Rekonsiliasi Keselamatan Data dengan Penyedia Layanan mencakup ketentuan pesanan yang diperbarui

Prinsip Domino. Efek fluktuasi. Fenomena kupu -kupu. Terapkan analogi yang telah Anda pilih untuk menjelaskan apa yang akan terjadi Satu perangkat lunak pengembangAplikasi keamanan longgar menyebabkan pelanggaran informasi pelanggan rahasia banyak Bisnis menggunakan perangkat lunak. Jika bisnis Anda adalah penyedia layanan-atau jika perusahaan Anda menggunakan penyedia layanan pihak ketiga untuk mengelola data Anda- diajukan Penyelesaian FTC KananPerhatian Anda. Aspek yang luar biasa dari kasus ini: Perintah yang disarankan yang berisi persyaratan keamanan data baru yang mencerminkan prioritas komisi saat ini untuk memperbarui pesanan keamanan data.

Banyak penyedia layanan ketiga -pihak menjual sektor -perangkat lunak manajemen data spesifik ke bisnis konsumen. Contohnya adalah perangkat lunak untuk vendor mobil yang dikembangkan oleh Lightyear Dealer Technologies. DealersBuilt adalah nama besar di tempat kerja dan memberi nomor beberapa dealer terbesar di negara ini sebagai pelanggan. Ini mengumpulkan dan memelihara sejumlah besar keuangan sensitif, penggajian, akuntansi, dan informasi lain tentang dealer, konsumen dan karyawan yang melisensikan perangkat lunak dealer. Dealer yang menggunakan perangkat lunak dapat meng -host data mereka atau meng -host server mereka. Bisnis yang secara teratur memilih database pengembalian opsi kedua ke jaringan Dealerbuilt.

Sebelum mencapai informasi yang tak terhindarkan yang mengarah pada tindakan penegakan hukum, mari kita pertimbangkan beberapa aplikasi Bayibuilt selama waktu yang terkait dengan administrasi FTC yang diusulkan. keluhan. Menurut FTC:

• Dalam teks bersih, deklarasi, tanpa kontrol akses atau kata sandi atau getone, tanpa perlindungan otentikasi, seperti perlindungan otentikasi. Data yang dikirimkan antara dealer dan database cadangan dealer juga dalam teks yang jelas.
• DealersBuilt tidak memiliki kebijakan keamanan informasi tertulis.
• DealerBuilt tidak memberikan pelatihan keselamatan data yang wajar untuk karyawan atau kontraktor.
• DealerBuilt tidak mengevaluasi risiko untuk data sensitif dalam jaringan dengan membuat penilaian risiko berkala atau dengan kerentanan keselamatan dan uji penetrasi.
• Dealbuilt tidak menggunakan langkah -langkah keamanan siap siap untuk memantau inisiatif yang tidak sah untuk mentransfer informasi yang sensitif serta hal -hal lainnya..
• DealersBuilt tidak melakukan kontrol akses data yang wajar – misalnya, sistem yang memerlukan otentikasi untuk membatasi koneksi dengan alamat IP yang diketahui atau untuk mengakses database cadangan.
• DealersBuilt tidak memiliki proses yang masuk akal untuk memilih, menginstal, dan mengamankan perangkat dengan akses ke informasi pribadi.

Terhadap dugaan kegagalan keamanan, apa yang terjadi kemudian seharusnya tidak mengejutkan. Untuk meningkatkan penyimpanan cadangan yang ada, dealer membeli perangkat penyimpanan dan mengunggahnya ke jaringan perusahaan pada bulan April 2015. Menurut FTC, manajemen dealer tidak mengambil langkah -langkah untuk memastikan bahwa perangkat diatur dengan aman. Jika seseorang telah memeriksa, mereka akan menemukan bahwa perangkat telah membuat port koneksi terbuka yang memungkinkan transfer informasi.

Bajak laut sebuah komputer “berjalan” dari port terbuka untuk mendapatkan akses yang tidak sah ke database cadangan DearBuilt, termasuk informasi pribadi yang tidak nyaman dari lebih dari 12 juta konsumen yang disimpan oleh 130 dealer pelanggan. Hacker, 69.283 Informasi Pribadi Konsumen dan lutut cadangan kelima dealer dengan mengunduh sistem menyerang sistem. Dan itu tidak semua, karena lebih dari waktu yang signifikan, pengaturan tidak aman DealerBuilt diindeks pada situs web publik yang digunakan oleh bajak laut komputer untuk menemukan perangkat yang tidak aman. Apa yang akhirnya dia curi? Selain hal-hal lain, favorit bintang lima dari nomor jaminan sosial konsumen, nomor SIM dan tanggal pengemudi, atau kelahiran karyawan dealer, serta favorit bintang lima pencuri identitas informasi keuangan.

Pada 7 November 2016, DealerBuilt belajar pelanggaran yang dicari oleh dealer dan mengapa data pelanggan ingin tahu mengapa publik dapat diakses terbuka untuk umum. Menurut FTC, seorang reporter mengatakan kepada Dealerbuilt untuk mengetahui kerapuhan keamanan dari titik terbuka perusahaan pada perangkat penyimpanan.

