CCPA und Zero-Trust-Sicherheit für personenbezogene Daten: Gesundheitswesen und Bildung

Der California Consumer Privacy Act trat am 1. Juli 2020 in Kraft und unterwirft Unternehmen neuen regulatorischen Standards für den Umgang mit personenbezogenen Daten (PII) von Einwohnern im bevölkerungsreichsten Bundesstaat des Landes.

Ähnlich wie bei der DSGVO gab es im Vorfeld der Frist eine große Vorfreude. Unternehmen sind zwar besser auf die DSGVO vorbereitet als noch im Jahr 2018, aber einige wichtige Dinge haben sich geändert.

Warum ist der Datenschutz immer noch ein großes Problem? Im neuen Zeitalter der Quarantäne stehen wir nun vor Folgendem:

• Allesaus der Ferne: Die Zusammenarbeit in der Cloud (einschließlich der Verarbeitung personenbezogener Daten) ist die neue Normalität – sie erfordert eine angemessene Cloud-Sicherheit und Endpunktsicherheit
• Doppeltes Lösegeld mit Datenexfiltration: Immer mehr Angreifer exfiltrieren Kundendaten von Unternehmen und erpressen (wenn Lösegeld zurückgehalten wird) Verbraucher direkt über Bitcoin – oft in den Schlagzeilen.

Was bedeutet das für Unternehmen? Noch mehr Aufmerksamkeit und ein größerer Anreiz, ein noch höheres Lösegeld zu zahlen, um Strafen für das Datenschutzgesetz und Sammelklagen zu vermeiden.

Der Wert von PII

Viele Angreifer und Ransomware-Exploits wussten zu Beginn nicht, worauf sie es abgesehen hatten. Sie wollten nur einen Bissen und versuchten, ihn auszunutzen. Jetzt schauen sich böswillige Akteure aktiv bestimmte Websites von Banken, Anwaltskanzleien oder Gesundheitsdienstleistern an und verstehen, warum diese Informationen wertvoll sind, und vieles davon hat mit den Datenschutzgesetzen zu tun.

Wie wertvoll sind personenbezogene Daten?

• Der Schadenersatz, der von Unternehmen mit Datenschutzverletzungen in zivilrechtlichen Sammelklagen für CCPA gezahlt wird, soll 100 bis 750 US-Dollar pro Einwohner Kaliforniens (insgesamt fast 40 Millionen US-Dollar) und Vorfall oder tatsächliche Schäden (je nachdem, welcher Betrag höher ist) sowie alle anderen vom Gericht als angemessen erachteten Rechtsbehelfe umfassen.
• Diese Drohung mag wie weniger als 4 % des Jahresumsatzes aus einer vom ICO in Großbritannien festgelegten DSGVO-Geldstrafe erscheinen, aber denken Sie an die jahrelangen kostspieligen Rechtsstreitigkeiten, um zu einer Einigung zu gelangen.

Stellen Sie sich also vor – wenn Ihr Unternehmen verletzt wird, können Angreifer potenzielle Geldstrafen zu Ihrem Lösegeld hinzufügen, und Sie haben einen Anreiz zur Zahlung, weil Sie zumindest den Reputationsschaden vermeiden, der durch die Aussetzung von Aufsichtsbehörden und Sammelklagen entsteht, deren Verteidigung viele weitere Jahre und Millionen kostet.

Die Gesetze sind gut gemeint, aber sie sind ein großer Anreiz für Angreifer, Unternehmen ins Feuer zu legen, wenn sie in der Lage sind, ein Gesundheitsinstitut oder eine Schule in Kalifornien oder eine Bank irgendwo zu schnappen. Datenschutz und Verbraucherdaten sind eine so wertvolle Währung, dass ein Angreifer, wenn er weiß, was er hat, es für jeden Cent ausnutzt, den es wert ist.

Gefährdete Ziele: Gesundheitswesen und Bildung

Unternehmen wie das Gesundheitswesen und das Bildungswesen mit einer großen Anzahl von Kunden und Mitarbeitern und großen Mengen ihrer personenbezogenen Daten sind einem erheblichen Risiko ausgesetzt.

