ABD Sağlık ve İnsan Hizmetleri Bakanlığına bağlı Sivil Haklar Ofisi, Ambry Genetics'in 2020 yılında yaşadığı kimlik avı saldırısına ilişkin HIPAA incelemesini 700 bin dolarlık uzlaşmayla sonuçlandırdı. Genetik test ve klinik genomik hizmeti veren şirket ayrıca iki yıl boyunca izlenecek bir düzeltici eylem planını uygulamayı kabul etti.
Olayda bir çalışanın e-posta hesabı ele geçirildi. Bakanlığın açıklamasına göre 225 bin 370 kişinin korunan sağlık bilgilerinin saldırgan tarafından dışarı çıkarılmış olma ihtimali bulunuyor. Etkilenen veriler arasında ad, adres, doğum tarihi, bazı Sosyal Güvenlik veya sürücü belgesi numaraları, finansal bilgiler, teşhisler, laboratuvar sonuçları, ilaç ve tedavi bilgileri yer aldı.
İnceleme, kurumun elektronik sağlık verilerine yönelik doğru ve kapsamlı risk analizi yapmamış olabileceğini; erişim artık gerekli olmadığında yetki sonlandırma prosedürleri ile kullanıcıları benzersiz biçimde tanımlama kontrollerinde eksikler bulunduğunu belirledi. Uzlaşma, şirketin hukuki sorumluluğu kabul ettiği anlamına gelmiyor; olası HIPAA ihlallerine ilişkin incelemeyi kapatıyor.
Düzeltici planda yeni risk analizi, risk yönetim planı, güvenlik politika ve prosedürlerinin gözden geçirilmesi, elektronik sağlık bilgisi içeren tüm sistemlerde benzersiz kullanıcı kimliği ve çalışan eğitimleri bulunuyor. Bakanlık, ePHI verisinin nerede tutulduğunun ve sistemler arasında nasıl aktığının belirlenmesini, günlüklerin düzenli incelenmesini ve uygun durumlarda aktarımda ve depolamada şifreleme kullanılmasını öneriyor.
Olay 2020'de gerçekleşmiş olsa da uzlaşmanın 17 Eylül 2026'da açıklanması, kimlik avı vakalarının yıllar sonra düzenleyici maliyet ve uzun süreli gözetim doğurabileceğini gösteriyor. Sağlık ve genetik veri işleyen kuruluşlar için yalnız çok faktörlü kimlik doğrulama değil, erişim yaşam döngüsü, benzersiz kullanıcı kimliği, düzenli risk analizi ve denetlenebilir kayıtlar birlikte ele alınmalıdır.
