การรั่วไหลของข้อมูล SingHealth ในปี 2018เป็นเหตุการณ์การรั่วไหลของข้อมูลที่เริ่มต้นโดยผู้กระทำการที่เป็นรัฐซึ่งไม่ระบุตัวตน ซึ่งเกิดขึ้นระหว่างวันที่ 27 มิถุนายนถึง 4 กรกฎาคม 2018 ในช่วงเวลานั้น ข้อมูลส่วนบุคคล ของผู้ป่วย SingHealth  จำนวน 1.5 ล้านคนและบันทึกการจ่ายยาผู้ป่วยนอกของผู้ป่วย 160,000 คน ถูกขโมยไป ชื่อหมายเลขบัตรประจำตัวประชาชน (NRIC) ที่อยู่ วันเกิด เชื้อชาติ และเพศของผู้ป่วยที่ไปเยี่ยมคลินิกผู้ป่วยนอกเฉพาะทางและโพลีคลินิก ระหว่างวันที่ 1 พฤษภาคม 2015 ถึง 4 กรกฎาคม 2018 ถูกเข้าถึงและคัดลอกโดยเจตนาร้าย ข้อมูลที่เกี่ยวข้องกับการวินิจฉัยโรค ผลการตรวจ และบันทึกของแพทย์ไม่ได้รับผลกระทบ^{[ 1 ] [ 2 ]}ข้อมูลเกี่ยวกับนายกรัฐมนตรีลี เซียน ลุงถูกโจมตีโดยเฉพาะ^{[ 3 ]}

ผู้ดูแลระบบฐานข้อมูลของระบบสารสนเทศสุขภาพแบบบูรณาการ (IHIS) ซึ่งเป็นผู้ให้บริการด้านไอทีสาธารณสุข ตรวจพบกิจกรรมที่ผิดปกติในฐานข้อมูลไอทีแห่งหนึ่งของ SingHealth เมื่อวันที่ 4 กรกฎาคม และได้ดำเนินการป้องกันการโจมตีเพิ่มเติม การตรวจสอบการรับส่งข้อมูลเครือข่ายได้รับการปรับปรุงให้ดีขึ้น มีการตรวจพบกิจกรรมที่เป็นอันตรายเพิ่มเติมหลังจากวันที่ 4 กรกฎาคม แต่ไม่ได้ส่งผลให้มีการขโมยข้อมูลใดๆ^{[ 4 ]}หลังจากตรวจสอบแล้วว่ามีการโจมตีทางไซเบอร์เกิดขึ้น ผู้ดูแลระบบได้แจ้งกระทรวงต่างๆ และนำหน่วยงานความมั่นคงทางไซเบอร์ (CSA) เข้ามาดำเนินการตรวจสอบทางนิติวิทยาศาสตร์เมื่อวันที่ 10 กรกฎาคม หน่วยงานดังกล่าวระบุว่าผู้กระทำความผิดได้รับสิทธิ์การเข้าถึงเครือข่ายไอทีโดยการเจาะระบบเวิร์กสเตชันส่วนหน้า และได้รับข้อมูลประจำตัวในการเข้าสู่ระบบเพื่อเข้าถึงฐานข้อมูล ในขณะที่ซ่อนร่องรอยดิจิทัล ของตน ^{[ 4 ]} การโจมตีดัง กล่าวถูกเปิดเผยต่อสาธารณะในแถลงการณ์ที่ออกโดยกระทรวงการสื่อสารและสารสนเทศและกระทรวงสาธารณสุขเมื่อวันที่ 20 กรกฎาคม^{[ 3 ] [ 5 ]}ความล่าช้าสิบวันระหว่างการค้นพบการโจมตีและการประกาศต่อสาธารณะเกิดจากเวลาที่จำเป็นในการเสริมความแข็งแกร่งของระบบไอที ดำเนินการสอบสวนเบื้องต้น ระบุผู้ป่วยที่ได้รับผลกระทบ และเตรียมการด้านโลจิสติกส์สำหรับการประกาศ^{[ 6 ]}ต่อมาได้มีการส่งข้อความไปยังผู้ป่วยที่ข้อมูลได้รับผลกระทบ^{[ 4 ]}

เมื่อวันที่ 6 สิงหาคม 2561 ในรัฐสภาอดีตรัฐมนตรีว่าการกระทรวงการสื่อสารและสารสนเทศเอส. อิสวารันได้กล่าวหาว่าการโจมตีดังกล่าวเกิดจากกลุ่มบุคคลที่เชื่อมโยงกับรัฐซึ่งมีความซับซ้อน โดยได้เขียนมัลแวร์ ที่ปรับแต่งเอง เพื่อหลีกเลี่ยงโปรแกรมป้องกันไวรัสและเครื่องมือรักษาความปลอดภัยของ SingHealth อิสวารันไม่ได้เอ่ยชื่อรัฐใด ๆ เพื่อผลประโยชน์ของความมั่นคงแห่งชาติ^{[ 7 ]}

