الخصوصية تتفوق على برامج الفدية باعتبارها أهم اهتمامات التأمين

في الوقت الذي يتدافع فيه مديرو الشركات وفرق الأمن لضمان تلبية لوائح الأمن السيبراني الجديدة الصادرة عن هيئة الأوراق المالية والبورصات (SEC)، فإن المطالبات الناجمة عن سوء التعامل مع معلومات التعريف الشخصية المحمية (PII) يمكن أن تنافس تكلفة هجمات برامج الفدية، كما يحذر ديفيد أندرسون، نائب رئيس قسم الأمن السيبراني. المسؤولية في شركة Woodruff Sawyer، وهي شركة وساطة تأمين وطنية.

في حين أن مطالبات الخصوصية تستغرق سنوات حتى تشق طريقها من خلال الإجراءات القانونية، فإن "الخسائر تكون بشكل عام كارثية على مدار ثلاث إلى خمس سنوات مثل المطالبة ببرامج الفدية على مدار ثلاثة إلى خمسة أيام"، كما يقول.

في باقة عرض تقديمي يركز على اتجاهات التقاضي لعام 2024، أشار دان بيرك، نائب الرئيس الأول ورئيس الممارسات الإلكترونية الوطنية في Woodruff Sawyer، إلى أن "مطالبات تتبع وحدات البكسل هي أحدث هدف لشريط المدعين - حيث تلاحق الشركات التي تتعقب نشاط موقع الويب من خلال وحدات البكسل الموجودة على الشاشة دون الحصول على الموافقة المناسبة."

يمكن أن تكون مثل هذه الأنشطة هي السبب وراء اختيار 31% من شركات التأمين السيبراني في استطلاع Woodruff Sawyer للخصوصية باعتبارها مصدر قلقهم الأكبر لعام 2024 - في المرتبة الثانية بعد برامج الفدية، التي اختارها 63% من المشاركين.

الخصوصية هي قضية تجارية

يوافق جيمس توبلين، نائب الرئيس الأول ورئيس قسم الإنترنت الدولي في شركة Mosaic Insurance، على أن شركات التأمين سوف تلقي نظرة فاحصة على اتجاهات الخصوصية هذا العام. ويؤكد أن الأمر غالبًا ما يستغرق من خمس إلى سبع سنوات حتى تعمل الدعاوى المتعلقة بالخصوصية في المحاكم، مما يعني أن عام 2024 سيشهد ذروة قضايا الخصوصية المرفوعة في الفترة من 2017 إلى 2019 - قبل أن تبدأ العديد من البلدان والولايات الأمريكية في إقرار قوانين خصوصية جديدة. على سبيل المثال، دخلت اللائحة العامة لحماية البيانات (GDPR) للاتحاد الأوروبي حيز التنفيذ في عام 2018، لذا تمثل هذه الحالات انتهاكات أولية للائحة العامة لحماية البيانات (GDPR).

ومع ذلك، بالنسبة لشركة التأمين، فإن دفع تعويضات مطالبات الخصوصية قد لا يكون كبيرًا لأن "ضامني التأمين لديهم وقت طويل للعب برؤوس أموالهم بينما تتراكم تلك الخسائر حتى يتم حلها النهائي"، كما يوضح أندرسون. وذلك لأن شركات التأمين تحتفظ بالفائدة من الاحتفاظ بالأموال في الضمان بينما تعمل المطالبات في طريقها من خلال المفاوضات والتقاضي.

في حين أن مجالس الإدارة عمومًا لديها مستشارون أكفاء في مجال الخصوصية، إلا أن مجالس الإدارة لا تزال تميل إلى التفكير في قضايا الخصوصية باعتبارها مسألة تتعلق بتكنولوجيا المعلومات وليست مسألة تجارية، كما يقول توبلين. بعض الهيئات التنظيمية، بما في ذلك هيئة الأوراق المالية والبورصات، تضع CISOs في مرمى النيران ويضيف أن الأنظمة على الرغم من أنها لا تتحكم في الميزانيات أو لديها سلطة حل جميع قضايا الأمن السيبراني.

تتبع قوانين الخصوصية

من بين الأسباب التي جعلت الخصوصية تشكل تحديًا لمجالس الإدارة وفرق الأمن هو أنه في كثير من الحالات، لا تعرف المؤسسات ما هي أنواع البيانات التي تجمعها وأين توجد تلك البيانات، حسبما يشير شيري دافيدوف، المؤسس والرئيس التنفيذي لشركة LMG Security. تميل الشركات إلى تخزين البيانات وتقول إنها أحد الأصول بدلاً من اعتبارها مادة خطرة.

وتقول: "إنها مثل النفايات النووية". "كلما زادت البيانات التي لديك، زادت المخاطر التي تواجهك."

