Lawgoritma

Artikel ini ditulis bersama oleh Laura Skazlic, Paralegal.

Departemen Kesehatan Federal Australia (the Departemen) sedang mempertimbangkan amandemen terhadap Undang-Undang Asuransi Kesehatan 1973 (NS bertindak) untuk mengubah wewenang Direktur Peninjauan Layanan Profesional (PSR) untuk membuat perjanjian dengan entitas perusahaan yang ditemukan terlibat dalam praktik yang tidak pantas.

Dalam kasus di mana praktik yang tidak pantas dirujuk untuk ditinjau, bagian 92 dari Undang-Undang mengizinkan Direktur PSR untuk membuat perjanjian dengan praktisi individu yang sedang ditinjau setelah pengakuan praktik yang tidak pantas sehubungan dengan layanan yang diberikan. Orang yang sedang ditinjau sering dikenakan tindakan tertentu sebagai bagian dari perjanjian (dikenal sebagai Bagian 92 Perjanjian). Bagian 92(2) dari Undang-Undang menyatakan bahwa “tindakan tertentu” dapat mencakup teguran, persyaratan untuk pembayaran kembali seluruh atau sebagian tertentu dari manfaat/hutang, dan periode diskualifikasi sebagian atau penuh dari MBS atau PBS. Sebuah Perjanjian Bagian 92 pada umumnya mensyaratkan ratifikasi dari Badan Penentu sebelum berlaku. Seperti yang dikatakan saat ini, pasal 92 dari Undang-Undang tersebut melibatkan praktisi medis/gigi, dokter mata, bidan dan praktisi perawat yang berpartisipasi dalam MBS/PBS. Manfaat utama dari Perjanjian Bagian 92 adalah menghindari waktu dan biaya untuk melanjutkan ke Komite PSR dan proses serta hasilnya bersifat rahasia.

AMA telah melakukan pembicaraan dengan Departemen Kesehatan Federal mengenai potensi untuk memperpanjang perjanjian s92 ke entitas perusahaan, mengakui bahwa ini dapat memberikan sarana untuk menghindari proses yang berlarut-larut. AMA telah menekankan perlunya berkonsultasi dengan hati-hati tentang perubahan yang diusulkan untuk memastikan tidak ada konsekuensi yang tidak diinginkan bagi para praktisi dan akan membuat pengajuan lebih lanjut ke Departemen setelah rincian lebih lanjut dirilis.

Meskipun sifat dan ruang lingkup perubahan yang diusulkan pada pasal 92 Undang-Undang belum diungkapkan secara rinci, amandemen yang diantisipasi bukannya tanpa perhatian bagi praktisi dan perusahaan. Baru-baru ini, Royal Australian College of General Practitioners (RACGP) menulis kepada Departemen pada bulan Juli 2021 mengangkat isu-isu mengenai potensi perluasan kekuasaan PSR sehubungan dengan entitas perusahaan. RACGP menyampaikan antara lain, bahwa Departemen perlu mempertimbangkan konsekuensi yang tidak disengaja dari tindakan kepatuhan yang diambil terhadap perusahaan pada praktisi yang memiliki sedikit atau tidak ada kontrol atas praktik penagihan yang diperlukan di tingkat organisasi, serta peningkatan kerangka waktu untuk investigasi kepatuhan jika ada pemeriksaan lanjutan di tingkat PSR terhadap korporasi. RACGP juga menyarankan agar pendekatan yang berbeda diambil ketika berhadapan dengan perusahaan kecil dengan kapasitas yang lebih sedikit, yang mungkin merasa kesulitan untuk terus memberikan perawatan yang baik kepada pasien selama dalam penyelidikan.

Saat ini, hanya praktisi yang dapat membuat Perjanjian Bagian 92 dengan Direktur PSR, dan UU tersebut tidak berlaku untuk perusahaan atau pengusaha. Saat ini ketika pemberi kerja atau entitas perusahaan dirujuk ke Direktur oleh delegasi dari Kepala Eksekutif Medicare, Direktur harus merujuk masalah tersebut kepada Komite PSR jika ditentukan bahwa ada alasan yang menjadi alasan Komite PSR dapat ‘menyimpulkan secara wajar’ bahwa ada praktik yang tidak pantas selama periode peninjauan. Kemampuan Direktur PSR untuk merundingkan atau menerima pembayaran saat ini tidak tersedia dan ini dapat menyebabkan penundaan yang tidak perlu dalam memulihkan manfaat yang diberikan secara tidak tepat dan biaya hukum di mana tidak ada pilihan selain melanjutkan melalui proses Komite PSR. Pada nilai nominal, memungkinkan perusahaan kemampuan untuk menegosiasikan pembayaran di bawah Perjanjian Bagian 92 di mana mereka telah mengidentifikasi kesalahan tampaknya juga menawarkan manfaat dalam mengurangi biaya hukum dan dalam melindungi reputasi mereka melalui perjanjian rahasia.