Was ist die Bedrohung?

• Beide stehen bereits seit Jahren aufgrund von Datenschutzbedenken im Zusammenhang mit personenbezogenen Daten unter die Lupe, und zwar durch Vorschriften wie HIPAA im Gesundheitswesen und FERPA im Bildungswesen (und jetzt CCPA).
• Jetzt, da Fernunterricht die Norm ist und Krankenakten weitgehend elektronisch sind und die Systeme über das Epic miteinander verbunden werden, ist es für Angreifer einfach, zwischen den Systemen zu wechseln, wenn es keine Richtlinien für den Zugriff auf die Netzwerksegmentierung gibt, um dies zu verhindern.
• Angesichts einer globalen Pandemie und der Impfstoffforschung ist die Notwendigkeit, dass Forschung und Gesundheitswesen den Betrieb aufrechterhalten, noch strategischer – und potenziell lukrativer für Ransomware-Angreifer, wie wir bei Treffern bei der Weltgesundheitsorganisation (WHO) und den COVID-19-Impfstofftestzentren gesehen haben.

Daher ist es nicht verwunderlich, dass das Gesundheitswesen und das Bildungswesen so häufig von Sicherheitsverletzungen betroffen sind.

Zero-Trust-Sicherheit mit Illumio

Ein Illumio-Kunde an einer führenden medizinischen Fakultät, die Fernunterricht anbietet, wollte seine Daten besser vor potenziellen Angriffen schützen, indem er die Ausbreitung von Verstößen gegen personenbezogene Daten durch Netzwerksegmentierung verhinderte.

Die Netzwerksegmentierung ist eine wichtige Kontrolle zum Schutz personenbezogener Daten, indem Anwendungen mit Patienten- oder Clientdaten abgegrenzt werden. Die Implementierung von Zero-Trust-Sicherheitsrichtlinien beschränkt den Zugriff auf berechtigte Parteien mit einem legitimen Geschäftszweck und stoppt den Weg der Rechteausweitung des Angreifers, um sich frei über das Netzwerk zu den wertvollsten Daten zu bewegen. Der Kunde dachte zunächst daran, Firewalls einzusetzen – aber die Sicherheit im Netzwerk mit internem Firewalling konnte mit der Cloud-basierten Nachfrage nicht Schritt halten.

"In der Lage zu sein, Richtlinienregeln effizient und sicher durchzusetzen, war von größter Bedeutung, da wir so viele Mitarbeiter und Systeme haben. Mit Firewalls kann es Monate dauern", erklärte der IT-Leiter der Schule. "Sie müssen die Änderungskontrolle nutzen. Wenn Hardware ausfällt, gefährden Sie das gesamte Rechenzentrum. Es entstehen Fehlerquellen und Komplexität und belasten das Netzwerkpersonal. Jede neue Datenbank erfordert eine Koordination."

Das Team entschied sich für einen softwarebasierten Ansatz mit Illumio.

"Wir waren an Mikrosegmentierung interessiert, wollten aber keine ACLs in der Netzwerkinfrastruktur verwenden, was eine Testumgebung und Ausfallfenster erfordert hätte. Gleichzeitig wollte unser Sicherheitsteam damit beginnen, die nativen Sicherheitsfunktionen unserer Windows-Server. Illumio ASP erfüllte bei beiden Implementierungen alle Kriterien – es war unsere erste und letzte Wahl. Es ermöglicht uns, alle Kommunikationsflüsse in unserer Live-Produktionsumgebung zu sehen und Firewall-Regeln zu testen, ohne mit Ausfällen konfrontiert zu werden."

Illumio hilft im Gesundheitswesen, in der Wissenschaft und in anderen kritischen Branchen, ihre personenbezogenen Daten durch eine bessere Mikrosegmentierung zu schützen, die die Zero-Trust-Sicherheit von den Einschränkungen des Netzwerks entkoppelt. Erfahren Sie hier mehr über den Weg einer Gesundheitsschule zu mehr und besserer Cloud-Sicherheit für den Fernunterricht.