Федеральная торговая комиссия (FTC) отреагировала на серию массовых утечек данных Marriott и Starwood, приказав компаниям внести не менее 13 изменений, чтобы гарантировать, что это не повторится.
Более 344 миллионов клиентов пострадали от трех отдельных нарушений безопасности, в результате которых были раскрыты личные данные, включая данные кредитной карты и паспортные данные…
Утечка данных Marriott и Starwood
Первое из трех нарушений датируется 2018 годом.
Группа отелей Marriott International — последняя компания, сообщившая о крупномасштабном взломе базы данных клиентов.
«Приблизительно для 327 миллионов этих гостей информация включает в себя некоторую комбинацию имени, почтового адреса, номера телефона, адреса электронной почты, номера паспорта, информации об учетной записи Starwood Preferred Guest («SPG»), даты рождения, пола, информации о прибытии и отъезде. , дату бронирования и настройки связи. Для некоторых информация также включает номера платежных карт и даты истечения срока действия платежных карт, но номера платежных карт были зашифрованы с использованием шифрования Advanced Encryption Standard (AES-128). Для расшифровки номеров платежных карт необходимы два компонента, и на данный момент Marriott не может исключить возможность того, что оба были украдены».
После этого было еще два взлома.
Федеральная торговая комиссия заказала 13 изменений
Федеральная торговая комиссия теперь приказала обеим группам отелей провести радикальные изменения, чтобы предотвратить любое повторение ошибок, которые позволили атакам увенчаться успехом.
В соответствии с приказом Marriott и Starwood обязаны разработать комплексную программу информационной безопасности, которая поможет защитить личную информацию клиентов, внедрить политику хранения личной информации только до тех пор, пока это разумно необходимо, а также установить ссылку на своем веб-сайте, чтобы клиенты из США могли запросить удаление личной информации, связанной с их адресом электронной почты или номером счета программы лояльности. Приказ также требует от Marriott проверять счета программ лояльности по запросу клиентов и восстанавливать украденные баллы лояльности.
Компаниям также запрещено искажать информацию о том, как они собирают, хранят, используют, удаляют или раскрывают личную информацию потребителей; и степень, в которой компании защищают конфиденциальность, безопасность, доступность, конфиденциальность или целостность личной информации.
Учитывая, насколько простыми являются многие положения, они служат довольно убедительным обвинением в том, насколько плохими должны были быть дела. Например, компании не должны лгать о том, что они делают с вашими данными:
Ответчики, должностные лица, агенты и сотрудники Ответчиков, а также все другие лица, находящиеся в активном сговоре или участии с любым из них, получившим фактическое уведомление о настоящем Приказе, независимо от того, действуют ли они прямо или косвенно в связи с каким-либо продуктом или услугой, не должны искажать информацию в отношении любым способом, прямо или косвенно:
A. Сбор, хранение, использование, удаление или раскрытие Персональной информации респондентами; и
B. Степень, в которой Респонденты защищают конфиденциальность, безопасность, доступность, конфиденциальность или целостность Персональной информации.
Другие требования заключаются в том, что группа обучает своих сотрудников вопросам безопасности данных, создает планы реагирования на угрозы, устанавливает политики для обнаружения вторжений и использует двухфакторную аутентификацию.
Фото Джонатана Кемпера на Unsplash