Namun iblis selalu dalam detail dan tidak mungkin bahwa bagian 92 dari Undang-undang dapat diterapkan pada perusahaan seperti yang saat ini diucapkan. Oleh karena itu, perubahan yang lebih luas kemungkinan akan diperlukan untuk UU tersebut. Seperti disebutkan di atas, bagian 92 dari Undang-undang berkaitan dengan “tindakan tertentu”, yang terkadang diterjemahkan menjadi diskualifikasi sebagian atau penuh bagi praktisi dari MBS atau PBS. Mengingat bahwa beberapa tindakan tertentu berhubungan secara khusus dengan nomor penyedia praktisi, diantisipasi bahwa setiap perubahan pada bagian 92 perlu disesuaikan dengan jenis tindakan korporasi dan spesifik yang secara praktis dapat dilakukan oleh korporasi. Masih harus dilihat apakah tindakan yang diusulkan yang berlaku untuk perusahaan di bawah pasal 92 berpotensi mempengaruhi praktisi yang terlibat oleh perusahaan tertentu, serta pengguna akhir lainnya yang mengandalkan perusahaan untuk mengakses layanan bersubsidi.

Dalam keadaan apa pun, bagi praktisi yang mungkin mengalami proses atau tekanan penagihan yang tidak diinginkan, bagian 92 yang diperluas dapat mengalihkan sebagian beban kepatuhan ke entitas korporat yang relevan untuk membantu pembayaran rahasia dan dinegosiasikan. Namun amandemen semacam itu perlu diucapkan dengan hati-hati. Sebaliknya, untuk perusahaan yang umumnya mematuhi praktik penagihan tetapi ada beberapa penyimpangan dalam praktik penagihan dari beberapa praktisi mereka, hal ini dapat mengakibatkan audit, pengawasan tambahan, dan biaya tambahan.

Jika perusahaan diberi kesempatan untuk masuk ke dalam Perjanjian Bagian 92, hal itu dapat menghindari tekanan yang terkait dengan Komite PSR. Namun kemungkinan masih memerlukan waktu untuk meninjau catatan praktisi individu dan mencari masukan praktisi untuk menanggapi kekhawatiran Direktur. Terlepas dari perubahan apa pun yang akan dilakukan pada proses peninjauan oleh Departemen, proses peninjauan PSR kemungkinan akan terus membuat stres dan memakan waktu bagi para praktisi yang terlibat. Kami mendesak praktisi untuk meninjau penggunaan nomor item MBS, mengikuti perubahan nomor item, dan mencari pelatihan eksternal tentang penggunaan nomor ini dengan benar (daripada mengadopsi proses yang digunakan oleh rekan kerja atau perusahaan).

Kami menunggu untuk mendengar lebih lanjut mengenai usulan perubahan Undang-undang setelah sidang parlemen bulan ini. Kami juga merujuk Anda ke artikel kami di VicDoc Maret 2021, yang merinci kewajiban praktisi untuk memberi tahu Dewan Medis Australia jika tindakan tertentu seperti diskualifikasi dari memberikan atau memulai layanan tertentu berdasarkan MBS atau PBS telah terjadi sesuai dengan bagian 130 Hukum Nasional.

Jika Anda memiliki kekhawatiran tentang potensi paparan, baik sebagai seseorang yang memberikan layanan profesional atau entitas perusahaan yang membuat kontrak dengan orang yang memberikan layanan profesional, Anda harus mencari nasihat hukum tentang keadaan khusus Anda.

Hanya beberapa minggu setelah konsultan global Accenture menjadi korban serangan siber dengan label harga US$50 juta, kelompok ransomware LockBit menyerang Bangkok Airways, mencuri dan mengenkripsi sejumlah besar informasi penumpang, termasuk paspor dan data kartu kredit.

Dalam sebuah pernyataan, maskapai Thailand mengumumkan bahwa mereka telah menemukan serangan itu tiga hari sebelumnya dan meminta maaf kepada pelanggan, mengatakan bahwa “sangat menyesal atas kekhawatiran dan ketidaknyamanan yang disebabkan oleh insiden jahat ini” dan telah memberi tahu Polisi Kerajaan Thailand. , bersama dengan otoritas terkait.

