(in) Saugus: įmonės turi būti atsakingos už saugumo pažeidimus

„Reuters“ pranešė vasario 6 d kad Vartotojų finansinės apsaugos biuras – pagrindinė agentūra, atsakinga už finansų priežiūrą įmonių, neatsižvelgia į tyrimą dėl „Equifax“ įsilaužimo, dėl kurio buvo pažeista asmeninė informacija milijonų. Teigiama, kad CFPB nesugebėjo išduoti šaukimų į teismą ar paprašyti parodymų – ir atsisakė bendradarbiavimo su kitomis agentūromis, tokiomis kaip Federalinis rezervų bankas.

Deja, tai nėra šokiruojantis įvykių posūkis. Įvairios vyriausybės reguliavimo institucijos skyrė baudas įmonėms, kurios kenčia saugumo pažeidimai praeityje, o keletas praeities saugumo gedimų įmonėms iš tiesų brangiai kainavo. Tačiau dauguma išgyvena nepažeisti.

Tai patvirtino du nepriklausomi tyrimai. vienas,

Kur lazda?

Moralas yra paprastas – duomenų pažeidimo pasekmės dažnai nėra pakankamai didelės, kad įmonės susirūpintų dėl saugumo.

Štai čia turi įsikišti vyriausybinės agentūros, tokios kaip CFPB. Jie gali dėti pirštus ant svarstyklių, skirdami baudas, kad įsitikintų, jog įmonės mato realias vartotojų neapsaugos pasekmes. Anksčiau CFPB įsitraukdavo į šį vaidmenį, nors paprastai tai nebuvo vykdymo veiksmų, kylančių dėl saugumo pažeidimų, dalis. Federalinė prekybos komisija taip pat dalyvauja daugeliu atvejų, tačiau ji taip pat retai skiria pakankamai didelę baudą, kad sukeltų kokių nors realių pasekmių atitinkamoms įmonėms.

Duoti Equifax leidimą? Administracija turėtų stoti į vartotojų pusę ir sutelkti dėmesį į tai, kad tokie įsilaužimai būtų užtikrinti #EquifaxBreach daugiau nepasikartos. Mano sąskaita su @SenWarren būtų gera vieta pradėti. https://t.co/iJ4neRvjut

– Markas Warneris (@MarkWarner) 2018 m. vasario 5 d

Vyriausybinė priežiūra Jungtinėse Valstijose yra atsainusi, kad ir kokia būtų problema, tačiau kibernetinis saugumas ypač erzina reguliuotojus. Paprastai neaišku, kas yra geriausiai pasirengęs atlikti tyrimą, o žalą, padarytą dėl pažeistų duomenų, nėra lengva kiekybiškai įvertinti.

2013 m. „Yahoo“ patyrė didžiausią iki šiol užregistruotą duomenų pažeidimą, dėl kurio buvo atskleisti duomenys apie visus tris milijardus vartotojų. Kokia bausmė yra teisinga už kiekvieną parodymą? Ar svarbus duomenų praradimo sunkumas? Kaip galima iš viso įvertinti aukų patirtus nuostolius? Atrodo, kad niekas nesutinka ir, dar svarbiau, nesutinka ir įstatymai. Nepadeda tai, kad aukų pasekmės taip pat skiriasi. Nors kai kuriems gali būti sužlugdytas kreditas arba apgauti mokesčiai, kitiems tai visiškai nenukentės, ir paprastai nėra galimybės susieti konkrečių pažeidimų su problemomis, kurias patiria konkrečios aukos.

Šie sudėtingumai suteikia įmonėms ir kitoms organizacijoms galimybę išsisukti nuo atsakomybės menkai atsiprašydami. Būtent tai padarė „Equifax“ po įsilaužimo, pasiūlydama aukoms nemokamą tapatybės vagystės stebėjimą. Tai pagrįstas ir vertinamas gestas, tačiau jis nėra pakankamai toli, kad apsaugotų aukas. Stebėjimas nesustabdo jūsų tapatybės vagystės ir nekompensuoja to, ką praradote. Tai tik padeda jums surinkti gabalus šiek tiek greičiau, nei galėtumėte kitaip.

Kasdieniai duomenų pažeidimai neturi būti neišvengiami

Yra tik vienas problemos sprendimas. Mums reikia naujų, išsamių įstatymų, pagal kuriuos įmonės būtų atsakingos už saugumo pažeidimus.

The 2018 m. Apsaugos nuo duomenų pažeidimų ir kompensavimo įstatymas gali būti toks įstatymas. Įstatymą Kongresui sausio mėnesį pristatė senatorė Elizabeth Warren iš Masačusetso ir senatorius Markas Warneris iš Virdžinijos. įkuria kibernetinio saugumo biurą, kuris yra FTC dalis, kuris prižiūrėtų didelių vartotojų ataskaitų teikimo duomenų saugumą agentūros. Šiai naujai įstaigai apie bet kokį pažeidimą turėtų būti pranešta per 10 dienų; Šiuo metu įmonės laukia mėnesius ar net metus, kol atskleis problemą.

Taip pat nurodomos konkrečios baudos, pradedant nuo 100 USD, jei pažeistas vartotojo vardas ir pavardė, taip pat bent viena asmenį identifikuojanti informacija. Už kiekvieną nutekėjusią informaciją papildomai mokama 50 USD. Nors mes tiksliai nežinome, kuo pagrįstos tų baudų kainos, tai yra baudų schema atrodo, kad tai pasimoko iš mobiliųjų duomenų paslaugų ir IPT, kurie prideda dideles baudas už duomenis perteklius. Dar geriau, kad pusė surinktos baudos būtų grąžinta aukoms.

Tos nuobaudos sumuojasi. „Equifax“ įsilaužimas užtrauktų maždaug 1,5 milijardo dolerių baudą. Tiesą sakant, bendra bauda būtų didesnė, tačiau įstatymo projekto nuostata ribojama maksimaliai iki įmonės pajamų procento. „Equifax“ neabejotinai išgyventų tokią baudą – jos metinės pajamos vis dėlto siekia 3,1 mlrd. USD, tačiau ji yra pakankamai didelė, kad bet kuri įmonė pagalvotų prieš imdamasi kibernetinio saugumo.

Žinoma, įmonės užprotestavo įstatymo projektą ir neatrodo, kad jis priimtų Kongresą. Tačiau būtent tokių veiksmų reikia, ir mes visi turėtume susitelkti siekdami didesnės atskaitomybės. Beveik kasdien pasitaikantys dideli saugumo pažeidimai suteikia daug amunicijos šiai kolonai. Tačiau mielai praleisčiau šiek tiek daugiau laiko svarstydamas temas, jei tai reikštų neišvengiamos tapatybės vagystės, kuri šiuo metu persekioja mus visus, spektrus, nesvarbu, ar tai žinome, ar ne.

Redaktorių rekomendacijos

• „Mastelio keitimas“ ką tik ištaisė didelį „Mac“ saugos trūkumą. Štai kodėl turėtumėte atnaujinti dabar
• „Nvidia“ įspėja savo GPU savininkus apie pavojingą saugos pažeidžiamumą
• Ar jūsų kompiuteris saugus? Prognozė yra saugumo trūkumas, kurį „Intel“ turėjo numatyti

Atnaujinkite savo gyvenimo būdąSkaitmeninės tendencijos padeda skaitytojams stebėti sparčiai besivystantį technologijų pasaulį – pateikiamos visos naujausios naujienos, smagios produktų apžvalgos, įžvalgūs vedamieji leidiniai ir unikalūs žvilgsniai.