CCPA und Zero Trust Security for PII: Gesundheitswesen und Bildung

Das Kalifornisches Verbraucherschutzgesetz trat am 1. Juli 2020 in Kraft und unterlag Unternehmen neuen regulatorischen Standards für die Handhabung Persönlich identifizierbare Informationen (PII) der Einwohner des bevölkerungsreichsten Bundesstaates des Landes.

Ähnlich wie bei der DSGVO gab es im Vorfeld der Frist große Vorfreude. Unternehmen sind vielleicht besser auf die DSGVO vorbereitet als 2018, aber einige wichtige Dinge haben sich geändert.

Warum ist Datenschutz immer noch ein großes Problem? Im neuen Zeitalter der Quarantäne stehen wir nun vor:

• Fernbedienung alles: Cloud-Zusammenarbeit (einschließlich der Verarbeitung personenbezogener Daten) ist die neue Normalität und erfordert angemessene Cloud- und Endpunktsicherheit
• Doppeltes Lösegeld mit Datenexfiltration: Immer mehr Angreifer stehlen Kundendaten von Unternehmen und erpressen (falls das Lösegeld einbehalten wird) Verbraucher direkt über Bitcoin — oft in den Schlagzeilen.

Was bedeutet das für Unternehmen? Noch mehr Aufmerksamkeit und ein größerer Anreiz, ein noch höheres Lösegeld zu zahlen, um datenschutzrechtliche Strafen und Sammelklagen zu vermeiden.

Der Wert von PII

Viele Angreifer und Ransomware Exploits wussten schon früh nicht, was sie wollten; sie wollten nur einen Happen essen und würden versuchen, ihn auszunutzen. Jetzt suchen böswillige Akteure aktiv nach bestimmten Websites von Banken, Anwaltskanzleien oder Gesundheitsdienstleistern, und sie verstehen, warum diese Informationen wertvoll sind und dass ein Großteil davon mit den Datenschutzgesetzen zu tun hat.

Wie wertvoll sind personenbezogene Daten?

• Der Schadensersatz, den Unternehmen in zivilrechtlichen Sammelklagen wegen CCPA aufgrund von Datenschutzverletzungen zahlen, wird sich auf 100 bis 750$ pro Einwohner Kaliforniens (insgesamt sind es fast 40 Millionen $) und Vorfall oder tatsächlichen Schaden (je nachdem, welcher Betrag höher ist) und alle anderen vom Gericht als angemessen erachteten Abhilfemaßnahmen belaufen.
• Diese Gefahr mag durch eine vom ICO im Vereinigten Königreich festgelegte DSGVO-Geldbuße weniger als 4% des Jahresumsatzes ausmachen, aber denken Sie an die jahrelangen kostspieligen Rechtsstreitigkeiten, die bis zu einer Einigung geführt haben.

Stellen Sie sich vor: Wenn Ihr Unternehmen verletzt wird, können Angreifer Ihrem Lösegeld potenzielle Bußgelder hinzufügen und Sie haben einen Anreiz zur Zahlung, weil Sie zumindest den Reputationsschaden vermeiden, der entsteht, wenn Sie Aufsichtsbehörden und Sammelklagen ausgesetzt sind, deren Verteidigung noch viele Jahre und Millionen kostet.

Die Gesetze sind gut gemeint, aber es ist ein großer Anreiz für Angreifer, Unternehmen ins Feuer zu setzen, wenn sie in der Lage sind, ein Gesundheitsinstitut oder eine Schule in Kalifornien oder eine Bank irgendwo anzugreifen. Datenschutz und Verbraucherdaten sind eine so wertvolle Währung, dass ein Angreifer, wenn er weiß, was er hat, es für jeden Cent, den er wert ist, ausnutzt.

Anfällige Ziele: Gesundheitswesen und Bildung

Unternehmen wie das Gesundheitswesen und das Bildungswesen mit einer großen Anzahl von Kunden und Mitarbeitern und großen Mengen ihrer personenbezogenen Daten sind einem erheblichen Risiko ausgesetzt.

