قام مكتب مفوض المعلومات في المملكة المتحدة (ICO) اليوم بتغريم مجموعة برامج الكمبيوتر المتقدمة – المعروفة الآن باسم oneadvanced – 3.07 مليون جنيه إسترليني لفشل الأمن السيبراني الذي أدى إلى تفاقم تأثير أ Lockbit Ransomware Attack ضد المنظمة.
الهجوم السيبراني ، التي حدثت في أغسطس 2022، تم تعطيل الخدمات التي تقدمها العملاء المتقدمون – بما في ذلك NHS ومقدمي الرعاية الصحية الآخرين – على نطاق واسع عندما فقدوا الوصول إلى منصة إدارة المرضى السريرية Adastra.
كانت إحدى الهيئات التي اعتمدت على Adastra في ذلك الوقت هي خدمة Frontline 111. وشملت أجزاء أخرى من الخدمة الصحية المتأثرة الإرسال الإسعاف ، ووصفات الطوارئ ، وخدمات المرضى خارج ساعات العمل ، والإحالات.
وخلص المنظم إلى أن شركة Advanced’s Health and Care لم يكن لديها تدابير تقنية وتنظيمية مناسبة لضمان أمان أنظمة تكنولوجيا المعلومات الخاصة بها ، مع تسليط الضوء على الثغرات ليس فقط في MFA ، ولكن أيضًا في المسح الضوئي وإدارة التصحيح.
وقال جون إدواردز ، مفوض المعلومات ، “إن التدابير الأمنية للشركة التابعة لـ Advanced ، أقل بشكل خطير مما كنا نتوقعه من مؤسسة تعالج مثل هذا الحجم الكبير من المعلومات الحساسة. في حين أن المتقدم قد قام بتثبيت مصادقة متعددة العوامل عبر العديد من أنظمتها ، فإن الافتقار إلى التغطية الكاملة يعني الوصول إلى المتسللين ، ووضع الآلاف من المعلومات الشخصية الحساسة للأشخاص المعرضين للخطر”.
“يجب ألا يضطر الناس أبدًا إلى التفكير مرتين فيما إذا كانت سجلاتهم الطبية في أيد أمينة. لاستخدام الخدمات بثقة ، يجب أن يكونوا قادرين على الوثوق بأن كل مؤسسة تتلامس مع معلوماتهم الشخصية – سواء كانت تستخدمها أو مشاركتها أو تخزينها نيابة عن الآخرين – تفي بالتزاماتها القانونية لحمايتها” ، أضافت إدواردز.
أحث جميع المؤسسات على التأكد من تأمين كل اتصال خارجي مع MFA اليوم لحماية الجمهور ومعلوماتهم الشخصية – لا يوجد عذر لترك أي جزء من نظامك عرضة للخطر
جون إدواردز ، مفوض المعلومات
“مع زيادة الحوادث الإلكترونية في جميع القطاعات ، فإن قراري اليوم هو تذكير صارخ بأن المؤسسات تخاطر بأن تصبح الهدف التالي دون تدابير أمنية قوية معمول بها. أحث جميع المنظمات على ضمان تأمين كل اتصال خارجي مع MFA اليوم لحماية الجمهور ومعلوماتها الشخصية – لا يوجد عذر لترك أي جزء من نظامك ضعيفًا”.
الغرامة – وهو حوالي نصف المبلغ المقترح في البداية – يمثل الأول بالنسبة إلى ICO ، لأنه لم يسبق له أن فرض مثل هذه العقوبة على معالج البيانات بموجب قانون حماية البيانات في المملكة المتحدة.
إن التخفيض الكبير له هو نتيجة عدد من العوامل ، بما في ذلك التمثيلات التي قدمتها التقدم المحرز الذي أحرزته ، والمشاركة الاستباقية للمنظمة طوال الحادث ، والتي شملت التعاون الكامل مع المركز الوطني للأمن السيبراني (NCSC) ، والوكالة الوطنية للجريمة (NCA) ، و NHS.
وصل ICO و Advanced الآن إلى تسوية طوعية ، حيث يعترف المتقدم بقرار تقليل الغرامة وسوف يدفع تسوية نهائية دون استئناف.
وقال إدواردز إن هذه التسوية كانت موضع ترحيب وقدمت اليقين التنظيمي دون الحاجة إلى تكبد المزيد من التكاليف والتأخير المرتبط بالاستئناف.
حذر ICO الآخرين من أنه يجب عليهم اتخاذ خطوات استباقية لتقييم وتخفيف عوامل الخطر المعروفة التي تمكن عصابات الفدية مثل Lockbit لتشغيل مؤسساتهم الإجرامية بسهولة. وتشمل هذه تنفيذ MFA افتراضيًا ودون استثناء ، والقيام بمزيد من العمل لتقييم نقاط الضعف وإصلاحها في الوقت المناسب.
وقال متحدث باسم متقدم: “ما حدث منذ أكثر من عامين ونصف ، أمر مؤسف تمامًا. مع عمل الجهات الفاعلة في التهديدات بزيادة التطور ، فإن جميع الشركات هي ضمان تعزيز وضعهم الإلكتروني باستمرار. يظل الأمن السيبراني استثمارًا أساسيًا في أعمالنا ، وقد تعلمنا الكثير كمؤسسة منذ ذلك الهجوم.
“لقد أبلغنا عن الحادث الذي وقع في ICO في أغسطس 2022 ويسعدنا أن نرى هذه المسألة قد انتهت. يظل تركيزنا ثابتًا على دعم عملائنا أثناء التنقل في المشهد التكنولوجي المتطور بسرعة ، مما يضمن تحقيقهم للنمو الاستراتيجي وأهداف الكفاءة التشغيلية.”
