Ambry Genetics aceita acordo de US$ 700 mil por violações da HIPAA

A Ambry Genetics concordou em pagar US$ 700 mil para resolver supostas violações das normas federais de privacidade em saúde depois que um ataque de phishing expôs as informações eletrônicas protegidas de saúde de 225.370 pessoas, segundo o HIPAA Journal.

A empresa de testes genéticos e genômica clínica, sediada em Aliso Viejo, Califórnia, chegou a um acordo com o Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos dos EUA. Além do pagamento, a Ambry Genetics deverá executar um plano de ação corretiva destinado a solucionar as fragilidades identificadas durante a investigação da agência.

A empresa permanecerá sob monitoramento do OCR por dois anos. O acordo é resultado de uma investigação sobre se a Ambry Genetics cumpriu os requisitos da Health Insurance Portability and Accountability Act, conhecida comumente como HIPAA.

Como a violação aconteceu

A Ambry Genetics detectou uma atividade incomum em seu sistema de e-mail em 22 de janeiro de 2020. Uma análise forense posterior constatou que uma pessoa não autorizada havia acessado a conta de e-mail de um funcionário depois que ele respondeu a uma mensagem de phishing.

O agente criminoso teve acesso à conta de 22 a 24 de janeiro. As informações potencialmente expostas durante esse período incluíam nomes, endereços, datas de nascimento, números de carteira de motorista, diagnósticos ou outros detalhes sobre condições de saúde, medicamentos, informações sobre tratamentos e alguns números de Seguro Social.

A Ambry Genetics comunicou o incidente ao OCR em 22 de março de 2020. Seu relatório inicial abrangia 232.772 pessoas, mas a empresa posteriormente revisou a população afetada para 225.370.

O OCR abre investigações sobre violações que envolvem pelo menos 500 pessoas. Neste caso, a agência afirmou que sua análise constatou que a Ambry Genetics não havia concluído uma avaliação precisa e abrangente das ameaças e fragilidades relacionadas à confidencialidade, integridade e disponibilidade das informações eletrônicas protegidas de saúde.

A agência também identificou deficiências nos controles de acesso. A Ambry Genetics não havia estabelecido políticas e procedimentos para encerrar o acesso às informações eletrônicas protegidas de saúde quando os trabalhadores deixassem a empresa ou não precisassem mais desse acesso. Além disso, nomes de usuário únicos não haviam sido fornecidos a todos os membros da força de trabalho que precisavam de acesso, limitando a capacidade de identificar os usuários e rastrear suas atividades nos sistemas relevantes.

O que o plano corretivo exige

Nos termos do acordo, a Ambry Genetics deverá realizar uma análise abrangente de riscos e criar um programa de gestão de riscos com base nas fragilidades encontradas. O programa tem como objetivo reduzir ou controlar esses riscos.

A empresa também deverá desenvolver e aplicar políticas e procedimentos destinados a cumprir a Regra de Segurança da HIPAA e outros requisitos da HIPAA. Todos os membros da força de trabalho deverão receber treinamento sobre essas políticas e procedimentos.

Outra exigência é a atribuição de uma identificação única a todos os membros da força de trabalho cujas atividades ocorram em sistemas que contenham informações eletrônicas protegidas de saúde. Essa identificação deverá permitir que as atividades sejam rastreadas até usuários individuais.

O acordo foi firmado depois que o OCR notificou a empresa de que havia identificado supostas violações da HIPAA e planejava impor uma penalidade financeira. A Ambry Genetics aceitou a oferta da agência para resolver a questão por meio de um acordo que combina o pagamento com as medidas corretivas.

Consequências financeiras e regulatórias mais amplas

A penalidade federal não é o único custo relacionado ao incidente. A Ambry Genetics também enfrentou uma ação coletiva decorrente da violação e resolveu o litígio por US$ 12,25 milhões.

A diretora do OCR, Paula M. Stannard, afirmou que o phishing continua sendo uma via frequente para violações envolvendo informações protegidas de saúde e pode expor fragilidades na conformidade de uma organização com a Regra de Segurança da HIPAA. Ela identificou a análise de riscos, a gestão de riscos e a implementação da Regra de Segurança como elementos centrais da cibersegurança.

O HIPAA Journal informa que o acordo com a Ambry Genetics é a 10ª penalidade financeira aplicada pelo OCR neste ano por supostas violações da HIPAA e a 188ª penalidade da agência no total. Entre as penalidades aplicadas pela agência durante o ano, todas, exceto uma, envolveram falhas relacionadas à análise de riscos.

O OCR arrecadou US$ 3.030.250 em multas relacionadas à HIPAA até agora neste ano. Portanto, o acordo com a Ambry Genetics se soma a um foco mais amplo de fiscalização sobre se as organizações compreendem seus riscos à segurança da informação e adotam medidas documentadas para gerenciá-los.