CCPA et sécurité zéro pour les informations confidentielles : santé et éducation

La loi californienne sur la protection de la vie privée des consommateurs est entrée en vigueur le 1er juillet 2020, soumettant les entreprises à de nouvelles normes réglementaires pour le traitement des informations personnelles identifiables (IPI) des résidents de l'État le plus peuplé du pays.

Comme pour le GDPR, l'échéance a été très attendue. Les organisations sont peut-être mieux préparées qu'elles ne l'étaient en 2018 pour le GDPR, mais quelques éléments clés ont changé.

Pourquoi la protection de la vie privée reste-t-elle une préoccupation majeure ? Dans la nouvelle ère de la quarantaine, nous sommes maintenant confrontés :

• Tout àdistance: la collaboration dans le nuage (y compris le traitement des informations confidentielles) est la nouvelle norme, ce qui nécessite une sécurité appropriée du nuage et des points d'accès.
• Double rançon avec exfiltration de données: De plus en plus d'attaquants exfiltrent les données clients des entreprises et (si la rançon n'est pas versée) extorquent les consommateurs directement par le biais de bitcoins - ce qui fait souvent la une des journaux.

Qu'est-ce que cela signifie pour les entreprises ? Une exposition encore plus grande et une incitation plus forte à payer une rançon encore plus élevée pour éviter les sanctions prévues par la loi sur la protection de la vie privée et les recours collectifs.

La valeur des IPI

Au début, de nombreux attaquants et exploiteurs de ransomware ne savaient pas ce qu'ils cherchaient ; ils voulaient juste une bouchée et essayaient de l'exploiter. Aujourd'hui, les acteurs malveillants recherchent activement des sites spécifiques de banques, de cabinets d'avocats ou de prestataires de soins de santé, et ils comprennent pourquoi ces informations sont précieuses, ce qui est en grande partie lié aux lois sur la protection de la vie privée.

Quelle est la valeur des données personnelles ?

• Les dommages-intérêts versés par les entreprises victimes de violations de données dans le cadre d'actions collectives civiles au titre de la loi sur la protection des données sont compris entre 100 et 750 dollars par résident californien (près de 40 millions de dollars au total) et par incident, ou les dommages réels (le montant le plus élevé étant retenu), ainsi que toute autre mesure jugée appropriée par le tribunal.
• Cette menace peut sembler inférieure à 4% du chiffre d'affaires annuel pour une amende GDPR fixée par l'ICO au Royaume-Uni, mais pensez aux années de litiges coûteux pour arriver au règlement.

Imaginez donc : si votre entreprise est victime d'une violation, les attaquants peuvent ajouter des amendes potentielles à votre rançon et vous êtes incité à payer, car au moins vous évitez les atteintes à votre réputation en étant exposé aux autorités de régulation et aux actions collectives, dont la défense coûterait des années et des millions de dollars.

Ces lois partent d'une bonne intention, mais elles incitent fortement les attaquants à mettre les entreprises sur la sellette s'ils sont en mesure de s'attaquer à un institut de soins de santé ou à une école en Californie, ou à une banque n'importe où. La vie privée et les données des consommateurs constituent une monnaie d'une telle valeur que si un pirate sait ce qu'il a en main, il l'exploitera pour chaque centime qu'elle vaut.

Cibles vulnérables : soins de santé et éducation

Les entreprises des secteurs de la santé et de l'éducation qui comptent un grand nombre de clients et d'employés, et de grandes quantités d'informations confidentielles les concernant, courent un risque important.

Quelle est la menace ?

• Tous deux font déjà l'objet d'un examen minutieux depuis des années en ce qui concerne la protection de la vie privée dans le cadre de réglementations telles que la HIPAA dans le domaine de la santé et la FERPA dans le domaine de l'éducation (et maintenant la CCPA).
• Maintenant que l'enseignement à distance est la norme et que les dossiers médicaux sont devenus largement électroniques, connectant les systèmes par l'intermédiaire de l'Epic, il est facile pour les attaquants de passer d'un système à l'autre si aucune politique d'accès à la segmentation du réseau n'a été mise en place pour l'empêcher.
• Avec une pandémie mondiale et la recherche de vaccins en cours, la nécessité pour la recherche et les soins de santé de continuer à fonctionner est encore plus stratégique - et potentiellement plus lucrative pour les attaquants de ransomware, comme nous l'avons vu avec les attaques contre l'Organisation mondiale de la santé (OMS) et les centres d'essai du vaccin COVID-19.

Il n'est donc pas surprenant que les secteurs de la santé et de l'éducation soient si souvent victimes de violations.

Sécurité zéro confiance avec Illumio

Un client récent d'Illumio, une grande école de médecine offrant un enseignement à distance, a cherché à mieux sécuriser ses données contre les attaques potentielles, en empêchant la propagation des atteintes aux IPI grâce à la segmentation du réseau.

La segmentation du réseau est un contrôle essentiel pour sécuriser les IPI, en cloisonnant les applications contenant des données sur les patients ou les clients. La mise en œuvre de politiques de sécurité "Zero Trust" limite l'accès aux parties autorisées ayant un objectif commercial légitime et empêche les attaquants d'escalader leurs privilèges et de se déplacer librement sur le réseau pour accéder aux données les plus précieuses. Le client a d'abord pensé à utiliser des pare-feux, mais la sécurité du réseau avec des pare-feux internes ne pouvait pas répondre à la demande basée sur l'informatique dématérialisée.

"Il était primordial de pouvoir appliquer les règles de manière efficace et sûre, car nous avons beaucoup de personnes et de systèmes. Avec les pare-feu, cela peut prendre des mois", a expliqué le responsable informatique de l'école. "Vous devez utiliser le contrôle du changement. Si le matériel tombe en panne, vous mettez en péril l'ensemble du centre de données. Cela crée des points de défaillance et de complexité, et met à rude épreuve le personnel du réseau. Chaque nouvelle base de données nécessite une coordination".

L'équipe a choisi une approche logicielle avec Illumio.

"Nous étions intéressés par la micro-segmentation, mais nous ne voulions pas utiliser les listes de contrôle d'accès (ACL) sur l'infrastructure du réseau, ce qui aurait nécessité un environnement de test et des fenêtres d'interruption. Dans le même temps, notre équipe de sécurité souhaitait commencer à utiliser les capacités de sécurité natives de notre système de gestion de l'information. Serveurs Windows. Illumio ASP a rempli toutes les conditions pour les deux implémentations - c'était notre premier et dernier choix. Il nous permet de voir tous les flux de communication dans notre environnement de production en direct et de tester les règles de pare-feu sans être confrontés à des interruptions de service".

Illumio aide les secteurs de la santé, de l'enseignement et d'autres secteurs critiques à assurer la sécurité des informations confidentielles grâce à une meilleure micro-segmentation qui dissocie la sécurité zéro confiance des contraintes du réseau. Pour en savoir plus sur le parcours d'une école de santé vers une meilleure sécurité du cloud pour l'enseignement à distance, consultez l'étude de cas ici.