Zuid-Afrika's POPIA-privacyregels vs. losomware

De tijd is bijna om voor Zuid-Afrikaanse bedrijven om te voldoen aan de Protection of Personal Information Act (POPIA) van het land. Maar naarmate de deadline van 1 juli dichterbij komt, wordt één uitdaging steeds groter: hoe bescherm je de gegevens van burgers tegen een inbreuk te midden van een misdaadgolf met ransomware?

POPIA is bijzonder streng voor één aspect van gegevensprivacy - gegevensbeveiliging - en stelt ook een reeks eisen in om personen meer controle te geven over hoe hun persoonsgegevens worden verzameld en gebruikt. Als een bedrijf niet de nodige stappen heeft ondernomen om zich tegen inbreuken op de gegevens te beschermen, kan het in twee verschillende scenario's met POPIA-sancties worden geconfronteerd: gegevensdiefstal en gegevensversleuteling.

Brede POPIA-definitie van "datalek

Wanneer mensen denken aan inbreuken op gegevens, denken ze meestal aan diefstal van gegevens - in de beveiligingsindustrie bekend als "gegevens exfiltratie". Maar veel aanvallers stelen niet echt gegevens; in plaats daarvan versleutelen ze de gegevens op de site van hun slachtoffer en vragen losgeld om de gegevens te ontsleutelen.

De POPIA is in beide gevallen van toepassing en vereist bescherming tegen ongeoorloofde toegang tot, verwerking, beschadiging, vernietiging of verlies van persoonlijke informatie. Elke ernstige inbreuk op de gegevensbescherming moet aan de autoriteiten worden gemeld en kan aanleiding geven tot een boete van maximaal 10 miljoen ZAR (700.000 US$) indien de gegevensbescherming als nalatig wordt beschouwd.

Dit mandaat komt er nu criminelen wereldwijd meer dan ooit ransomware-aanvallen uitvoeren. [i] Zuid-Afrikaanse bedrijven worden dus aan de ene kant geconfronteerd met risico's van criminelen en aan de andere kant met risico's van regelgevers.

Een diepere duik in de beveiliging van gegevens

In eerdere blogs hebben we een spoedcursus POPIA 101 gegeven en hebben we ook wat POPIA-mythes ontzenuwd voor Zuid-Afrikaanse bedrijven die zich haasten om de komende deadline te halen. Hier gaan we dieper in op POPIA, ransomware en gegevensbeveiliging met Brian Pinnock, Mimecast's Director of Sales Engineering MEA.

Volgens POPIA moeten bedrijven organisatorische en technische maatregelen nemen om inbreuken op gegevens te voorkomen, die voortdurend worden bijgewerkt in overeenstemming met evoluerende beste praktijken en voortdurende herbeoordeling van risico's in een verschuivend bedreigingslandschap. [ii] "Je kunt het niet gewoon instellen en vergeten", zoals Pinnock zegt, bij het formuleren van een cyberbeveiligingsstrategie, het maken van back-ups van gegevens, het patchen van kwetsbaarheden in IT-systemen, het bijwerken van bewustmakingstrainingen voor werknemers en het nemen van andere maatregelen om een goede cyberhygiëne te waarborgen.

Het is belangrijk dat bedrijven niet in de val trappen te denken dat zij alleen aansprakelijk zijn wanneer een inbreuk resulteert in de diefstal van persoonlijke informatie. De nieuwe wet geldt ook voor klassieke gevallen van ransomware, waarbij aanvallers gegevens op de site van een slachtoffer versleutelen om er losgeld voor te vragen. Dus zelfs als de gegevens het terrein van een bedrijf nooit verlaten - met andere woorden, zelfs als ze niet worden gestolen - kunnen de regelgevers vinden dat het bedrijf in overtreding is.

En nu, naarmate ransomware zich verder heeft ontwikkeld, kunnen criminelen gegevens zowel versleutelen als exfiltreren. Dat wil zeggen, ze kunnen ook ten minste een deel van de informatie stelen, aangezien bedrijven steeds beter worden in het gebruik van back-ups om te voorkomen dat ze losgeld moeten betalen voor het vrijgeven van versleutelde gegevens. Vervolgens dreigen de criminelen de informatie te verkopen of openbaar te maken op het dark web.

