Nhà bảo hiểm bác bỏ trách nhiệm về 3.3 triệu USD rò rỉ dữ liệu

Insurer refutes liability on $3.3 million data breach

07 June 2010

Theo: http://www.infosecurity-magazine.com/view/10007/insurer-refutes-liability-on-33-million-data-breach/

Bài được đưa lên Internet ngày: 07/06/2010

Lời người dịch: Việc mất dữ liệu của các khách hàng nhưng không biết đổ trách nhiệm vào ai là một vấn đề đang nóng tại Mỹ hiện nay.

Một nhà bảo hiểm Mỹ dường như đang tiến hành một hành động tích cực để bác bỏ trách nhiệm pháp lý về một vụ rò rỉ dữ liệu mà Đại học Utah đã tìm cách để lấy lại 3.3 triệu USD. Trường hợp này được xem với sự quan tâm của các công ty bảo hiểm trên thế giới vì nó có thể thiết lập một tiền lệ quan trọng về bảo hiểm mất mát/rò rỉ dữ liệu, mà nhìn bề ngoài có vẻ được đề cập tới trong nhiều chính sách bảo hiểm của các doanh nghiệp.

Hãng bảo hiểm tai nạn Colorado Casualty Insurance Co. đã đệ trình một vụ kiến tại Utah kêu rằng không có trách nhiệm pháp lý đối với việc hoàn lại 3.3 triệu USD cho đại học này là cái giá có liên quan tới một rò rỉ dữ liệu năm 2008 đã gây ra bởi một nhà cung cấp dịch vụ là bên thứ 3.

Nói về vụ kiện thiết lập tiền lệ này, Computerworld newswire lưu ý rằng 9 trang khiếu nại - mà tìm kiếm một phán xét tử tòa - “đưa ra ít giải thích như vì sao một cách chính xác nhà bảo hiểm này tin tưởng không có trách nhiệm phải thanh toán cho sự rò rỉ có liên quan tới giá thành được tìm ra bởi đại học này”. Vào tháng 06/2008, Đại học Y Utah đã lưu ý về 2.2 triệu bệnh nhân và những người bảo lãnh về vụ trộm các băng từ sao lưu chứa các dữ liệu thanh toán.

Các dữ liệu bị mất trong vụ này đã ảnh hưởng tới mỗi người được chữa trị tại trung tâm ở Calt Lake City qua 16 năm trước, bao gồm các tên và thông tin nhân khẩu học có liên quan, các mã chuẩn đoán và các số an ninh xã hội với một số lượng lớn các cá nhân.

Đại học này nói nó đã gửi một bức thư thông báo cho tất cả các cá nhân bị ảnh hưởng, đã thiết lập một đường dây hỗ trợ miễn phí và đã đưa ra các dịch vụ giám sát tín dụng tự do 1 năm và xác định bảo hiểm trộm cắp cho 1.3 triệu cá nhân bị ảnh hưởng.

A US insurer appears to be taking pro-active action to refute liability on a data breach that the University of Utah has been seeking to recover $3.3 million on. The case is being watched with interest by the world's insurance companies as it could set an important precedent on data breach/losses insurance, which is ostensibly covered in many business insurance policies.

The Colorado Casualty Insurance Co. has filed a lawsuit in Utah claiming that it is not liable for reimbursing the university for $3.3 million in costs related to a 2008 data breach caused by a third-party service provider.

Reporting on the precedent-setting suit, the Computerworld newswire notes that the nine-page complaint – which seeks a declaratory judgement from the court – "offers little explanation as to why exactly the insurer believes it is not obligated to pay the breach related costs sought by the university."

In June 2008, the University of Utah Hospitals & Clinics notified around 2.2 million patients and guarantors of the theft of backup tapes containing billing data.

The data lost in breach, which affected everyone treated at the Salt Lake City-based centre over the preceding 16 years, included names and related demographic information, diagnostic codes and social security numbers for a large number of individuals.

The university says it sent a letter of notification to all affected individuals, established a toll-free support line and offered a year's free credit monitoring services and identity theft insurance for the 1.3 million individuals affected.

Infosecurity lưu ý rằng các băng đã bị ăn cắp tử ô tô cá nhân của một lái xe tại Perpetual Storage, một công ty địa phương mà đã lưu trữ các băng của đại học này trong một căn hầm.

Khi đó, đại học này đã nói rằng người lái xe đã vi phạm các giao thức của công ty bằng việc không sử dụng một hầm của một công ty an ninh và để các băng đó trong ô tô qua đêm thay vì phân phối chúng vào hầm. Mặc dù các đĩa đã được phục hồi một thời gian ngắn sau đó, thì đại học này nói vẫn đã phải chi hơn 3.3 triệu USD để giải quyết các vấn đề.

Computerworld newswire trích dẫn lời của Christopher Nelson, một người phát ngôn của đại học khi nói rằng đại học này có thể sẽ “rất thất vọng” nếu thẩm phán phán quyết có lợi cho khiếu nại của công ty bảo hiểm.

Trong trường hợp đó, ông nói, đại học sẽ xem xét tới những con đường khác, mà có thể đệ trình một vụ kiện chống lại Perpetual hoặc đại lý bảo hiểm của nó, để phục hồi lại số tiền này.

Infosecurity notes that the billing tapes were stolen from the personal car of a driver at Perpetual Storage, a local company that stored the university's tapes in an off-site vault.

At the time, the university said that the driver violated company protocols by not using a secure company van and left the tapes in his car overnight instead of delivering them to the vault. Although the disks were recovered a short time later, the university says it still spent more than $3.3 million on remediating the problems.

The Computerworld newswire quotes Christopher Nelson, a university spokesperson as saying that the university would be "very disappointed" if a judge ruled in favour of the insurance company's complaint.

In that case, he says, the university will consider other avenues, which could include filing a lawsuit against Perpetual or its insurance agent, to recover the money.

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com