Maskapai mendesak pelanggan untuk tetap waspada terhadap email phishing atau panggilan telepon yang mungkin dilakukan menggunakan informasi tersebut, dan untuk menyadari bahwa Bangkok Airways tidak akan menghubungi mereka untuk meminta informasi pribadi atau keuangan apa pun. Selain itu, penumpang didesak untuk menghubungi bank atau penyedia kartu kredit mereka untuk mengubah kata sandi atau pertanyaan keamanan yang terpengaruh.

Fakta

Pada 25 Agustus 2021, LockBit menuduh melalui pengumuman di situs kebocorannya bahwa mereka telah mengakses dan menyimpan sejumlah besar data Bangkok Airways melalui ransomware RaaS dan akan dirilis sebagai file terkompresi 103GB pada 30 Agustus 2021, jika maskapai menolak untuk membayar jumlah uang tebusan yang tidak diungkapkan.

Meskipun tidak ada provokasi yang jelas selain siaran pers perusahaan perjalanan yang meminta maaf atas pelanggaran data dan meyakinkan pelanggan, LockBit merilis file pada 28 Agustus 2021. Dalam posting lain di situs kebocorannya, file tersebut tampaknya dibagikan, dengan ancaman yang diperbarui untuk lebih lanjut merilis lebih dari 200GB data penumpang maskapai.

Dalam sebuah pernyataan yang dibuat ke situs web IT Bleeping Computer, para pelaku ransomware mengisyaratkan bahwa serangan terhadap maskapai penerbangan Thailand, serta serangan sebelumnya terhadap Ethiopia Airways dan bandara yang tidak disebutkan namanya, semuanya dimungkinkan oleh peretasan Accenture.

Seperti yang pertama kali dipublikasikan di Bleeping, Accenture membalas, dengan menjawab: “Kami telah menyelesaikan tinjauan forensik menyeluruh terhadap dokumen pada sistem Accenture yang diserang. Ini [LockBit’s] klaim itu salah. Seperti yang telah kami nyatakan, tidak ada dampak pada operasi Accenture, atau pada klien kami [sic] sistem. Segera setelah kami mendeteksi keberadaan aktor ancaman ini, kami mengisolasi server yang terpengaruh.”

Pelajaran yang didapat

Sementara maskapai mengklaim bahwa sistem aeronautika, keselamatan, dan operasionalnya tidak terkena pelanggaran, kebocoran paspor, alamat, kartu kredit, dan informasi perjalanan historis merupakan pukulan besar bagi reputasinya – terutama karena industri perjalanan dibuka kembali dan maskapai penerbangan akhirnya memiliki potensi untuk menghasilkan sekali lagi karena pembatasan perjalanan terkait pandemi mereda.

Jika serangan itu benar-benar datang melalui informasi yang diperoleh dalam insiden Accenture, tim keamanan TI maskapai mungkin dapat mencegah serangan tersebut dengan menggandakan langkah-langkah keamanannya, melakukan penilaian cepat terhadap setiap potensi kerentanan, dan khususnya, menilai titik masuk potensial untuk ransomware serangan.

Kiat cepat

• Pastikan staf Anda terlatih dalam keamanan siber, termasuk di titik penjualan dan titik perangkat keras layanan pelanggan
• Lakukan penilaian kerentanan rutin
• Pertimbangkan untuk mengadopsi arsitektur tanpa kepercayaan
• Lakukan tes pena secara teratur
• Periksa ransomware menggunakan perangkat lunak yang sah dan direkomendasikan keamanan
• Gunakan CASB untuk aktivitas cloud
• Pastikan Anda mobile dan IoT aman, dengan, misalnya, SASE

Berhentilah membuat keputusan keamanan siber berdasarkan objek mengkilap dan opini orang-orang, dan alih-alih mendasarkan keputusan strategis pada kerangka kerja keamanan siber yang dipublikasikan. Ini adalah pesan yang jelas yang berasal dari tiga undang-undang serupa yang disahkan antara 2018 dan 2021 di negara bagian Ohio, Utah, dan Connecticut di AS. Ketiga negara bagian ini menyediakan pelabuhan yang aman bagi organisasi jika mereka memilih dan menerapkan kerangka kerja keamanan siber, dengan insentif yang diharapkan memberikan dorongan bagi organisasi untuk bertindak.

