Een voorgestelde regelwijziging bij de Federal Communications Commission zou de definitie van een datalek voor communicatiedragers uitbreiden. Indien goedgekeurd door het bureau, dekt de regel elk incident dat de vertrouwelijkheid van klantinformatie aantast, zelfs als er geen schade voor klanten ontstaat.

"Deze [regel] houdt in dat [communicatie]-aanbieders elke ongeoorloofde toegang tot of openbaarmaking van klantinformatie moeten melden, zelfs als de inbreuk onopzettelijk of niet kwaadwillig was", zegt Venkat Gupta, portefeuilleleider data estate modernization bij Sogeti, onderdeel van de Capgemini-groep. "Iedereen zou zich erom moeten bekommeren, want datalekken kunnen op veel verschillende manieren plaatsvinden, en zelfs onbedoelde inbreuken kunnen ingrijpende gevolgen hebben."

De FCC zei de regelwijziging sluit aan bij recente ontwikkelingen in federale en staatswetten inzake datalekken die andere industriële sectoren bestrijken.

"De wet vereist dat vervoerders gevoelige consumenteninformatie beschermen, maar gezien de toename in frequentie, verfijning en omvang van datalekken, moeten we onze regels bijwerken om consumenten te beschermen en rapportagevereisten te versterken", zei FCC-voorzitter Jessica Rosenworcel in een voorbereide verklaring. "Deze nieuwe procedure zal een broodnodige, frisse kijk geven op onze regels voor het melden van datalekken om consumenten beter te beschermen, de veiligheid te vergroten en de impact van toekomstige inbreuken te verminderen."

Rapportage aan de FCC en consumenten

Onder de huidige regel, zegt Gupta, moeten telecommunicatiebedrijven de federale wetshandhaving op de hoogte stellen - de Amerikaanse geheime dienst en de FBI — binnen zeven werkdagen na alle inbreuken waarbij gebruik is gemaakt van klanteigen netwerkinformatie (CPNI), en de vervoerders kunnen de getroffen consumenten zeven dagen nadat zij deze instanties op de hoogte hebben gebracht van dergelijke inbreuken op de hoogte stellen.

De voorgestelde update van de regels vereist dat luchtvaartmaatschappijen de FCC gelijktijdig met de wetshandhavingsinstanties zo snel mogelijk na ontdekking van een inbreuk op de hoogte stellen, en het zou de huidige wachttijd van zeven dagen tussen het op de hoogte stellen van de wetshandhaving en informeren van de consument.

Ali Jessani, een senior medewerker bij het advocatenkantoor Wilmer Cutler Pickering Hale en Dorr LLP (WilmerHale), merkte op dat een deel van de stimulans om de verordening bij te werken, is dat als de FCC de definitie van een inbreuk breder gaat maken, bedrijven zullen hun cyberbeveiligingsbeleid opnieuw beoordelen en procedures om de inbreuken in de eerste plaats te voorkomen.

Wanneer zich een datalek voordoet, zoals een individuele aanval op een gsm-account, kunnen de aanvallers binnen enkele uren of minuten geld verdienen met die aanval. Een dergelijke aanval "is precies waarom de meldingsregel bestaat - om de consument de mogelijkheid te geven om mogelijke schade aan zijn persoonlijke informatie te beperken", zegt Jessani. Hij waarschuwt echter dat hoewel de vervoerder dergelijke inbreuken direct aan de autoriteiten kan melden, de bijgewerkte regel het bedrijf nog steeds beschermt als de politie de vervoerder vraagt ​​om de klant niet tegelijkertijd te waarschuwen om bewijsmateriaal voor het onderzoek te behouden. .

Gupta is het daarmee eens en merkt op dat de vertraging vervoerders in staat stelt de omvang en impact van de inbreuk te beoordelen, inclusief het aantal getroffen klanten en het soort informatie dat is gecompromitteerd. “Deze informatie is belangrijk voor het bepalen van de juiste reactie op de inbreuk en voor het beoordelen van de potentiële schade voor klanten. De wachttijd stelt vervoerders ook in staat om de nodige stappen te ondernemen om de gevolgen van de inbreuk te beperken en verdere schade te voorkomen”, zegt hij.

Als vervoerders de FCC, de geheime dienst en de FBI tegelijkertijd op de hoogte stellen, wordt de last voor vervoerders tot een minimum beperkt, wordt verwarring over verplichtingen weggenomen en wordt het rapportageproces gestroomlijnd, waardoor vervoerders middelen kunnen vrijmaken die kunnen worden gebruikt om de inbreuk aan te pakken en verdere schade te voorkomen , zegt Gupta.

Een push om processen te verbeteren

De voorgestelde regelwijziging kan een directe impact hebben op de activiteiten van de vervoerders, aangezien zij gedwongen worden hun processen en procedures te wijzigen. “Vervoerders zullen nieuwe procedures moeten implementeren voor het identificeren en rapporteren van inbreuken die de vertrouwelijkheid van klantinformatie aantasten. Dit kunnen wijzigingen zijn in het incidentresponsplan van de vervoerder, waarin de stappen worden beschreven die moeten worden genomen in het geval van een datalek”, merkt Gupta op.

Vervoerders moeten mogelijk ook investeren in nieuwe technologie of beveiligingsmaatregelen om inbreuken te voorkomen en ongeoorloofde toegang tot klantinformatie te detecteren. Sommige providers moeten bijvoorbeeld meervoudige authenticatie, codering en andere controles implementeren om gevoelige klantgegevens te beschermen.

"Over het algemeen", zegt Gupta, "zal de voorgestelde regelwijziging van vervoerders een meer proactieve benadering van gegevensbeveiliging en het melden van inbreuken vereisen. Dit kan leiden tot extra kosten en middelen voor vervoerders, maar het is uiteindelijk bedoeld om de privacy van klanten beter te beschermen en toekomstige inbreuken in de telecommunicatie-industrie te voorkomen.”

Openbare opmerkingen over de FCC-rapportagevereisten voor datalekken zijn uitgerekend voor 24 maart.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://www.darkreading.com/edge-articles/proposed-fcc-rule-redefines-data-breaches-for-communications-carriers