Утечка данных NHS в Royal Cornwall Hospitals NHS Trust затронула 8 003 человек и обернулась ещё одной проблемой: сотрудникам, которых за сутки собрали на горячую линию, пришлось принимать звонки разгневанных и напуганных коллег без нормальной подготовки к кризисным ситуациям. Для любой IT-команды это неприятное напоминание: план реагирования на инцидент должен защищать не только системы и данные, но и людей, которые будут объяснять произошедшее пострадавшим.
Инцидент начался с таблицы Excel, опубликованной в феврале 2023 года в ответ на запрос по британскому закону о свободе информации. В файле остались сводные таблицы и связанный с ними кэш данных, через который можно было увидеть сведения о больничных, включая чувствительную медицинскую информацию. Публичный доступ к документу сохранялся 33 месяца, пока в ноябре 2025 года на проблему не указал один из пользователей. О последствиях внутреннего расследования сообщает The Register.
Всего раскрытие затронуло данные 7 715 действующих и бывших сотрудников траста, 288 внешних работников и небольшое число записей, которые не удалось идентифицировать. Логи позволили установить лишь 340 просмотров страницы за последние 12 месяцев до обнаружения ошибки. Сколько раз посетители открывали именно сводные таблицы, неизвестно: в счёт могли попасть и поисковые роботы. Но для пострадавших важнее было не число просмотров, а характер опубликованных данных.
Горячую линию планировали открыть на две недели в декабре 2025 года. В итоге она работала 11 недель и закрылась только в феврале 2026-го: обращений оказалось больше ожидаемого. Сотрудникам клинической команды управления качеством сообщили о новой обязанности за день до запуска. Перед стартом они получили короткий инструктаж, а подготовленный сценарий разговора пришёл примерно за полчаса до первого звонка. Некоторые операторы ещё читали его, когда линия уже начала принимать обращения.
Звонки быстро вышли далеко за рамки стандартного уведомления об утечке. Люди кричали, злились и переживали из-за того, что информация о здоровье могла стать доступна посторонним. В отдельных случаях операторы слышали опасения, связанные с домашним насилием: раскрытые сведения потенциально могли создать угрозу человеку. Им приходилось оценивать необходимость защитных мер без специального обучения и без заранее описанной процедуры эскалации.
Парадокс ситуации был особенно жёстким: многие операторы узнавали, что их собственные данные тоже попали в утечку, уже во время дежурства на линии — иногда за минуты до разговора с другими пострадавшими. При этом им предлагалось не бросать основную работу. Часть людей работала по вечерам и выходным, чтобы совместить обычные обязанности с обработкой звонков. Один из сотрудников описал эту модель коротко: служба держится на доброй воле людей.
Техническая причина тоже выглядит знакомо любой организации, которая публикует выгрузки по запросам пользователей, регуляторов или журналистов. Запрос обработала команда e-Rostering, а не подразделение People Information Unit, привычное к сложным наборам данных. Сотрудники решили, что очистили файл, но пропустили часть обязательных проверок. В частности, неясно, запускался ли Excel Document Inspector и были ли учтены его предупреждения. Этот инструмент способен указать на сводные таблицы и скрытый кэш, однако сам не определяет чувствительность данных и не удаляет их автоматически.
Инструкции также предписывали конвертировать таблицу в PDF перед публикацией, чего не сделали. Проверка показала, что PDF не позволил бы кликнуть до исходных записей, хотя и не гарантировал бы полного удаления скрытых данных. Перевод в CSV, который устраняет интерактивность книги и встроенный кэш, тогда не был формально обязательным. Финальное согласование концентрировалось на содержательном ответе на запрос и соблюдении публичных обязательств, а очистку данных фактически сочли уже выполненной.
После инцидента траст ввёл парольную защиту Excel-файлов в ответах на запросы, обязательное согласование таких материалов старшим специалистом по информационному управлению и обновлённые рекомендации по конвертации в CSV. Расследование отдельно указало, что это требование ещё нужно закрепить в формальной операционной процедуре. Регулятор ICO закрыл дело после внедрения рекомендаций.
Утечка данных NHS показывает, что «обезличить Excel» — не операция, а цепочка проверок: владелец данных, технический формат, автоматический контроль, независимое согласование и понятный маршрут на случай ошибки. А кризисный план без обучения операторов, сценариев для уязвимых людей и разгрузки основной команды — это не план, а надежда на чужую сверхурочную выдержку. В организациях, где персональные данные проходят через таблицы и ручные выгрузки, следующий инцидент часто начинается не с атаки, а с уверенности, что файл уже достаточно очищен.
