隐私击败勒索软件成为最受保险关注的问题

由柏拉图重新发布

关注： 0

网络副总裁戴维·安德森 (David Anderson) 警告说，随着公司董事和安全团队争先恐后地确保满足美国证券交易委员会 (SEC) 的新网络安全法规，因受保护的个人身份信息 (PII) 处理不当而造成的索赔可能会与勒索软件攻击的成本相媲美。 Woodruff Sawyer（一家全国性保险经纪公司）的责任。

虽然隐私索赔需要数年时间才能通过法律程序，但“三到五年内的损失通常与勒索软件索赔三到五天内的损失一样灾难性，”他说。

在一个重点介绍 2024 年诉讼趋势Woodruff Sawyer 高级副总裁兼国家网络实践负责人丹·伯克 (Dan Burke) 指出，“像素跟踪索赔是原告律师事务所的最新目标——追查那些在未获得适当同意的情况下通过屏幕上的像素跟踪网站活动的公司。”

此类活动可能是 Woodruff Sawyer 调查中 31% 的网络保险承保人将隐私视为 2024 年最关心的问题的原因——仅次于勒索软件（63% 的受访者选择这样做）。

隐私是一个商业问题

Mosaic Insurance 高级副总裁兼国际网络主管 James Tuplin 同意，承保人今年将更加密切地关注隐私趋势。他确认，隐私诉讼通常需要五到七年的时间才能通过法院，这意味着 2024 年将看到 2017 年至 2019 年提起的隐私案件的高潮——在许多国家和美国各州开始通过新的隐私法之前。例如，欧盟《通用数据保护条例》(GDPR) 于 2018 年生效，因此这些案例代表了初步的 GDPR 违规行为。

然而，对于保险公司来说，隐私索赔的赔付可能不会那么大，因为“承保人有很长的时间来利用他们的资本，而这些损失会影响他们的最终解决方案，”安德森解释道。这是因为保险公司保留了托管资金的权益，而索赔则通过谈判和诉讼进行。

图普林表示，虽然董事会通常都有能力出色的隐私顾问，但董事会仍然倾向于将隐私问题视为 IT 问题，而不是业务问题。包括 SEC 在内的一些监管机构正在制定 CISO 成为焦点他补充说，尽管他们不控制预算或无权解决所有网络安全问题，但他们仍然遵守法规。

追踪隐私法

LMG Security 创始人兼首席执行官 Sherri Davidoff 指出，隐私对董事会和安全团队构成挑战的原因之一是，在许多情况下，组织不知道他们正在收集什么类型的数据以及这些数据所在的位置。公司倾向于囤积数据她说，将其视为一种资产，而不是将其视为危险材料。

“这就像核废料，”她说。 “你拥有的数据越多，你面临的风险就越大。”

企业需要更好地消除数据（尤其是 PII），因为这可能会引发违反监管或法律如果数据落入坏人之手。尽管安全专家一直多年来告诉公司她说，由于他们需要知道自己拥有哪些数据以及这些数据位于何处，因此许多公司，包括那些受到严格监管的公司，在分类和识别所有数据的位置方面往往做得很差。

许多公司面临的另一个主要挑战是他们没有跟踪所持有数据的所有隐私法和监管要求。了解美国数据隐私法格局已经够困难的了，但是当人们考虑到几乎每个州都有独特的法律特别处理健康记录和儿童数据。此外，拥有欧盟公民 PII 的组织还必须遵守GDPR。在其他国家开展业务的公司需要让法律顾问研究公司开展业务的每个国家的法律，以确保它们符合这些隐私法。

小错误=大损失

许多公司认为，如果他们遵守各种合规法规，遵守国家法律，并拥有网络保险，那么他们就万事大吉了。
Chiesa Shahinian & Giantomasi (CSG Law) 律师事务所隐私和数据安全业务负责人 Michelle Schaap 表示：“事实上，这还不够。” “虽然这可能足以防止消费者提起诉讼，或防止司法部长或其他执法机构针对受损实体采取的法律行动，但还有其他考虑因素。”

看似轻微的违规行为（例如未完全遵守已发布的隐私政策）可能会引发多项监管违规罚款。

“这是一种欺骗性的贸易行为，”沙普说。 “如果你说你正在做 X，但实际上你没有，那么这将成为 FTC 索赔中的第一个罪名。每个州都有自己的联邦贸易委员会法律或消费者保护法。”

企业安全团队可能会忽视但可能会导致合规或违法的另一个例子是简单的选择退出请求。当消费者要求将公司从邮件列表中删除时，该请求需要涵盖请求者使用的所有电子邮件地址，以便遵守所有州法律。因此，即使一家公司声称自己遵守法律，它也可能无法遵守其运营所在的所有州的法律。错误地声明其遵守隐私法可能会导致保险索赔被拒绝。

为了填补他们可能不知道的一些合规漏洞，Schaap 建议公司利用其网络保险公司提供的任何帮助，例如安全桌面和其他练习，以遵守法规并保持其政策良好代替。

这不仅仅是理论上的。 2022 年，一家公司错误地宣称其在其网站上使用了多因素身份验证保险申请调查问卷。网络保险公司 Travelers 起诉该公司，尽管取消了网络保险单，但最终保留了该公司支付的保费，并否认了索赔。