Kontrakt TRICARE i wymogi bezpieczeństwa
HNFS, jako kluczowy wykonawca zarządzanych usług wsparcia opieki zdrowotnej dla północnego regionu TRICARE, obejmującego 22 stany, miało obowiązek przestrzegania ścisłych wymogów cyberbezpieczeństwa. Umowa wymagała zgodności z przepisami zawartymi w 48 C.F.R. § 252.204-7012 oraz wdrożenia 51 środków kontroli bezpieczeństwa określonych w specjalnej publikacji NIST 800-53. Dokument ten precyzuje standardy ochrony danych dla federalnych systemów informatycznych i organizacji świadczących usługi na rzecz rządu Stanów Zjednoczonych.
Zarzuty Departamentu Sprawiedliwości
Zgodnie z informacją przekazaną przez Departament Sprawiedliwości USA, w latach 2015–2018 HNFS rzekomo nie wdrożyło wymaganych środków bezpieczeństwa podczas realizacji świadczeń zdrowotnych dla amerykańskich żołnierzy i ich rodzin. Jednocześnie firma miała kilkukrotnie fałszywie poświadczyć zgodność z regulacjami, przekazując DHA raporty sugerujące pełne wdrożenie zabezpieczeń, choć w rzeczywistości ich nie zapewniono.
Braki w zabezpieczeniach
Wśród niewdrożonych praktyk wymienia się brak odpowiedniego skanowania systemów w poszukiwaniu luk, niewdrażanie poprawek bezpieczeństwa, ignorowanie wyników audytów wskazujących na zagrożenia oraz stosowanie przestarzałego sprzętu i oprogramowania. Ponadto HNFS miało nie wdrożyć standardów zarządzania zasobami, kontroli dostępu i zasad dotyczących silnych haseł, co dodatkowo osłabiło bezpieczeństwo przetwarzanych danych.
Fałszywe poświadczenia i ugoda
Departament Sprawiedliwości USA podkreślił, że fałszywe poświadczenia miały miejsce co najmniej trzykrotnie: 17 listopada 2015 r., 26 lutego 2016 r. oraz 24 lutego 2017 r. Mimo to HNFS i Centene stanowczo zaprzeczają wszelkim zarzutom, twierdząc, że nie doszło do żadnego naruszenia danych ani utraty informacji dotyczących członków służby wojskowej. Zgodzili się jednak na ugodę w wysokości 11 253 400 dolarów, aby zakończyć spór z rządem USA.
Skutki ugody
Ugoda nie chroni HNFS i Centene przed ewentualną odpowiedzialnością karną, jeśli w przyszłości pojawią się nowe dowody lub zostaną nałożone kary administracyjne bądź cywilne. Departament Sprawiedliwości zaznacza, że sprawa ta podkreśla znaczenie przestrzegania standardów bezpieczeństwa cybernetycznego w kontraktach rządowych, zwłaszcza gdy w grę wchodzą dane wrażliwe, takie jak informacje o członkach służb wojskowych.
