עלייה באכיפת רגולציית סייבר בניו יורק משקפת מגמה רחבה יותר בארה"ב
משרד השירותים הפיננסיים (NYDFS) ומשרד התובע הכללי של מדינת ניו יורק הטילו לאחרונה קנסות משמעותיים בסך 11.3 מיליון דולר על החברות Geico ו-Travelers בעקבות פרצות אבטחת מידע חמורות שהובילו לדליפת מידע אישי רגיש של כ-120,000 אנשים. אירועים אלה מדגישים את המחויבות הגוברת של ה-NYDFS להטלת אחריות על חברות במסגרת רגולציית הסייבר המחמירות של מדינת ניו יורק (23 NYCRR 500).
קנסות אלה משתלבים במגמה רחבה יותר בארה"ב, של החמרת אכיפה מדינתית בנושאי הסייבר. ככל שהאכיפה מתהדקת, דרישות הציות עבור חברות המנהלות מידע אישי מתרחבות בהתאם, וחברות ישראליות הפועלות בארה"ב נדרשות לעקוב מקרוב אחר שינויים אלו כדי להימנע מקנסות משמעותיים ולשמור על אמון הלקוחות.
עיקרי הדברים
- אכיפה רגולטורית מוגברת: הקנסות שהוטלו על Geico ו-Travelers מצביעים על מחויבותה של ה-NYDFS לאכיפת רגולציית סייבר, ובעיקר לטיפול באירועי אבטחת מידע שפוגעים במידע לקוחות ומובילים להונאות.
- התרחבות המסגרת הרגולטורית: מעבר לניו יורק, מדינות כמו קליפורניה, טקסס ואילינוי מקדמות אכיפה מחמירה בתחום הסייבר. כיום, 19 מדינות חוקקו חוקי פרטיות, בנוסף לחוקים המחייבים דיווח על אירועי דלף מידע הקיימים בכל 50 המדינות. נוסף לכך, רגולציות סקטוריאלית המתעדכנות ונאכפות על ידי גופים פדרליים, כמו ה-FTC, מוסיפות שכבת חובות ציות נוספת.
- השפעת אירועי אבטחת מידע: מקרה זה מדגיש את ההשלכות של הגנה לקויה על מידע אישי רגיש – דליפת המידע האישי הובילה לגניבת זהות ולהגשת תביעות אבטלה מזויפות, לנזק תדמיתי ולהטלת קנסות כספיים כבדים.
- אמצעי אבטחת-סייבר פרואקטיביים: על חברות להתייחס לאבטחת סייבר כתהליך דינמי ומתמשך. אסטרטגיות הגנת מידע אפקטיביות, ובכלל זאת הערכות סיכונים שוטפות ומעקב אחר התפתחות הרגולציה יסייעו לצמצם את סיכוני החברה ואת החשיפה לקנסות פוטנציאליים.
המלצות לחברות
- חיזוק אבטחת המידע: חשוב ליישם פרקטיקות אבטחת מידע, כולל הצפנה, בדיקות חדירות תקופתיות, הטמעת אמצעי הגנה כגון CAPTCHA, כלים אוטומטיים לזיהוי בוטים, אמצעי אימות זהות ועוד.
- התאמת תוכנית ציות: בניית מסגרת ציות מקיפות שתיתן מענה למגוון הדרישות הרגולטוריות, הן ברמה המדינתית והן ברמה הפדרלית, לצד מעקב שוטף אחר שינויים ברגולציות סייבר כדי להימנע מהטלת קנסות.
- ניהול אירועי אבטחת מידע: חשוב לנסח נוהל מפורט לניהול אירועי סייבר הכולל הכשרות שוטפות לצוות הייעוץ משפטי, להנהלה הבכירה ולצוותי ה-IT כדי להבטיח את מוכנות הארגון.
- תכנון תגובה לאירוע אבטחת מידע: חשוב להגדיק מראש את תוכנית התגובה לאירועי אבטחת מידע בהתאם לדרישות החוקיות השונות, כדי לאפשר דיווח מהיר ומדוייק לרשויות במקרה של אירועי דלף מידע והפחתת הסיכון מאירועים אלה.
- הדרכות מקצועיות: מומלץ להסתייע בצוות משפטי המומחה בתחום הסייבר כדי לפרש בצורה נאותה את הדרישות הרגולטוריות המורכבות והמגוונות וכן כדי ליישם פרקטיקות אבטחה בצורה מיטבית.
סיכום
הקנסות שהוטלו על חברות Geico ו-Travelers משקפים את האכיפה האגרסיבית של ה-NYDFS בתחום הסייבר ומהווים עליית מדרגה משמעותית ברמת באכיפה ברמה המדינתיות בארה"ב. חברות בין-לאומיות נדרשות לנקוט צעדים יזומים לשיפור עמידתן ברגולציות סייבר ולחזק את מערכי אבטחת המידע שלהן. הבטחת ציות פרואקטיבית לא רק תצמצם את חשיפת החברה לסיכונים, אלא גם תסייע לחיזוק אמון הלקוחות, תוך הפגנת מחויבות החברה לאבטחת מידע.
***
ד"ר אבישי קליין הוא שותף במשרד ברנע ג'פה לנדה ועומד בראש מחלקת הפרטיות, הסייבר והבינה המלאכותית במשרד.
עו"ד מאשה יודשקין היא עורכת דין במחלקה