Kerangka kerja keamanan siber bukanlah konsep baru. Dimulai dengan NIST 800-53 pada tahun 2005, pakar industri telah mencoba menyaring praktik terbaik untuk keamanan informasi sehingga organisasi tidak akan dibiarkan memutuskan sendiri cara terbaik untuk mempertahankan data mereka. Sayangnya, penerapan kerangka kerja keamanan siber dilakukan secara serampangan, dengan badan pengatur industri yang secara konsekuen berusaha untuk mendikte praktik terbaik keamanan melalui peraturan. Pendekatan ini, dikombinasikan dengan bahasa kerangka awal yang sering tidak dapat ditembus membuat banyak orang di lapangan mengabaikan penggunaan kerangka kerja, kecuali jika itu memberikan keunggulan kompetitif khusus dalam negosiasi kontrak, atau jika mereka bekerja di industri di mana persyaratan kontrak mengamanatkan kepatuhan terhadap sebuah kerangka kerja.

Anggota parlemen mulai mengambil pendekatan berbeda di Ohio pada tahun 2018 ketika mereka melewati pelabuhan aman yang sah di RUU Senat 220. Ini adalah undang-undang pertama di AS yang memberikan pembelaan afirmatif kepada perusahaan yang membela diri terhadap tuntutan hukum setelah pelanggaran data, jika organisasi dapat menunjukkan bahwa kebijakan keamanan data mereka mengikuti salah satu dari beberapa kerangka kerja yang mungkin, sebagaimana dinyatakan dalam undang-undang:

• Kerangka Keamanan Cyber ​​NIST, SP 800-171, SP 800-53, atau SP 800-53a, FedRAMP, Kontrol Keamanan Kritis CIS, atau keluarga ISO 27000;
• Untuk entitas yang diatur, persyaratan keamanan siber HIPAA, Gramm-Leach-Bliley Act, FISMA, atau HITECH, sebagaimana mestinya; atau
• Standar Keamanan Data PCI (PCI DSS) bersama dengan salah satu standar lain yang tercantum dalam (1) atau (2).

Agar jelas, undang-undang tidak menghalangi penggugat untuk mengajukan gugatan; sebaliknya, jika sebuah organisasi dapat menunjukkan bahwa mereka “membuat, memelihara, dan mematuhi program keamanan cyber tertulis”, maka mereka mungkin dapat mengalahkan klaim gugatan yang diajukan di pengadilan Ohio atau berdasarkan undang-undang Ohio yang menyatakan bahwa pelanggaran tersebut disebabkan oleh kegagalan perusahaan untuk mematuhi standar keamanan yang wajar.

Pada bulan Maret 2021, Utah mengambil pendekatan yang sedikit berbeda untuk membuat a pelabuhan aman keamanan cyber di bawah HB80. Mereka menggunakan daftar kerangka kerja yang sama, dengan tambahan Aturan Keamanan HIPAA. Di bawah hukum Utah, program keamanan siber tertulis harus memiliki pengamanan administratif, teknis, dan fisik untuk melindungi informasi pribadi. Dari undang-undang, tindakan tersebut harus:

• dirancang untuk melindungi terhadap keamanan, kerahasiaan dan integritas informasi pribadi, dan ancaman dan bahaya yang diantisipasi, serta pelanggaran keamanan sistem;
• secara wajar sesuai dengan kerangka kerja keamanan siber yang diakui industri seperti NIST 800-171 atau 800-53, FedRAMP, kontrol CIS, ISO 27000 dan/atau PCI DSS, dan undang-undang federal termasuk persyaratan keamanan siber HIPAA, Gramm-Leach- Bliley Act, FISMA dan HITECH, sebagaimana mestinya; dan
• menjadi “skala dan ruang lingkup yang sesuai” untuk perusahaan, sifat kegiatannya, sensitivitas informasi yang akan dilindungi, dan alat dan sumber daya yang tersedia untuk entitas.

Bagian dari nuansa undang-undang Utah adalah bahwa hal itu tidak hanya mencakup klaim kerugian dan berpotensi diterapkan sebagai pembelaan afirmatif terhadap klaim kontrak. Namun, pelabuhan aman tidak dapat diklaim jika sebuah organisasi memiliki pemberitahuan aktual tentang ancaman atau bahaya terhadap keamanan, kerahasiaan atau integritas informasi pribadi, atau jika organisasi tersebut tidak bertindak dalam waktu yang wajar untuk mengambil upaya korektif yang diketahui untuk melindungi informasi pribadi yang mengakibatkan pelanggaran. Terakhir, skala dan cakupan program harus sesuai dengan ukuran perusahaan, meskipun hal ini wajar.

