Rekordösszegű, 13 millió dolláros kiberbiztonsági egyezség született

Kormányzati adatok védelmével kapcsolatos vádak

Az ILC Dover és az ILC Astrospace 13 millió dollárt fizet az ügy lezárására. A vállalatok űrruhákat és védőfelszereléseket gyártanak a NASA és az amerikai hadsereg számára. Az egyezség olyan állításokra vonatkozik, amelyek szerint a cégek valótlanul nyilatkoztak arról, hogy megfelelnek a kormányzati információk védelméhez szükséges kiberbiztonsági kontrolloknak.

A közlemény szerint a megállapodás a legnagyobb kormányzati kiberbiztonsági csalási behajtás az igazságügyi minisztérium Civil Cybersecurity Fraud programjában. A programot 2021 októberében jelentették be. Az egyezség nem jelenti azt, hogy a bíróság megállapította volna a cégek felelősségét, a felek a vádak rendezésére állapodtak meg a kifizetésről.

Az ILC Dover székhelye a delaware-i Fredericában található, és a repülőgépipar, az orvostechnikai eszközök, a gyógyszeripar, valamint a biogyógyszeripar számára végez mérnöki és gyártási munkát. A vállalatot 2024-ben felvásárolta az Ingersoll Rand.

Egy bejelentő keresete indította el az eljárást

A keresetet egy bejelentő 2025 januárjában nyújtotta be. Aggályai szerint az ILC Dover nem vezette be teljes körűen a NIST SP 800-171 szabvány alapján előírt kontrollokat, amelyek az érzékeny kormányzati adatok védelmét szolgálják. A bejelentő szerint a vállalat információs rendszerei sem biztosítottak megfelelő védelmet az adatok feldolgozásakor, tárolásakor és továbbításakor.

A kereset további kifogásokat is tartalmazott. Ezek között szerepelt egy összevont rendszerbiztonsági terv hiánya, a vonatkozó szövetségi biztonsági követelményeknek nem megfelelő külső felhőszolgáltatások használata, valamint állítólagosan mesterségesen felduzzasztott SPRS-értékelési pontszámok közzététele az amerikai védelmi minisztériumnál.

A bejelentő a False Claims Act alapján úgynevezett qui tam keresetet nyújtott be. Ez lehetővé teszi, hogy egy magánszemély, akit relátornak neveznek, a kormány nevében, lepecsételt beadványban jelezzen feltételezett csalást. Sikeres ügy esetén a bejelentő a kormány által behajtott összeg 15 és 30 százalék közötti részére jogosult.

A hatóságok folytatják a kiberbiztonsági ellenőrzéseket

Az amerikai kormány kivizsgálta a vádakat, majd 2026. november 3-án jelezte, hogy az egyezség céljából be kíván avatkozni az ILC Dover elleni ügybe. Brett A. Shumate igazságügyi miniszterhelyettes szerint a védelmi és repülőgépipari beszállítóknak be kell tartaniuk a szövetségi szerződésekben és alvállalkozói megállapodásokban szereplő kiberbiztonsági előírásokat. Hozzátette: a minisztérium továbbra is felelősségre vonja azokat a beszállítókat és alvállalkozókat, amelyek nem teljesítik kiberbiztonsági vállalásaikat.

Benjamin L. Wallace, Delaware szövetségi ügyésze szerint az előírások célja, hogy megakadályozzák az Egyesült Államok technológiai innovációjának kihasználását, és hivatalának feladata a szerződéses kiberbiztonsági követelmények betartatása. A NASA főfelügyelői hivatalának munkatársa, Robert Steinau úgy fogalmazott, hogy a kormány hálás azoknak a bejelentőknek, akik a jogsértések jelentésével helyesen cselekszenek.

A Whistleblower Law Collaborative szerint az ügy újabb lépés a védelmi ipari bázis kiberbiztonsági megfelelésének kikényszerítésében. A közlemény arra számít, hogy az igazságügyi minisztérium, a védelmi minisztérium, a NASA és más kormányzati szervek a jövőben is vizsgálják és üldözik az érzékeny kormányzati adatok védelméhez szükséges kontrollok hiányát.