Bezpieczeństwo danych genomowych

Najkrótsza odpowiedź

Sekwencja człowieka nie jest zwykłym dużym plikiem. Może:

• odróżniać osobę;
• ujawniać pokrewieństwo;
• zawierać informacje o zdrowiu;
• pozwalać na przyszłe analizy, których dziś nie przewidujemy;
• dotyczyć biologicznych krewnych;
• łączyć się z metadanymi klinicznymi, demograficznymi i genealogicznymi.

Usunięcie imienia nie czyni automatycznie danych anonimowymi. Bezpieczeństwo trzeba projektować dla całego cyklu:

zgoda i cel → pobranie → sekwenator → transfer → analiza → współpraca → publikacja → archiwum lub usunięcie.

Dane genetyczne są szczególną kategorią

RODO definiuje dane genetyczne jako dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych, dostarczające unikalnych informacji o fizjologii lub zdrowiu i wynikające zwłaszcza z analizy próbki biologicznej. Artykuł 9 zalicza ich przetwarzanie do szczególnych kategorii danych osobowych.¹

To nie znaczy, że każde badanie jest zabronione. Oznacza, że potrzebna jest właściwa podstawa, cel, zabezpieczenia i rozliczalność. Szczegóły ustala się z administratorem danych, inspektorem ochrony danych i komisją właściwą dla projektu.

Sekwencja nie traci znaczenia po zmianie nazwiska na kod

Pseudonimizacja rozdziela bezpośredni identyfikator od danych i przechowuje klucz osobno.

Anonimizacja wymaga, aby osoby nie można było zidentyfikować środkami, których użycie jest rozsądnie prawdopodobne w danym kontekście.

Genom sam ma dużą moc rozróżniającą. Połączenie z:

• genealogią;
• pochodzeniem;
• rzadką chorobą;
• wiekiem;
• miejscem;
• datą pobrania;
• opublikowanym rodowodem;
• innymi zbiorami

może ułatwić ponowną identyfikację.

Dlatego określenie „de-identified” trzeba tłumaczyć na konkretne działania i model ryzyka.

Informacja dotyczy też rodziny

Wariant może wskazywać:

• pokrewieństwo biologiczne;
• wspólne pochodzenie;
• odziedziczone ryzyko;
• nieoczekiwany brak albo obecność relacji;
• cechę istotną dla krewnych.

Uczestnik przekazuje dane o sobie, ale biologiczna współdzieloność rozszerza możliwe skutki. Nie oznacza to prostego przeniesienia praw jednej osoby na całą rodzinę; oznacza potrzebę oceny konsekwencji.

Próbka i dane tworzą połączony system

Materiał biologiczny ma:

• identyfikator;
• lokalizację;
• historię pobrań;
• zgodę;
• wyniki;
• potencjał do ponownego wygenerowania danych.

Usunięcie FASTQ nie kończy możliwości sekwencjonowania, jeśli próbka pozostaje w banku. Zniszczenie próbki nie usuwa kopii danych. Polityka retencji musi obejmować oba światy.

Zacznij od mapy przepływu

Mapa odpowiada:

• skąd pochodzą dane;
• kto je generuje;
• gdzie pojawia się identyfikator;
• jak powstaje kod;
• gdzie jest klucz;
• jak dane wychodzą z aparatu;
• gdzie są kopiowane;
• kto analizuje;
• jaki dostawca chmury uczestniczy;
• komu udostępniamy;
• co publikujemy;
• gdzie jest backup;
• kiedy usuwamy.

Bez mapy łatwo zabezpieczyć główny serwer i pominąć stację przy sekwenatorze.

Inwentaryzacja danych

Warto rozróżnić:

• surowe sygnały aparatu;
• odczyty;
• pliki dopasowania;
• wywołane warianty;
• ekspresję;
• metylację;
• fenotyp;
• dane kliniczne;
• rodowód;
• metadane techniczne;
• raport;
• notatnik analityczny;
• log;
• kopię roboczą;
• kopię zapasową.

VCF może być mniejszy niż BAM, ale niekoniecznie mniej wrażliwy.

Klasyfikacja zależy od połączenia

Pojedyncza tabela QC może wydawać się mało istotna. Połączenie identyfikatora próbki, rzadkiego wariantu, rozpoznania i daty może jednak tworzyć dane osobowe o wysokiej wrażliwości.

Klasyfikacja powinna dotyczyć zbioru oraz możliwych połączeń, nie tylko rozszerzenia pliku.