คณะกรรมการสอบสวนถูกเรียกประชุมเมื่อวันที่ 24 กรกฎาคม 2561 เพื่อตรวจสอบสาเหตุของการโจมตีและระบุมาตรการที่จะช่วยป้องกันการโจมตีที่คล้ายคลึงกัน คณะกรรมการประกอบด้วยสมาชิกสี่คน โดยมีอดีตหัวหน้าผู้พิพากษาศาลแขวง Richard Magnus เป็นประธาน และประกอบด้วยผู้นำของบริษัทด้านความปลอดภัยทางไซเบอร์ บริษัทเทคโนโลยีด้านการดูแลสุขภาพ และสภาสหภาพแรงงานแห่งชาติตามลำดับ^{[ 8 ]}คณะกรรมการได้ขอให้สำนักงานอัยการสูงสุดนำเสนอหลักฐาน และสำนักงานอัยการสูงสุดได้แต่งตั้งหน่วยงานความปลอดภัยทางไซเบอร์ให้เป็นผู้นำการสอบสวนโดยได้รับการสนับสนุนจากกรมสอบสวนคดีอาญาคณะกรรมการได้จัดการไต่สวนแบบปิดและแบบเปิดเผยตั้งแต่วันที่ 28 สิงหาคม^{[ 9 ]}และมีการไต่สวนอีกชุดหนึ่งตั้งแต่วันที่ 21 กันยายนถึง 5 ตุลาคม^{[ 10 ] [ 11 ] [ 12 ]}นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังได้ตรวจสอบการละเมิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลในการปกป้องข้อมูล และกำหนดมาตรการที่เป็นไปได้^{[ 13 ]}

การพิจารณาคดีของคณะกรรมการสอบสวนเริ่มต้นขึ้นในวันที่ 21 กันยายน 2561 ในการพิจารณาคดีครั้งแรก อัยการสูงสุด เควก มีน ลัค กล่าวว่า ความผิดพลาดของเจ้าหน้าที่และการมีช่องโหว่ในระบบหลายประการส่งผลให้เกิดการละเมิดข้อมูล ตัวอย่างที่กล่าวถึง ได้แก่ ระบบ EMR ซึ่งใช้งานมาตั้งแต่ปี 2542 นอกจากนี้ ยังมีการกล่าวถึงว่า ผู้โจมตีทางไซเบอร์เริ่มแพร่เชื้อไปยังเวิร์กสเตชันตั้งแต่เดือนสิงหาคม 2560 โดยใช้เครื่องมือแฮ็กเกอร์ เวอร์ชันของMicrosoft Outlookที่ใช้งานอยู่นั้นไม่มีแพตช์ที่ป้องกันการโจมตีจากเครื่องมือแฮ็กเกอร์ดังกล่าว ระหว่างเดือนธันวาคม 2560 ถึงพฤษภาคม 2561 ผู้โจมตีทางไซเบอร์ได้เปลี่ยนเป้าหมายและเข้าถึงเวิร์กสเตชันเพื่อแพร่เชื้อไปยังคอมพิวเตอร์เครื่องอื่น ๆ ข้อบกพร่องอื่น ๆ ที่พบ ได้แก่ การไม่สามารถระบุความพยายามในการเข้าสู่ระบบที่ล้มเหลวหลายครั้ง ซึ่งกระทำโดยใช้บัญชีที่ไม่มีอยู่จริงหรือบัญชีที่ไม่มีสิทธิ์มากนักในระบบ ในที่สุด ผู้โจมตีทางไซเบอร์ก็สามารถเข้าถึงระบบได้สำเร็จผ่านช่องโหว่ในการเขียนโค้ดเมื่อวันที่ 26 มิถุนายน และส่งคำสั่ง SQL จนถึงวันที่ 4 กรกฎาคม ซึ่งผู้ดูแลระบบได้หยุดยั้งการโจมตีดังกล่าว นอกจากนี้ ยังมีช่วงเวลาสามช่วงที่เจ้าหน้าที่ไม่ตอบสนองหรือตอบสนองหลังจากทราบเรื่องการโจมตีทางไซเบอร์ไปแล้วหลายวัน ในวันเดียวกันนั้น เจ้าหน้าที่สองคนกล่าวว่า แม้จะมีกรอบการทำงานสำหรับการรายงานการโจมตีทางไซเบอร์ แต่ก็มีการฝึกอบรมไม่เพียงพอเกี่ยวกับสิ่งที่ต้องทำ ทำให้เจ้าหน้าที่ไม่เข้าใจว่าควรดำเนินการอย่างไร^{[ 14 ] [ 15 ] [ 16 ]}

ในการพิจารณาคดีครั้งต่อไปในวันที่ 24 กันยายน มีการเปิดเผยว่าข้อมูลส่วนตัวและบันทึกผู้ป่วยนอกของนายกรัฐมนตรีลี เซียน ลุง รวมถึงบุคคลอื่นอีก 2 คนที่ไม่ระบุชื่อ ถูกแฮกเกอร์ค้นหาโดยการเจาะเข้าไปในเซิร์ฟเวอร์โดยใช้ หมายเลข NRICการค้นหาที่เหลือโดยทั่วไปเป็นการค้นหาข้อมูลประชากรของผู้ป่วย เช่น การค้นหาข้อมูล 20,000 รายการแรกจากโรงพยาบาลสิงคโปร์เจเนอรัลผู้ช่วยหัวหน้านักวิเคราะห์ที่ตรวจพบกิจกรรมที่ผิดปกติได้ทำการตรวจสอบเพิ่มเติมแม้ว่าจะไม่ใช่ขอบเขตงานของเขา และส่งการแจ้งเตือนไปยังแผนกต่างๆ เพื่อหาเจ้าหน้าที่ที่สามารถทำความเข้าใจการค้นหาเหล่านั้นได้ หัวหน้างานของนักวิเคราะห์บอกให้นักวิเคราะห์ติดตามสถานการณ์ต่อไป และเขาคิดว่าไม่มีข้อมูลทางการแพทย์จนกระทั่งได้รับแจ้งว่ามีการรั่วไหลดังกล่าว เมื่อนักวิเคราะห์แจ้งเจ้าหน้าที่ผู้รายงานแล้ว ก็ไม่มีประโยชน์ที่จะรายงานการค้นหาด้วยตนเอง จึงขอให้นักวิเคราะห์ติดตามการค้นหาต่อไป มีการกล่าวถึงรายละเอียดเกี่ยวกับขั้นตอนการรายงานและมาตรการควบคุม^{[ 17 ] [ 18 ]}

