Prudential depune o notificare de încălcare voluntară la SEC

Proaspăt pe călcâiele Compromis cibernetic Bank of America, un alt gigant Fortune 500 este în special în punctul de vedere al încălcării datelor: Prudential Financial a declarat în această săptămână că hackerii au spart „anumite” sisteme la începutul lunii.

Anunțul iese în evidență și dintr-un alt motiv: în timp ce corporațiile sunt acum obligate să o facă raportați incidentele de securitate cibernetică care au impact „material”. la operațiunile către Comisia pentru Valori Mobiliare și Schimb (SEC) din SUA, Prudential pare să fi ieșit înaintea noului mandat cu o dezvăluire voluntară a incidentului, înainte ca un astfel de impact să fie determinat.

„Este grozav să vedem că Prudential Financial a detectat și a răspuns rapid la încălcarea datelor, iar speranța noastră este că atacatorii au fost opriți înainte ca orice date sensibile să fie furate și că impactul asupra afacerii este minim”, spune Joseph Carson, șeful securitate. om de știință și consilier CISO la Delinea. Deocamdată, însă, aceste detalii sunt neclare.

Gang de criminalitate cibernetică probabil în spatele încălcării lui Prudential

Într-o Formularul 8-K notificare către SEC, a spus Prudential că a detectat acces neautorizat la infrastructura sa pe 5 februarie. A stabilit că actorul amenințării, despre care gigantul financiar și al asigurărilor îl consideră un grup organizat de criminalitate cibernetică, a obținut acces cu o zi înainte la „date administrative și ale utilizatorilor de la anumite [IT] sisteme și un mic procent din conturile de utilizatori ale companiei asociate cu angajații și contractorii.”

Compania și-a început răspunsul la incident, care este în stadii incipiente; Până acum, nu este clar dacă atacatorii au accesat informații sau sisteme suplimentare, au furat date despre clienți sau clienți sau dacă incidentul va avea un impact material asupra operațiunilor Prudential.

Fără nicio dovadă a niciunuia dintre aceste scenarii, Prudential nu are încă mandatul de a raporta încălcarea. Astfel, cercetătorii spun că depunerea la SEC a firmei este un indicativ pentru ceea ce ar putea fi o nouă tendință: depunerea proactivă.

Nu trebuie să facem asta, dar o vom face

Pe 15 decembrie, regulile SEC privind dezvăluirea incidentelor s-au schimbat pentru a solicita depunerea unui Formular 8-K în termen de „patru zile lucrătoare de la stabilirea faptului că [un incident cibernetic] a fost semnificativ”.

Claude Mandy, evanghelist-șef pentru securitatea datelor la Symmetry Systems, observă că mișcarea Prudential de a depune un dosar înainte de a identifica pe deplin materialitatea încălcării ar putea fi un efort de a respinge orice tentativă de extorcare a atacatorilor.

Potențialul de armonizare a noilor reglementări SEC este evident în cazul MeridianLink, care a optat să nu negocieze cu grupul de ransomware ALPHV (alias BlackCat) după un atac cibernetic. Banda a răspuns prin depunând o plângere oficială la SEC, susținând că recenta sa victimă nu a respectat noile reglementări de divulgare.

„Declarația de participare proactivă a Prudential indică presiunea exercitată asupra victimelor infracțiunilor cibernetice de către infractorii cibernetici în cadrul acestui nou regim de raportare a incidentelor”, spune Mandy. „Este un semn al unui program de răspuns la incident bine repetit.”

El adaugă, „infractorii cibernetici pot și vor amenința cu dezvăluirea publică a incidentului pentru a stoarce bani de la victime. O dezvăluire timpurie ca aceasta ușurează această presiune, dar necesită instrumente moderne de securitate a datelor pentru a determina materialitatea probabilă a incidentului.”

Între timp, Darren Guccione, CEO și co-fondator la Keeper Security, a declarat într-o declarație trimisă prin e-mail că o astfel de raportare voluntară a incidentelor cibernetice ar putea fi pur și simplu un efort de spin-doctoring, după ce a văzut consecințele care Uber și SolarWinds directorii au suferit pentru neraportarea incidentelor în timp util.

„Prudential ar putea încerca să atenueze în mod proactiv daunele reputației... acest tip de dezvăluire voluntară este probabil motivat mai mult de relații publice decât de reglementări”, a menționat el.

Incidentul evidențiază, de asemenea, o omisiune flagrantă în legea federală: nu există statute federale generale privind confidențialitatea datelor care să impună companiilor să informeze direct clienții despre încălcări reale sau potențiale ale datelor și nu există amenzi sau sancțiuni corespunzătoare care să acționeze ca elemente de descurajare punitive. Federalele au relegat efectiv confidențialitatea și protecția datelor la reglementările statelor și ale agențiilor specifice sectorului; California Consumer Privacy Act (CCPA) este una dintre cele mai stricte protecții, deși criticii se plâng CCPA nu merge suficient de departe.

Ceea ce diferențiază noua regulă SEC de alte reglementări este cerința ca companiile cotate la bursă să raporteze astfel de încălcări în termen de patru zile de la determinarea impactului material. În schimb, HIPAA oferă entităților medicale 60 de zile pentru astfel de notificări.

Prudential nu a returnat imediat o solicitare de comentariu de la Dark Reading. Mandy notează că, deocamdată, clienții Prudential vor trebui doar să aștepte și să vadă dacă informațiile lor au fost compromise în încălcare.

„Așa cum am văzut cu alte încălcări, pot exista alte aspecte ale incidentului care sunt descoperite pe măsură ce investigația și consecințele continuă”, spune Mandy. „Declarația deținută de la Prudential indică faptul că, pe baza a ceea ce știu acum, ei nu cred că le atinge pragul de materialitate. Acest prag este determinat de Prudential, pe baza faptului dacă impactul (în opinia lor) ar fi informații semnificative pentru un investitor sau acționar.”

El adaugă: „Sperăm să vedem analize mai detaliate de la Prudential pe măsură ce investigația continuă”.

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• PlatoData.Network Vertical Generative Ai. Împuterniciți-vă. Accesați Aici.
• PlatoAiStream. Web3 Intelligence. Cunoștințe amplificate. Accesați Aici.
• PlatoESG. carbon, CleanTech, Energie, Mediu inconjurator, Solar, Managementul deșeurilor. Accesați Aici.
• PlatoHealth. Biotehnologie și Inteligență pentru studii clinice. Accesați Aici.
• Sursa: https://www.darkreading.com/cybersecurity-operations/prudential-files-voluntary-breach-notice-sec