Prudential Files Vrijwillige inbreukmelding bij SEC

Prudential Files Vrijwillige inbreukmelding bij SEC

Tijdstempel: 14 februari 2024 4:05 uur
Prudential Files Vrijwillige inbreukmelding met SEC PlatoBlockchain Data Intelligence. Verticaal zoeken. Ai.

Vers op de hielen van de Cybercompromis van de Bank of AmericaEen andere Fortune 500-gigant zit met name in het vizier van datalekken: Prudential Financial zei deze week dat hackers eerder deze maand “bepaalde” systemen van het bedrijf hadden gekraakt.

De aankondiging valt ook om een ​​andere reden op: terwijl bedrijven dat nu wel moeten doen rapporteer cyberveiligheidsincidenten die een “materiële” impact hebben Wat betreft operaties bij de Amerikaanse Securities & Exchange Commission (SEC), lijkt Prudential dit nieuwe mandaat vooruit te zijn gegaan met een vrijwillige openbaarmaking van incidenten, voordat een dergelijke impact is vastgesteld.

“Het is geweldig om te zien dat Prudential Financial het datalek snel heeft ontdekt en erop heeft gereageerd. We hopen dat de aanvallers zijn tegengehouden voordat er gevoelige gegevens zijn gestolen, en dat de impact op het bedrijf minimaal is”, zegt Joseph Carson, hoofd beveiliging. wetenschapper en adviserend CISO bij Delinea. Voorlopig zijn die details echter onduidelijk.

Cybercriminaliteitsbende zit waarschijnlijk achter de inbreuk van Prudential

In een Formulier 8-K kennisgeving aan de SEC, zei Prudential dat het op 5 februari ongeoorloofde toegang tot zijn infrastructuur ontdekte. Het stelde vast dat de bedreigingsacteur, waarvan de financiële en verzekeringsgigant gelooft dat het een georganiseerde cybercriminaliteitsgroep was, de dag ervoor toegang had gekregen tot “administratieve en gebruikersgegevens van bepaalde [IT] systemen, en een klein percentage van de bedrijfsgebruikersaccounts die verband houden met werknemers en aannemers.”

Het bedrijf is begonnen met de respons op incidenten, die zich nog in de beginfase bevindt; Tot nu toe is het onduidelijk of de aanvallers toegang hebben gekregen tot aanvullende informatie of systemen, klant- of cliëntgegevens hebben gestolen, of dat het incident een materiële impact zal hebben op de activiteiten van Prudential.

Omdat er geen bewijs is voor een van deze scenario's, heeft Prudential nog geen mandaat om de inbreuk te melden. Onderzoekers zeggen dus dat de SEC-aanvraag van het bedrijf indicatief is voor wat een nieuwe trend zou kunnen zijn: proactieve aanmeldingen.

We hoeven dit niet te doen, maar we zullen het wel doen

Op 15 december werden de regels voor het openbaar maken van incidenten door de SEC gewijzigd, zodat een formulier 8-K moest worden ingediend binnen “vier werkdagen nadat werd vastgesteld dat [een cyber]incident materieel was.”

Claude Mandy, hoofdevangelist voor gegevensbeveiliging bij Symmetry Systems, merkt op dat de stap van Prudential om een ​​dossier in te dienen voordat de materialiteit van de inbreuk volledig is geïdentificeerd, een poging zou kunnen zijn om eventuele afpersingspogingen van de aanvallers te dwarsbomen.

Het potentieel om de nieuwe SEC-regels te bewapenen is duidelijk in het geval van MeridianLink, dat ervoor koos om niet te onderhandelen met de ransomwaregroep ALPHV (ook bekend als BlackCat) na een cyberaanval. De bende reageerde door een formele klacht indienen bij de SEC, bewerend dat het recente slachtoffer niet heeft voldaan aan de nieuwe openbaarmakingsregels.

“De proactieve holdingverklaring van Prudential is indicatief voor de druk die cybercriminelen uitoefenen op slachtoffers van cybercriminaliteit onder dit nieuwe regime voor het melden van incidenten”, zegt Mandy. “Het is een teken van een goed ingestudeerd incidentresponsprogramma.”

Hij voegt eraan toe: “Cybercriminelen kunnen en zullen dreigen met het openbaar maken van het incident om geld van de slachtoffers af te persen. Een vroege openbaarmaking als deze verlicht die druk, maar er zijn moderne gegevensbeveiligingsinstrumenten voor nodig om de waarschijnlijke materialiteit van het incident te bepalen.”

Ondertussen zei Darren Guccione, CEO en mede-oprichter van Keeper Security, in een verklaring per e-mail dat een dergelijke vrijwillige rapportage van cyberincidenten eenvoudigweg een spin-doctoring-inspanning zou kunnen zijn, nadat hij de gevolgen had gezien die Uber en SolarWinds leidinggevenden hebben geleden incidenten niet melden Tijdig.

“Prudentieel probeert mogelijk proactief reputatieschade te beperken … dit soort vrijwillige openbaarmaking wordt waarschijnlijk meer gemotiveerd door public relations dan door regelgeving,” merkte hij op.

Het incident wijst ook op een flagrante omissie in de federale wetgeving: er zijn geen algemene federale wetten op het gebied van gegevensprivacy die bedrijven verplichten klanten rechtstreeks op de hoogte te stellen van echte of potentiële datalekken, en er zijn geen overeenkomstige boetes of sancties van kracht die als afschrikmiddel fungeren. De FBI heeft de privacy en bescherming van gegevens effectief gedelegeerd aan de staten en aan sectorspecifieke regelgeving; de California Consumer Privacy Act (CCPA) is een van de strengste beschermingsmaatregelen, hoewel critici klagen CCPA gaat niet ver genoeg.

Wat de nieuwe SEC-regel onderscheidt van andere regelgeving is de eis dat beursgenoteerde bedrijven dergelijke inbreuken binnen vier dagen na vaststelling van de materiële impact moeten melden. HIPAA geeft zorginstellingen daarentegen 60 dagen voor dergelijke meldingen.

Prudential heeft niet onmiddellijk een verzoek om commentaar van Dark Reading geretourneerd. Mandy merkt op dat Prudential-klanten voorlopig alleen maar moeten afwachten of hun informatie in gevaar is gekomen door de inbreuk.

“Zoals we bij andere inbreuken hebben gezien, kunnen er nog meer aspecten aan het incident aan het licht komen naarmate het onderzoek en de gevolgen ervan voortduren”, zegt Mandy. “De holdingverklaring van Prudential geeft aan dat ze op basis van wat ze nu weten, niet geloven dat het aan hun drempel voor materialiteit voldoet. Deze drempel wordt bepaald door Prudential, op basis van de vraag of de impact (naar hun mening) materiële informatie voor een investeerder of aandeelhouder zou zijn.”

Hij voegt eraan toe: “We hopen een meer gedetailleerde analyse van Prudential te zien naarmate het onderzoek voortduurt.”

Tijdstempel:

Meer van Donkere lezing