ในวันที่สาม พนักงานด้านความปลอดภัยทางไซเบอร์ของ IHiS ซึ่งอยู่ในช่วงพักร้อนเมื่อเกิดเหตุการณ์ขึ้น ไม่ได้ติดตามผลหลังจากอ่านอีเมล เนื่องจากคิดว่าเป็นการรวบรวมข้อมูลจากเวิร์กสเตชันเพื่อการสืบสวน นอกจากนี้ มีเพียงคอมพิวเตอร์เครื่องเดียวที่ IHiS ที่ใช้ในการตรวจสอบทางนิติวิทยาศาสตร์ ส่งผลให้การวินิจฉัยปัญหาล่าช้า^{[ 19 ]}สิ่งนี้ได้รับการยืนยันในวันที่สี่ของการพิจารณาคดี ซึ่งความล้มเหลวในการตัดสินใจและกระบวนการขององค์กรถูกเปิดเผย ตัวอย่างเช่น การประชุมกับแผนกบริหารความปลอดภัยไม่ได้จัดขึ้นเป็นประจำ และไม่มีการสร้างกรอบการทำงานเพื่อกำหนดการตอบสนองที่เหมาะสมต่อความเสี่ยงด้านความปลอดภัยทางไซเบอร์ หรือแต่งตั้งเจ้าหน้าที่รับผิดชอบแทนหากพนักงานคนใดลาหยุด มีการชี้แจงเกี่ยวกับกระบวนการ โดยขั้นตอนการปฏิบัติงานมาตรฐานในการยกระดับเหตุการณ์ได้รับการอนุมัติจากฝ่ายบริหารในเดือนมีนาคม พ.ศ. 2561 นอกจากนี้ ในวันเดียวกันนั้น ยังมีการเปิดเผยว่าพนักงานใช้เวลาอีก 6 วันหลังจากวันที่ 4 กรกฎาคม เพื่อยืนยันการละเมิดข้อมูล เนื่องจากพนักงาน IHiS แจ้งเพื่อนร่วมงานโดยเข้าใจผิดว่าไม่มีข้อมูลถูกขโมย ซึ่งได้รับการยืนยันหลังจากที่หัวหน้างานทำการทดสอบเพิ่มเติมและพบว่าข้อมูลถูกขโมย ต่อมาได้มีการสร้างคำถามขึ้นใหม่^{[ 20 ] [ 21 ] [ 22 ]}

ในวันที่ห้า ยังมีการเปิดเผยว่าเซิร์ฟเวอร์ที่ถูกแฮกเกอร์เจาะระบบนั้นไม่ได้รับการอัปเดตความปลอดภัยมานานกว่าหนึ่งปีนับตั้งแต่เดือนพฤษภาคม 2017 เนื่องจากการโจมตีของแรนซัมแวร์ WannaCryเมื่อเทียบกับระยะเวลาปกติที่มักจะมีการติดตั้งแพตช์หลายครั้งต่อเดือน นอกจากนั้น ซอฟต์แวร์ป้องกันไวรัสของคอมพิวเตอร์ก็เก่าเกินไปและจำเป็นต้องติดตั้งใหม่ ผู้จัดการไม่ควรเป็นผู้ดูแลเซิร์ฟเวอร์ตามเอกสาร แต่ในทางปฏิบัติได้รับบทบาทนี้ในปี 2014 เนื่องจากเซิร์ฟเวอร์ตั้งอยู่ที่ศูนย์มะเร็งแห่งชาติสิงคโปร์ทำให้สะดวกสำหรับเจ้าหน้าที่ในการติดต่อเขาหากต้องการความช่วยเหลือ เมื่อคู่กรณีลาออก ก็ไม่มีใครที่ IHiS อยู่เพื่อรับช่วงต่อในการจัดการเซิร์ฟเวอร์ นอกจากนี้ ผู้อำนวยการ IHiS ก็ไม่ทราบว่าในทางปฏิบัติแล้วเซิร์ฟเวอร์ไม่ได้ถูกจัดการโดยบริษัท เพียงแต่ให้คำสั่งในปี 2014 ว่า IHiS จะไม่จัดการเซิร์ฟเวอร์วิจัย^{[ 23 ] [ 24 ]}ในวันถัดมา ช่องโหว่ด้านความปลอดภัยที่ไม่ได้ถูกอุดก็ถูกตรวจสอบอย่างละเอียด แม้ว่าพนักงานของ IHiS จะแจ้งช่องโหว่ดังกล่าวแล้ว แต่ก็ไม่มีการดำเนินการใดๆ ในความเป็นจริง พนักงานคนดังกล่าวถูกไล่ออกหลังจากส่งรายละเอียดของข้อบกพร่องไปยังบริษัทคู่แข่ง^{[ 25 ] [ 26 ] [ 27 ]}