Hukum baru Connecticut, yang mulai berlaku pada 1 Oktober 2021, juga memberikan pembelaan afirmatif secara eksklusif terhadap klaim gugatan di mana penggugat menuduh bahwa pelanggaran adalah hasil dari bisnis yang gagal menerapkan kontrol keamanan cyber yang wajar. Namun, masih lebih bernuansa daripada Ohio, terutama di subbagian (b):

Dalam setiap penyebab tindakan yang ditemukan dalam wanprestasi yang diajukan berdasarkan undang-undang negara bagian ini atau di pengadilan negara bagian ini dan yang menuduh bahwa kegagalan untuk menerapkan kontrol keamanan siber yang wajar mengakibatkan pelanggaran data mengenai informasi pribadi atau informasi yang dibatasi, Atasan Pengadilan tidak akan menilai ganti rugi terhadap entitas yang tercakup jika entitas tersebut dibuat, dipelihara dan dipatuhi dengan program keamanan cyber tertulis yang berisi pengamanan administratif, teknis dan fisik untuk perlindungan informasi pribadi atau terbatas dan yang sesuai dengan kerangka kerja keamanan cyber yang diakui industri , seperti yang dijelaskan dalam sub-bagian (c) dari bagian ini dan bahwa entitas yang dilindungi tersebut merancang program keamanan sibernya sesuai dengan ketentuan-ketentuan dalam sub-bagian (d) dari bagian ini. Ketentuan dalam sub-bagian ini tidak akan berlaku jika kegagalan untuk menerapkan kontrol keamanan siber yang wajar merupakan akibat dari kelalaian besar atau tindakan yang disengaja atau tidak disengaja.

Sebagai perbandingan, Ohio memungkinkan pertahanan afirmatif jika perusahaan mematuhi standar keamanan siber yang diakui. Perbedaan signifikan lainnya dalam undang-undang Ohio adalah bahwa ada persyaratan bahwa organisasi memperbarui program keamanan mereka untuk mematuhi kerangka kerja yang direvisi dalam waktu enam bulan sejak tanggal publikasi revisi kerangka kerja.

Ketiga undang-undang ini juga mulai mendefinisikan “kontrol keamanan siber yang masuk akal”, yang telah menjadi topik diskusi sejak Jaksa Agung California Kamala Harris berusaha untuk mendefinisikan keamanan siber yang wajar pada tahun 2016. Meskipun sudah lima tahun, negara-negara bagian bergerak perlahan. dengan pengakuan bahwa kontrol keamanan cyber yang wajar sudah ada. Ini adalah masalah waktu sampai negara-negara lain mengikuti dan mungkin ada definisi yang diterima secara umum dari “kontrol keamanan cyber yang masuk akal” setelah beberapa kasus pergi ke sirkuit banding.

Organisasi yang saat ini tidak mengikuti kerangka kerja kontrol keamanan siber dapat dengan mudah menentukan kerangka kerja mana yang paling tepat dengan menjawab tiga pertanyaan berikut:

• Apakah organisasi melakukan bisnis secara khusus dengan Departemen Pertahanan? Gunakan CMMC.
• Apakah organisasi sering melakukan bisnis dengan agen Federal atau Negara Bagian? Gunakan kerangka kontrol NIST, seperti NIST-CSF atau NIST-800-171 untuk memulai.
• Apakah organisasi berada dalam industri yang sangat diatur di mana ada kontrol keamanan siber yang ditentukan dalam kerangka peraturan? Gunakan kerangka itu.
• Jika tidak, organisasi harus mempertimbangkan grup implementasi satu dan dua dari Center for Internet Security Critical Security Controls.

Setelah organisasi memilih kerangka kerja yang sesuai, mereka harus memastikan bahwa kerangka kerja tertentu didokumentasikan dalam dokumen kebijakan yang sesuai yang selaras dengan topik dalam kerangka kerja keamanan siber dan berusaha untuk menyetujui revisi tersebut dengan cepat. Pengadilan tidak mungkin ramah untuk merancang kebijakan keamanan siber di organisasi yang telah mengalami pelanggaran, seperti halnya auditor eksternal akan memperlakukan dokumen kebijakan keamanan siber yang tidak disetujui dengan buruk dengan cara yang sama. Pertahanan afirmatif dikombinasikan dengan membuat keputusan strategis berdasarkan fakta yang dipublikasikan adalah alasan kuat bagi organisasi untuk memilih dan merencanakan untuk mengadopsi kerangka kerja sebelum dimulainya tahun anggaran berikutnya.

Menjadi anggota Cyber ​​Security Hub dan dapatkan akses instan ke konten informatif dan edukatif dari para pemimpin pemikiran keamanan dunia maya