إيبك توقف تطوير منتجاتها مؤقتاً لإصلاح ثغرات تهدد بيانات 320 مليون مريض

أعلنت شركة إيبك سيستمز، أكبر مزوّد لبرمجيات السجلات الصحية الإلكترونية في الولايات المتحدة، أنها ستوقف معظم أعمال تطوير منتجاتها الجديدة لمدة ستة أسابيع تقريباً، في خطوة استثنائية هدفها إصلاح ثغرات أمنية خطيرة اكتُشفت في نظامها الشهير "ماي تشارت" (MyChart) الذي يستخدمه مئات المستشفيات والعيادات الطبية عبر البلاد.

وبحسب ما أعلنته الشركة، فإن نموذج ذكاء اصطناعي متخصصاً في الأمن السيبراني تابعاً لشركة أنثروبيك، يُعرف باسم "ميثوس" (Mythos)، هو من تمكن من اكتشاف هذه الثغرات. وأوضح ستيرلينغ مارتن، مدير الأمن في إيبك، أن بعض إعدادات العملاء لنظام ماي تشارت قد تسمح لأطراف خارجية بالوصول إلى سجلات المرضى "دون تسجيل أي أثر للاقتحام في سجلات البرنامج"، وهو ما يجعل من الصعب اكتشاف أي عملية اختراق محتملة بعد وقوعها، لا قبله فقط.

ويحمل هذا الاكتشاف أهمية كبيرة بالنظر إلى حجم البيانات التي يحتفظ بها نظام ماي تشارت، إذ يضم أكثر من 320 مليون سجل مرضى في مستشفيات وعيادات أمريكية مختلفة. ومع ذلك، أوضحت الشركة أن طبيعة الثغرات ومدى قابليتها الفعلية للاستغلال ما تزالا غير معلنين بالتفصيل، حرصاً على عدم تزويد أي جهات خبيثة محتملة بمعلومات قد تُستغل قبل اكتمال الإصلاحات.

وجاء قرار التوقف المؤقت عن تطوير المنتجات الجديدة بتوجيه مباشر من جودي فولكنر، الرئيسة التنفيذية المؤسسة للشركة، التي أكدت أن الأولوية القصوى في الأسابيع المقبلة ستكون "تأمين" منتجات الشركة الحالية ومعالجة الثغرات المكتشفة قبل العودة إلى خطط التطوير المعتادة. ويُذكر أن إيبك لا تصل مباشرة إلى البيانات الطبية لعملائها، إذ تقع هذه المسؤولية على عاتق المستشفيات ومقدمي الرعاية الصحية الذين يشغّلون النظام على خوادمهم الخاصة، وهو ما يعني أن نطاق التأثير المحتمل يتوقف على كيفية ضبط كل جهة لإعداداتها الخاصة.

ويأتي هذا التطور في سياق قلق متصاعد في قطاع الرعاية الصحية الأمريكي من الهجمات السيبرانية، لا سيما بعد هجوم الفدية الذي تعرضت له شركة "تشينج هيلث كير" عام 2024 وأثّر على بيانات نحو 192 مليون شخص، في واحدة من أكبر حوادث اختراق البيانات الصحية في تاريخ الولايات المتحدة. وأعاد ذلك الحادث إلى الواجهة النقاش حول هشاشة البنية التحتية الرقمية لقطاع الرعاية الصحية، الذي يحتفظ ببيانات بالغة الحساسية تشمل التاريخ المرضي والأدوية والتشخيصات.

ويكتسب اكتشاف هذه الثغرات عبر أداة ذكاء اصطناعي دلالة مزدوجة؛ فمن جهة، يُظهر كيف أصبحت أدوات الذكاء الاصطناعي المتخصصة في الأمن السيبراني قادرة على رصد ثغرات دقيقة قد يصعب على الفرق البشرية وحدها الكشف عنها بالسرعة ذاتها، ومن جهة أخرى يكشف كيف يمكن لنفس هذه القدرة المتزايدة أن تُستخدم من أطراف خبيثة لاكتشاف واستغلال الثغرات بوتيرة أسرع من أي وقت سابق، وهو ما يفرض على شركات التقنية الصحية مواكبة هذا التحول السريع في أدوات الهجوم والدفاع على حد سواء.

ويرى مختصون في أمن المعلومات الصحية أن هذا النوع من الثغرات، التي لا تترك أثراً واضحاً في سجلات النظام، يُعد من أخطر أنواع الاختراقات لأنه يصعّب على فرق الاستجابة للحوادث تحديد ما إذا كان اختراق ما قد وقع فعلاً، ومتى، وما حجم البيانات التي طالها. وفي ظل اعتماد المستشفيات بشكل متزايد على أنظمة إلكترونية موحّدة لتخزين السجلات الطبية، فإن أي خلل في إحدى الطبقات الأساسية لهذه الأنظمة قد ينعكس على عدد كبير من المؤسسات الصحية في وقت واحد، نظراً لاعتمادها جميعاً على نفس البنية البرمجية الأساسية التي توفرها شركات مثل إيبك.

وتضع هذه الحادثة إيبك، التي تُعد شركة مركزية في منظومة الرعاية الصحية الأمريكية بحكم انتشار برمجياتها الواسع، تحت مجهر أوسع من الجهات التنظيمية والعملاء على حد سواء، خاصة أن أي خلل أمني في نظام تستخدمه مئات المؤسسات الصحية يمكن أن تتضاعف تأثيراته بسرعة. ومن المتوقع أن يراقب المستشفيات وعيادات الرعاية الصحية عن كثب التزام الشركة بالجدول الزمني المعلن للإصلاح، في وقت تتزايد فيه الدعوات لفرض معايير أمان سيبراني أكثر صرامة على مزوّدي البنية التحتية الرقمية للقطاع الصحي بشكل عام.

وتستحق هذه الحادثة اهتماماً خاصاً من مديري تقنية المعلومات في المنشآت الصحية العربية، لا سيما في السعودية والإمارات حيث تتسارع منظومة التحول الرقمي الصحي بوتيرة كبيرة. إذ يعمل المركز الوطني لمعلومات الصحة في المملكة العربية السعودية (NHIC) على توحيد أنظمة السجلات الطبية الإلكترونية وفق معايير وطنية، فيما تُوجب هيئة الصحة في أبوظبي على المنشآت الصحية اعتماد أنظمة موحدة للسجلات الإلكترونية. وتكشف هذه الحادثة عن الأثر الذي يمكن أن تُخلّفه ثغرة صامتة لا تترك أثراً في سجلات الدخول على الأنظمة الصحية العربية الناشئة، مما يدفع الجهات الرقابية إلى تعزيز اشتراطات مراجعة الأمن السيبراني في عقود الأنظمة الصحية الرقمية.

ويضع هذا الحادث أيضاً دوراً جديداً لأدوات الذكاء الاصطناعي في منظومة الأمن السيبراني للقطاع الصحي، حيث لم تعد هذه الأدوات مجرد وسيلة مساعدة للمهاجمين المحتملين، بل أصبحت في المقابل سلاحاً دفاعياً فعالاً بيد الشركات لاكتشاف الثغرات قبل استغلالها. ومع توقع استمرار هذا الاتجاه، تتجه شركات التقنية الصحية الكبرى إلى الاستعانة بنماذج ذكاء اصطناعي متخصصة بصورة منتظمة لفحص أنظمتها، بالتوازي مع فرق الأمن البشرية التقليدية، في محاولة لتقليص الفجوة الزمنية بين ظهور أي ثغرة واكتشافها ومعالجتها.