El organismo de control multará a una empresa de TI del NHS tras el robo de registros médicos
La Oficina del Comisionado de Información (ICO) ha impuesto provisionalmente una multa de 6 millones de libras a un proveedor de software del NHS por una violación de datos que afectó a más de 80.000 personas.
La violación tuvo lugar en 2022 e incluyó información personal confidencial, como registros médicos y «cómo ingresar a las casas de 890 personas».
Pero la ICO enfatizó que era una multa provisional y que esperaría a escuchar de Advanced Computer Software Group antes de tomar una decisión final.
Según sus hallazgos iniciales, los piratas informáticos habían «exfiltrado» información personal de 82.946 personas.
«No sólo se vio comprometida información personal, sino que también hemos visto informes de que este incidente causó interrupciones en algunos servicios de salud, alterando su capacidad de brindar atención al paciente», dijo John Edwards, el Comisionado de Información.
«Un sector que ya se encontraba bajo presión se vio sometido a una presión aún mayor debido a este incidente».
La ICO afirmó que las personas que fueron afectadas por el ataque habían sido notificadas y que Advanced no había podido encontrar evidencia de que se hubiera filtrado información en la red oscura.
Los piratas informáticos desconectan siete de los sistemas de salud de Advanced, incluido el software utilizado para el registro de pacientes, las notas médicas y el servicio NHS 111.
Los médicos le dijeron a la BBC en ese momento Podría tomar meses procesar las enormes pilas de documentación médica causadas por el ciberataque.
Esto obligó a algunos servicios de medicina general a tomar notas con lápiz y papel en lugar de utilizar sistemas electrónicos.
Los piratas informáticos lograron acceder a la información utilizando la cuenta de un cliente que no tenía protección suficiente.
Pero la ICO dice que cree que Advanced debería haber implementado medidas para protegerse contra esta vulnerabilidad.
«He decidido hacer pública esta decisión provisional hoy porque es mi deber garantizar que otras organizaciones tengan información que pueda ayudarlas a proteger sus sistemas y evitar incidentes similares en el futuro», dijo el Sr. Edwards.
“Insto a todas las organizaciones, especialmente a aquellas que manejan datos sanitarios sensibles, a que aseguren urgentemente las conexiones externas con autenticación multifactor”.