Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

Le laboratoire d'analyses Quest Diagnostics confirme que des dossiers de patients ont été compromis par une cyberattaque

Quest Diagnostics a déclaré avoir découvert mercredi une cyberattaque visant Quanum, l'un de ses systèmes d'analyses de laboratoire. Dans un document déposé auprès de la Securities and Exchange Commission des États-Unis, l'entreprise a confirmé que des intrus avaient accédé à certains dossiers de patients. Quanum permet aux cabinets médicaux, aux hôpitaux et aux structures de soins de commander des analyses de laboratoire et de gérer la facturation.

Quanum conserve un grand volume de dossiers médicaux et de santé de patients, ainsi que les données diagnostiques et de facturation associées ; selon Quest, environ 500 000 cliniciens l'utilisent dans des milliers de sites en Amérique du Nord. L'entreprise n'a pas indiqué quand la violation a commencé ni si un groupe de pirates a exigé un paiement. Il s'agit de la deuxième violation majeure subie par Quest en dix ans, après la perte de 11,9 millions de dossiers de patients lors d'une cyberattaque contre une société de facturation tierce en 2019.

Les délégués à la protection des données du secteur de la santé et des chaînes d'approvisionnement clinique doivent vérifier sans délai si leurs équipes médicales utilisent Quanum pour la transmission d'ordres médicaux ou la consultation de résultats diagnostiques. Il incombe aux équipes de réexaminer les contrats de sécurité conclus avec ce sous-traitant afin de déterminer les délais stricts de notification de violation et d'évaluer si les données diagnostiques relatives à leurs propres patients imposent des notifications autonomes aux autorités ou aux personnes concernées. Les organisations doivent également auditer les journaux d'accès de leurs portails de santé interconnectés afin de s'assurer de l'intégrité de l'ensemble des clés d'intégration externes.

Cette violation s'ajoute à une série de cyberattaques visant des entreprises de santé cette année, notamment CareCloud, Craneware et McKesson.

Qui cela engage
Fournisseurs de soins de santé et cabinets médicaux utilisant les plateformes de Quest Diagnostics pour prescrire des analyses de laboratoire ou consulter des dossiers de patients.
Ce qui a changé
Quest a prévenu les forces de l'ordre et mène une enquête ; une notice publiée sur son site indique que des informations de santé protégées de certains patients ont été dérobées.

À transmettre à votre équipe

Quest Diagnostics n'a pas précisé combien de patients ou de clients professionnels de santé se sont fait voler des informations, ni quels types de données les attaquants ont emportés.

La question du jour

Un prestataire de services de diagnostic clinique subit une cyberattaque compromettant une plateforme hébergeant les résultats médicaux et les coordonnées de facturation de plusieurs centres de santé partenaires. Dans le cadre de leur gouvernance de gestion des incidents liés aux tiers, quelle mesure immédiate les responsables de la protection de la vie privée des centres clients doivent-ils exécuter en priorité vis-à-vis de ce prestataire ?

  1. Exiger la réinitialisation de tous les mots de passe internes de leurs salariés
  2. Vérifier les accords contractuels pour évaluer les délais d'alerte obligatoires
  3. Signaler immédiatement la rupture totale des relations contractuelles en cours
  4. Suspendre définitivement toutes les transmissions d'analyses sous format papier

Répondre à cette question sur le site

À savoir également

  1. Meta condamnée à 25 milliards USD dans un verdict relatif à la protection des consommateurs au Nouveau-Mexique

    Le verdict massif obtenu par le Nouveau-Mexique contre Meta démontre que les jurys d'État qualifieront les promesses historiques formulées après Cambridge Analytica sur la surveillance des développeurs tiers de déclarations trompeuses passibles de sanctions en vertu du droit de la consommation plutôt que de simples discours d'entreprise.

  2. Le Conseil de l'Union européenne finalise son mandat de négociation sur le Digital Omnibus

    Les négociations en trilogue sur le Digital Omnibus détermineront directement si les bandeaux de cookies peuvent être réduits et selon quelles modalités les chaînes d'entraînement de modèles d'apprentissage automatique atteignent les critères de pseudonymisation.

  3. L'OPC transmet ses observations sur le cadre fédéral canadien de transparence de l'intelligence artificielle

    Les organisations sous juridiction canadienne déployant des agents autonomes ou des contenus synthétiques s'exposent à des obligations fédérales de transparence que le Commissaire à la protection de la vie privée entend mesurer directement à l'aune des obligations prévues par la législation sur la protection des renseignements personnels.

  4. Washington Gastroenterology conclut un accord transactionnel de 4,6 millions USD après une violation de données de santé

    Le règlement de quatre virgule six millions de dollars accepté par Washington Gastroenterology démontre que les structures de soins spécialisées s'exposent à des indemnités majeures en action collective civile lorsqu'elles omettent de maintenir des mesures techniques de protection suffisantes pour les dossiers de santé électroniques.

  5. noyb alerte sur la création par le projet du Conseil d'une exemption générale pour l'entraînement de modèles d'IA

    Max Schrems et noyb annoncent de futurs recours juridiques contre toute version finale du Digital Omnibus autorisant des acteurs technologiques comme OpenAI ou Meta à contourner les exigences de consentement de l'Union européenne au moyen d'une exception dédiée à l'intelligence artificielle.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.