Thian.

"Saya dan Ivy sedar SingHealth mempunyai tanggungjawab serta merta untuk memberitahu secepat mungkin semua pesakit yang terjejas oleh pembocoran data," kata Prof Kwek. "Namun, sebelum kami boleh lakukannya atau melakarkan rancangan perhubungan, kami perlu memastikan data dalam keadaan selamat.

“Kami juga perlukan lebih maklumat tentang serangan siber itu supaya dapat berhubungan dengan para pesakit dengan lebih bermakna."

Menurut Prof Kwek, IHiS kemudian mengesahkan dalam satu mesyuarat pada 13 Julai bahawa data dikeluarkan mereka dapat mengenal pasti data yang terjejas.

"Dalam mesyuarat ini, isu berkaitan komunikasi awam dan bila pengumuman perlu dibuat turut dibincangkan," katanya. "Kami bersetuju bahawa pengumuman awam tidak boleh menjejas siasatan forensik yang sedang berlangsung."

Selepas rundingan bersama pihak-pihak berkepentingan, tiga tarikh diusulkan bagi pengumuman itu. Prof Kwek menerangkan tarikh 20 Julai dipilih kerana terdapat "ruang waktu mencukupi bagi bendungan sewajarnya" berhubung serangan siber itu.

Beliau menambah keperluan untuk memberitahu orang ramai secepat mungkin perlu diimbangi dengan beberapa pertimbangan.
Pertimbangan itu termasuk kebimbangan bahawa pengumuman awal akan menjejas atau menghalang siasatan forensik yang sedang berlangsung jika penyerang masih berada dalam rangkaian, serta memastikan serangan siber itu dibendung sebelum pengumuman dibuat.

"Lebih banyak maklumat berhubung serangan siber itu diperlukan untuk membina keyakinan semasa pengumuman awam dibuat," kata Encik Kwek. "Terdapat kebimbangan jika pengumuman dibuat terlalu awal tanpa maklumat sewajarnya, pihak awam akan semakin risau."

Meskipun Dr Kwek berkata SingHealth sudah bersikap "proaktif" dalam "membina kesedaran dan mendidik kakitangan tentang risiko keselamatan siber", beliau menambah lebih banyak akan dilakukan pada masa hadapan.

Persidangan COI dijadual disambung pada Jumaat.