CCPA y seguridad confiable cero para PII: atención médica y educación

La Ley de Privacidad del Consumidor de California entró en vigencia el 1 de julio de 2020, lo que coloca a las compañías bajo nuevos estándares regulatorios para el manejo de la información de identificación personal (PII) de los residentes en el estado más poblado del país.

Al igual que en GDPR, hubo mucha anticipación antes de la fecha límite. Las organizaciones pueden estar más preparadas que en 2018 para GDPR, pero algunas cosas clave cambiaron.

¿Por qué la privacidad sigue siendo una gran preocupación? En la nueva era de la cuarentena, ahora enfrentamos:

• Todo remoto: la colaboración en la nube (incluido el procesamiento de PII) es la nueva normalidad, lo que requiere una seguridad adecuada en la nube y seguridad de los puntos finales
• Doble rescate con exfiltración de datos: más atacantes están exfiltrando datos de clientes de empresas y (si se retiene el rescate) extorsionando a los consumidores directamente a través de bitcoin, a menudo en los titulares.

¿Qué significa esto para las compañías? Aún más exposición y un mayor incentivo para pagar un rescate aún mayor para evitar sanciones de la ley de privacidad y litigios colectivos.

El valor de la PII

Muchos atacantes y exploits de ransomware desde el principio no sabían lo que buscaban; solo querían un bocado y tratarían de explotarlo. Ahora, los malos actores están buscando activamente sitios específicos para bancos, bufetes de abogados o proveedores de atención médica, y entienden por qué esa información es valiosa y gran parte de ella tiene que ver con las leyes de privacidad.

¿Qué valor tienen los datos personales?

• Los daños pagados por las compañías con violaciones de datos en demandas colectivas civiles por CCPA incluirán entre $ 100 y $ 750 por residente de California (hay casi $ 40 millones en total) e incidentes o daños reales (lo que sea mayor), y cualquier otra reparación que el tribunal considere adecuada.
• Esta amenaza puede parecer menos del 4% de la facturación anual de una multa de GDPR establecido por la ICO en el Reino Unido, pero piense en los años de costosos litigios para llegar al acuerdo.

Así que imaginar: si su negocio es violado, los atacantes pueden agregar posibles multas a su rescate y se le incentiva a pagar, porque al menos evita el daño a la reputación de estar expuesto a los reguladores y las demandas colectivas, que cuestan muchos más años y millones para defender.

Las leyes son bien intencionadas, pero es un gran incentivo para que los atacantes pongan los pies en el fuego de las compañías si pueden conectar un instituto de atención médica o una escuela en CA o un banco en cualquier lugar. La privacidad y los datos de los consumidores son una moneda de tan alto valor que si un atacante sabe lo que tiene, lo explotará por cada centavo que valga.

Objetivos vulnerables: salud y educación

Compañías como la atención médica y la educación con un gran número de clientes y empleados, y grandes cantidades de su PII, corren un riesgo significativo.

¿Cuál es la amenaza?

• Ambos ya estuvieron bajo escrutinio por preocupaciones de privacidad en torno a la PII durante años, a través de regulaciones como HIPAA en atención médica y FERPA en educación (y ahora CCPA).
• Ahora que el aprendizaje a distancia es la norma y los registros médicos se volvieron en gran parte electrónicos, conectando sistemas a través de Epic, es fácil para los atacantes mover entre sistemas si no existen políticas de acceso a la segmentación de la red para evitarlo.
• Con una pandemia mundial y la investigación de vacunas en curso, la necesidad de que la investigación y la atención médica sigan funcionando es aún más estratégica, y potencialmente más lucrativa para los atacantes de ransomware, como vimos con los golpes a la Organización Mundial de la Salud (OMS) y los centros de pruebas de vacunas COVID-19.

En consecuencia, no sorprende que la atención médica y la educación se vean afectadas con tanta frecuencia por infracciones.

Seguridad confiable cero con Illumio

Un cliente reciente de Illumio en una de las principales escuelas de medicina que ofrece educación a distancia buscó proteger mejor sus datos contra posibles ataques, evitando la propagación de infracciones a PII con segmentación de red.

La segmentación de la red es un control crítico para cerciorar la PII, mediante la delimitación de aplicaciones con datos de pacientes o clientes. La implementación de políticas de seguridad Zero Trust limita el acceso a las partes permitidas con un propósito comercial legítimo y detiene el camino del atacante hacia la escalada de privilegios para mover libremente a través de la red hacia los datos más valiosos. El cliente primero pensó en usar firewalls, pero la seguridad en la red con firewalls internos no pudo mantener al día con la demanda basada en la nube.

"Ser capaz de hacer cumplir las reglas de la política de manera eficiente y segura fue primordial porque tenemos muchas personas y sistemas. Con los firewalls, podría llevar meses", explicó el líder de TI de la escuela. "Tienes que usar el control de cambios. Si el hardware falla, pone en peligro todo el centro de datos. Crea puntos de falla y complejidad, y ejerce presión sobre el personal de la red. Cada nueva base de datos requiere coordinación".

El equipo eligió un enfoque basado en software con Illumio.

"Estábamos interesados en la microsegmentación, pero no queríamos usar ACL en la infraestructura de red, lo que requeriría un entorno de prueba y ventanas de interrupción. Al mismo tiempo, nuestro equipo de seguridad quería comenzar a emplear las capacidades de seguridad nativas de nuestro Servidores Windows. Illumio ASP marcó todas las casillas para ambas implementaciones: fue nuestra primera y última elección. Nos permite ver todos los flujos de comunicación en nuestro entorno de producción en tiempo real y probar las reglas del firewall sin enfrentar interrupciones".

Illumio ayuda a las industrias sanitarias, académicas y otras industrias críticas a mantener su PII segura a través de una mejor microsegmentación que desacopla la seguridad de Zero Trust de las limitaciones de la red. Obtenga más información sobre el viaje de una escuela de atención médica hacia una mejor seguridad en la nube para el aprendizaje a distancia en el estudio de caso aquí.