Compliance · · 4 min read
ایمبری جینیٹکس نے 700,000 ڈالر کے HIPAA تصفیے پر رضامندی ظاہر کر دی
فشنگ سے متعلق ایسے ڈیٹا افشا ہونے کی تحقیقات کے بعد ایمبری جینیٹکس 700,000 ڈالر ادا کرے گی اور دو سالہ اصلاحی منصوبے پر عمل کرے گی، جس سے 225,370 افراد متاثر ہوئے۔
HIPAA Journal کے مطابق، ایمبری جینیٹکس نے وفاقی صحت کی رازداری کے قواعد کی مبینہ خلاف ورزیوں کے ازالے کے لیے 700,000 ڈالر ادا کرنے پر رضامندی ظاہر کی ہے۔ فشنگ حملے کے بعد 225,370 افراد کی الیکٹرانک محفوظ طبی معلومات افشا ہو گئی تھیں۔
الیسو ویجو، کیلیفورنیا میں قائم جینیاتی ٹیسٹنگ اور کلینیکل جینومکس کمپنی نے امریکی محکمۂ صحت و انسانی خدمات (U.S. Department of Health and Human Services) کے دفتر برائے شہری حقوق (Office for Civil Rights، OCR) کے ساتھ یہ تصفیہ کیا۔ ادائیگی کے ساتھ ساتھ ایمبری جینیٹکس کو ایک اصلاحی منصوبہ بھی نافذ کرنا ہوگا، جس کا مقصد ایجنسی کی تحقیقات کے دوران شناخت کی گئی کمزوریوں کو دور کرنا ہے۔
کمپنی دو سال تک OCR کی نگرانی میں رہے گی۔ یہ تصفیہ اس تحقیقات کے بعد ہوا کہ آیا ایمبری جینیٹکس نے ہیلتھ انشورنس پورٹیبلٹی اینڈ اکاونٹیبلٹی ایکٹ کے تقاضوں پر عمل کیا یا نہیں، جسے عام طور پر HIPAA کہا جاتا ہے۔
ڈیٹا افشا ہونے کا واقعہ کیسے پیش آیا
ایمبری جینیٹکس نے 22 جنوری 2020 کو اپنے ای میل نظام میں غیر معمولی سرگرمی کا پتا لگایا۔ بعد ازاں کیے گئے فرانزک جائزے سے معلوم ہوا کہ ایک ملازم کی جانب سے فشنگ پیغام کا جواب دینے کے بعد ایک غیر مجاز شخص نے اس کے ای میل اکاؤنٹ میں داخلہ حاصل کر لیا تھا۔
مجرمانہ سرگرمی میں ملوث شخص کو 22 جنوری سے 24 جنوری تک اکاؤنٹ تک رسائی حاصل رہی۔ اس عرصے کے دوران ممکنہ طور پر افشا ہونے والی معلومات میں نام، پتے، تاریخِ پیدائش، ڈرائیونگ لائسنس نمبرز، تشخیص یا دیگر طبی حالت سے متعلق تفصیلات، ادویات، علاج سے متعلق معلومات اور بعض سوشل سکیورٹی نمبرز شامل تھے۔
ایمبری جینیٹکس نے 22 مارچ 2020 کو اس واقعے کی اطلاع OCR کو دی۔ اس کی ابتدائی رپورٹ میں 232,772 افراد شامل تھے، تاہم کمپنی نے بعد میں متاثرہ افراد کی تعداد 225,370 کر دی۔
OCR ایسے ڈیٹا افشا ہونے کے واقعات کی تحقیقات شروع کرتا ہے جن میں کم از کم 500 افراد شامل ہوں۔ اس معاملے میں ایجنسی نے کہا کہ اس کے جائزے سے معلوم ہوا کہ ایمبری جینیٹکس نے الیکٹرانک محفوظ طبی معلومات کی رازداری، سالمیت اور دستیابی سے متعلق خطرات اور کمزوریوں کا درست اور جامع جائزہ مکمل نہیں کیا تھا۔