ในช่วงท้ายของการพิจารณาคดีรอบที่สองเมื่อวันที่ 5 ตุลาคม มีการเปิดเผยว่ามีการพยายามแฮ็กเซิร์ฟเวอร์เป็นครั้งที่สองเมื่อวันที่ 19 กรกฎาคม โดยใช้เซิร์ฟเวอร์อื่น ซึ่งถูกหยุดยั้งทันทีที่เริ่มดำเนินการ นอกจากนี้ มัลแวร์ที่ใช้ยังได้รับการปรับแต่งให้เข้ากับระบบและหลบเลี่ยงการตรวจจับจากซอฟต์แวร์ป้องกันไวรัสชั้นนำ โดยใช้เครื่องมือที่เรียกว่า PowerShell ซึ่งถูกปิดใช้งานเมื่อวันที่ 13 กรกฎาคม ในขณะเดียวกัน IHiS ได้เพิ่มมาตรการรักษาความปลอดภัยด้วยการเปลี่ยนรหัสผ่าน ลบบัญชีที่ถูกบุกรุก และรีบูตเซิร์ฟเวอร์^{[ 28 ] [ 29 ]}

การพิจารณาคดีรอบที่สามเริ่มต้นขึ้นในวันที่ 31 ตุลาคม มีหลักฐานแสดงให้เห็นว่าผู้จัดการไม่เต็มใจที่จะรายงานเหตุการณ์ เนื่องจากนั่นหมายถึงปริมาณงานที่เพิ่มขึ้น ซึ่งจะทำให้เกิดปัญหาคอขวด ในขณะเดียวกัน หัวหน้าเจ้าหน้าที่สารสนเทศได้บอกให้ทีมยกระดับเหตุการณ์ โดยกล่าวว่าปัญหาคอขวดนั้นยอมรับไม่ได้ และเสริมว่าไม่มีระเบียบปฏิบัติเป็นลายลักษณ์อักษรเกี่ยวกับวิธีการรายงานเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับ SingHealth หากเจ้าหน้าที่ IHiS ค้นพบเหตุการณ์ใดๆ อีกประเด็นหนึ่งชี้ให้เห็นว่าการฝึกซ้อมด้านความปลอดภัยทางไซเบอร์ประจำปีเป็นข้อบังคับสำหรับผู้ปฏิบัติงานโครงสร้างพื้นฐานข้อมูลที่สำคัญ (CII) ดังนั้นเจ้าหน้าที่ควรจะสามารถระบุภัยคุกคามขั้นสูงที่คงอยู่ (APT) ได้ อย่างไรก็ตาม การทดสอบเหล่านี้เป็นการทดสอบในห้องเรียนและอาจไม่จำเป็นต้องนำไปใช้กับกรณีของ SingHealth ซึ่งจะทำให้จุดประสงค์ของการฝึกซ้อมเหล่านี้ล้มเหลวหากไม่มีความตระหนักรู้ในสถานการณ์ นอกจากนี้ยังมีแผนสำหรับการท่องอินเทอร์เน็ตอย่างปลอดภัยในภาคการดูแลสุขภาพภายในปี 2018 แต่ต้องเลื่อนออกไปหนึ่งปีเนื่องจากปัญหาทางเทคนิค^{[ 30 ] [ 31 ] [ 32 ]}

ในวันถัดมา มีการนำการตรวจสอบในปี 2016 ที่พบจุดอ่อนเชิงระบบในลิงก์เครือข่ายระหว่างโรงพยาบาลทั่วไปสิงคโปร์และระบบบนคลาวด์มากล่าวถึง ซึ่งแสดงให้เห็นถึงความไม่เพียงพอในระบบที่ IHiS บริหารจัดการ เหตุการณ์ดังกล่าวถูกรายงานโดยทีมปฏิบัติการว่า "ถูกเสียบปลั๊ก" ให้กับฝ่ายบริหารโดยไม่มีใครตรวจสอบว่ามีการดำเนินการแก้ไขช่องโหว่เหล่านี้หรือไม่หน่วยงานความมั่นคงทางไซเบอร์ยังพบช่องโหว่ที่คล้ายกันในการตรวจสอบของตนด้วย ด้วยเหตุนี้ จึงจะมี "สามแนวป้องกัน" โดยการตรวจสอบการปฏิบัติตามจะดำเนินการโดยทีมปฏิบัติการ ทีมเทคโนโลยี และทีมตรวจสอบภายใน และจะมีการเพิ่มการฝึกอบรมใน IHiS เพื่อให้มั่นใจได้ว่าสามารถตรวจจับการโจมตีได้ตั้งแต่เนิ่นๆ^{[ 33 ]}ดังที่ชี้ให้เห็นในวันถัดมาว่า แม้ว่าจะพบจุดอ่อนแล้ว ก็อาจจะไม่ได้รับการแก้ไขอย่างรวดเร็วตามที่คาดไว้ เนื่องจากสถาบันสาธารณสุขดำเนินการตลอด 24 ชั่วโมง ส่งผลให้มีเวลาหยุดทำงานน้อย^{[ 34 ]}

