Комисарят по информацията на Обединеното кралство глоби строителна компания с £4,4 милиона
Комисарят по информацията на Обединеното кралство предупреди, че компаниите се излагат на кибератаки, като пренебрегват важни мерки като актуализиране на софтуер и обучение на персонала.
Предупреждението идва, след като Службата на комисаря по информацията (ICO) наложи глоба от £4 400 000 на Interserve Group Ltd, строителна компания, базирана в Беркшър, за това, че не е осигурила сигурност на личната информация на персонала си. Това е нарушение на законодателството за защита на данните, пише в сайта на ICO.
ICO установява, че компанията не е въвела подходящи мерки за сигурност, за да предотврати кибератака, което позволи на хакерите да получат достъп до личните данни на до 113 000 служители чрез фишинг имейл.
Компрометираните данни включват лична информация като данни за контакт, национални осигурителни номера и данни за банкови сметки, както и данни от специална категория, включително етнически произход, религия, подробности за всякакви увреждания, сексуална ориентация и здравна информация.
Джон Едуардс, британски комисар по информацията, казва на 24 октомври по този повод: „Най-големият киберриск, с който се сблъскват бизнесите, не е от хакери извън тяхната компания, а от самодоволство в тяхната компания. Ако вашият бизнес не следи редовно за подозрителна дейност в своите системи и не реагира на предупреждения, или не актуализира софтуера и не осигури обучение на персонала, можете да очаквате подобна глоба от моя офис.
Оставянето на вратата отворена за кибератаки никога не е приемливо, особено когато се работи с най-чувствителната информация на хората. Това нарушение на данните имаше потенциала да причини реална вреда на персонала на Interserve, тъй като ги направи уязвими към възможността за кражба на самоличност и финансови измами.
Кибератаките са глобален проблем и бизнесите по света трябва да предприемат стъпки, за да се предпазят от самодоволство. ICO и NCSC вече работят заедно, за да предлагат съвети и подкрепа на бизнеса, а тази седмица ще се срещна с регулатори от цял свят, за да работя за последователни международни кибернасоки, така че данните на хората да бъдат защитени, където и да е базирана една компания.“
Джон Едуардс взе участие в 44-тата Глобална асамблея за поверителност (GPA) в Турция, където се срещат повече от 120 органа за защита на данните и поверителността. ICO представя резолюция, призоваваща за по-нататъшно международно сътрудничество за повишаване на киберустойчивостта по целия свят.
Проблемите за Interserve започват, когато служител препраща фишинг имейл, който не е поставен под карантина или блокиран от системата на Interserve, на друг служител, който го отваря и изтегля съдържанието му. Това води до инсталирането на зловреден софтуер на работната станция на служителя.
Антивирусът на компанията постави злонамерения софтуер под карантина и изпраща предупреждение, но Interserve не успява да проучи задълбочено подозрителната дейност. Ако го бяха направили, Interserve щеше да установи, че нападателят все още има достъп до системите на компанията.
Впоследствие нападателят компрометира 283 системи и 16 акаунта, както и деинсталира антивирусното решение на компанията. Личните данни на до 113 000 настоящи и бивши служители са криптирани и стават недостъпни.
Разследването на ICO установява, че Interserve не проследява първоначалния сигнал за подозрителна дейност, използва остарели софтуерни системи и протоколи при липса на адекватно обучение на персонала и недостатъчна оценка на риска, което в крайна сметка ги е направило уязвими за кибератака.
Interserve нарушава закона за защита на данните, като не въвежда подходящи технически и организационни мерки за предотвратяване на неоторизиран достъп до лична информация.
Защитата на бизнес от кибератака може да изглежда техническа или плашеща. Но повечето организации, които виждаме да грешат, са допуснали предотвратими грешки, пише в сайта на ICO.
За да защитят по-добре данните на хората, организациите трябва редовно да наблюдават за подозрителна дейност и да разследват всички първоначални предупреждения; да актуализират софтуера и да премахват остарели или неизползвани платформи; да актуализират политики и сигурни системи за управление на данни; да осигуряват редовно обучение на персонала; и да насърчават сигурни пароли и многофакторно удостоверяване.
В случай на кибератака има регулаторно изискване това да се докладва на ICO като регулатор на данните. Националният център за киберсигурност (NCSC) – като технически орган за киберсигурност – предоставя поддръжка и реакция при инциденти за смекчаване на щетите.