Ashley Madison se estabelece com a FTC sobre a segurança dos dados
Se você se preocupa com segurança de dados e privacidade, você deve ler sobre O acordo da FTC com a Ruby Corporation, Ruby Life Inc. e ADL Media Inc. – as empresas que operam ashleymadison.com.
Ashleymadison.com anunciou um site de namoro que é “100% seguro e anônimo”. Ele reforçou essas reivindicações, incluindo um ícone de um “prêmio de segurança confiável” e uma imagem indicando que o site era um “serviço 100% discreto”.
O site o atraiu com promessas de “milhares de mulheres” em sua cidade (e lembre -se, cerca de 16 milhões dos 19 milhões de perfis dos EUA eram de homens). Em seguida, usou “perfis engajadores” – perfis falsos criados por funcionários que se comunicavam como se fossem usuários femininos reais. A empresa criou esses perfis usando informações de membros existentes que não tiveram nenhuma atividade de conta por um tempo. Muitas vezes, os usuários que não são pagos atualizaram para associações completas para que pudessem enviar mensagens para o que acreditavam serem usuários reais, mas eram, de fato, perfis falsos.
Para usuários preocupados com os outros descobrindo suas atividades no site, o site prometeu que você poderia “remover sua trilha digital”. Por US $ 19, você pode comprar um “exclusão completa” que prometeu remover todas as suas informações do AshLeymadison.com. Estamos falando de informações como: nome; status de relacionamento; Preferências sexuais e encontros desejados; atividades desejadas; fotografias; e informações financeiras. Parece que as pessoas não iriam querer sair em público, certo?
Em julho de 2015, um grupo chamado “The Impact Team” invadiu o sistema de computadores de Ashley Madison. O grupo ameaçou liberar todas as informações do usuário do site, a menos que Ashley Madison desligasse. Quando a empresa recusou, o grupo publicou informações pessoais sobre 36 milhões de usuários. São muitas informações muito pessoais de muitas pessoas.
Até incluiu informações de pessoas que pagaram por uma “exclusão completa”. Aconteceu que Ashley Madison manteve informações pessoais por até 12 meses após uma “deleta completa” e às vezes não removeu os perfis.
Como isso aconteceu? A queixa da FTC alega que ashleymadison.com se envolveram em várias práticas que não forneceram segurança de dados razoável, incluindo:
- Falha em ter uma política de segurança da informação por escrito
- Falha em implementar controles de acesso razoáveis
- Falha em treinar adequadamente o pessoal sobre segurança de dados
- Falha em monitorar provedores de serviços de terceiros
Esses princípios básicos estão todos descritos no início do Start With Security Guide da FTC.
A queixa de cinco contores da FTC alega decepção e injustiça. As contagens de engano envolvem: deturpações que a empresa tomou medidas razoáveis para garantir que ashleymadison.com estivessem seguras; Deturpações de que os perfis de envolventes eram de mulheres reais; Deturpations sobre a exclusão de perfis; E deturpações sobre o selo de segurança de dados (você adivinhou – a empresa sem uma política de segurança de dados por escrito não recebeu um “prêmio de segurança confiável”). Finalmente, a denúncia alega que as práticas de segurança injustas da empresa feridas ou provavelmente ferirão os consumidores.
O acordo da FTC com a Ruby Corporation e suas subsidiárias proíbe as empresas de fazer esse tipo de deturpações. Também exige que eles mantenham um programa abrangente de segurança da informação e obtenha avaliações bienais.
E a FTC não está nisso sozinha. O assentamento da FTC está em conjunto com treze estados e o Distrito de Columbia. A FTC também teve ajuda de seus colegas internacionais no Canadá e na Austrália. Com base em a Investigação conjuntaO Escritório do Comissário de Privacidade do Canadá entrou em um Contrato de conformidade e o escritório do comissário de informação australiano entrou em um empreendimento aplicável com a Ruby Corporation, com sede em Toronto. Esses acordos se concentram em medidas corretivas para melhorar as políticas de segurança de dados e retenção de dados da empresa.
Então, qual é a lição aprendida do caso Ashley Madison? As empresas devem cumprir suas promessas. E se você coletar informações pessoais sensíveis, deve protegê -las.
Para obter mais orientações sobre como fazer isso, consulte a proteção de informações pessoais: um guia para negócios e comece com a segurança: um guia para negócios. E para obter mais recursos de conformidade, visite o portal de privacidade e segurança do Business Center.
