Джон Едуардс: няма извинение да оставите която и да е част от вашата система уязвима
Службата на британския комисар по информацията (ICO) глоби Advanced Computer Software Group Ltd (Advanced) с £3,07 милиона за пропуски в сигурността, които изложиха на риск личната информация на 79 404 души.
Advanced предоставя ИТ и софтуерни услуги на организации, включително NHS (британската здравна служба – бел. ред.) и други доставчици на здравни услуги, и обработва личната информация на хората от името на тези организации.
Глобата е свързана с инцидент с ransomware през август 2022 г. Хакерите са получили достъп до определени системи на филиала за здравеопазване и грижи на Advanced чрез клиентски акаунт, който не е имал многофакторно удостоверяване (MFA). Кибератаката доведе до прекъсване на критични услуги като NHS 111, а здравен персонал остана без достъп до досиетата на пациентите.
Разследването установи, че е взета лична информация, принадлежаща на 79 404 души, включително подробности за това как да се влезе в домовете на 890 души, които са получавали грижи у дома.
В сайта на ICO пише, че разследването е стигнало до заключението, че филиал за здравеопазване и грижи на Advanced не е разполагало с подходящи технически и организационни мерки, за да поддържа системите си за здравеопазване и грижи напълно защитени преди инцидента от 2022 г. – включително пропуски в внедряването на MFA, липса на цялостно сканиране за уязвимости и недостатъчно управление на кръпките.
На 07.08.2024 г. писах, че Засега глобата за Advanced е £6 милиона – санкцията беше временна. Сега ICO отчита няколко фактора за намаляване на глобата, включително ангажираността на Advanced с Националния център за киберсигурност (NCSC), Националната агенция за борба с престъпността (NCA) и NHS след атаката и други стъпки, предприети за смекчаване на риска за засегнатите.
ICO и Advanced вече са се споразумели за доброволно уреждане на сметките. Advanced признава решението за налагане на намалена глоба и плаща окончателна санкция от £3,076,320 без обжалване.
Джон Едуардс, комисар по информацията, каза: „Хората никога не трябва да се замислят дали медицинските им досиета са в сигурни ръце. … С нарастването на киберинцидентите във всички сектори днешното ми решение е ярко напомняне, че организациите рискуват да станат следващата цел без въведени стабилни мерки за сигурност. …няма извинение да оставите която и да е част от вашата система уязвима.“