ต่อมาในการพิจารณาคดี ผู้บริหารของ SingHealth กล่าวว่าพวกเขาจะเพิ่มความตระหนักด้านความปลอดภัยทางไซเบอร์ให้กับพนักงานทุกคน รวมถึงเปิดตัวระบบใหม่เพื่อรวบรวมข้อมูลผู้ป่วยอย่างเข้มงวด นอกจากนี้ยังจะอนุญาตให้ผู้ป่วยอัปเดตข้อมูลส่วนตัวได้แทนที่จะต้องทำผ่านเคาน์เตอร์เท่านั้น จะมีการจัดประชุมเพิ่มเติมเพื่ออัปเดตพนักงานเกี่ยวกับภัยคุกคามทางไซเบอร์ล่าสุด โดยข้อความเข้าสู่ระบบจะได้รับการเสริมความแข็งแกร่งเพื่อเน้นย้ำถึงความสำคัญของการปกป้องข้อมูล รูปแบบการเล่าเรื่องจะถูกนำมาใช้เพื่ออธิบายแนวคิดเหล่านี้ด้วย^{[ 35 ] [ 36 ]}ในการพิจารณาคดีครั้งต่อมา มีการเรียกร้องให้มีการฝึกซ้อมด้านความปลอดภัยทางไซเบอร์เพิ่มเติมโดยจำลองการละเมิดข้อมูล ซึ่งจะช่วยให้ผู้เชี่ยวชาญคุ้นเคยกับสิ่งที่ต้องทำในกรณีที่เกิดเหตุการณ์ที่คล้ายกันขึ้นอีก นอกจากนี้ ผู้เชี่ยวชาญยังแนะนำให้เข้ารหัสข้อมูลทั้งหมดในระบบ รวมถึงข้อมูลที่ไม่ได้ใช้งาน เนื่องจากการเข้ารหัสแบบเต็มรูปแบบเป็นไปไม่ได้เนื่องจากข้อกังวลด้านการปฏิบัติงาน ข้อมูลส่วนบุคคลจึงอาจถูกทำให้เป็นนิรนามแทนโดยใช้การตรวจสอบสิทธิ์แบบ 2 ปัจจัยเพื่อเปิดเผยตัวตน ในการพิจารณาคดีเดียวกันนั้น มีการอัปเดตว่าเอกสารที่ส่งมาหลายฉบับนั้นมีประโยชน์^{[ 37 ]}

ในช่วงการพิจารณาคดีครั้งสุดท้าย อดีต ผู้อำนวย การสำนักงานความมั่นคงแห่งชาติได้เสนอแนะให้รัฐบาลและพันธมิตรในอุตสาหกรรมทำงานร่วมกันและแบ่งปันข้อมูลเพื่อเรียนรู้และอัปเดตข้อมูลเกี่ยวกับภัยคุกคามใหม่ๆ ที่เกิดขึ้น เนื่องจากมาตรการป้องกันในปัจจุบันไม่เพียงพอที่จะรับมือกับช่องโหว่ที่พัฒนาอยู่ตลอดเวลา ในการพิจารณาคดีเดียวกัน ที่ปรึกษาข้อมูลหลักของกระทรวงสาธารณสุขชี้ให้เห็นว่าการแยกอินเทอร์เน็ตส่งผลให้ผู้ป่วยต้องรอนานขึ้น ผลผลิตลดลง พนักงานเหนื่อยล้ามากขึ้น และมีความเสี่ยงทางไซเบอร์ใหม่ๆ โดยเฉพาะอย่างยิ่งเมื่อมีการอัปเดตซอฟต์แวร์ป้องกันไวรัสเฉพาะในคอมพิวเตอร์บางเครื่องแทนที่จะอัปเดตในเครือข่ายทั้งหมด ดังนั้น เพื่อให้ ISS ดำเนินต่อไปได้ จำเป็นต้องพิจารณาปัจจัยเหล่านี้^{[ 38 ] [ 39 ]}ในวันถัดมา ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้มีระบบการจัดการและติดตามเหตุการณ์แบบรวมศูนย์ที่บันทึกเหตุการณ์ทั้งหมดที่เกิดขึ้นระหว่างการละเมิดเพื่อลดการสื่อสารที่ผิดพลาด ซึ่งเป็นหนึ่งในสาเหตุของการรายงานล่าช้า นอกจากนี้ การใช้แพลตฟอร์มแชทที่แตกต่างกันทำให้รายละเอียดที่สำคัญเกี่ยวกับการโจมตีสูญหายไป ดังนั้นจึงไม่มีการเชื่อมโยงกับเหตุการณ์มากนัก^{[ 40 ]}