ایجنسی نے رسائی کے کنٹرولز میں بھی خامیوں کی نشاندہی کی۔ ایمبری جینیٹکس نے ایسی پالیسیاں اور طریقۂ کار وضع نہیں کیے تھے جن کے تحت کارکنوں کے کمپنی چھوڑنے یا اس رسائی کی مزید ضرورت نہ رہنے پر الیکٹرانک محفوظ طبی معلومات تک ان کی رسائی ختم کی جا سکے۔ اس کے علاوہ، رسائی کے ضرورت مند ہر ملازم کو منفرد صارف نام فراہم نہیں کیے گئے تھے، جس کے باعث صارفین کی شناخت اور متعلقہ نظاموں میں ان کی سرگرمیوں کا سراغ لگانے کی صلاحیت محدود ہو گئی تھی۔
اصلاحی منصوبے کے تقاضے
معاہدے کے تحت ایمبری جینیٹکس کو خطرات کا ایک جامع تجزیہ کرنا اور سامنے آنے والی کمزوریوں کی بنیاد پر خطرات کے انتظام کا پروگرام تشکیل دینا ہوگا۔ اس پروگرام کا مقصد ان خطرات کو کم کرنا یا قابو میں رکھنا ہے۔
کمپنی کو ایسی پالیسیاں اور طریقۂ کار بھی تیار اور نافذ کرنا ہوں گے جن کا مقصد HIPAA سکیورٹی رول اور HIPAA کے دیگر تقاضوں کی تکمیل ہو۔ ہر ملازم کو ان پالیسیوں اور طریقۂ کار کے بارے میں تربیت دینا بھی لازم ہوگا۔
ایک اور تقاضا یہ ہے کہ ان تمام ملازمین کو منفرد شناخت تفویض کی جائے جن کی سرگرمیاں الیکٹرانک محفوظ طبی معلومات رکھنے والے نظاموں میں انجام پاتی ہیں۔ اس شناخت کے ذریعے سرگرمیوں کو انفرادی صارفین تک پہنچانا ممکن ہونا چاہیے۔
یہ تصفیہ OCR کی جانب سے ایمبری جینیٹکس کو مطلع کیے جانے کے بعد ہوا کہ اس نے HIPAA کی مبینہ خلاف ورزیوں کی نشاندہی کی ہے اور مالی جرمانہ عائد کرنے کا ارادہ رکھتی ہے۔ ایمبری جینیٹکس نے ادائیگی اور اصلاحی اقدامات کو یکجا کرنے والے معاہدے کے ذریعے معاملہ نمٹانے کی ایجنسی کی پیش کش قبول کر لی۔
وسیع تر مالی اور ضابطہ جاتی نتائج
وفاقی جرمانہ اس واقعے سے منسلک واحد لاگت نہیں ہے۔ ایمبری جینیٹکس کو ڈیٹا افشا ہونے کے نتیجے میں ایک اجتماعی مقدمے کا بھی سامنا کرنا پڑا اور اس مقدمے کو 12.25 ملین ڈالر میں نمٹا لیا گیا۔
OCR کی ڈائریکٹر پاؤلا ایم. اسٹینارڈ نے کہا کہ فشنگ اب بھی محفوظ طبی معلومات سے متعلق ڈیٹا افشا ہونے کے واقعات کا ایک عام ذریعہ ہے اور کسی ادارے کی HIPAA سکیورٹی رول کی تعمیل میں موجود کمزوریوں کو نمایاں کر سکتی ہے۔ انہوں نے خطرات کے تجزیے، خطرات کے انتظام اور سکیورٹی رول کے نفاذ کو سائبر سکیورٹی کے مرکزی عناصر قرار دیا۔
HIPAA Journal کی رپورٹ کے مطابق، ایمبری جینیٹکس کا معاہدہ مبینہ HIPAA خلاف ورزیوں پر اس سال OCR کا 10واں مالی جرمانہ اور مجموعی طور پر 188واں جرمانہ ہے۔ سال کے دوران ایجنسی کی جانب سے عائد کیے گئے جرمانوں میں سے ایک کے سوا باقی تمام خطرات کے تجزیے سے متعلق ناکامیوں پر عائد ہوئے ہیں۔
OCR نے اس سال اب تک HIPAA جرمانوں کی مد میں 3,030,250 ڈالر وصول کیے ہیں۔ چنانچہ ایمبری جینیٹکس کا تصفیہ اس وسیع تر نفاذی توجہ میں اضافہ کرتا ہے کہ آیا ادارے اپنے معلوماتی سکیورٹی خطرات کو سمجھتے ہیں اور ان کے انتظام کے لیے دستاویزی اقدامات کرتے ہیں۔