Firma NHS IT riscă o amendă de 6 milioane de lire sterline pentru piratarea înregistrărilor medicale

Un furnizor de software se confruntă cu o amendă potențială de 6 milioane de lire sterline în urma unui atac ransomware din 2022 care a perturbat serviciile NHS și de asistență socială din întreaga Anglie.

Biroul Comisarului pentru Informații (ICO) a concluzionat provizoriu că Advanced Computer Software Group nu a pus în aplicare măsuri adecvate pentru a proteja datele cu caracter personal ale 82 946 de persoane afectate de încălcare, care includeau informații sensibile.

Advanced furnizează servicii IT și software pentru diverse organizații, inclusiv NHS și alți furnizori de servicii medicale, funcționând ca operator de date. În august 2022, hackerii au obținut acces la sistemele de sănătate și îngrijire ale firmei prin intermediul unui cont de client fără autentificare multifactorială.

Atacul cibernetic a provocat întreruperi semnificative ale serviciilor esențiale, cum ar fi NHS 111, datele furate incluzând numere de telefon, fișe medicale și detalii privind modul de acces la locuințele a aproape 900 de persoane care beneficiau de îngrijire la domiciliu.

O notă internă divulgată de NHS England a dezvăluit că atacul a afectat mai multe servicii NHS, inclusiv centre de tratament de urgență și furnizori de servicii de sănătate mintală, prin scoaterea offline a unor programe informatice esențiale, ceea ce a reprezentat o provocare substanțială pentru aceste servicii.

Comisarul pentru informații John Edwards a subliniat importanța prioritizării securității informațiilor: „Pierderea controlului asupra informațiilor personale sensibile va fi fost dureroasă pentru persoanele care nu au avut de ales decât să își pună încrederea în organizațiile de sănătate și îngrijire. Nu numai că informațiile personale au fost compromise, dar am văzut, de asemenea, rapoarte conform cărora acest incident a cauzat perturbări ale unor servicii de sănătate, perturbând capacitatea acestora de a oferi îngrijire pacienților.”

Edwards și-a exprimat speranța că amenda va determina companiile să își îmbunătățească urgent măsurile de protecție a datelor. El a adăugat: „Pentru o organizație care gestionează un volum semnificativ de date sensibile și de categorie specială, am constatat provizoriu deficiențe grave în abordarea sa privind securitatea informațiilor înainte de acest incident. Ne așteptăm ca toate organizațiile să ia măsuri fundamentale pentru a-și securiza sistemele, cum ar fi verificarea periodică a vulnerabilităților, implementarea autentificării multifactoriale și actualizarea sistemelor cu cele mai recente patch-uri de securitate.”

Concluziile ICO sunt provizorii, iar autoritatea de reglementare va lua în considerare orice observații din partea Advanced înainte de a ajunge la o decizie finală.