ائتلافی متشکل از دادستان‌های کل ۴۴ ایالت آمریکا، توافقی را با شرکت Labcorp اعلام کردند که بر اساس آن، این شرکت باید جریمه‌ای به مبلغ ۲.۳ میلیون دلار پرداخت کرده و اصلاحات گسترده‌ای را در رویه‌های امنیت داده‌های خود اعمال کند. این تصمیم در پی نشت داده‌های سال ۲۰۱۹ اتخاذ شد که منجر به به خطر افتادن اطلاعات ۱۰.۲ میلیون مشتری گردید.
ریشه حادثه و قصور در نظارت
بررسی‌ها نشان داد که این نشت داده‌ها از طریق نقص‌های امنیتی در شرکت American Medical Collection Agency (AMCA)، یک آژانس وصول مطالبات که با Labcorp همکاری می‌کرد، رخ داده است. دادستان‌ها استدلال کردند که Labcorp در نظارت بر استانداردهای امنیتی AMCA کوتاهی کرده است؛ حادثه‌ای که در مجموع ۲۷.۵ میلیون نفر را در سراسر ایالات متحده تحت تاثیر قرار داد.
اصلاحات امنیتی مورد نیاز
طبق توافق صورت گرفته، Labcorp متعهد به اجرای تغییرات زیر در زیرساخت‌های امنیتی خود شده است:
- تدوین یک برنامه پاسخ به حادثه (Incident Response Plan) اختصاصی برای مقابله با نقص‌های امنیتی تامین‌کنندگان (Vendors).
- محدود کردن حجم داده‌های به اشتراک گذاشته شده با تامین‌کنندگان خارجی.
- تشکیل یک تیم جامع مدیریت ریسک برای رصد میزان پایبندی تامین‌کنندگان به رویه‌های امنیت داده.
- گنجاندن الزامات سخت‌گیرانه امنیت سایبری در قراردادهای تامین‌کنندگان.
- الزام تامین‌کنندگان به ارائه گزارش‌های دوره‌ای از حسابرسی‌های (Audits) امنیتی جهت اثبات پایبندی به قوانین جدید.
اقدامات تکمیلی و نظارتی
علاوه بر موارد فوق، این شرکت باید یک کارشناس مستقل را برای انجام ارزیابی‌های امنیت اطلاعات (Information Security Assessments) استخدام کند. همچنین، Labcorp موظف است داده‌هایی را که توسط تامین‌کنندگان برای چندین مشتری به صورت تجمیعی ذخیره می‌شوند، به صورت مجزا (Siloing) مدیریت کند تا ریسک نشت داده‌های متقاطع کاهش یابد.
لازم به ذکر است که در سال ۲۰۲۱، دادگاه حکم پرداخت جریمه ۲۱ میلیون دلاری را برای شرکت AMCA صادر کرد، اما به دلیل ورشکستگی این شرکت، اجرای این حکم متوقف شده بود.
