شرکت LabCorp متفق شده است مبلغ ۲.۲ میلیون دلار را به عنوان تسویه حساب به چندین ایالت پرداخت کند. این تصمیم در پی دعاوی حقوقی ناشی از حمله سایبری سال ۲۰۱۹ به شرکت American Medical Collections Agency (AMCA) اتخاذ شده است. این شرکت آزمایشگاهی علاوه بر پرداخت جریمه، متعهد شده است که رویکردهای امنیت داده‌ها و مدیریت ریسک تامین‌کنندگان (Vendor Risk Management) خود را به‌ویژه در تعامل با شرکت‌های وصول طلب، بهبود بخشد.
جزئیات حادثه و اثرات آن
حمله به AMCA منجر به دسترسی غیرمجاز به داده‌های بیش از ۱۰.۲ میلیون بیمار LabCorp شد. در مجموع، این نقص امنیتی حدود ۲۷.۵ میلیون نفر در سراسر ایالات متحده را تحت تأثیر قرار داد. این تسویه حساب شامل موارد نقض قوانین حفاظت از اطلاعات شخصی و استانداردهای فدرال از جمله HIPAA است.
الزامات جدید امنیتی برای LabCorp
طبق توافق‌نامه، LabCorp باید اقدامات اصلاحی زیر را اجرا کند:
- استقرار CISO: انتصاب یک مدیر ارشد امنیت اطلاعات با صلاحیت‌های تخصصی برای نظارت بر اجرای برنامه امنیت اطلاعات.
- بهینه‌سازی اشتراک داده‌ها: کاهش حجم داده‌های به اشتراک گذاشته شده با تامین‌کنندگان (Data Minimization).
- ارتقای مدیریت ریسک تامین‌کنندگان: تشکیل یک تیم اختصاصی و استفاده از ابزارهای ارزیابی برای تایید پایبندی تامین‌کنندگان به الزامات امنیتی.
- سخت‌گیرانه‌تر کردن قراردادها: گنجاندن الزامات سایبری در قراردادها، جداسازی داده‌های (Segmentation) LabCorp از سایر مشتریان تامین‌کننده و حق فسخ قرارداد در صورت عدم رعایت استانداردهای امنیتی.
درس‌های مدیریتی از این پرونده
این پرونده تأکیدی بر این نکته است که سازمان‌ها نمی‌توانند مسئولیت حفاظت از داده‌های حساس مشتریان را به تامین‌کنندگان خارجی واگذار کنند (Outsource). بر اساس تحلیل‌های حقوقی، حتی با وجود قوانین نظارتی، سازمان‌های اصلی همچنان در قبال نحوه مدیریت داده‌ها توسط شرکای تجاری خود مسئول هستند و باید نظارت مستمری بر Third-party Risk داشته باشند.
