UK Biobank заявил о защищённости платформы после утечки данных

UK Biobank (UKB) заявил, что его исследовательская платформа теперь «безопасна», а учёные вскоре смогут вернуться к работе. Благотворительная организация, которая управляет одноимённым проектом, ждёт одобрения от держателей медицинских данных и правительства, прежде чем снова запустить сервис.

Research Analysis Platform (UKB-RAP) закрыта для всех исследователей с апрельской атаки, в результате которой данные всех 500 000 волонтёров были выставлены на продажу на китайской торговой площадке Alibaba. Платформой пользуются более 20 000 учёных: они загружают проекты и проводят эксперименты на геномных данных людей в возрасте от 40 до 69 лет, собранных в 2006–2010 годах. Объём доступных данных — около 30 петабайт; их используют для изучения рака, деменции, болезни Паркинсона и иммунитета к COVID-19.

Гендиректор UKB профессор сэр Рори Коллинз сообщил в пятницу, что организация «завершила работу по обеспечению безопасности UKB-RAP». По его словам, независимая компания по кибербезопасности проверила результаты, а её отчёт рекомендует открыть платформу.

Какие ограничения появятся

Исследователей будут возвращать поэтапно, и сначала скачивать файлы с результатами будет нельзя. Запустят пилот «ручной проверки выходных данных»: сотрудники просматривают файлы до загрузки. Автоматизированный процесс ожидается в следующем году. Пока ручная проверка не заработает в полную силу, нельзя создавать публичные приложения и делиться инструментами с внешними коллегами.

Учёные смогут работать только с уже имеющимися данными, обновлять их или распространять нельзя. После 15 минут бездействия будет происходить автоматический выход, а для повторного входа потребуется двухфакторная аутентификация. Также убрали SSH-доступ к заданиям, интерактивные инструменты работают в режиме «изолированного браузинга», ограничивающем передачу данных между веб-приложениями и локальным компьютером, а использование CLI частично ограничено.

Санкции за нарушения

UKB стремится к тому, чтобы исследователи вообще не хранили данные на своих компьютерах. Однако в публичные репозитории с кодом по ошибке попадают деидентифицированные данные. Организация ежедневно сканирует репозитории и проводит обучение.

Коллинз сказал, что большинство исследователей подтвердили удаление таких данных, но некоторые нет, и их не допустят обратно. «Несмотря на наши неоднократные напоминания, мы по-прежнему обнаруживаем небольшое число репозиториев с деидентифицированными данными участников», — заявил он, добавив, что это серьёзное нарушение соглашения о передаче материалов и к виновным применяют санкции. Они должны перенести анализ в UKB-RAP, удалить скачанные данные и пройти дополнительное обучение.

Первоначально запуск обещали к сентябрю 2026 года, но в прошлом месяце организация сообщила, что нужно дождаться независимой оценки.