Was ist die Bedrohung?

• Beide werden bereits seit Jahren auf Datenschutzbedenken im Zusammenhang mit personenbezogenen Daten hin untersucht, und zwar durch Vorschriften wie HIPAA im Gesundheitswesen und FERPA im Bildungswesen (und jetzt CCPA).
• Jetzt, da Fernunterricht die Norm ist und die Krankenakten größtenteils elektronisch geworden sind und Systeme über die Episch, es ist für Angreifer einfach, zwischen Systemen zu wechseln, wenn keine Netzwerksegmentierung Es gibt Zugriffsrichtlinien, um dies zu verhindern.
• Angesichts einer globalen Pandemie und der laufenden Impfstoffforschung ist der Bedarf an Forschung und Gesundheitswesen, um den Betrieb aufrechtzuerhalten, noch strategischer — und potenziell lukrativer für Ransomware-Angreifer, wie wir bei Angriffen auf die Weltgesundheitsorganisation (WHO), und COVID-19-Impfstoff-Testzentren.

Daher ist es nicht verwunderlich, dass das Gesundheits- und Bildungswesen so häufig von Sicherheitsverstößen betroffen ist.

Zero-Trust-Sicherheit mit Illumio

Ein Kunde von Illumio an einer führenden medizinischen Fakultät, die Fernunterricht anbietet, wollte seine Daten vor potenziellen Angriffen besser schützen, indem er die Ausbreitung von Sicherheitsverletzungen auf personenbezogene Daten mit folgenden Mitteln verhinderte: Netzwerksegmentierung.

Die Netzwerksegmentierung ist eine wichtige Kontrolle, die es zu sichern gilt PII, indem Anwendungen mit Patienten- oder Kundendaten abgegrenzt werden. Implementieren Null Vertrauen Sicherheitsrichtlinien beschränken den Zugriff auf berechtigte Parteien mit einem legitimen Geschäftszweck und verhindern, dass der Angreifer seine Rechte erweitert, um sich ungehindert im Netzwerk zu den wertvollsten Daten zu bewegen. Der Kunde dachte zuerst an den Einsatz von Firewalls, aber die Sicherheit im Netzwerk mit internen Firewalls konnte den Anforderungen der Cloud-basierten Umgebung nicht gerecht werden.

„Die Fähigkeit, politische Regeln effizient und sicher durchzusetzen, war von größter Bedeutung, da wir so viele Mitarbeiter und Systeme haben. Mit Firewalls konnte das Monate dauern „, erklärte der IT-Leiter der Schule. „Sie müssen die Änderungskontrolle verwenden. Wenn die Hardware ausfällt, gefährden Sie das gesamte Rechenzentrum. Dies führt zu Schwachstellen und Komplexität und belastet das Netzwerkpersonal. Jede neue Datenbank erfordert Koordination.“

Das Team entschied sich für einen softwarebasierten Ansatz mit Illumio.

„Wir waren an Mikrosegmentierung interessiert, wollten aber keine ACLs für die Netzwerkinfrastruktur verwenden, was eine Testumgebung und Ausfallfenster erfordern würde. Gleichzeitig wollte unser Sicherheitsteam damit beginnen, die systemeigenen Sicherheitsfunktionen unserer Windows-Server. Illumio ASP hat bei beiden Implementierungen alle Kriterien erfüllt — es war unsere erste und letzte Wahl. Es ermöglicht uns, den gesamten Kommunikationsfluss in unserer Live-Produktionsumgebung zu verfolgen und Firewall-Regeln zu testen, ohne dass es zu Ausfällen kommt.“

Illumio hilft dem Gesundheitswesen, der Wissenschaft und anderen wichtigen Branchen, ihre personenbezogenen Daten durch eine bessere Mikrosegmentierung zu schützen, die die Zero-Trust-Sicherheit von den Einschränkungen des Netzwerks entkoppelt. Erfahren Sie in der Fallstudie mehr über den Weg einer Gesundheitsschule zu einer besseren Cloud-Sicherheit für den Fernunterricht hier.