Nitro no porta -malas? | Comissão Federal de Comércio

O clássico do filme francês “The Wages of Fear” – refeito em 1977 como “The Sorcerer” do diretor americano William Friedkin – foi um thriller tenso sobre uma equipe de resistentes transportando uma carga útil de nitroglicerina volátil para um local remoto na América do Sul. Eles se encontram com riscos ao longo do caminho: uma ponte de corda pendurada por um fio sobre um rio bucklen, uma pedra bloqueando um caminho da montanha torcido e um trecho de estrada, então é chamado de “a tábua de lavar”.

A conexão com a abordagem de segurança de dados da sua empresa pode não parecer prontamente aparente, mas se você tiver informações pessoais sensíveis em sua rede ou em seus arquivos, há uma analogia para desenhar. Assim como seus hábitos de direção mudariam se você estivesse ao volante com um porta -malas cheio de nitro, então você deve ajustar as práticas da sua empresa, dada a sensibilidade das informações em sua posse.

Esse é um dos princípios ilustrados no acordo da FTC com Ceridiano Corporação. Ceridiano Fornece processamento de folha de pagamento e outros serviços de RH para clientes comerciais. Um produto, PowerPayé um sistema baseado na Web que pequenas empresas podem usar para coletar e armazenar dados de funcionários-por exemplo, nomes, endereços, endereços de email, números de telefone, números de previdência social, datas de nascimento e números de conta bancária de depósito direto-para automatizar seu processamento de folha de pagamento.

Certamente, Ceridiano estava ciente da sensibilidade dos dados envolvidos. De acordo com seus próprios contratos, “ao gerenciar dados de saúde e folha de pagamento dos funcionários, a segurança é fundamental com Ceridiano. Nosso programa abrangente de segurança foi projetado de acordo com os padrões da série ISO 27000, as melhores práticas do setor e os requisitos regulatórios federais, estaduais e locais. ”

Mas como alega o processo da FTC, Ceridiano Envolvido em várias práticas que, juntas, não forneceram segurança razoável e apropriada para os dados pessoais coletados e mantidos. Especificamente, a FTC acusou que a empresa:

• Informações pessoais armazenadas em texto fácil de ler;

• criou riscos desnecessários, armazenando -o indefinidamente em sua rede sem uma necessidade comercial;

• Não avaliou adequadamente a vulnerabilidade de seus aplicativos e rede da Web a riscos comumente conhecidos ou razoavelmente previsíveis, como ataques de injeção de SQL;

• não implementou as defesas gratuitas ou de baixo custo; e

• Falha ao empregar medidas razoáveis ​​para detectar e impedir o acesso não autorizado.

Como resultado, diz a FTC, os hackers exploraram essas falhas, montando um ataque de injeção de SQL ao PowerPay site e aplicativo da web, desativando os dados pessoais de quase 28.000 funcionários de Ceridian’s Os clientes de pequenas empresas, incluindo, em alguns casos, seus números de segurança social, informações da conta bancária e datas de nascimento. Para resolver o caso, Ceridiano concordou em implementar um programa abrangente de segurança da informação, incluindo auditorias independentes de segurança de terceiros a cada dois anos nos próximos 20 anos.

O que os profissionais de marketing mais experientes tiram da ação da aplicação da lei da FTC?

Permanecendo socialmente seguro. Obviamente, as empresas querem cuidar de todos os dados em sua posse, mas algumas informações – números de previdência social, por exemplo – a aposta quando se trata de proteção. Desfrute o ovo quando os ladrões de identidade obtêm um número de cartão de crédito pode ser difícil o suficiente: resmas de papelada que disputam cobranças não autorizadas e horas no telefone, endireitando as contas. Mas quando o que está em jogo são números de previdência social, as consequências podem seguir as vítimas pelo resto de suas vidas. OK, talvez Ssns Não são a nitroglicerina instável em uma estrada de montanha desolada, mas não conte isso para pessoas cujas vidas foram viradas de cabeça para baixo pelo roubo de identidade envolvendo seu número de segurança social.

Poda a fruta baixa. Hackers estarão sempre conosco. Portanto, nosso trabalho é tornar seu trabalho o mais difícil possível. Muitas das precauções que podem aumentar a segurança da sua rede estão prontamente disponíveis com baixo ou mesmo custo. Uma etapa simples: entre em contato com seus fornecedores de software para obter patches para abordar novas ameaças. Faça uma consulta recorrente no seu calendário para verificar com eles para atualizações. Além disso, muitos programas prosseguirão e instalam patches de segurança urgentes e outras correções se a sua equipe de TI permitir o recurso “Atualizações automáticas”.

Certamente mais seguro. Parte do Departamento de Segurança Interna, US-Cert (a equipe de prontidão de emergência dos Estados Unidos) fornece suporte de resposta e defesa contra ataques cibernéticos e compartilha informações com o governo e a indústria. A sala de leitura da US-Cert oferece uma riqueza de recursos gratuitos para empresas de todos os tamanhos. Não é o tipo de tecnologia? O US-CERT’s cobriu você, convenientemente dividindo materiais em categorias não técnicas para executivos ocupados e dados técnicos para profissionais de TI. Por exemplo, o site deles oferece conselhos passo a passo para proteger sua rede de um ataque de injeção de SQL e outras ameaças comuns.

Próximo: Mais aplicação da lei da FTC que lida com segurança de dados