Ambry Genetics accetta un accordo HIPAA da $700,000

Ambry Genetics ha accettato di pagare $700,000 per risolvere presunte violazioni delle norme federali sulla privacy sanitaria, dopo che un attacco di phishing ha esposto le informazioni sanitarie elettroniche protette di 225,370 persone, secondo HIPAA Journal.

L’azienda di test genetici e genomica clinica con sede ad Aliso Viejo, in California, ha raggiunto l’accordo con l’Office for Civil Rights (OCR) del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti. Oltre al pagamento, Ambry Genetics dovrà attuare un piano di azioni correttive volto ad affrontare le vulnerabilità individuate durante l’indagine dell’agenzia.

L’azienda resterà sotto il monitoraggio dell’OCR per due anni. L’accordo fa seguito a un’indagine per verificare se Ambry Genetics avesse rispettato i requisiti dell’Health Insurance Portability and Accountability Act, comunemente noto come HIPAA.

Come è avvenuta la violazione

Ambry Genetics ha rilevato un’attività insolita nel proprio sistema di posta elettronica il 22 gennaio 2020. Una successiva analisi forense ha accertato che una persona non autorizzata era entrata nell’account di posta elettronica di un dipendente dopo che quest’ultimo aveva risposto a un messaggio di phishing.

L’autore dell’attacco ha avuto accesso all’account dal 22 al 24 gennaio. Tra le informazioni potenzialmente esposte in quel periodo figuravano nomi, indirizzi, date di nascita, numeri di patente, diagnosi o altri dettagli sulle condizioni di salute, farmaci, informazioni sui trattamenti e alcuni numeri di Social Security.

Ambry Genetics ha segnalato l’incidente all’OCR il 22 marzo 2020. La segnalazione iniziale riguardava 232,772 persone, ma in seguito l’azienda ha rivisto il numero delle persone coinvolte portandolo a 225,370.

L’OCR apre indagini sulle violazioni che coinvolgono almeno 500 persone. In questo caso, l’agenzia ha dichiarato che la propria analisi aveva rilevato che Ambry Genetics non aveva completato una valutazione accurata e completa delle minacce e delle vulnerabilità relative alla riservatezza, all’integrità e alla disponibilità delle informazioni sanitarie elettroniche protette.

L’agenzia ha inoltre individuato carenze nei controlli degli accessi. Ambry Genetics non aveva stabilito politiche e procedure per interrompere l’accesso alle informazioni sanitarie elettroniche protette quando i lavoratori lasciavano l’azienda o non avevano più bisogno di tale accesso. Inoltre, non erano stati forniti nomi utente univoci a tutti i membri della forza lavoro che necessitavano dell’accesso, limitando la possibilità di identificare gli utenti e monitorare la loro attività nei sistemi pertinenti.

Cosa prevede il piano correttivo

In base all’accordo, Ambry Genetics dovrà condurre un’analisi completa dei rischi e creare un programma di gestione dei rischi basato sulle vulnerabilità individuate. Il programma è destinato a ridurre o controllare tali rischi.

L’azienda dovrà inoltre sviluppare e applicare politiche e procedure volte a rispettare la HIPAA Security Rule e gli altri requisiti HIPAA. Ogni membro della forza lavoro dovrà ricevere una formazione su tali politiche e procedure.

Un altro requisito consiste nell’assegnazione di un’identificazione univoca a tutti i membri della forza lavoro la cui attività si svolge in sistemi contenenti informazioni sanitarie elettroniche protette. Tale identificazione dovrà consentire di ricondurre l’attività ai singoli utenti.

L’accordo fa seguito alla comunicazione dell’OCR secondo cui l’agenzia aveva individuato presunte violazioni dell’HIPAA e intendeva imporre una sanzione pecuniaria. Ambry Genetics ha accettato l’offerta dell’agenzia di risolvere la questione attraverso un accordo che combina il pagamento con le misure correttive.

Conseguenze finanziarie e normative più ampie

La sanzione federale non è l’unico costo collegato all’incidente. Ambry Genetics ha inoltre dovuto affrontare una class action derivante dalla violazione e ha risolto il contenzioso per $12.25 milioni.

La direttrice dell’OCR, Paula M. Stannard, ha dichiarato che il phishing rimane una via frequente per le violazioni che coinvolgono informazioni sanitarie protette e può mettere in luce vulnerabilità nella conformità di un’organizzazione alla HIPAA Security Rule. Ha indicato l’analisi dei rischi, la gestione dei rischi e l’attuazione della Security Rule come elementi centrali della cybersecurity.

HIPAA Journal riferisce che l’accordo con Ambry Genetics è la decima sanzione pecuniaria inflitta quest’anno dall’OCR per presunte violazioni dell’HIPAA e la 188esima sanzione complessiva. Delle sanzioni comminate dall’agenzia nel corso dell’anno, tutte tranne una hanno riguardato carenze connesse all’analisi dei rischi.

Finora quest’anno l’OCR ha riscosso $3,030,250 in sanzioni per violazioni dell’HIPAA. L’accordo con Ambry Genetics si aggiunge quindi a un più ampio orientamento dell’attività di controllo volto a verificare se le organizzazioni comprendano i rischi per la sicurezza delle informazioni e adottino misure documentate per gestirli.