ในวันสุดท้าย เดวิด โคห์ หัวหน้าหน่วยงานความปลอดภัยทางไซเบอร์ เสนอให้เปลี่ยนวิธีการรายงานเหตุการณ์ของเจ้าหน้าที่ไอทีในภาคการดูแลสุขภาพ เพื่อให้สามารถตอบสนองได้เร็วขึ้นในระหว่างการโจมตีทางไซเบอร์ พร้อมทั้งทบทวนกระบวนการไอทีและการฝึกอบรมบุคลากรของภาคส่วนดังกล่าว นอกจากนี้ยังเสนอให้พิจารณากระบวนการรักษาความปลอดภัยทางไซเบอร์เป็นสิ่งสำคัญ แทนที่จะเป็นเพียงสิ่งที่นึกถึงทีหลัง การพิจารณาคดีจึงสิ้นสุดลงในวันที่ 14 พฤศจิกายน 2018 ^{[ 41 ] [ 42 ] [ 43 ]}

การส่งรายงานฉบับสุดท้ายจัดขึ้นเมื่อวันที่ 30 พฤศจิกายน 2018 มีการแบ่งปันข้อเสนอเพื่อปรับปรุงความปลอดภัยทางไซเบอร์ รวมถึงแนวคิด "สมมติว่ามีการละเมิด" ในองค์กร จึงต้องใช้มาตรการที่จำเป็น มีบุคลากรและกระบวนการที่เหมาะสมเพื่อเสริมมาตรการเหล่านั้น นอกจากนี้ยังชี้ให้เห็นว่ารหัสผ่านของผู้ดูแลระบบควรมีความยาว 15 ตัวอักษร แต่มีรหัสผ่านหนึ่งที่มีปัญหาคือ 8 ตัวอักษร ซึ่งไม่ได้เปลี่ยนแปลงมาตั้งแต่ปี 2012 สุดท้าย แม้ว่าจะมีการใช้มาตรการเพื่อชะลอการโจมตีทางไซเบอร์ แต่การโจมตีก็กระทำผ่านภัยคุกคามขั้นสูงแบบต่อเนื่อง (APT) ^{[ 44 ] [ 45 ]}ต่อมา รายงานได้ถูกส่งไปยัง S. Iswaran เมื่อวันที่ 31 ธันวาคม 2018 โดยมีการเผยแพร่ฉบับสาธารณะเมื่อวันที่ 10 มกราคม 2019 ^{[ 46 ] [ 47 ]}

เมื่อวันที่ 10 มกราคม 2562 คณะกรรมการสอบสวนได้เผยแพร่รายงานเกี่ยวกับการละเมิดข้อมูลของ SingHealth รายงานพบว่าเจ้าหน้าที่ได้รับการฝึกอบรมด้านความปลอดภัยทางไซเบอร์ไม่เพียงพอ จึงไม่สามารถหยุดยั้งการโจมตีได้ เจ้าหน้าที่หลักไม่ได้ดำเนินการทันทีเพื่อหยุดยั้งการโจมตีเนื่องจากเกรงกลัวแรงกดดัน ยิ่งไปกว่านั้น ช่องโหว่ในเครือข่ายและระบบยังไม่ได้รับการแก้ไขอย่างรวดเร็ว ประกอบกับข้อเท็จจริงที่ว่าผู้โจมตีมีทักษะสูง ส่งผลให้ผู้โจมตีสามารถเจาะระบบได้ง่าย รายงานระบุว่าหากเจ้าหน้าที่ได้รับการฝึกอบรมอย่างเพียงพอและแก้ไขช่องโหว่ได้อย่างรวดเร็ว การโจมตีครั้งนี้อาจหลีกเลี่ยงได้ รายงานยังพบว่านี่เป็นการกระทำของกลุ่มภัยคุกคามขั้นสูงแบบต่อเนื่อง (Advanced Persistent Threat group) ^{[ 48 ]}

ในรายงานฉบับเดียวกัน คณะกรรมการสอบสวนได้เสนอแนะ 16 ข้อเพื่อเพิ่มความปลอดภัยทางไซเบอร์ โดยแยกออกเป็นข้อเสนอแนะที่สำคัญและข้อเสนอแนะเพิ่มเติม^{[ 49 ]}ได้แก่:

• ลำดับความสำคัญ:
  • การปรับใช้โครงสร้างความปลอดภัยและความพร้อมที่ดียิ่งขึ้นโดย IHiS และสถาบันสาธารณสุข
  • ทบทวนกระบวนการรักษาความปลอดภัยออนไลน์เพื่อประเมินความสามารถในการป้องกันและตอบสนองต่อการโจมตีทางไซเบอร์
  • การเพิ่มความตระหนักรู้ของบุคลากรเกี่ยวกับภัยคุกคามทางไซเบอร์
  • ดำเนินการตรวจสอบความปลอดภัยอย่างเข้มงวด โดยเฉพาะอย่างยิ่งในระบบโครงสร้างพื้นฐานข้อมูลที่สำคัญ (CII)
  • บัญชีผู้ดูแลระบบที่มีสิทธิ์พิเศษจะต้องอยู่ภายใต้การควบคุมและการตรวจสอบที่เข้มงวดมากขึ้น
  • ปรับปรุงกระบวนการรับมือเหตุการณ์ให้มีประสิทธิภาพยิ่งขึ้น
  • สร้างความร่วมมือระหว่างภาคอุตสาหกรรมและภาครัฐเพื่อยกระดับความปลอดภัยทางไซเบอร์ให้สูงขึ้น
• เพิ่มเติม:
  • การประเมินความเสี่ยงและการตรวจสอบด้านความปลอดภัยทางไอทีต้องได้รับการพิจารณาอย่างจริงจังและดำเนินการอย่างสม่ำเสมอ
  • ต้องมีการเพิ่มมาตรการป้องกันเพื่อปกป้องความลับของเวชระเบียนอิเล็กทรอนิกส์
  • ปรับปรุงความปลอดภัยของโดเมนเพื่อป้องกันการโจมตี
  • นำกระบวนการจัดการแพทช์ที่มีประสิทธิภาพมาใช้
  • นำนโยบายการอัปเกรดซอฟต์แวร์มาใช้โดยเน้นที่ความปลอดภัยทางไซเบอร์
  • วางแผนกลยุทธ์การเข้าถึงอินเทอร์เน็ตที่จำกัดการเผชิญกับภัยคุกคามจากภายนอก
  • แนวทางปฏิบัติที่ชัดเจนยิ่งขึ้นเกี่ยวกับเวลาและวิธีการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยทางไซเบอร์
  • พัฒนาความสามารถของบุคลากรที่รับมือกับเหตุการณ์ด้านความปลอดภัยทางคอมพิวเตอร์
  • พิจารณาทำการตรวจสอบทางนิติวิทยาศาสตร์อิสระของเครือข่ายหลังการละเมิดข้อมูล