Cel i ograniczenia użycia

Przed analizą określa się:

• cel badania;
• podstawę przetwarzania;
• treść zgody;
• dopuszczalne użycie wtórne;
• ograniczenia chorobowe albo populacyjne;
• zgodę na współpracę;
• zasady komercyjnego użycia;
• możliwość kontaktu;
• okres;
• wymagane zatwierdzenia.

Uprawnienie techniczne do odczytu nie jest automatycznie uprawnieniem etycznym i prawnym do dowolnej analizy.

Minimalizacja

Minimalizacja nie zawsze oznacza mały rozmiar.

Może oznaczać:

• brak bezpośrednich identyfikatorów;
• przekazanie tylko potrzebnych pól fenotypu;
• ograniczenie regionów albo wyników;
• pracę w bezpiecznym środowisku bez eksportu danych indywidualnych;
• publikację zagregowaną;
• usunięcie metadanych technicznych;
• ograniczony czas dostępu.

Trzeba zachować tyle, ile jest potrzebne do celu i jakości, ale nie „wszystko na wszelki wypadek”.

Model zagrożeń

Pytamy:

• co chronimy;
• przed kim;
• z jakim prawdopodobnym motywem;
• przez jakie wejście;
• z jakim skutkiem;
• jakie bariery mamy;
• jak wykryjemy naruszenie.

Źródłem może być:

• przypadkowa pomyłka;
• zgubiony laptop;
• błędne uprawnienie;
• publiczny link;
• przejęte konto;
• złośliwe oprogramowanie;
• niezabezpieczony interfejs;
• niewłaściwy odbiorca;
• osoba wewnętrzna;
• dostawca;
• podatność łańcucha oprogramowania.

Poufność, integralność i dostępność

Poufność: dane widzą właściwe osoby.

Integralność: dane i wyniki nie są niezauważalnie zmienione.

Dostępność: dane i środowisko są dostępne wtedy, gdy są potrzebne.

Projekt koncentrujący się wyłącznie na poufności może pominąć ransomware, utratę surowych danych albo podmianę wyniku.

Zarządzanie bezpieczeństwem

NIST Cybersecurity Framework 2.0 porządkuje wyniki w funkcjach: govern, identify, protect, detect, respond i recover. Jest ramą zarządzania ryzykiem, a nie jedną listą ustawień.²

Dla genomiki oznacza to:

• właściciela i zasady;
• inwentarz;
• zabezpieczenia;
• monitoring;
• plan reakcji;
• odtworzenie i uczenie się.

Odpowiedzialność

Role mogą obejmować:

• administratora danych;
• kierownika badania;
• opiekuna zbioru;
• bioinformatyka;
• administratora systemu;
• inspektora ochrony danych;
• zespół bezpieczeństwa;
• komisję etyczną;
• dostawcę;
• oficjalnego zatwierdzającego transfer.

Nie należy zakładać, że doktorant sam rozstrzygnie architekturę, prawo i zgodę.

Tożsamość użytkownika

Każda osoba powinna mieć własne konto.

Konta wspólne:

• utrudniają przypisanie operacji;
• przeżywają odejście pracownika;
• zachęcają do dzielenia hasła;
• komplikują cofnięcie dostępu;
• niszczą wiarygodność logów.

Tożsamość musi być aktualna od przyjęcia do zakończenia współpracy.

Wieloskładnikowe uwierzytelnienie

MFA ogranicza skutek utraty samego hasła, szczególnie dla:

• dostępu zdalnego;
• chmury;
• repozytorium;
• kont administracyjnych;
• poczty używanej do resetowania.

Nie usuwa phishingu ani błędnych uprawnień. Jest jedną warstwą.

Najmniejsze uprawnienia

Użytkownik otrzymuje:

• właściwy zbiór;
• właściwą operację;
• na właściwy czas;
• dla zatwierdzonego celu.

„Cały zespół ma cały dysk” jest wygodne, lecz zwykle nadmierne.

Uprawnienia do odczytu, zapisu, eksportu, udostępnienia i administracji powinny być rozdzielone.

Przegląd dostępu

Przegląd odpowiada:

• kto nadal pracuje w projekcie;
• kto zmienił rolę;
• czy dostęp wygasł;
• czy konto serwisowe jest potrzebne;
• czy klucz API ma właściciela;
• czy współpracownik zakończył zadanie;
• czy nowe użycie nadal pasuje do zgody.

Lista tworzona raz na początku projektu szybko się starzeje.

Stacja przy aparacie

Komputer sterujący sekwenatorem może być:

• ze starym systemem;
• zależny od oprogramowania producenta;
• podłączony do nośników;
• obsługiwany przez serwis zdalny;
• używany wspólnie;
• miejscem lokalnych kopii.

