Banner Health ukarany grzywną w wysokości 1,25 miliona dolarów

Banner Health ukarany grzywną

Biuro ds. Praw Obywatelskich (OCR) Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych osiągnęło ugodę w wysokości 1,25 miliona dolarów z systemem opieki zdrowotnej non-profit „Banner Health” po naruszeniu danych w 2016 r.

Nie wszystkie firmy lub organizacje, które ucierpiały w wyniku naruszenia ochrony danych, są karane grzywną. Jednak niewielka liczba przedsiębiorstw zostaje ukarana za niezapewnienie ochrony prywatnych danych, które powinny chronić, oraz za niezastosowanie niezbędnych środków ostrożności, aby zapobiec przypadkom naruszenia bezpieczeństwa danych.

Ponieważ Banner Health jest systemem opieki zdrowotnej typu non-profit, firma naruszyła ustawę HIPAA (Health Insurance Portability and Accountability Act), która obejmuje również informacje i dane pochodzące z ataków cybernetycznych.

Według szczegółów ugody opublikowanych przez OCR, Banner Health nie zapewnił niezbędnej ochrony na kilku frontach.

„Potencjalne naruszenia obejmują w szczególności: brak analizy w celu określenia zagrożeń i podatności na elektroniczne chronione informacje zdrowotne w całej organizacji, niewystarczające monitorowanie działania jej systemów informacji zdrowotnej w celu ochrony przed cyberatakiem, brak wdrożenia procesu uwierzytelniania w celu chronić swoje elektroniczne chronione informacje zdrowotne oraz brak środków bezpieczeństwa w celu ochrony elektronicznych chronionych informacji zdrowotnych przed nieautoryzowanym dostępem, gdy były one przesyłane drogą elektroniczną” – czytamy w komunikacie prasowym OCR.

Kradzież danych

Po naruszeniu danych w listopadzie 2016 r. hakerzy ukradli chronione informacje zdrowotne, w tym nazwiska pacjentów, nazwiska lekarzy, daty urodzenia, adresy, numery ubezpieczenia społecznego, dane kliniczne, daty świadczenia usług, informacje o roszczeniach, wyniki badań laboratoryjnych, leki, diagnozy i schorzenia oraz informacje o ubezpieczeniu zdrowotnym.

Ugoda w wysokości 1,25 miliona dolarów nie jest jedynym wynikiem sprawy. Banner Health musi przeprowadzić audyt ryzyka i ustalić, czy istnieją inne luki w zabezpieczeniach, naprawić wszelkie wykryte problemy z bezpieczeństwem oraz opracować, wdrożyć i rozpowszechnić zasady zapobiegające przyszłym cyberprzestępstwom.

Ponadto Departament Zdrowia i Opieki Społecznej musi zostać poinformowany, gdy pracownicy nie przestrzegają ustawy HIPAA.