FCC chce ograniczyć wpływ naruszeń danych na użytkowników

Eksperci branżowi powitali m.in wniosek przedstawione przez Federalną Komisję Łączności (FCC), aby zmusić firmy do bezzwłocznego udostępniania informacji o wszelkich naruszeniach danych użytkownikom, których to dotyczy.

Propozycja zgłoszona przez przewodniczącą FCC Jessica Rosenworcel pojawia się w świetle ostatnich naruszeń danych i stara się zmienić obecne przepisy, biorąc pod uwagę zwiększoną częstotliwość, wyrafinowanie i skalę wycieków danych.

„Nowe propozycje FCC to krok we właściwym kierunku” Jack Chapman, wiceprezes ds. analizy zagrożeń u dostawcy zabezpieczeń Wyjście, powiedział Lifewire przez e-mail. „[Oni] wzmocnią ochronę osób, których dane dotyczą i poprawią przejrzystość między przewoźnikami, konsumentami i samego regulatora, co powinno pomóc we wspieraniu praw osób, których dane dotyczą w obecnym zagrożeniu krajobraz."

Zmieniający się krajobraz zagrożeń

Zgodnie z komunikatem prasowym FCC, proponowane aktualizacje mają na celu zrównanie przepisów regulujących branżę telekomunikacyjną z przepisami regulującymi inne sektory.

„Obecne prawo już wymaga od operatorów telekomunikacyjnych ochrony prywatności i bezpieczeństwa wrażliwych informacji o klientach. Jednak przepisy te wymagają aktualizacji, aby w pełni odzwierciedlić ewoluujący charakter naruszeń danych i zagrożenie w czasie rzeczywistym, jakie stanowią dla dotkniętych konsumentów” – zauważył Rosenworcel we wniosku.

Chapman zgadza się, mówiąc, że aktualizacje odnoszą się do rzeczywistości, że branża telekomunikacyjna jest celem ataków „fala wyrafinowanych cyberataków”, powołując się na przykład T-Mobile, który niedawno doznał naruszenia że udostępnił dane ponad 50 milionów swoich klientów.

Propozycja FCC przedstawia trzy istotne aktualizacje obecnych zasad powiadamiania o naruszeniu. Pierwsza ma na celu wyeliminowanie obowiązkowego siedmiodniowego okresu oczekiwania na powiadomienie klientów o naruszeniu.

Argumentując za skróceniem okresu oczekiwania, Rosenworcel powiedział, że klienci muszą być chronieni przed wyciekami danych, których konsekwencje mogą trwać lata po początkowym narażeniu.

Widząc zalety tego ruchu, Chapman powiedział, że jeśli klienci zostaną natychmiast poinformowani o naruszeniu a nie ponad tydzień później, mogą być bardziej wyczuleni na kolejne ataki, takie jak phishing i widząc. Uważał, że ma to kluczowe znaczenie i może pomóc użytkownikom chronić się przed atakami, które mogą prowadzić do utraty większej ilości danych.

„Poprzez wyeliminowanie siedmiodniowego okresu oczekiwania przewoźników na powiadomienie klientów o naruszeniu danych, FCC przywraca zasilanie w rękach ludzi, pomagając im podjąć kroki w celu ochrony, jeśli ich dane zostały naruszone” – zaopiniował Chapman.

Ustalenie winy

FCC chce również rozszerzyć zakres ochrony klientów, zmuszając firmy do dzielenia się również szczegółami dotyczącymi „nieumyślnych naruszeń”.

Nazywając to posunięciem „mile widzianym krokiem”, Chapman powiedział Lifewire, że nieumyślne naruszenia mogą być równie poważne jak cyberataki. Twierdził, że po wyrządzeniu szkody użytkownikom nie ma większego znaczenia, czy ich informacje zostały skradzione w wyniku włamania do sieci, czy z niezabezpieczonego serwera.

Trzecia zmiana zaproponowana przez FCC wzywa daną firmę telekomunikacyjną do powiadomienia osób fizycznych oraz FCC, FBI i US Secret Service.

Ponownie, Chapman dostrzega zasadność tego posunięcia, a powody, dla których występują w innych agencjach federalnych, mogą zapewnić długoterminowe korzyści konsumentom poprzez wzmocnienie reakcji regulacyjnej na naruszenia. Powiedział, że środek zapewni organowi regulacyjnemu szybszą i skuteczniejszą reakcję oraz pomoże zapewnić, że organizacje winne zostaną odpowiednio upomniane.

„Przewoźnicy gromadzą ogromną ilość informacji o swoich klientach, z których większość składa się z prywatnych i wysoce wrażliwych danych” Trevor J. Morgan, menedżer produktu ze specjalistami ds. bezpieczeństwa danych pociesz AG, powiedział Lifewire przez e-mail. „Zapewnienie, że firmy te reagują odpowiedzialnie i szybko na każde naruszenie danych — celowe włamanie lub nieumyślne wyciek danych — pomaga stworzyć lepszą zbiorową kulturę prywatności i bezpieczeństwa danych, a przy okazji wspiera opinię publiczną zaufanie."