Kantor Komisioner Informasi Inggris (ICO) telah mengumumkan keputusan sementara untuk mengenakan denda sebesar £6,09 juta ($7,74 juta) pada Advanced Computer Software Group Ltd (Advanced) karena gagal melindungi informasi pribadi puluhan ribu orang saat terkena ransomware pada tahun 2022.
Advanced, penyedia layanan TI dan hosting yang dikontrak oleh Layanan Kesehatan Nasional (NHS) Inggris, adalah dikompromikan oleh aktor ancaman pada tanggal 4 Agustus 2022.
Insiden tersebut berdampak pada ratusan entitas publik dan swasta, termasuk NHS 111, dan berbagai produk perawatan kesehatan seperti Adastra, Caresys, Odyssey, Carenotes, Crosscare, Staffplan, dan eFinancials.
Akibat pelanggaran tersebut, informasi pribadi hampir 83.000 orang terungkap, termasuk petunjuk tentang cara mengakses rumah bagi 890 orang yang menerima perawatan di rumah.
Meskipun semua orang yang terkena dampak telah diberi tahu dan diperingatkan untuk mengambil tindakan guna mengurangi risiko, dan tidak ada data dari serangan tersebut yang dipublikasikan di web gelap hingga hari ini, potensi dampak dari paparan data sensitif tersebut signifikan.
“Insiden ini menunjukkan betapa pentingnya memprioritaskan keamanan informasi,” kata Komisioner Informasi Inggris John Edwards.
“Kehilangan kendali atas informasi pribadi yang sensitif akan sangat menyusahkan bagi orang-orang yang tidak punya pilihan selain menaruh kepercayaannya pada organisasi kesehatan dan perawatan.”
“Untuk sebuah organisasi yang dipercaya menangani sejumlah besar data sensitif dan kategori khusus, kami telah menemukan secara sementara kegagalan serius dalam pendekatannya terhadap keamanan informasi sebelum insiden ini,” tambah Edwards mengenai sikap keamanan Tingkat Lanjut.
ICO mencatat bahwa penerapan langkah-langkah mendasar, seperti menerapkan pembaruan keamanan, mengaktifkan autentikasi multi-faktor, dan memeriksa sistem untuk mengetahui kerentanan yang diketahui, sangat penting dalam melindungi data sensitif, dan semua organisasi diharapkan untuk mengikuti setidaknya langkah-langkah minimal ini.
Publikasi keputusan sementara ini bertujuan untuk mengingatkan semua organisasi akan kewajiban keamanan mereka dan peringatan akan potensi akibat jika terjadi kegagalan.
Dengan semua yang dikatakan, denda sebesar $7,7 belum dijatuhkan, dan ICO mengatakan pihaknya menunggu tanggapan dari Advanced sebelum membuat keputusan akhir, jadi jumlahnya dapat berubah.
Jika Advanced gagal memberikan argumen yang meyakinkan dan denda tetap di $7,74 juta, maka hukumannya akan setara dengan $93,3 per orang yang terekspos, yang sangat tinggi jika dibandingkan dengan tindakan-tindakan di masa lalu.
