Heureusement, il semble que l’attaque du ransomware Colonial Pipeline soit derrière nous et que la panique autour des conduites de gaz et de la thésaurisation peut s’atténuer. Mais après un épisode comme celui-ci, il est utile de faire le point et de rechercher ce que nous pouvons apprendre.

Pour commencer, tout le monde a maintenant entendu parler des ransomwares, mais pour donner un aperçu un peu plus complet, ce type de logiciel malveillant est livré dans un système d’information – tel qu’un ordinateur ou une base de données – et rend ensuite toutes les informations inaccessibles. Les sauvegardes peuvent parfois aider à restaurer la fonctionnalité, à moins que l’opérateur ou les programmes du ransomware ne décident d’attendre d’activer le logiciel malveillant suffisamment longtemps pour qu’il soit dans les sauvegardes. Une fois que les informations sont rendues inaccessibles, la personne ou le groupe derrière le logiciel malveillant exige un paiement en échange du retour des informations. Récemment, il y a même eu rapport que la personne ou le groupe derrière une attaque de ransomware commencera à appeler les clients et les consommateurs dont les informations ont été révélées comme moyen de pression pour amener l’entreprise à payer.

Des événements comme la fermeture de Colonial Pipelines, qui génèrent un torrent d’attention médiatique, peuvent donner la fausse impression que seules les grandes entreprises ou les entreprises géopolitiquement sensibles sont exposées à ce type d’attaques. Ce n’est tout simplement pas vrai. Dans son Rapport sur les violations de données 2020, Le procureur général de Caroline du Nord, Josh Stein, a conclu que plus de 1 600 atteintes à la sécurité avaient été signalées au ministère de la Justice de la Caroline du Nord. Les e-mails compromettants constituaient 40% de toutes les failles de sécurité signalées et les ransomwares constituaient 22% de toutes les failles de sécurité signalées. Il y a donc un large éventail d’entreprises en Caroline du Nord qui sont sensibles à ces problèmes, et les petites entreprises sont prises dans le désordre.

Par exemple, l’année dernière, le Nouvelles et observateur rapportés que la banque alimentaire du centre et de l’est de la Caroline du Nord a été victime d’une brèche de données généralisée, et juste en avril dernier, WCNC a rapporté qu’une application de stationnement Charlotte avait une grave violation de données exposant les informations personnelles des utilisateurs.

Cependant, bien qu’aucune entreprise ne puisse jamais empêcher toute possibilité de violation de données, toute entreprise peut prendre des mesures pour se préparer et, par rapport au coût d’une violation, ces étapes ont un retour sur investissement significatif. Par exemple, s’assurer qu’une entreprise évite les échecs de conformité peut éviter des augmentations de coûts significatives en cas de violation. L’identification d’une équipe de réponse aux incidents, la création d’un plan de réponse aux incidents et les tests peuvent tous deux apporter une certitude et garantir qu’une entreprise réagit le plus rapidement possible à un incident. Et l’alignement des pratiques internes d’une entreprise sur un cadre de cybersécurité établi peut réduire le risque que l’entreprise éprouve et fournir des arguments solides contre toute enquête réglementaire suggérant que l’entreprise a fait preuve de négligence.

Cela étant dit, une expertise en cybersécurité et en conformité est essentielle pour s’assurer que ces plans font ce qu’ils sont censés faire. Contactez notre équipe de Ward and Smith pour planifier un examen de vos pratiques et recevoir des conseils sur la meilleure façon de positionner votre entreprise.

–
© 2021 Ward and Smith, PA Pour plus d’informations sur les problèmes décrits ci-dessus, veuillez contacter Peter N. McClelland, CIPP / États-Unis.

Cet article n’est pas destiné à donner, et ne doit pas être invoqué pour, des conseils juridiques dans une circonstance ou une situation de fait particulière. Aucune action ne doit être entreprise en se fondant sur les informations contenues dans cet article sans avoir obtenu l’avis d’un avocat.

Nous sommes votre réseau juridique établi avec des bureaux à Asheville, Greenville, New Bern, Raleigh et Wilmington, NC.