آزمایشگاه ژنتیک Ambry Genetics واقع در کالیفرنیا موافقت کرد تا مبلغ ۷۰۰,۰۰۰ دلار جریمه مربوط به نقض قوانین HIPAA را پرداخت کرده و اقدامات امنیتی خود را بهبود بخشد. این تصمیم در پی یک حمله Phishing در سال ۲۰۲۰ اتخاذ شد که منجر به دسترسی غیرمجاز به اطلاعات حساس ۲۲۵,۰۰۰ بیمار گردید.
جزئیات نقض امنیتی و یافته‌های بازرسی
بررسی‌های انجام شده توسط دفتر حقوق مدنی (OCR) وزارت بهداشت و خدمات انسانی ایالات متحده نشان داد که این شرکت در چندین مورد قوانین امنیتی HIPAA را نقض کرده است. مهم‌ترین این تخلفات عبارتند از:
- عدم انجام تحلیل دقیق و جامع ریسک‌های امنیتی (Security Risk Analysis).
- فقدان رویه‌های مناسب برای قطع دسترسی کارکنان سابق به اطلاعات الکترونیکی محافظت‌شده (ePHI) پس از پایان همکاری.
- عدم تخصیص شناسه‌های منحصر‌به‌فرد (Unique User ID) برای ردیابی هویت کاربران در سیستم‌های حاوی داده‌های حساس.
اطلاعات افشا شده در این حادثه شامل نام بیماران، تاریخ تولد، اطلاعات بیمه سلامت، سوابق پزشکی و در برخی موارد شماره‌های تامین اجتماعی (SSN) و تشخیص‌های پزشکی بوده است.
برنامه اصلاحی و پیامدهای مالی
علاوه بر پرداخت جریمه، Ambry Genetics متعهد شده است یک برنامه اقدام اصلاحی (Corrective Action Plan) را تحت نظارت دو ساله OCR اجرا کند. این برنامه شامل تدوین طرح مدیریت ریسک، بازنگری در سیاست‌های داخلی برای انطباق با HIPAA و آموزش جامع کارکنان در زمینه امنیت داده‌ها است. شایان ذکر است که این شرکت پیش‌تر در سال ۲۰۲۳، مبلغ ۱۲.۲۵ میلیون دلار را برای تسویه یک شکایت جمعی (Class Action) مربوط به همین حادثه پرداخت کرده بود.
روند صعودی حملات به مراکز ژنتیک و داده‌های پزشکی
این حادثه بخشی از یک روند نگران‌کننده در حملات به شرکت‌های تست ژنتیک است. اخیراً مواردی نظیر حمله به Baylor Genetics (تاثیر بر ۲.۸ میلیون نفر) و سرقت داده‌ها از Abbott Laboratories و Exact Sciences گزارش شده است. گروه‌های سایبری مانند ShinyHunters و ShadowByt3$ مدعی سرقت داده‌ها و مدل‌های AI از این مراکز شده‌اند.
کارشناسان هشدار می‌دهند که سرقت اطلاعات ژنتیکی به دلیل ماهیت منحصر‌به‌فرد و تغییرناپذیر این داده‌ها، ریسک‌هایی فراتر از سرقت هویت (Identity Theft) معمولی ایجاد می‌کند و در عصر توسعه مدل‌های هوش مصنوعی، این مخاطرات برای حریم خصوصی بیماران دوچندان شده است.