Warto oddzielić sterowanie aparatem od analizy, ograniczyć ruch sieciowy, kontrolować eksport i mieć procedurę serwisu.

Transfer z aparatu

Proces powinien określać:

• źródło i cel;
• uwierzytelnienie;
• szyfrowanie;
• sumę kontrolną;
• automatyzację;
• potwierdzenie kompletności;
• zachowanie po błędzie;
• usunięcie kopii źródłowej;
• log.

Przeciągnięcie folderu przez pulpit zdalny jest trudne do audytu i wznowienia.

Szyfrowanie w tranzycie i spoczynku

Szyfrowanie w tranzycie chroni ruch między systemami.

Szyfrowanie w spoczynku chroni nośnik, kopię, dysk lub obiekt.

Pozostają pytania:

• gdzie są klucze;
• kto może je użyć;
• co dzieje się po utracie;
• czy backup jest szyfrowany;
• czy dostawca ma dostęp;
• czy dane są odszyfrowane w pamięci i przestrzeni roboczej;
• czy logi zawierają fragmenty danych.

Szyfrowany dysk nie pomaga po zalogowaniu na przejęte konto.

Klucze i sekrety

Hasło, token, klucz chmurowy i klucz SSH nie powinny trafiać do:

• skryptu;
• notebooka;
• repozytorium;
• obrazu kontenera;
• pliku wynikowego;
• komunikatora;
• publicznego zgłoszenia błędu.

Sekrety mają właściciela, zakres, okres ważności, rotację i bezpieczne przechowywanie.

Endpoint bioinformatyka

Laptop jest częścią systemu, jeśli:

• pobiera dane;
• ma klucze;
• synchronizuje folder;
• otwiera raport;
• łączy się z klastrem;
• przechowuje cache.

Potrzebne są aktualizacje, szyfrowanie, blokada, kontrola aplikacji, kopie i możliwość bezpiecznego odebrania dostępu.

Prywatny komputer jest osobną decyzją ryzyka, nie neutralnym narzędziem.

Nośniki wymienne

Dysk USB może:

• przenieść złośliwe oprogramowanie;
• zostać zgubiony;
• ominąć logi;
• tworzyć niekontrolowaną kopię;
• mieszać projekty.

Jeśli jest konieczny, powinien być zatwierdzony, szyfrowany, ewidencjonowany, skanowany i bezpiecznie czyszczony.

Klaster i HPC

Współdzielony klaster wymaga kontroli:

• przestrzeni domowej i scratch;
• uprawnień grup;
• kolejek;
• tymczasowych plików;
• logów zadań;
• kontenerów;
• eksportu;
• administratorów;
• usuwania po zadaniu.

Nazwa próbki może pojawić się w nazwie zadania widocznej dla innych.

Kontenery i obrazy

Kontener zwiększa powtarzalność, ale:

• obraz może mieć podatność;
• rejestr może być publiczny;
• warstwa może zawierać sekret;
• uruchomienie z szerokim dostępem do hosta osłabia izolację;
• nieznany obraz może wykonywać niepożądany kod.

Obrazy należy wersjonować, skanować i pozyskiwać z kontrolowanego źródła.

Chmura

Pytania przed migracją:

• jaka usługa;
• jaki region;
• jakie warunki umowy;
• kto jest administratorem i procesorem;
• jak skonfigurowano tożsamość;
• czy zasób jest publiczny;
• jak szyfruje się dane;
• gdzie są logi;
• jak działa backup;
• jak eksportujemy i usuwamy;
• jak dostawca zgłasza incydent;
• czy podwykonawcy są dopuszczalni.

„Chmura jest bezpieczna” i „chmura jest niebezpieczna” są równie mało użyteczne bez konfiguracji.

Współdzielona odpowiedzialność

Dostawca może zabezpieczać centrum danych i platformę, ale klient odpowiada za:

• uprawnienia;
• publiczne linki;
• tokeny;
• ustawienia zasobu;
• kod;
• użytkowników;
• retencję;
• zgodność użycia.

Najczęstsza luka może leżeć w konfiguracji projektu, nie w fizycznej serwerowni.

Przestrzeń robocza

Bezpieczny model może zapewniać:

• analizę przy danych;
• brak pobierania surowych plików;
• kontrolowane narzędzia;
• eksport tylko zatwierdzonych wyników;
• logowanie;
• wygaśnięcie projektu;
• oddzielenie użytkowników.

To zmniejsza liczbę kopii, choć wymaga dobrego zarządzania i wydajności.

