UK Biobank、データ流出後の研究基盤は「安全」と表明

UK Biobank(UKB)は、研究者向けの「Research Analysis Platform(UKB-RAP)」が現在は「安全」だと表明した。ボランティアの健康データが流出してから数カ月、研究者は近く利用を再開できる見通しだ。ただ、再開には医療データ管理者と政府の承認が必要で、慈善団体であるUKBはその判断を待っている。

UKB-RAPは4月の攻撃以降、すべての研究者が利用できない状態が続いている。この攻撃では、50万人のボランティア全員のデータが中国の電子商取引サイトAlibabaに出品された。2万人超の研究者が、2006〜2010年に40〜69歳から集めたゲノムデータなどを使い、がんや認知症、パーキンソン病、新型コロナへの免疫などを研究している。提供データは約30ペタバイトに上る。

Rory Collins最高経営責任者は金曜日、UKB-RAPの安全確保作業を完了したと述べた。独立したサイバーセキュリティ企業が確認し、報告書は再開を推奨しているという。

再開後の主な制限

研究者は段階的に復帰するが、当初は結果ファイルをダウンロードできない。人間の担当者がファイルを確認する「手動の出力チェック」を試験導入し、自動化は来年の予定だ。手動チェックが本格稼働するまで、公開アプリの作成や外部との共有も制限される。

データの更新や配布はできず、既存データのみを扱える。15分間操作がないと自動ログアウトされ、再認証には二要素認証が必要になる。ジョブへのSSH接続は不可となり、対話型ツールは「分離ブラウジング」で動かしてデータ移動を制限する。CLIの利用にも一部制限がある。

コード公開による再流出への対応

UKBは、研究者が自分のPCにデータを保存しない運用を目指している。一方、コードのリポジトリに匿名化データが誤って含まれる例が続く。UKBは毎日自動スキャンし、研修も実施している。

Collins氏によると、大半の研究者はデータ削除を確認したが、していない研究者は削除するまで復帰できない。「繰り返し通知したにもかかわらず、参加者の匿名化データを含むリポジトリが少数ながら見つかっている」とし、素材移転契約への重大な違反として制裁を科すと述べた。該当者は分析をUKB-RAPへ移し、ダウンロード済みデータを削除し、追加研修を受ける必要がある。

再開は当初2026年9月とされていたが、先月、独立評価の完了を待つ必要があると更新していた。