De Amerikaanse bank Morgan Stanley betaalt wegens twee datalekken veroorzaakt door het niet goed afdanken van harde schijven en servers met gegevens van miljoen klanten een bedrag van 6,5 miljoen dollar aan de Amerikaanse staat Florida. Sinds 2015 ging de bank niet goed om met het afdanken van apparatuur met klantgegevens.

Zo werd meerdere keren een verhuis- en opslagbedrijf ingeschakeld, met geen enkele ervaring in datavernietiging, om duizenden afgedankte harde schijven en servers met klantgegevens af te voeren. Daarnaast werden de werkzaamheden van het bedrijf niet door Morgan Stanley gemonitord. Het verhuisbedrijf verkocht de harde schijven en servers van Morgan Stanley aan een derde partij.

Vervolgens werden de apparaten op internet geveild. De aanwezige klantdata was echter niet verwijderd. Verder bleek dat Morgan Stanley tijdens een project om hardware binnen de bank te vervangen 42 servers met onversleutelde klantgegevens was kwijtgeraakt. Tijdens dit proces ontdekte de bank ook dat erop lokale at te danken systemen, door een fout in de encryptiesoftware van de leverancier, onversleutelde klantdata stond.

De Amerikaanse procureur-generaal heeft nu een schikking met Morgan Stanley getroffen voor een bedrag van 6,5 miljoen dollar. Daarnaast moet de bank alle persoonlijke informatie versleutelen, zowel tijdens opslag en transport, en beleid opstellen voor het afdanken van persoonlijke informatie. Ook moet er een een handmatig proces en tooling komen voor het bijhouden van alle locaties met hardware waarop persoonlijke informatie staat. Verder moet er een uitgebreid informatiebeveiligingsprogramma komen en moet Morgan Stanley controleren dat alle leveranciers aan de beveiligingseisen van de bank voldoen.