Gekwetst door niet-naleving van cyberbeveiliging: DOJ maakt klacht tegen Georgia Tech bekend op grond van de False Claims Act

Zoals vermeld in onze klantwaarschuwing van augustus 2024, heeft het Amerikaanse ministerie van Justitie (DOJ) eerder dit jaar ingegrepen in een zaak op grond van de False Claims Act (FCA) die was aangespannen door twee klokkenluiders. Zij beweerden dat Georgia Tech Research Corporation en het Georgia Institute of Technology (Georgia Tech) verschillende cyberbeveiligingsvereisten hadden geschonden die deel uitmaken van contracten met het ministerie van Defensie (DoD). De tussenkomst van het DOJ was een nieuw bewijs van de grote belangstelling van openbare aanklagers voor het vervolgen van cyberbeveiligingsgerelateerde fraude.

De klacht

Op 22 augustus 2024 diende het Amerikaanse ministerie van Justitie (DOJ) een 99 pagina's tellende klacht in in de Georgia Tech-zaak, waarin de resultaten van een grondig onderzoek voorafgaand aan de rechtszaak werden weergegeven. In die pleitnota citeert het DOJ uitgebreid uit interne e-mails, interne instant messages, andere communicatie en getuigenverklaringen om te beweren dat de beklaagden de federale cyberbeveiligingsregels en -voorschriften hebben overtreden die van toepassing zijn op de instellingen als overheidscontractanten. Verder ondersteunt deze documentatie de beweringen van het DOJ dat de beklaagden wisten of roekeloos waren door niet te weten dat ze niet aan die regels en voorschriften voldeden.

Het DOJ beweert bijvoorbeeld dat een voormalige werknemer heeft verklaard dat er gedurende een aanzienlijke periode "geen handhaving" was van de toepasselijke cyberbeveiligingsvereisten. In een ander voorbeeld haalde het DOJ uitgebreide instant messages aan waarin werknemers erkenden dat ze de cyberbeveiligingsvereisten niet naleefden. Elders beweert het DOJ dat de beklaagden een "cultuur van niet-naleving van cyberbeveiliging" hebben gecreëerd, waardoor claims over meerdere jaren onjuist zijn geworden. Het DOJ eist een schadevergoeding van ongeveer 30 miljoen dollar, gebaseerd op de bedragen die aan de overheid in rekening zijn gebracht, en dat bedrag is nog vóór toepassing van de bepaling inzake drievoudige schadevergoeding van de FCA en de kosten per claim.

Afhaalmaaltijden

De klacht van het Amerikaanse ministerie van Justitie levert de volgende belangrijke conclusies op:

• De gedetailleerde beschuldigingen, die bijna 100 pagina's beslaan, weerspiegelen de resultaten van wat een grondig onderzoek lijkt te zijn geweest. Dit toont aan met welke toewijding het Amerikaanse ministerie van Justitie deze zaken aanpakt in het kader van zijn Civil Cyber-Fraud Initiative, dat in 2021 van start is gegaan.

• Uit het onderzoek van de overheid naar verschillende gegevensopslagplaatsen – zoals e-mails, instant messages, PowerPoint-presentaties en ander materiaal – blijkt hoe ver de overheid bereid is te gaan om haar beschuldigingen te onderzoeken en te vervolgen. Bedrijven moeten daarom zorgvuldig omgaan met hun communicatie en het bewaren van documenten.

• Hoewel het DOJ niet beweert dat er daadwerkelijk gevoelige informatie is gelekt, stelt het wel dat het DoD "heeft betaald voor militaire technologie ... die was opgeslagen in een omgeving die niet beveiligd was tegen ongeoorloofde openbaarmaking." Het DOJ beweert verder: "Wat het DoD voor zijn geld kreeg, was van verminderde of geen waarde, niet het voordeel van zijn koopje." Met andere woorden, het DOJ zal deze acties voortzetten, zelfs als er geen sprake is van een datalek of andere compromittering van gegevens.

• De klokkenluiders die de zaak aanhangig hebben gemaakt (voordat het Amerikaanse ministerie van Justitie tussenbeide kwam) zijn huidige en voormalige werknemers van Georgia Tech. In dat opzicht illustreert deze zaak het belang van het waarborgen van een cultuur van naleving met een robuust en effectief nalevingsprogramma.

• Deze zaak is slechts het meest recente voorbeeld van het DOJ dat vermeende niet-naleving van cyberbeveiliging vervolgt op grond van de FCA. Het DOJ heeft aangegeven dat het de handhaving op dit gebied serieus neemt, en deze interventie en gedetailleerde klacht tonen de toewijding van het agentschap op dat gebied aan.