E-mail: Een sleutelelement in de strijd tegen Ransomware

E-mailbeveiliging zou een prioriteit moeten zijn in elke anti-ransomware strategie. Volgens Pinnock beschermen bedrijven platforms voor klantenbeheer, personeelssystemen en andere "gestructureerde gegevens" tegen inbreuken, maar zien sommigen de grote hoeveelheid "ongestructureerde" persoonlijke informatie in hun e-mailaccounts en -archieven over het hoofd.

Maar gearchiveerde e-mail is ook een doelwit voor ransomware. Bedrijven die archiveren op de dominante e-mailplatforms zijn voorzien van basisbeveiliging, zegt Pinnock. Maar ze zouden zich moeten wenden tot een e-mailbeveiligingsprovider, zoals Mimecast, voegt hij eraan toe, om ransomware-aanvallen met beveiliging op militair niveau, zoals het AES256-algoritme, op te kunnen vangen.

En aangezien de meeste criminelen e-mail gebruiken om in te breken in datasystemen, leidt beveiliging van e-mail ertoe dat de meeste ransomware-aanvallen worden afgewend voordat ze hun doelwit kunnen raken. Ook hier kunnen bedrijven hun wapens kiezen: Ze kunnen vertrouwen op basisbeveiliging op de dominante e-mailplatforms of zich wenden tot een e-mailbeveiligingsprovider voor best-of-breed detectie- en controlemethoden.

Ransomware neemt toe in Zuid-Afrika

Zevenenveertig procent van de Zuid-Afrikaanse bedrijven die werden ondervraagd voor het Mimecast-rapport State of Email Security 2021 zeiden dat ze in de afgelopen 12 maanden waren getroffen door ransomware. Hier is hoe de slachtoffers de impact beschreven:

• Gegevensverlies: 66%
• Verstoring van de bedrijfsvoering: 53%
• Reputatie schade: 45%
• Effect op de productiviteit van de werknemers: 38%
• Financieel verlies: 38%
• Gevolgen voor de naleving van de regelgeving: 30%

In het Ponemon Institute's Cost of Data Breach Report 2020 worden de volgende statistische gegevens over alle soorten inbreuken op gegevens in Zuid-Afrika vermeld: [iii]

• gemiddeld 177 dagen om een inbreuk in verband met gegevens vast te stellen
• 51 dagen om een inbreuk in te dijken
• 2,14 miljoen dollar aan gemiddelde kosten
• 48% van de inbreuken veroorzaakt door een kwaadaardige aanval
• 26% veroorzaakt door een systeemstoring
• 26% veroorzaakt door menselijke fouten

Sommige van de grootste Zuid-Afrikaanse bedrijven zijn klaar om de deadline van 1 juli te halen, maar middelgrote en kleinere bedrijven zijn dat minder. Ook zal de handhaving naar verwachting in de eerste plaats gericht zijn op grote bedrijven - waarbij regelgevers zelfs een voorbeeld stellen voor bedrijven die hun verplichtingen verzaken - terwijl kleinere bedrijven voorlopig enige speelruimte krijgen. Het Ponemon Institute heeft ook zijn licht laten schijnen over de gereedheid van Zuid-Afrikaanse bedrijven:

• 16% van de bedrijven heeft cyberbeveiliging volledig geautomatiseerd
• 40% heeft beveiliging gedeeltelijk geautomatiseerd
• 44% heeft niet geautomatiseerd

De kern van de zaak

Vanaf 1 juli moeten Zuid-Afrikaanse bedrijven voldoen aan de POPIA-wet inzake gegevensprivacy. Deze deadline, die midden in een golf van ransomware-criminaliteit valt, dwingt bedrijven om gegevensinbreuken als een van hun grootste risico's op het gebied van regelgeving onder de loep te nemen.

[i] " Ransomware-aanvallen nemen toe. Is uw bedrijf daarop voorbereid? ", Harvard Business Review

[ii] " Wet bescherming persoonsgegevens ," Staatscourant

[iii] " Cost of a Data Breach Report 2020 ," Ponemon Institute voor IBM