Hitung 1 keluhan FTC harus tampak akrab dengan pengamat. FTC mengklaim bahwa perusahaan tidak dapat mempekerjakan wajar keamanan Langkah -langkah adalah praktik tidak adil yang melanggar hukum FTC. Sensus 2 bernilai kata khusus karena Dealerbuilt memenuhi definisi “Lembaga Keuangan di Hukum Gram-Leach-Bliley. Memicu harmoni ini Aturan Perlindungan GLBFTC mengklaim bahwa selain hal -hal lain – program keamanan informasi tertulis tidak dikembangkan, diimplementasikan dan tidak berlanjut; Tidak dapat mendeteksi risiko yang wajar untuk keselamatan, privasi, dan integritas informasi pelanggan; Dan untuk menerapkan langkah -langkah dasar dan menguji aktivitas mereka secara teratur.

Perusahaan untuk menyelesaikan kasus ini Pesanan yang diusulkan Ini termasuk ketentuan baru yang luar biasa Anda akan ingin memeriksanya dengan cermat. Seperti pesanan dalam kasus Clixsense dan IdressUp yang diumumkan pada bulan April, pesanan yang diusulkan mengharuskan petugas dealer senior untuk memberikan sertifikat adaptasi tahunan ke FTC. Pesanan ini juga mensyaratkan penerapan langkah -langkah khusus dan berlaku yang mengharuskan perusahaan untuk menerima pelatihan karyawan tahunan, memantau sistem untuk acara keamanan data, kontrol akses dan menerapkan perangkat inventaris dalam jaringan. Selain itu, pesanan yang diusulkan membuat perubahan signifikan untuk lebih meningkatkan akuntabilitas penilai pihak ketiga yang bertanggung jawab untuk meninjau program keselamatan data dealerSbuilt. Selain itu, pesanan memberikan lebih banyak akses ke FTC, dokumen berdasarkan hasil evaluator, dan bahan lainnya.

Mengapa kondisi kompromi yang diperbarui? Ketentuan pesanan yang lebih spesifik, manajemen senior wajib berfokus pada masalah keselamatan, secara mendalam “Lihat di bawah kap mesin”Penilaian yang diperlukan untuk evaluator dan alat pemantauan FTC baru dirancang untuk memberikan kompatibilitas pesanan dan jika perlu.

Setelah perjanjian yang diusulkan diterbitkan dalam pendaftaran federal, FTC akan menerima komentar publik Selama 30 hari. Apa yang bisa didapat perusahaan lain dari kasus ini?

Latih dan periksa karyawan Anda untuk menjadi keamanan. Ini adalah awal untuk menentukan seseorang yang bertanggung jawab atas keamanan dalam bisnis Anda, tetapi itu tidak berarti Anda bertindak seolah -olah tidak ada kesenjangan keamanan. Perusahaan yang mengelola informasi pribadi yang sensitif dari konsumen memiliki tanggung jawab untuk memikirkan keamanan di seluruh jalan. Dapatkan pelatihan personel sesuai dengan sifat bisnis Anda dan perbarui risiko dan ancaman saat ini untuk mencerminkan. Selain itu, pastikan seseorang mengendalikan pengawas yang memiliki dampak besar pada keamanan di perusahaan Anda.

Gunakan pemeliharaan saat menginstal perangkat dengan akses jaringan. Seperti paste jari di soket, tambahkan Perangkat tertentu Ini membawa kejutan yang signifikan terhadap sistem Anda. Pikirkan hasil keamanan dan pastikan Perangkat apa pun Itu ditetapkan dengan benar.

Lingkup GLB luas. Ekspresi “Lembaga Keuangan çıkmış dapat membuat gambar buku paso, narator, dan pensil yang dirantai ke lukisan, tetapi ini tidak menentukan istilah aturan Gramm-Leach-MM-MMuttefik. Bayangkan apakah bisnis Anda adalah lembaga keuangan yang tunduk pada aturan perlindungan GLB.

Jika perusahaan Anda menggunakan perangkat lunak atau penyedia bagian ketiga, buat keamanan untuk kontrak Anda. Bahkan jika perilaku perusahaan lain termasuk dalam pelanggaran, milikmu Informasi pelanggan mungkin berisiko dan mereka ingin tahu apa yang terjadi Anda Dia melakukannya untuk melindungi mereka. Seperti yang disarankan oleh publikasi FTC, sambil mempercayakan data kepada penyedia layanan pihak ketiga, menghubungkan harapan keamanan Anda, ikuti apa yang telah mereka lakukan atas nama Anda, dan ikuti situs web yang melaporkan kerentanan keamanan yang diketahui.

Penyedia layanan bertanggung jawab untuk melindungi data pribadi yang mereka kumpulkan dan simpan. Bahkan jika operasi Anda berada di belakang layar, Anda mungkin masih bertanggung jawab atas pelanggaran hukum. Jika Anda mempertimbangkan data konsumen yang tepat atas nama perusahaan lain, keamanan harus menjadi bagian depan dan pusat.