Novo regulamento de cyber da Europa, e deve seguir o America

Com a recente Equifax violação de dados que colocam 145,5 milhões de pessoas em risco, há muita discussão sobre regulamentos de cyber. Equifax tem muitas críticas sobre como ele controlou o incidente e por quanto tempo demorou para informar as pessoas de que seus dados tem sido acessos de hackers.

O corte inicial teve lugar em maio de 2017, mas a empresa não estava ciente de até julho, e só informaram que as pessoas mais do que um mês depois. Isto tem trazido muita discussão sobre se mantê-lo secreto do público era a coisa certa a fazer, especialmente porque envolve dezenas de milhões de pessoas e informações altamente confidenciais. Mas há um monte de coisas a considerar quando se trata do período de tempo em que um incidente precisa ser reportado. E enquanto os regulamentos variam de estado para estado, em America, a Europa introduziu novos regulamentos que forçariam as empresas a revelar uma quebra dentro de 72 horas depois que foi descoberto. E levanta a questão de se America deveria fazer o mesmo.

Novos regulamentos da Europa

Novos dados proteção regulamento geral, PIBR no short, que entra em vigor em maio de 2018, introduzirá novas leis sobre dados e dados pessoais como violações devem ser manuseadas. Pretende devolver o controle sobre seus dados pessoais para os cidadãos. Ele também garantir que as pessoas serão informadas de violação logo após o incidente ocorre.

Empresas vão ser obrigadas a relatar um incidente dentro de 72 horas da descoberta. Não cumpram esta resultará em eles terem de pagar um bem igual a 4% das suas receitas globais ou 20 milhões de Euros. E não é apenas companhias que terão de agir de acordo com estes regulamentos. Empresas fora da Europa também terá prazer se eles lidar com dados de cidadão europeu.

Isto irá forçar algumas empresas American de rever como lidar com dados do cliente. E uma vez que eles vêm com infra-estruturas que podem lidar com a informação do cliente de acordo com a lei europeia, é improvável que eles tratarão American cidadão de dados diferente.

As novas regras não são sem perguntas. O prazo de 3 dias tem causado alguma confusão sobre quando exatamente o tempo começará a tique-taque. E é também apontou que violações de dados não são sempre manteve um segredo por causa de interesses próprios.

Por que acontece o atraso na divulgação da violação de dados

Há várias razões porque uma violação de dados poderia ser retida do público por algum tempo, e não pode ser exclusivamente por causa de interesses próprios da empresa. Agência de lei que está cooperando com a empresa pode não querer estragar a investigação ao revelar demasiado cedo. Ou a escala completa do incidente não pode ser conhecida, e as empresas querem esperar até que eles têm todos os fatos antes que eles causam pânico. Mas por outro lado, se a sua informação pessoal foi em uma violação de dados, você tem o direito de saber.

“Minha experiência geral é leva vários dias ou semanas para obter realmente seus braços em torno do que aconteceu e para equilibrar isso contra o adversário que vai fazer com os dados”, disse Michael Daniel, presidente da Aliança ameaça cibernética, NBC News. “O retorno sobre o valor dos dados diminui rapidamente, mas por outro lado também muito frequentemente você aprende muito mais quando você realmente cava a perícia”.

Isso não é dizer que o interesse próprio não desempenhar um papel neste. Altos executivos da Equifax, por exemplo, venderam 2 milhões de dólares em ações antes do incidente de incumprimento foi relatado publicamente. E um incidente em grande escala iria arruinar a reputação da empresa por um longo tempo, se não permanentemente, então não relata nada seria benéfico para eles.

Com a maneira que vai, violações de dados se tornará cada vez mais comuns, e algo precisa ser feito. E que provavelmente envolve normas claras quando se trata de violações. Afinal, é nossos dados que está no centro de tudo.