支持科学新闻
如果您喜欢这篇文章，请考虑通过以下方式支持我们屡获殊荣的新闻报道 订阅。通过购买订阅，您正在帮助确保未来能够继续讲述关于塑造我们当今世界的发现和想法的具有影响力的故事。
如果奥巴马总统如愿以偿，每位美国人的医疗记录将在 2014 年之前数字化。《经济刺激方案》(在此阅读文本) 包括 $190 亿 美元的资金用于支付这项工作，并呼吁任命一位首席隐私官，就如何最好地保护这些敏感信息向 美国卫生与公众服务部 提供建议。如果一项关于他人可以在线轻松找到您的医疗记录的新研究表明了什么，那么新的首席隐私官（将在未来 12 个月内任命）将面临艰巨的任务，因为数字医疗记录的增加可能意味着医疗身份盗窃的增加。
达特茅斯学院塔克商学院运营管理教授 埃里克·约翰逊 及其同事最近使用专门为扫描基于互联网的点对点 (P2P) 文件共享网络而编写的软件，发现了涉及数千人的机密医疗文件，包括包含社会安全号码、出生日期、医疗诊断和精神病学评估的患者账单记录和保险索赔。（即使没有特殊的搜索软件，也可以找到相同类型的信息，但速度不会那么快，因为研究人员必须在他们访问的每个 P2P 网络上搜索单个计算机。）
约翰逊的团队通过在 P2P 网络（如 Gnutella、FastTrack、Aries 和 e-donkey）上搜索数据。 （访问 eDonkey2000 网络表明它已不再可用。）泄露的信息来自医疗保健组织本身、远程工作的员工以及为这些组织执行账单和其他服务的企业。“我们的目标是查看泄露出来的信息类型，而 P2P 只是了解这些组织的一个窗口，”约翰逊说，他将于周一在巴巴多斯举行的 金融密码学和数据安全 '09 会议上展示他的发现。
在 P2P 中，人们在特定网络上与其他用户共享存储在他们计算机上的信息，这种做法最初由音乐交换服务 Napster 推广开来。通常，P2P 用户必须在他们的计算机上下载软件，以便其他人可以搜索他们的计算机以查找不同的文件。然而，允许其他 P2P 用户访问您的计算机意味着放弃您的防御（包括旨在阻止窥探者和黑客的防火墙）。
例如，研究人员在搜索 P2P 网络时，发现了一份政府雇佣申请，其中包含详细的背景信息，包括申请人的社会安全号码、全名、出生日期和地点以及母亲的娘家姓。具有讽刺意味的是，该文件还包括一份三页的介绍，重点介绍了政府为保护文件中信息而采取的 《电子通信隐私法》措施。然而，达特茅斯大学 Glassmeyer/McNamee 数字战略中心主任约翰逊补充说，“它不知何故最终出现在 P2P 网络上。”
根据约翰逊及其同事早先的一项研究，P2P 用户——2007 年估计有 1000 万用户——通常认为，因为他们只是想分享音乐，所以他们计算机上的其余文件是禁止访问的，SANS 研究所研究主管艾伦·帕勒说。“但是一旦你让别人进入你的电脑，就没有任何防御措施了。”
在去年为期两周的时间里，约翰逊和他的团队使用了位于宾夕法尼亚州克兰berry Township 的 Tiversa, Inc. 开发的特殊 P2P 网络分析软件，搜索与美国前 10 家公开交易的医疗保健提供商相关或提及的信息，其中包括田纳西州的两家：位于纳什维尔的 美国医院公司，以及位于富兰克林的 Community Health Systems，后者 于 2007 年收购了医疗保健巨头 Triad Hospitals。当他们的搜索在一个特定的计算机上找到包含医疗信息的文件时，研究人员能够使用互联网协议 (IP) 地址将该计算机追溯到特定的位置。在某些情况下，这些文件位于从工作场所连接到网络的计算机上，在其他情况下，计算机从家庭、酒店或星巴克无线连接。
在一个案例中，约翰逊和他的团队从一家为医院工作的收款机构的计算机中发现了两个数据库，其中包含超过 20,000 名住院患者的详细信息。另一次搜索发现了一份 1,718 页的报告，其中包含近 9,000 名患者姓名、社会安全号码、出生日期、保险公司、组号和识别号码。研究人员还发现了一份用于开处方的 pdf 表格，该表格是空白的，除了底部的医生签名。“这份文件可能被处方药贩子和滥用者用于医疗欺诈，”约翰逊在他的报告中指出。
约翰逊说，被盗的医疗信息可能被用来窃取您的身份并破坏您的信用，或影响您的医疗记录。“如果我冒用您的身份来获得医疗服务，例如使用您的保险信息去医院接受治疗，这不仅是保险欺诈，还会将虚假信息添加到您的医疗记录中，”他补充道。
纽约市技术研究公司 The 451 Group 副总裁兼研究主管尼克·塞尔比说，P2P 文件共享已成为许多公司“安全主管生活中的祸根”，因为善意的员工将他们的个人信息以及他们公司的专有信息置于风险之中。人们经常出于个人原因使用他们的工作计算机，因为他们在办公室拥有更高的带宽，这使得下载大型音乐和视频文件更容易。塞尔比补充说，虽然某些 P2P 软件允许用户指定他们想要向网络公开哪些信息，但该软件很容易被错误配置，敏感数据会被公开到网络，因为人们在使用技术时并没有真正了解其工作原理。
约翰逊指出，向数字医疗记录的转变并非易事。“（奥巴马）政府正在朝着国家电子医疗记录系统迈进，”他说，“但转型将是痛苦的。只有当他们了解如何保护这些记录时，我们才会安全。”（新的首席隐私官不仅要保护新的数字医疗记录，还要推广保护现有数据的方法。） 理想的解决方案是将这些信息存储在安全的高端数据库系统中，而不是存储在可能留在某人 PC 上的电子表格、电子邮件和 Word 文档中，他说，并补充道：如果这不能很快完成，医院和其他医疗保健组织将需要限制员工对患者数据的访问权限。