チェンジ・ヘルスケアのデータセットを巡る集団訴訟、データ取扱いに厳格なルールを設定

2024年に発生したチェンジ・ヘルスケア(Change Healthcare)へのランサムウェア攻撃で盗まれたデータは、量が膨大であるうえに機微性が極めて高いことから、ユナイテッドヘルスグループ(UHG)、チェンジ・ヘルスケア、オプタム(Optum)ほかUHG傘下企業を相手取った統合訴訟に関与する弁護士らに対し、データ取扱いに関する厳格なルールが設けられることになりました。このルールにより、データセットが常時保護される体制が確保されます。

このランサムウェア攻撃では約6テラバイトのデータが盗まれ、その中には推定1億9,270万人分の電子保護医療情報(氏名、連絡先情報、社会保障番号、運転免許証番号、保険情報、医療情報を含む)が記録されたファイルも含まれていました。UHGはBlackCatランサムウェアグループにデータ削除と引き換えに2,200万ドルの身代金を支払いましたが、運営者側はその金銭を着服し、データのコピーを保持していたアフィリエイトには支払いを行いませんでした。このアフィリエイトは別のランサムグループであるRansomHubに加わり、UHGに対して二度目の恐喝を試みています。

この事件は過去最大規模の医療データ漏えいとなり、患者による集団訴訟や、業務・財務面での混乱に対する補償を求める医療提供者による訴訟など、数十件もの訴訟を引き起こしました。2024年6月7日、司法パネル(Judicial Panel on Multidistrict Litigation)は、消費者からの訴え19件と医療提供者からの訴え30件を含む当初49件の訴訟を統合しましたが、その後この訴訟に含まれる件数は150件以上にまで増加しています。この統合訴訟「In Re: Change Healthcare, Inc. Customer Data Security Breach Litigation」は、米国ミネソタ地区連邦地方裁判所に集約されました。

盗まれたデータファイルは開示対象資料として指定されており、データの機微性と記録量の大きさから、不正アクセスやデータ窃取を防ぐための強化されたセキュリティ対策が求められています。盗まれたデータセットに関するルールは原告側弁護士によって承認され、サイバーセキュリティ専門家によってデータの安全性を確保するのに十分な内容であることが検証されたうえで、裁判官の承認を得るために提出されました。この取り決められた保護命令は、最近ダルス・フォスター(Dulce Foster)治安判事によって承認されています。

UHGは、連邦セキュリティ基準に準拠した暗号化ハードドライブにデータを1部だけ用意して提供し、復号キーは別途提供することが義務付けられています。これにより、ドライブの紛失や盗難が発生した場合でもデータにアクセスできないようにします。原告側弁護士は、ハードドライブを受け取った後、業界標準の暗号化方式を用いてデータを再度暗号化することが義務付けられています。データの複製は一切許されず、本件に関与する全員が利用する共有ファイルライブラリへの保存も禁止されています。また、原告側弁護士がこのデータセットを潜在的な集団訴訟の対象者(クラスメンバー)の特定や所在確認に利用することも禁じられています。

このハードドライブは、インターネットおよびあらゆるネットワークから切り離され、Wi-FiやBluetooth接続も一切ないエアギャップ環境のコンピューターでのみ使用しなければなりません。使用するコンピューターは新規に用意し、使用前に最新の状態に更新しておく必要があり、使用時にはケーブル、電話機、記憶媒体類を近くに置くことも禁止されています。データへのアクセスが必要な場合も、少量のサンプルへのアクセスのみが許され、同時にアクセスできるのは最大25人までとされています。すべてのサンプルは、強力な暗号化と16文字以上の複雑なパスワードで保護しなければなりません。

ドライブおよびデータの詳細な保管の連鎖(チェーン・オブ・カストディ)を含む監査証跡を維持し、要求があればUHGにそのログを提供する必要があります。訴訟が終結した場合、あるいは原告側の請求が却下された場合には、政府承認済みのデータ消去方式であるNIST SP 800-88を用いて30日以内にデータを安全に消去するか、ハードドライブを物理的に破壊したうえで、偽証罪の適用を受ける詳細な破棄証明書を取得しなければなりません。

セキュリティインシデントや不正なデータアクセス、データ共有が発生した場合、UHGへは48時間以内に通知する必要があります。実際にセキュリティインシデントであったと判明した場合、双方は外部のデジタルフォレンジック専門企業を起用する義務があり、原告側に過失があると判断された場合には、調査費用全額を原告側が負担しなければなりません。