เมื่อวันที่ 15 มกราคม 2562 นายS. Iswaran รัฐมนตรีว่าการกระทรวงการสื่อสารและสารสนเทศประกาศในรัฐสภาว่ารัฐบาลยอมรับข้อเสนอแนะของรายงานและจะนำไปใช้อย่างเต็มที่ นอกจากนี้ยังได้เร่งดำเนินการตามพระราชบัญญัติความมั่นคงทางไซเบอร์เพื่อเพิ่มความปลอดภัยของ CII ^{[ 50 ]}ในขณะเดียวกันGan Kim Yongรัฐมนตรีว่าการกระทรวงสาธารณสุขได้ประกาศว่าจะทำการเปลี่ยนแปลงเพื่อเพิ่มประสิทธิภาพการกำกับดูแลและการดำเนินงานในสถาบันการดูแลสุขภาพของสิงคโปร์และ IHiS โดยจะแยกบทบาทคู่ของหัวหน้า เจ้าหน้าที่ รักษาความปลอดภัยข้อมูล ของกระทรวงสาธารณสุข (MOH CISO) และผู้อำนวยการด้านการกำกับดูแลความมั่นคงทางไซเบอร์ที่ IHiS ออกจากกัน โดย MOH CISO จะมีสำนักงานเฉพาะและรายงานต่อปลัดกระทรวงสาธารณสุข ในขณะที่ IHiS จะมีผู้อำนวยการแยกต่างหากที่รับผิดชอบด้านการกำกับดูแลความมั่นคงทางไซเบอร์ โดยมีการเปลี่ยนแปลงในระดับคลัสเตอร์ ซึ่งจะช่วยเพิ่มประสิทธิภาพการดำเนินงานและการกำกับดูแลระบบไอที นอกจากนี้ กระทรวงสาธารณสุขจะจัดตั้งระบบ "สามสายการป้องกัน" ที่ได้รับการปรับปรุงสำหรับการดูแลสุขภาพของรัฐ และทดลองใช้ "เบราว์เซอร์เสมือน" สำหรับระบบสุขภาพของมหาวิทยาลัยแห่งชาติ บุคลากรด้านสาธารณสุขทั้งหมดจะยังคงต้องแยกตัวออกจากการท่องอินเทอร์เน็ต ซึ่งได้ดำเนินการทันทีหลังจากการโจมตีทางไซเบอร์ และการส่งข้อมูลทางการแพทย์ของผู้ป่วยไปยังระบบบันทึกสุขภาพอิเล็กทรอนิกส์แห่งชาติ (NEHR) ที่เป็นข้อบังคับจะยังคงถูกเลื่อนออกไป^{[ 51 ]}

หลังจากการโจมตีทางไซเบอร์ การเข้าถึงอินเทอร์เน็ตถูกระงับ ชั่วคราว จากเทอร์มินัลไอทีด้านการดูแลสุขภาพสาธารณะทั้งหมดที่สามารถเข้าถึงเครือข่ายการดูแลสุขภาพ และมีการนำระบบตรวจสอบและควบคุมเพิ่มเติมมาใช้^{[ 52 ]}

