מיליוני דולרים קנסות שמטלטלים את הענף: רגולטורים בארה"ב ובאירופה מעלים הילוך ומחמירים את האכיפה של חוקי הגנת הפרטיות. כיצד תוכלו להימנע מקנסות?
ה־SEC מטיל קנסות כבדים על חברות עקב דיווחים מטעים על פרצת SolarWinds
ארבע חברות גדולות נענשות בשל הצגת תמונה מטעה על פגיעות סייבר משמעותיות
הוועדה לניירות ערך האמריקאית (SEC) הטילה קנסות כבדים על ארבע חברות טכנולוגיה – Avaya ,Check Point, Mimecast ו־Unisys – בשל דיווחים מטעים על פרצת האבטחה SolarWinds משנת 2020. ה־SEC טוען כי חברות אלו ניסו למזער את היקף האירוע והסיכון הפוטנציאלי, דבר שפוגע בשקיפות כלפי המשקיעים והלקוחות.
Unisys, שקיבלה את הקנס הגבוה ביותר – 4 מיליון דולר – נקנסה על כך שלא הציגה את הסיכון המדויק הנובע מהפרצה, תוך שהיא מציגה את סיכוני הסייבר כ"חזויים" בלבד, אף שהיו קיימים בפועל.
מטרת הקנסות: להרתיע חברות מהצהרות מעורפלות על פרצות סייבר
SEC דורש: שקיפות טכנית ומדויקת כדי להגן על משקיעים ולקוחות
מטרת ה־SEC בקנסות היא להבטיח שחברות לא ישתמשו במונחים מעורפלים או במידע לא מדויק בהצהרותיהן בנוגע לפרצות אבטחת מידע.
חורחה ג. טניירו, נציג ה־SEC, מדגיש כי המגמה היא להבטיח דיווח מלא ואמין על סיכוני סייבר.
יועצים משפטיים מזהירים כי התקנות החדשות מחייבות חברות לחשוב על תביעות והשלכות רגולטוריות עוד בשלב מוקדם של חקירת האירוע, מה שידרוש ממנהלי אבטחת המידע לעבוד בצורה קרובה עם יועצים משפטיים כדי לעמוד בסטנדרטים החדשים.
LinkedIn בקנס עתק באירופה בעקבות עבירות פרטיות משתמשים
ה־DPC באירלנד מטיל קנס של 310 מיליון אירו בשל הפרת תקנות ה־GDPR
הרשות להגנת הפרטיות באירלנד (DPC) קנסה את LinkedIn בסכום עצום של 310 מיליון אירו, לאחר שנמצאה מפרה את תקנות ה־GDPR בנושא פרטיות המשתמשים. החקירה מצאה כי LinkedIn השתמשה במידע אישי לצורכי פרסום ממוקד ללא בסיס חוקי מתאים, מה שהוביל לפגיעה בזכויות המשתמשים. LinkedIn בתגובה, הצהירה כי תיישם שינויים נדרשים בתהליכי עיבוד הנתונים שלה כדי להבטיח עמידה בדרישות הרגולטוריות המחמירות.
לסיכום
ה־SEC וה־DPC מקדמים אמות מידה חדשות המחייבות שקיפות מוחלטת ואכיפה מדויקת בניהול פרצות אבטחת מידע והגנה על פרטיות המשתמשים.
הקנסות הכבדים שניתנו בפרשות האחרונות מדגישים את חשיבות הגילוי המלא כלפי משקיעים ולקוחות, ומדגישים את הצורך בשיתוף פעולה קרוב בין מנהלי אבטחת המידע ליועצים המשפטיים.
המלצות מאת מומחי אבטחת המידע של IPV Security:
- הגברת השקיפות בדיווחי אבטחה: ארגונים נדרשים לשתף מידע מלא ומדויק על אירועי אבטחת מידע ולהימנע מדיווחים מעורפלים או כלליים. דיווחי אמת אינם רק חובתם כלפי הרשויות, אלא גם כלפי הלקוחות והמשקיעים. חברות אבטחת מידע יכולות לסייע בהערכה מקצועית ובבניית נהלים לדיווח שקוף ויעיל.
- עדכון פרקטיקות של פרטיות על פי תקני GDPR והגנת הפרטיות בישראל: עבור חברות המנהלות מידע אישי של משתמשים באירופה או בישראל, חשוב להבטיח עמידה בתקני GDPR וכן בחוק ובתקנות הגנת הפרטיות הישראליות. תקנות אלה מחייבות שקיפות מלאה בשימוש במידע אישי ומחייבות את הבטחת פרטיות המשתמשים. חברות אבטחת מידע יכולות לבצע בדיקות תקופתיות ולסייע בהתאמת נהלים לאכיפת תקני פרטיות מחמירים, ולמנוע בכך סיכונים משפטיים וקנסות משמעותיים.
- מעקב שוטף ותגובה מהירה לאירועים: חברות טכנולוגיה נדרשות לתחזק צוותי אבטחת מידע מתקדמים שיוכלו להתמודד במהירות עם פרצות ולמנוע הסלמה. אנשי אבטחת מידע מקצועיים מעניקים פתרונות מיידיים ובעלי יכולת ניתוח גבוהה לאיומים מתעוררים.
למידע נוסף:
https://www.darkreading.com/cyber-risk/linkedin-hit-335m-fine-data-privacy-violations
מעוניינים להתייעץ עם מומחה, פנו למומחי איי פי וי סקיוריטי!
להתייעצות מקצועית ניתן לפנות אלינו לאימייל info@ipvsecurity.com או במספר הטלפון 077-4447130. IPV Security מתמחה זה 19 שנה באבטחת מידע, סייבר, סקרי סיכונים ותקנים ורגולציות הנוגעים לביטחון מידע ועוד.