Notebook analityczny może wyciekać

Plik notebooka może zawierać:

• fragmenty danych;
• ścieżki;
• identyfikatory;
• token;
• wynik w komórce;
• wykres z rzadkim fenotypem;
• historię błędu.

Przed umieszczeniem w repozytorium trzeba go oczyścić i sprawdzić.

Repozytorium kodu

Kod powinien być oddzielony od danych.

Kontrole:

• prywatność projektu;
• przegląd dostępu;
• ochrona gałęzi;
• skanowanie sekretów;
• zależności;
• podpisane wydania;
• historia zmian;
• procedura publikacji.

Usunięcie sekretu z ostatniej wersji nie usuwa go z historii; sekret trzeba unieważnić.

Logi

Logi pomagają odpowiedzieć:

• kto wszedł;
• jaki zbiór otworzył;
• co eksportował;
• kto zmienił uprawnienie;
• czy użyto konta administracyjnego;
• kiedy zasób stał się publiczny;
• jakie zadanie uruchomiono.

Same logi mogą zawierać wrażliwe identyfikatory. Potrzebują dostępu, retencji, integralności i monitorowania.

Detekcja

Sygnały:

• masowe pobranie;
• dostęp z nietypowego miejsca;
• wiele błędów uwierzytelnienia;
• nowe konto administracyjne;
• publiczny zasób;
• wyłączenie logowania;
• eksport poza godzinami;
• użycie wygasłego projektu;
• dostęp do niepowiązanego zbioru.

Alert bez właściciela i reakcji jest tylko wiadomością.

Kopia zapasowa

Backup chroni dostępność i integralność.

Powinien być:

• objęty zakresem klasyfikacji;
• szyfrowany;
• odseparowany;
• chroniony przed masowym skasowaniem;
• testowany przez odtworzenie;
• zgodny z retencją;
• uwzględniony w usuwaniu danych.

Kopia, której nie odtworzono testowo, jest nadzieją.

Integralność danych

Można stosować:

• sumy kontrolne;
• niezmienne obiekty;
• wersjonowanie;
• kontrolę zmian;
• podpisy;
• rozdzielenie surowych danych od wyników;
• zapis parametrów i środowiska;
• niezależną kopię.

Bez integralności można wykonać poprawną analizę na podmienionym pliku.

Udostępnienie nie oznacza publikacji

Modele:

• otwarty dostęp;
• dostęp kontrolowany;
• bezpieczna przestrzeń;
• wynik zagregowany;
• federacyjna analiza;
• współpraca bez eksportu;
• repozytorium z komisją dostępu.

NIH rozróżnia dane dostępne otwarcie i kontrolowanie oraz wymaga, aby ograniczenia użycia wynikały między innymi ze zgody i przeglądu instytucjonalnego.³

Dobór modelu zależy od ryzyka, wartości naukowej i zobowiązań wobec uczestników.

Umowa i zatwierdzenie

Przed transferem określa się:

• zbiór;
• cel;
• odbiorcę;
• uprawnionych użytkowników;
• miejsce;
• okres;
• zakazane użycia;
• dalsze udostępnienie;
• publikację;
• incydenty;
• zwrot albo usunięcie;
• audyt;
• odpowiedzialność instytucji.

E-mail „wyślij mi BAM-y” nie jest wystarczającą autoryzacją.

Kontrolowany dostęp

NIH wskazuje, że instytucja odbiorcy odpowiada za poufność, integralność i dostępność kontrolowanych danych genomowych; oczekuje współpracy badaczy, osób zatwierdzających i zespołów IT oraz ograniczenia dostępu do zatwierdzonych użytkowników.⁴

To dobry model organizacyjny również poza systemem NIH: bezpieczeństwo nie jest prywatnym zadaniem analityka.

Publikacja

Przed publikacją sprawdza się:

• rozmiary małych grup;
• rzadkie warianty;
• kombinacje cech;
• rodowody;
• metadane czasu i miejsca;
• wykresy pojedynczych osób;
• suplement;
• repozytorium kodu;
• identyfikatory próbek;
• możliwość połączenia z inną publikacją.

Agregacja nie zawsze eliminuje ryzyko, zwłaszcza dla małej kohorty.

Sztuczna inteligencja i usługi zewnętrzne

Nie należy wklejać danych genomowych, fenotypów ani identyfikatorów do ogólnodostępnego narzędzia bez zatwierdzenia warunków.