การโจมตีดังกล่าวทำให้ โครงการ Smart Nation ของสิงคโปร์ต้องหยุดชะงักเป็นเวลาสองสัปดาห์ และมีการทบทวนนโยบายความปลอดภัยทางไซเบอร์ของภาครัฐในช่วงเวลานั้น การทบทวนดังกล่าวส่งผลให้มีการนำมาตรการรักษาความปลอดภัยเพิ่มเติมมาใช้ และกระตุ้นให้ผู้บริหารภาครัฐตัดการเข้าถึงอินเทอร์เน็ตหากเป็นไปได้ และใช้เกตเวย์การแลกเปลี่ยนข้อมูล ที่ปลอดภัย แทน^{[ 53 ]}การโจมตีดังกล่าวยังทำให้เกิดความกังวลในหมู่ผู้ประกอบวิชาชีพด้านการดูแลสุขภาพบางส่วนเกี่ยวกับความพยายามอย่างต่อเนื่องในการรวมศูนย์ข้อมูลผู้ป่วยอิเล็กทรอนิกส์ในสิงคโปร์ แผนการที่จะผ่านกฎหมายในช่วงปลายปี 2018 ที่กำหนดให้ผู้ให้บริการด้านการดูแลสุขภาพต้องส่งข้อมูลเกี่ยวกับการเยี่ยมผู้ป่วยและการวินิจฉัยโรคไปยังระบบบันทึกสุขภาพอิเล็กทรอนิกส์แห่งชาติถูกเลื่อนออกไป^{[ 54 ]}นอกจากนี้กระทรวงสาธารณสุขยังประกาศเมื่อวันที่ 6 สิงหาคม 2018 ว่าระบบบันทึกสุขภาพอิเล็กทรอนิกส์แห่งชาติ (NEHR) จะได้รับการตรวจสอบโดยกลุ่มอิสระที่ประกอบด้วยหน่วยงานความปลอดภัยทางไซเบอร์และPricewaterhouseCoopersก่อนที่จะขอให้แพทย์ส่งบันทึกทั้งหมดไปยัง NEHR แม้ว่าระบบดังกล่าวจะไม่ได้รับผลกระทบจากการโจมตีทางไซเบอร์ก็ตาม^{[ 55 ]}

เมื่อวันที่ 24 กรกฎาคม 2561 หน่วยงานกำกับดูแลทางการเงินของสิงคโปร์ได้แจ้งให้ธนาคารในสิงคโปร์เพิ่มความเข้มงวดในกระบวนการตรวจสอบลูกค้าในกรณีที่ข้อมูลที่รั่วไหลถูกนำไปใช้เพื่อปลอมตัวเป็นลูกค้า พร้อมทั้งขอข้อมูลเพิ่มเติม ธนาคารยังได้รับคำสั่งให้ทำการประเมินความเสี่ยงและลดความเสี่ยงจากการใช้ข้อมูลในทางที่ผิด^{[ 56 ] [ 57 ] [ 58 ]}

IHiS ได้เสริมสร้างระบบสาธารณสุขเพื่อป้องกันการละเมิดข้อมูล เหตุการณ์ไอทีที่น่าสงสัยทั้งหมดจะต้องได้รับการรายงานภายใน 24 ชั่วโมง นอกจากนี้ยังมีการใช้มาตรการอื่นๆ อีก 18 มาตรการ รวมถึงการตรวจสอบสิทธิ์แบบสองปัจจัยสำหรับผู้ดูแลระบบทั้งหมด การค้นหาภัยคุกคามเชิงรุกและข่าวกรอง การอนุญาตเฉพาะคอมพิวเตอร์ที่มีการอัปเดตความปลอดภัยล่าสุดบนเครือข่ายโรงพยาบาล และการตรวจสอบกิจกรรมฐานข้อมูลใหม่ มีการศึกษาเพื่อคงโครงการแยกอินเทอร์เน็ต (ISS) ไว้ในบางส่วนของระบบการดูแลสุขภาพอย่างถาวร โดยมีการนำเบราว์เซอร์เสมือนมาใช้เป็นทางเลือก^{[ 59 ] [ 60 ]}

หลังจากรายงานถูกเผยแพร่เมื่อวันที่ 16 มกราคม 2562 IHiS ได้ไล่พนักงานออก 2 คนและลดตำแหน่งอีก 1 คน เนื่องจากประมาทเลินเล่อในการจัดการและเข้าใจผิดเกี่ยวกับการโจมตีตามลำดับ พร้อมทั้งมีการลงโทษทางการเงินแก่หัวหน้างานระดับกลาง 2 คน และสมาชิกผู้บริหารระดับสูง 5 คน รวมถึงซีอีโอ บรูซ เหลียง พนักงาน 3 คนได้รับการยกย่องจาก IHiS สำหรับการจัดการเหตุการณ์อย่างขยันขันแข็งแม้ว่าจะไม่ได้อยู่ในขอบเขตงานของพวกเขา IHiS ได้เร่งดำเนินการมาตรการ 18 ข้อเพื่อเสริมสร้างความปลอดภัยทางไซเบอร์^{[ 61 ] [ 62 ]}ในวันถัดมา คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ปรับ IHiS เป็นเงิน 750,000 ดอลลาร์ และ SingHealth เป็นเงิน 250,000 ดอลลาร์ เนื่องจากไม่ได้ดำเนินการอย่างเพียงพอเพื่อปกป้องข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลซึ่งนับเป็นค่าปรับที่สูงที่สุดที่เคยเรียกเก็บสำหรับการละเมิดข้อมูล^{[ 63 ]}

ต่อมาเมื่อวันที่ 6 มีนาคม 2019 บริษัทรักษาความปลอดภัยทางไซเบอร์Symantecได้ระบุกลุ่มที่ได้รับการสนับสนุนจากรัฐ ซึ่งรู้จักกันในชื่อ Whitefly ว่าอยู่เบื้องหลังการโจมตีทางไซเบอร์ แม้ว่าจะไม่ได้ระบุประเทศ แต่พบว่ากลุ่มดังกล่าวอยู่เบื้องหลังการโจมตีทางไซเบอร์ที่เกี่ยวข้องหลายครั้งต่อหน่วยงานในสิงคโปร์ตั้งแต่ปี 2017 ^{[ 64 ] [ 65 ]}