Medizinischer Transkriptionsdienst Perry Johnson einigt sich mit vier US-Bundesstaaten nach Datenleck mit mehr als 13 Millionen Betroffenen
Berichten zufolge kam es im März 2023 bei Tochtergesellschaften des medizinischen Dienstleisters Perry Johnson Companies, die Transkriptionen, Kodierungen und Bildgebung übernehmen, zu einem Sicherheitsvorfall. Ein externer Angreifer drang mit den Anmeldedaten eines Mitarbeiters in das Unternehmensnetzwerk ein, die nicht durch eine Multi-Faktor-Authentifizierung geschützt waren. Anschließend sammelte der Eindringling Passwörter und griff auf unverschlüsselte Dateien mit Gesundheitsdaten von Patienten zu.
Zwar erfasste die interne Protokollierungssoftware die Bewegungen des Angreifers im Netzwerk, Fehlkonfigurationen verhinderten jedoch die Weiterleitung von Alarmmeldungen an das Sicherheitspersonal, sodass der Datendiebstahl unentdeckt blieb, bis die Angreifer das Unternehmen benachrichtigten. Zu den kompromittierten Inhalten zählten Sozialversicherungsnummern, Krankenhaus-Kontodaten, klinische Transkriptionsdateien, Medikationslisten und diagnostische Testergebnisse.
Datenschutzteams, die Dienstleister im Gesundheitswesen prüfen, müssen kontrollieren, ob externe Auftragsverarbeiter für Transkription und Kodierung ausnahmslos eine Multi-Faktor-Authentifizierung durchsetzen. Verträge sollten Dienstleistungsunternehmen dazu verpflichten, sämtliche geschützten Gesundheitsdaten im Ruhezustand zu verschlüsseln und die Zugriffsprotokollierung kontinuierlich zu testen, um ungewöhnliche Verwendungen von Anmeldedaten zu erkennen.
Der Vergleich verlangt außerdem jährliche Risikobewertungen und Regeln dafür, wie die Unternehmen Gesundheitsdaten erheben, nutzen, aufbewahren und löschen.
- Wen das bindet
- Die Transkriptions-, Kodierungs- und Bildgebungsgesellschaften von Perry Johnson, die sich mit den Generalstaatsanwälten von Connecticut, New Jersey, New York und Michigan geeinigt haben
- Was sich geändert hat
- Nach Angaben der New Yorker Generalstaatsanwältin zahlen die Unternehmen mindestens 300.000 Dollar Strafe, müssen Multi-Faktor-Authentifizierung, Verschlüsselung und ein umfassendes Sicherheitsprogramm einführen und schulden weitere 9,7 Millionen Dollar, falls sie gegen die Vereinbarung verstoßen.
An Ihr Team weiterleiten
Ein Dienstleister für medizinische Transkription und Kodierung muss seine Sicherheitsarchitektur grundlegend überarbeiten oder riskiert nach einer unbemerkten zweimonatigen Kompromittierung eine ausgesetzte Strafzahlung in Millionenhöhe.