Tıbbi Hizmet Şirketi, 2023 Veri İhlali Nedeniyle Dört Eyaletle Anlaştı

Tıbbi Hizmet Şirketi, 2023 Veri İhlali Nedeniyle Dört Eyaletle Anlaştı

Bir sağlık hizmetleri şirketi, Mart 2023’te 13 milyondan fazla kişinin verilerini ifşa eden bir ihlalin ardından, güvenlik uygulamalarında kapsamlı değişiklikler yapmayı ve 300.000 dolar ödemeyi kabul etti. Bu anlaşma, dört eyaletin başsavcıları tarafından Cuma günü duyuruldu.

Connecticut, New Jersey, New York ve Michigan başsavcıları, Nevada merkezli Perry Johnson Companies’in tıbbi transkripsiyon, kodlama ve görüntüleme yan kuruluşlarına dava açtı.

New York Başsavcısı Letitia James’in ofisinden yapılan basın açıklamasına göre, şirket gerekli siber güvenlik reformlarını yapmazsa, dört eyalete ek olarak 9,7 milyon dolar daha ödemek zorunda kalacak.

İhlalin Detayları

James’in ofisi tarafından başlatılan soruşturma, bilgisayar korsanlarının bir çalışanın kimlik bilgilerini kullanarak Perry Johnson’ın sistemlerine sızdığını ortaya koydu. James’in ofisine göre, şirket kullanıcıları doğrulamak için çok faktörlü kimlik doğrulama kullanmıyordu.

Basın açıklamasına göre, ihlali takip eden aylarda, kötü niyetli aktör şifreleri ele geçirdi ve hastaların korunan sağlık verilerini depolayan şifrelenmemiş dosyalara erişti. Şirketin yazılımı bilgisayar korsanının hareketlerini tespit edip kaydetse de, iddiaya göre kötü yapılandırılmıştı ve bilgi güvenlik ekibine bu etkinliği bildirmemişti.

Veri hırsızlığı iki ay boyunca kesintisiz devam etti. Şirketin ihlali ancak bilgisayar korsanları tarafından uyarılmasıyla öğrendiği iddia edildi.

Çalınan Veriler

Çalınan kayıtların, adlar, doğum tarihleri, ev adresleri, Sosyal Güvenlik numaraları, hastane hesap numaraları, teşhisler, sigorta bilgileri ve tıbbi transkripsiyon dosyalarından alınan klinik bilgileri içerdiği iddia edildi. Basın açıklamasına göre, dosyalar hastaların ilaç adlarını, teşhis ve laboratuvar test sonuçlarını da kapsıyordu.

Şirket, yorum talebine yanıt vermedi.

Anlaşmanın Şartları

Anlaşmanın şartları, Perry Johnson’ın kapsamlı bir bilgi güvenlik programı ve olay müdahale standartları oluşturmasını gerektiriyor. Ayrıca, çok faktörlü kimlik doğrulama, şifreleme ve şifre yönetim sistemleri kurması; yıllık risk değerlendirme programları uygulaması ve aldığı sağlık verilerinin toplanması, kullanılması, saklanması ve imha edilmesini düzgün bir şekilde yönetmek için bir sistem kurması bekleniyor.