Trzeba znać:

• czy dane są przechowywane;
• czy służą do uczenia;
• gdzie są przetwarzane;
• kto ma dostęp;
• czy można je usunąć;
• jaki jest podwykonawca;
• czy istnieje odpowiednia umowa;
• czy użycie odpowiada zgodzie.

Dotyczy to także automatycznego debugowania kodu i analizy logów.

Retencja

Okres wynika z:

• celu;
• zgody;
• prawa;
• umowy;
• wymogów naukowych;
• możliwości odtworzenia;
• kosztu i ryzyka.

„Na zawsze” nie powinno być ustawieniem domyślnym bez uzasadnienia.

Usuwanie

Usuwanie musi objąć:

• główny zasób;
• scratch;
• kosz;
• wersje;
• snapshot;
• backup;
• laptop;
• nośnik;
• kopię współpracownika;
• cache;
• próbkę, jeśli dotyczy.

W systemie z backupem natychmiastowe fizyczne usunięcie może być niemożliwe; trzeba mieć udokumentowany cykl wygaśnięcia i brak przywrócenia do użycia.

Odejście członka zespołu

Proces obejmuje:

• cofnięcie kont;
• tokenów i kluczy;
• przeniesienie własności;
• zwrot sprzętu;
• kontrolę lokalnych kopii;
• zamknięcie dostępu do repozytoriów;
• zachowanie wymaganej dokumentacji;
• przypomnienie zobowiązań.

Konto nie powinno pozostawać aktywne „na wypadek pytania”.

Incydent danych

Przykłady:

• publiczny link;
• zgubiony dysk;
• wysyłka do złej osoby;
• przejęcie konta;
• ransomware;
• niezatwierdzona analiza;
• przekroczenie zakresu użycia;
• ponowna identyfikacja;
• utrata integralności;
• usunięcie jedynej kopii.

Plan określa:

1. zabezpieczenie;
2. zachowanie logów;
3. ustalenie zbioru i osób;
4. ocenę poufności, integralności i dostępności;
5. powiadomienie wewnętrzne;
6. ocenę obowiązków prawnych oraz umownych;
7. komunikację;
8. odtworzenie;
9. analizę przyczyn;
10. kontrolę skuteczności.

Ćwiczenie reakcji

Scenariusz może brzmieć: „o 9:00 odkryto, że zasób obiektowy był publiczny od trzech dni”.

Zespół sprawdza:

• kto może zamknąć dostęp;
• gdzie są logi;
• jak ustalić zakres;
• kto zna treść zgody;
• kto kontaktuje się z dostawcą;
• kto ocenia obowiązek zgłoszenia;
• jakie kopie mogły powstać;
• jak komunikujemy niepewność.

Ćwiczenie ujawnia luki bez rzeczywistego wycieku.

Minimalna karta projektu genomowego

1. Jakie osoby i próbki?
2. Jakie typy danych i metadanych?
3. Jaki cel oraz podstawa?
4. Jakie ograniczenia zgody i użycia?
5. Gdzie jest mapa przepływu?
6. Kto jest właścicielem?
7. Jak klasyfikujemy?
8. Kto ma dostęp i dlaczego?
9. Jak uwierzytelniamy?
10. Jak szyfrujemy i zarządzamy kluczami?
11. Gdzie są kopie, scratch i backup?
12. Jak kontrolujemy chmurę, HPC i endpointy?
13. Co logujemy i kto reaguje?
14. Jak udostępniamy oraz publikujemy?
15. Jak długo przechowujemy?
16. Jak usuwamy?
17. Co po odejściu pracownika?
18. Co po incydencie?

Co warto zapamiętać

• Genom może sam wspierać identyfikację.
• Pseudonimizacja jest ważna, lecz nie równa anonimowości.
• Informacja może dotyczyć krewnych i ma długi horyzont.
• Próbka oraz dane wymagają wspólnej polityki.
• Mapa przepływu ujawnia kopie poza głównym serwerem.
• Dostęp techniczny nie jest zgodą na dowolne użycie.
• Poufność, integralność i dostępność są równie istotne.
• Szyfrowanie nie naprawia przejętego konta ani błędnego uprawnienia.
• Kod, notebook, log i metadane również mogą ujawniać dane.
• Bezpieczne udostępnianie jest możliwe, jeśli model odpowiada ryzyku i zobowiązaniom.

Dokąd dalej

Zarządzanie dostępem rozwija Biosecurity i odpowiedzialne zarządzanie materiałem.

Pracę analityczną opisuje Jak wygląda praca bioinformatyka.

Reakcję na naruszenie rozwija Incydent laboratoryjny i analiza przyczyn źródłowych.

Źródła