CCPA y Zero Trust Security para PII: Salud y educación

El Ley de Privacidad del Consumidor de California entró en vigor el 1 de julio de 2020, poniendo a las empresas bajo nuevos estándares regulatorios para el manejo Información de identificación personal (PII) de residentes en el estado más poblado del país.

Al igual que GDPR, ha habido mucha anticipación antes de la fecha límite. Las organizaciones pueden estar más preparadas que en 2018 para GDPR, pero algunas cosas clave han cambiado.

¿Por qué la privacidad sigue siendo una gran preocupación? En la nueva era de la cuarentena, ahora nos enfrentamos a:

• Remoto todo: la colaboración en la nube (incluida la PII de procesamiento) es la nueva normalidad, ya que requiere la seguridad adecuada en la nube y la seguridad de los terminales
• Doble rescate con exfiltración de datos: más atacantes están exfiltrando los datos de los clientes de las empresas y (si se retiene el rescate) extorsionando a los consumidores directamente a través de bitcoin, a menudo en los titulares.

¿Qué significa esto para las empresas? Aún más exposición, y un mayor incentivo para pagar un rescate aún mayor para evitar sanciones legales sobre privacidad y litigios de acción colectiva.

El valor de PII

Muchos atacantes y ransomware exploits desde el principio no sabían lo que iban buscando; solo querían un mordisco y tratarían de explotarlo. Ahora, los malos actores están buscando activamente sitios específicos para bancos, bufetes de abogados o proveedores de atención médica, y entienden por qué esa información es valiosa, y gran parte de ella tiene que ver con las leyes de privacidad.

¿Qué tan valiosos son los datos personales?

• Los daños pagados por las empresas con violaciones de datos en demandas colectivas civiles para CCPA incluirán entre 100 y $750 por residente de California (hay casi $40 millones en total) e incidentes, o daños reales (lo que sea mayor), y cualquier otro alivio que el tribunal considere apropiado.
• Esta amenaza podría parecer menos del 4% de la facturación anual de una multa de GDPR establecida por el ICO en el Reino Unido, pero piense en los años de costosos litigios para llegar al acuerdo.

Así que imagínese: si su negocio es violado, los atacantes pueden agregar multas potenciales a su rescate y usted está incitado a pagar, porque al menos evita el daño reputacional de estar expuesto a reguladores y demandas de acción colectiva, que cuestan muchos años más y millones para defenderse.

Las leyes son bien intencionadas, pero es un gran incentivo para que los atacantes pongan los pies de las empresas al fuego si pueden enganchar un instituto o escuela de salud en CA o un banco en cualquier lugar. La privacidad y los datos del consumidor son una moneda de tan alto valor que si un atacante sabe lo que tiene, lo explotará por cada centavo que valga.

Objetivos vulnerables: salud y educación

Los negocios como el cuidado de la salud y la educación con un gran número de clientes y empleados, y grandes cantidades de su PII, están en riesgo significativo.

¿Cuál es la amenaza?

• Ambos ya han estado bajo escrutinio por preocupaciones de privacidad en torno a PII durante años, a través de regulaciones como HIPAA en salud y FERPA en educación (y ahora CCPA).
• Ahora que el aprendizaje a distancia es la norma y los registros médicos se han vuelto en gran parte electrónicos, conectando sistemas a través del Épica, es fácil para los atacantes moverse entre sistemas si no hay segmentación de red acceder a las políticas establecidas para prevenirlo.
• Con una pandemia mundial y una investigación de vacunas en curso, la necesidad de investigación y atención médica para seguir operando es aún más estratégica, y potencialmente más lucrativa para los atacantes de ransomware, como hemos visto con los impactos en Organización Mundial de la Salud (OMS), y Centros de pruebas de vacunas COVID-19.

En consecuencia, no es de extrañar que la atención médica y la educación se vean golpeadas con tanta frecuencia con brechas.

Seguridad de confianza cero con Illumio

Un cliente reciente de Illumio en una de las mejores escuelas de medicina que ofrece aprendizaje a distancia buscó proteger mejor sus datos contra posibles ataques, evitando la propagación de brechas a la PII con segmentación de red.

La segmentación de la red es un control crítico para asegurar PII, mediante aplicaciones de cercado de anillo con datos de pacientes o clientes. Implementación Cero Confianza las políticas de seguridad limitan el acceso a las partes permitidas con un propósito de negocio legítimo y detienen la ruta de escalamiento de privilegios del atacante para moverse libremente a través de la red hacia los datos más valiosos. El cliente primero pensó en usar firewalls, pero la seguridad en la red con firewall interno no podía satisfacer la demanda basada en la nube.

“Poder hacer cumplir las reglas de políticas de manera eficiente y segura era primordial porque tenemos mucha gente y sistemas. Con los firewalls, podría llevar meses”, explicó el líder de TI de la escuela. “Tienes que usar el control de cambios. Si el hardware falla, pone en peligro todo el data center. Crea puntos de falla y complejidad, y ejerce presión sobre el personal de la red. Cada nueva base de datos requiere coordinación”.

El equipo eligió un enfoque basado en software con Illumio.

“Estábamos interesados en la microsegmentación pero no queríamos usar ACL en infraestructura de red, lo que requeriría un entorno de pruebas y ventanas de interrupción. Al mismo tiempo, nuestro equipo de seguridad quería comenzar a utilizar las capacidades de seguridad nativas de nuestro Servidores Windows. Illumio ASP verificó todas las casillas para ambas implementaciones; fue nuestra primera y última opción. Nos permite ver todos los flujos de comunicación en nuestro entorno de producción en vivo y probar las reglas de firewall sin enfrentar interrupciones”.

Illumio ayuda a las industrias de salud, académicas y otras industrias críticas a mantener su PII segura a través de una mejor microsegmentación que desempareja la seguridad Zero Trust de las limitaciones de la red. Obtenga más información sobre el viaje de una escuela de salud hacia una mayor seguridad en la nube para el aprendizaje a distancia en el estudio de caso aquí.