(in) Безопасность: компании должны нести ответственность за нарушения безопасности

Об этом сообщило агентство Reuters 6 февраля. что Бюро финансовой защиты потребителей, ключевое агентство, ответственное за надзор за финансовыми компаний, пренебрегает расследованием взлома Equifax, который поставил под угрозу личную информацию миллионов. CFPB якобы не смог выдать никаких повесток в суд или запросить какие-либо показания — и отказался от сотрудничества с другими агентствами, такими как Федеральная резервная система.

К сожалению, это не шокирующий поворот событий. Различные государственные регулирующие органы наложили штрафы на компании, потерпевшие нарушения безопасности в прошлом, и несколько прошлых сбоев в системе безопасности действительно дорого обошлись компаниям. Однако большинство из них выживают невредимыми.

Два независимых исследования подтвердили это. Один, проводится корпорацией RAND, обнаружили, что большинство компьютерных взломов обходятся компании примерно в 200 000 долларов. Это небольшая цифра даже для небольшого бизнеса с несколькими десятками сотрудников. Другое исследование Колумбийского университета показало, что Финансовые затраты на нарушение кибербезопасности составляютв среднем менее 0,1 процента годового дохода компаний из списка Fortune 500.

Где палка?

Мораль здесь проста: последствия утечки данных часто недостаточно велики, чтобы заставить компании беспокоиться о безопасности.

Именно здесь должны вмешаться правительственные учреждения, такие как CFPB. Они могут положить руку на чашу весов, используя штрафы, чтобы убедиться, что компании видят реальные последствия своей неспособности защитить потребителей. В прошлом CFPB брал на себя эту роль, хотя обычно он не участвовал в принудительных действиях, связанных с нарушениями безопасности. Федеральная торговая комиссия также замешана во многих делах, но она также редко взимает достаточно большой штраф, чтобы повлечь за собой какие-либо реальные последствия для соответствующих компаний.

Даете Equifax пропуск? Администрации следует встать на сторону потребителей и сосредоточиться на предотвращении таких хаков, как #EquifaxBreach больше не повторяйся. Мой счет с @СенВаррен было бы хорошим началом. https://t.co/iJ4neRvjut

— Марк Уорнер (@MarkWarner) 5 февраля 2018 г.

Государственный надзор в Соединенных Штатах, как правило, слабый, независимо от проблемы, но кибербезопасность особенно беспокоит регулирующие органы. Обычно неясно, кто лучше всего подготовлен для проведения расследования, а ущерб, причиненный скомпрометированными данными, нелегко оценить количественно.

В 2013 году Yahoo пострадала от крупнейшей за всю историю утечки данных, в результате которой были раскрыты данные всех трех миллиардов пользователей. Какое наказание справедливо за каждое разоблачение? Имеет ли значение степень потери данных? Как можно хотя бы оценить потери, понесенные жертвами? Кажется, никто с этим не согласен, и, что более важно, с этим не согласен и закон. Не помогает и то, что последствия для жертв также различаются. В то время как у некоторых может быть испорчена кредитная история или украдены налоги, другие вообще не пострадают, и обычно нет способа связать конкретные нарушения с проблемами, от которых страдают конкретные жертвы.

Эти сложности дают компаниям и другим организациям шанс уклониться от ответственности, принося скудные извинения. Именно это сделала Equifax после взлома, предложив жертвам бесплатный мониторинг кражи личных данных. Это разумный и ценный жест, но его недостаточно для защиты жертв. Мониторинг не предотвращает кражу личных данных и не возмещает потерю. Это просто поможет вам собрать кусочки немного быстрее, чем вы могли бы в противном случае.

Ежедневные утечки данных не должны быть неизбежными

Есть только одно решение проблемы. Нам нужны новые всеобъемлющие законы, которые привлекут компании к ответственности за нарушения безопасности.

Закон о защите данных и компенсациях от 2018 года может быть такой закон. Законопроект, представленный Конгрессу в январе сенатором от Массачусетса Элизабет Уоррен и сенатором от Вирджинии Марком Уорнером, создает Управление кибербезопасности в составе Федеральной торговой комиссии, которое будет контролировать безопасность данных крупных потребительских отчетов. агентства. Этот новый офис должен быть уведомлен о любом нарушении в течение 10 дней; в настоящее время компании ждут месяцы или даже годы, прежде чем раскрыть проблему.

Также предусмотрены конкретные штрафы, начиная со 100 долларов США в случае раскрытия имени и фамилии потребителя, а также хотя бы одного элемента личной информации. За каждую дополнительную утечку информации взимается дополнительная плата в размере 50 долларов. Хотя мы не знаем точно, на чем основана цена этих штрафов, это система штрафов. похоже, он извлекает уроки из услуг мобильной передачи данных и интернет-провайдеров, которые вводят жесткие штрафы за передачу данных. излишки. Еще лучше, если половина собранного штрафа будет возвращена потерпевшим.

Эти штрафы суммируются. Взлом Equifax приведет к штрафу в размере около 1,5 миллиарда долларов. На самом деле общая сумма штрафа была бы выше, но положение в законопроекте ограничивает максимальный размер процентом от дохода компании. Equifax, без сомнения, выдержал бы такой штраф — в конце концов, его годовой доход составляет $3,1 миллиарда — но он достаточно высок, чтобы заставить любую компанию дважды подумать, прежде чем ослаблять вопросы кибербезопасности.

Компании, конечно, опротестовали этот законопроект, и, похоже, он вряд ли будет принят Конгрессом. Тем не менее, это именно то действие, которое необходимо, и мы все должны сплотиться и добиться большей подотчетности. Практически ежедневные серьезные нарушения безопасности дают достаточно аргументов для этой статьи. Но я был бы рад потратить немного больше времени на мозговой штурм, если бы это означало расшатывание спектра неизбежной кражи личных данных, которая в настоящее время преследует нас всех, знаем мы это или нет.

Рекомендации редакции

• Zoom только что исправил серьезную ошибку безопасности на Mac. Вот почему вам следует обновиться прямо сейчас
• Nvidia предупреждает владельцев своих графических процессоров об опасной уязвимости безопасности
• Ваш компьютер безопасен? «Предзнаменование» — это недостаток безопасности, который Intel должна была предсказать

Обновите свой образ жизниDigital Trends помогает читателям быть в курсе быстро меняющегося мира технологий благодаря всем последним новостям, забавным обзорам продуктов, содержательным редакционным статьям и уникальным кратким обзорам.