Clé à emporter
- La FCC a proposé trois modifications à la procédure suivie par les entreprises de télécommunications en cas de violation de données.
- La FCC soutient que les propositions sont faites à la lumière de l'évolution du paysage de la sécurité.
-
Les experts du secteur ont salué cette décision, affirmant que les changements contribueront à rendre les informations plus transparentes.
Les experts du secteur ont salué une proposition de la Federal Communications Commission (FCC) visant à obliger les entreprises à partager sans délai les détails de toute violation de données avec les utilisateurs concernés.
La proposition de la présidente de la FCC, Jessica Rosenworcel, fait suite aux récentes violations de données et vise à réviser les règles actuelles compte tenu de la fréquence, de la sophistication et de l'ampleur accrues des fuites de données.
"Les nouvelles propositions de la FCC sont un pas dans la bonne direction", a déclaré Jack Chapman, vice-président de Threat Intelligence chez le fournisseur de sécurité Egress, à Lifewire par e-mail. "[Ils] renforceront la protection des personnes concernées et amélioreront la transparence entre les opérateurs, les consommateurs et le régulateur lui-même, ce qui devrait contribuer à soutenir les droits des personnes concernées dans le paysage actuel des menaces."
Paysage des menaces en évolution
Selon le communiqué de presse de la FCC, les mises à jour proposées visent à mettre les règles qui régissent l'industrie des télécommunications sur un pied d'égalité avec les lois régissant les autres secteurs.
La loi actuelle oblige déjà les opérateurs de télécommunications à protéger la confidentialité et la sécurité des informations sensibles des clients. Mais ces règles doivent être mises à jour pour refléter pleinement la nature évolutive des violations de données et la menace en temps réel qu'elles représentent pour les consommateurs concernés », a noté Rosenworcel dans la proposition.
Chapman est d'accord, disant que les mises à jour répondent à la réalité que l'industrie des télécommunications est ciblée par un "raz-de-marée de cyberattaques sophistiquées", citant l'exemple de T-Mobile, qui a récemment subi une brèche qui a exposé les données de plus de 50 millions de ses clients.
La proposition de la FCC décrit trois mises à jour importantes des règles actuelles de notification des violations. Le premier vise à éliminer l'exigence obligatoire du délai d'attente de sept jours pour informer les clients d'une violation.
Arguant pour la suppression de la période d'attente, Rosenworcel a déclaré que les clients doivent être protégés contre les fuites de données dont les conséquences peuvent durer des années après l'exposition initiale.
S'assurer que ces entreprises répondent de manière responsable et rapide à toute violation de données contribue à créer une meilleure culture collective de la confidentialité et de la sécurité des données…
Voyant le mérite de cette décision, Chapman a déclaré que si les clients sont informés d'une violation immédiatement plutôt que plus d'une semaine plus tard, ils peuvent être plus vigilants face aux attaques de suivi, telles que le phishing et le vishing. Il pense que cela est essentiel et pourrait aider les utilisateurs à se protéger contre les attaques qui pourraient entraîner la perte de plus de données.
En éliminant la période d'attente de sept jours pour que les opérateurs informent les clients d'une violation de données, la FCC redonne le pouvoir aux gens, les aidant à prendre des mesures pour se protéger si leurs données ont été violé », a déclaré Chapman.
Déterminer la culpabilité
La FCC souhaite également étendre la portée de la protection des clients en obligeant les entreprises à partager également des détails sur les "violations par inadvertance".
Qualifiant cette décision de « pas de bienvenue », Chapman a déclaré à Lifewire que les violations involontaires pourraient être tout aussi graves que les cyberattaques. Il a fait valoir qu'une fois le mal fait, peu importe pour les utilisateurs que leurs informations aient été volées via un piratage de réseau ou à partir d'un serveur non sécurisé.
Le troisième changement proposé par la FCC demande à la société de télécommunications concernée d'informer les individus ainsi que la FCC, le FBI et les services secrets américains.
Encore une fois, Chapman voit le mérite de cette décision et les raisons pour lesquelles les autres agences fédérales pourraient offrir des avantages à plus long terme aux consommateurs en renforçant la réponse réglementaire aux violations. Il a déclaré que la mesure permettrait au régulateur de réagir plus rapidement et plus efficacement et aiderait à garantir que les organisations fautives soient correctement réprimandées.
"Les transporteurs collectent une énorme quantité d'informations sur leurs clients, dont la plupart sont des données privées et très sensibles", a déclaré Trevor J. Morgan, chef de produit chez les spécialistes de la sécurité des données comforte AG, à Lifewire par e-mail. "S'assurer que ces entreprises répondent de manière responsable et rapide à toute violation de données - piratage intentionnel ou fuite de données par inadvertance - contribue à créer une meilleure culture collective de la confidentialité et de la sécurité des données et, accessoirement, renforce la confiance du public."