تحتاج الشركات إلى القيام بعمل أفضل لإزالة البيانات - تحديد الهوية الشخصية، على وجه الخصوص - التي يمكن أن تؤدي إلى حدوث أزمة انتهاك تنظيمي أو قانوني إذا وقعت البيانات في الأيدي الخطأ. بينما كان النقاد الأمنيون إخبار الشركات لسنوات ولأنهم بحاجة إلى معرفة البيانات الموجودة لديهم ومكان وجودها، فإن العديد من الشركات، بما في ذلك تلك الخاضعة لرقابة تنظيمية صارمة، غالبًا ما تقوم بعمل ضعيف في تصنيف وتحديد مواقع جميع بياناتها، كما تقول.

التحدي الرئيسي الآخر الذي تواجهه العديد من الشركات هو أنها لا تتبع جميع قوانين الخصوصية والمتطلبات التنظيمية للبيانات التي تحتفظ بها. فهم المشهد القانوني لقانون خصوصية البيانات في الولايات المتحدة إنه أمر صعب بما فيه الكفاية، ولكنه يصبح أكثر صعوبة عندما يفكر المرء في ذلك تقريبًا كل ولاية لديها قوانين فريدة من نوعها التعامل على وجه التحديد مع السجلات الصحية وبيانات الأطفال. بالإضافة إلى ذلك، يجب أيضًا على المنظمات التي لديها معلومات تحديد هوية شخصية (PII) لمواطني الاتحاد الأوروبي الامتثال للناتج المحلي الإجمالي. تحتاج الشركات التي تمارس أعمالًا تجارية في بلدان أخرى إلى الحصول على مستشار قانوني ينظر في القوانين في كل بلد تمارس فيه الشركة أعمالًا للتأكد من استيفائها لقوانين الخصوصية هذه.

خطأ صغير = خسارة كبيرة

تعتقد العديد من الشركات أنها إذا امتثلت للوائح الامتثال المختلفة، والتزمت بقوانين الولاية، وحصلت على تأمين إلكتروني، فستكون جميعها جاهزة.
تقول ميشيل شاب، التي تقود ممارسات الخصوصية وأمن البيانات في شركة المحاماة Chiesa Shahinian & Giantomasi (CSG Law): "هذا ليس كافيًا في الواقع". "في حين أنه قد يكون كافيًا للحماية من دعوى المستهلك أو الإجراء القانوني من المدعي العام أو أي إجراء تتخذه وكالة إنفاذ أخرى ضد الكيان المخترق، إلا أن هناك اعتبارات أخرى."

ما قد يبدو وكأنه مخالفة بسيطة - مثل عدم المتابعة الكاملة لسياسة الخصوصية المنشورة - يمكن أن يؤدي إلى فرض غرامات انتهاك تنظيمية متعددة.

يقول شاب: "إنها ممارسة تجارية خادعة". "إذا كنت تقول أنك تفعل X، وفي الواقع، فأنت لست كذلك، يصبح هذا هو العدد الأول في مطالبة لجنة التجارة الفيدرالية. كل ولاية لديها قوانين لجنة التجارة الفيدرالية الصغيرة الخاصة بها، أو قوانين حماية المستهلك.

مثال آخر لما قد يبدو أنه مخالفة بسيطة يمكن لفرق أمان الشركة التغاضي عنها ولكنها قد تؤدي إلى امتثال أو انتهاك قانوني هو طلب إلغاء الاشتراك البسيط. عندما يطلب المستهلك إزالة إحدى الشركات من القائمة البريدية، يجب أن يغطي الطلب جميع عناوين البريد الإلكتروني التي يستخدمها مقدم الطلب من أجل الامتثال لجميع قوانين الولاية. وبالتالي، حتى لو قالت الشركة إنها متوافقة مع القانون، فقد لا تكون متوافقة مع جميع الولايات التي تعمل فيها. قد يؤدي الخطأ في التزامها بقوانين الخصوصية إلى رفض مطالبة التأمين.

ولملء بعض فجوات الامتثال هذه التي قد لا يعرفون عنها حتى، يوصي شاب بأن تستفيد الشركات من أي مساعدة تقدمها شركات التأمين السيبراني الخاصة بها، مثل سطح المكتب الأمني ​​وغيرها من التمارين، للبقاء على الجانب الصحيح من اللوائح والحفاظ على سياساتها في حالة جيدة بدلاً من ذلك.

هذه ليست مجرد نظرية. في عام 2022، أخطأت إحدى الشركات في بيان استخدامها للمصادقة متعددة العوامل على حساباتها تطبيق التأمين استبيان. رفعت شركة التأمين السيبراني، ترافيلرز، دعوى قضائية ضد الشركة، واحتفظت في النهاية بالأقساط التي دفعتها الشركة على الرغم من إلغاء بوليصة التأمين السيبراني - ورفض المطالبة.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/data-privacy/privacy-ransomware-top-2024-cyber-insurance