O acordo de Marriott com a FTC: o que isso significa para as empresas

A Marriott International, Inc. há muito destaca os valores centrais de colocar as pessoas em primeiro lugar, buscar a excelência, agir com integridade e servir ao mundo. Hoje, a FTC e os advogados gerais de 49 estados e DC estão anunciando em conjunto uma ação que sugere que a empresa possa querer agregar um quinto valor a essa lista: protegendo os dados e a privacidade do cliente.

De acordo com a queixa proposta de hoje, a Marriott International, Inc. e sua subsidiária Starwood Hotels & Resorts Worldwide, LLC tiveram falhas de segurança de dados que levaram a pelo menos três violações entre 2014 e 2020. Primeiro, a FTC diz que entre 2014 e 2018 Bad Actors foram capazes Aproveitar a segurança de dados fracos para roubar 339 milhões de registros de consumidores da subsidiária da Marriott, Starwood, em duas violações separadas. Isso incluiu milhões de passaportes, cartão de pagamento e números de lealdade. Então, em 2020, de acordo com a denúncia, a Marriott disse a seus clientes que os maus atores haviam violado a própria rede de Marriott através de um hotel franqueado. Desta vez, os invasores roubaram 5,2 milhões de registros de convidados, que incluíram informações pessoais significativas e informações da conta de fidelidade. As informações roubadas foram detalhadas o suficiente, explica a denúncia, que os maus atores poderiam usá -las para criar campanhas de phishing altamente bem -sucedidas e direcionadas para cometer fraudes.

Para resolver o caso da FTC, Marriott e Starwood concordaram com uma ordem proposta que exigirá que eles implementem processos e verificações projetados para evitar problemas futuros, protegendo as informações pessoais, detectando problemas à medida que surgem e corrigindo quaisquer problemas em tempo hábil. A Marriott também concordou em pagar US $ 52 milhões como parte de acordos relacionados com executores estaduais.

Aqui estão algumas lições importantes do caso Marriott.

• Confira as práticas de segurança quando adquirir outra empresa. A queixa da FTC diz que a violação de Starwood já estava acontecendo antes que a Marriott adquirisse a empresa e continuasse através e após o processo de aquisição. Lembre -se de que, quando você adquire uma empresa, você não está apenas comprando coisas boas, como seus computadores, software, sistemas, bancos de dados e redes. Você também está comprando os problemas, como vulnerabilidades, equívocos e outros problemas de segurança que podem existir. Certifique -se de ter um plano para trazer a empresa adquirida a bordo com segurança. E após a aquisição, dê uma olhada cuidadosa no programa de segurança de informações da empresa adquirida. Quando – não se – você encontrar problemas, faça um plano para resolvê -los. Não integre os sistemas e a tecnologia da empresa adquirida à sua rede até que você possa fazê -lo com segurança.
• Use uma abordagem de várias camadas para a segurança dos dados. Para proteger as informações pessoais de maus atores, comece com uma avaliação de risco que analisa os riscos internos e externos. Vá além da segurança básica. E quando você descobrir onde estão os problemas, coloque várias camadas de controles. Algumas medidas básicas, como treinar seus funcionários para reconhecer ataques, usar controles de acesso, atualizar software e ter planos para lidar com violações quando ocorrem pode percorrer um longo caminho.
• Colete e mantenha apenas os dados necessários. Os atores maliciosos não podem roubar o que não estão lá, então pense cuidadosamente aos dados que você coleta antes de colecioná -los e não mantenha os dados por mais tempo do que precisar. E verifique se você está dando aos seus clientes uma maneira fácil de informar que eles querem que você exclua suas informações pessoais.
• A supervisão do fornecedor é mais importante do que nunca. Se você está contratando alguém para ajudá -lo com sua empresa, seja para criar seu site ou por outro motivo, escolha os fornecedores que tornam a segurança dos dados uma prioridade. Use contratos para garantir que seus fornecedores tenham controles e monitore a atividade de seus fornecedores para garantir que eles estejam cumprindo.
• Não se esqueça dos franqueados. Quando você estiver trabalhando em sua avaliação de risco, lembre -se de examinar mais de perto seus relacionamentos com os franqueados. Seus contratos exigem programas de treinamento e segurança de dados dos funcionários? Você está conduzindo auditorias? Certifique -se de estar cuidando de problemas.

Saiba mais sobre como proteger os dados e privacidade de seus clientes no início da segurança.