アムブリー・ジェネティクス、HIPAA違反で70万ドルの制裁金を支払い和解

米保健福祉省(HHS)公民権局(OCR)は、カリフォルニア州アリソヴィエホに拠点を置く遺伝子検査・臨床ゲノミクス企業アムブリー・ジェネティクス・コーポレーションとの間で、医療保険の相互運用性と説明責任に関する法律(HIPAA)違反の疑いを解消するための和解に合意しました。アムブリー・ジェネティクスは70万ドルの制裁金を支払うとともに、OCRが調査で特定した非準拠領域に対処するための是正措置計画を採用することに同意しました。この調査は、225,370人分の電子保護対象保健情報(ePHI)が侵害された事案を対象としたものです。

このデータ侵害は2020年3月22日にOCRへ報告され、当初は232,772人分の保護対象保健情報が関わるとされていましたが、後に対象者数は225,370人へと修正されました。アムブリー・ジェネティクスは2020年1月22日に自社のメール環境内で不審な activity を検知し、フォレンジック調査の結果、フィッシングメールへの応答をきっかけに従業員のメールアカウントへ第三者が不正アクセスしたことが判明しました。このアカウントは2020年1月22日から1月24日の間に攻撃者によってアクセスされ、氏名、住所、生年月日、運転免許証番号、診断・病状情報、服薬情報、治療情報、そして一部の社会保障番号が流出しました。

OCRは500人以上に影響が及ぶすべてのデータ侵害を調査対象としており、今回のフィッシング関連のデータ侵害についても報告を受けて調査を開始しました。その結果、アムブリー・ジェネティクスがePHIの機密性、完全性、可用性に対するリスクと脆弱性を特定するための正確かつ包括的なリスク分析を実施していなかったことが判明しました。

さらに、従業員が退職した場合やePHIへのアクセスが不要になった場合に、そのアクセス権を終了させるための方針・手順を整備していなかったことも明らかになりました。加えて、ePHIへのアクセスを必要とするすべての従業員に固有のユーザー名が割り当てられておらず、個々の従業員を識別してePHIとのやり取りを追跡することができない状態にありました。

OCRはアムブリー・ジェネティクスに対し調査結果と制裁金を科す意向を通知するとともに、HIPAA違反の疑いを非公式に和解する提案を行いました。アムブリー・ジェネティクスはこれを受け入れ、70万ドルの制裁金の支払いと、HIPAA規則への全面的な準拠を確保するための是正措置計画の実施に合意しました。アムブリー・ジェネティクスは今後2年間にわたり、この是正措置計画の遵守状況について監視を受けることになります。

是正措置計画では、アムブリー・ジェネティクスに対し、包括的かつ正確なリスク分析の実施と、そのリスク分析で特定されたリスクを低減・緩和するためのリスク管理プログラムの策定・実施が求められています。また、HIPAAセキュリティ規則をはじめとするHIPAA関連の方針・手順への準拠を確保するための方針・手順を策定するとともに、すべての従業員にePHIを含む情報システム上での活動を追跡できるよう固有の識別情報を割り当てる必要があります。さらに、全従業員はこれらの方針・手順に関するHIPAAトレーニングを受講しなければなりません。今回のフィッシング攻撃は、アムブリー・ジェネティクスにとって高くつく結果となりました。同社はこのデータ侵害を巡って集団訴訟を起こされ、1,225万ドルで訴訟を和解しています。

OCR局長のポーラ・M・スタンダード氏は次のように述べています。「メールを狙ったフィッシングは、PHIの侵害につながりかねないありふれたサイバー攻撃であり、HIPAAセキュリティ規則上の不備を浮き彫りにすることがあります。準拠したリスク分析を実施し、リスク管理に取り組み、セキュリティ規則の各規定を全面的に実施することが、引き続き効果的なサイバーセキュリティと最善のサイバー防御の基盤となります」。今回の制裁は、OCRが今年科したHIPAA規則違反疑いに関する制裁金としては10件目であり、これまでの累計では188件目となります。今年科された制裁のうち、1件を除くすべてがリスク分析の不備に起因するものでした。OCRは今年これまでに、HIPAA関連の罰金として合計3,030,250ドルを徴収しています。