セキュリティ
同チャリティ団体は一連のセキュリティ強化を確認したと発表。英国政府の承認を待っている
UK Biobank（UKB）は、ボランティアの健康データが大規模に流出した事件から数カ月が経過し、同団体のプラットフォームが「安全」な状態になり、研究者がまもなくアクセスを再開できるようになると発表しました。
同名の研究プロジェクトを運営するこのチャリティ団体は、自らを世界で最も包括的な生物医学データセットの管理者と位置づけています。プラットフォームを再開するには、健康データの管理者と中央政府の承認が必要で、現在はその承認を待っている状況だといいます。
UK Biobankの研究分析プラットフォーム（UKB-RAP）では、4月の攻撃以降、データセットにアクセスしようとするすべての医学研究者が締め出されています。この攻撃では、ボランティア50万人全員のデータが中国のECサイトAlibabaに出品されました。
このクラウドベースのプラットフォームが提供するデータセットは、2万人以上の研究者が利用しています。研究者は研究プロジェクトをアップロードし、UKBが2006年から2010年にかけて40歳から69歳の人々から収集したゲノムデータをもとに実験を行います。
同団体が研究者に提供するデータは約30ペタバイトに上ります。研究者はこれを用いて、がん、認知症、パーキンソン病、新型コロナウイルス感染症（COVID-19）への免疫などを調べています。
UKBのCEOであるロリー・コリンズ教授（Sir Rory Collins）は金曜日、UKB-RAPの安全性を確保する作業を「完了した」と表明しました。作業の進捗は独立したサイバーセキュリティ企業が確認しており、その報告書はプラットフォームの再開を勧告しているとのことです。
同団体は、必要な承認を得た後、研究者を段階的にプラットフォームへ復帰させる計画です。ただし、当初は結果ファイルをダウンロードすることはできません。
プラットフォームでは「手動の出力チェックシステム」を試験導入します。研究者がダウンロードを希望するファイルを担当者が目視で確認し、許可したものだけを取得できる仕組みです。来年には自動化されたプロセスの導入が見込まれています。
UKBが研究者向けに作成した変更点の案内によると、この手動チェックシステムが本格稼働するまでは、公開アプリの構築や、外部の同僚とのツール共有もできなくなります。
研究者には、データの更新や配布ができず、すでにあるデータしか扱えなくなることも通知されています。15分間操作がないと自動的にログアウトされ、再認証の際には2FA（二要素認証）が必要になる点も案内されました。
このほかの技術的な変更として、ジョブへのSSH接続ができなくなります。対話型ツールは、Webアプリとユーザーのローカル環境の間のデータ転送を制限する「分離ブラウジング」経由で実行します。CLIの使用にも一部制限が加わります。
UKBが目指しているのは、プラットフォームを使う研究者が自分のコンピューターにデータを一切保存せず、同団体が運営するリポジトリにアップロードされたデータだけを扱う運用です。
ところが、こうしたオンラインリポジトリにコードをアップロードする際、匿名化されたデータが誤ってコードに含まれてしまう事例があります。
UKBによると、同団体はこれらのリポジトリを毎日自動スキャンしてエラーを検出しています。再発を防ぐため、研究者向けの研修も実施しています。
コリンズ氏は、攻撃以降、大半の研究者はプロジェクトから匿名化データを削除したと確認している一方、削除していない研究者もいると述べました。そうした研究者は、削除するまでUKB-RAPへの復帰を認められません。
コリンズ氏は「何度も注意喚起しているにもかかわらず、匿名化された参加者データを含むコードリポジトリが、いまだに少数ながら検出されています」と述べました。さらに「これらは資料移転契約（Material Transfer Agreement）への重大な違反にあたるため、責任のある研究者に対して制裁を科しています」と語りました。
同団体はまた、コード内に参加者データを公開していた研究者に対し、分析作業をUKB-RAPへ移すこと、ダウンロード済みのデータをすべて削除すること、追加の研修を受けることを義務づけると説明しています。プラットフォームへの復帰は、これらを終えてからです。
同団体は当初、2026年9月までにプラットフォームを再開する見込みだと研究者に伝えていました。しかし先月公表した最新情報では、必要なセキュリティ強化をすでに終えているにもかかわらず、独立した評価の完了を待つ必要があると説明していました。®
