El Fiscal General Josh Stein anuncia un acuerdo multiestatal de $49,5 millones con Blackbaud

El Fiscal General Josh Stein anunció hoy un acuerdo de 49,5 millones de dólares con la empresa de software Blackbaud por sus prácticas deficientes de seguridad de datos y su respuesta a un ataque de ransomware de 2020 que expuso la información personal de millones de personas en todo Estados Unidos. El Departamento de Justicia de Carolina del Norte recibió 313 avisos de violaciones de seguridad relacionados con el ataque de ransomware Blackbaud, que afectó a 78.697 habitantes de Carolina del Norte. Según el acuerdo, Blackbaud también revisará sus prácticas de notificación de violaciones y seguridad de datos. Carolina del Norte recibirá $1,181,270.00 que se destinarán a proteger a los consumidores.

“Blackbaud no protegió los valiosos datos personales que tenía de millones de personas y luego no informó a las personas que su información había sido robada”, dijo el Fiscal General Josh Stein. “Sus acciones provocaron cientos de violaciones de datos más en Carolina del Norte. Cuando confiamos nuestros datos a las empresas, deben salvaguardarlos de manera responsable”.

Blackbaud proporciona software a organizaciones sin fines de lucro, incluidas organizaciones benéficas, instituciones de educación superior, escuelas K-12, organizaciones de atención médica, organizaciones religiosas y organizaciones culturales. Los clientes de Blackbaud utilizan su software para conectarse con donantes y administrar datos sobre sus electores, incluida información demográfica y de contacto, números de Seguro Social, números de licencia de conducir, información financiera, información laboral y patrimonial, historial de donaciones e información de salud protegida. Este tipo de información altamente confidencial quedó expuesta durante la violación de datos de 2020, que afectó a más de 13.000 clientes de Blackbaud y sus respectivos electores consumidores.

El acuerdo de hoy resuelve las acusaciones de que Blackbaud violó las leyes estatales de protección al consumidor, las leyes de notificación de infracciones y la HIPAA al no implementar una seguridad de datos razonable y remediar las brechas de seguridad conocidas, lo que permitió el acceso no autorizado a la red de Blackbaud y luego no notificó a sus clientes de manera oportuna. . Como resultado, los clientes cuya información personal quedó expuesta fueron notificados tarde o no fueron notificados en absoluto.

Según el acuerdo, Blackbaud acordó fortalecer sus prácticas de seguridad de datos y notificación de violaciones en el futuro, que incluyen:

Anuncio

• No tergiversar cómo procesa, almacena y protege la información personal, la probabilidad de que la información personal afectada por un incidente de seguridad pueda estar sujeta a una mayor divulgación y los requisitos de notificación de incumplimiento según la ley estatal y la HIPAA.
• Implementar y mantener planes de respuesta a incidentes e infracciones para prepararse y responder de manera más adecuada a futuros incidentes e infracciones de seguridad.
• Proporcionar asistencia adecuada a sus clientes y respaldar el cumplimiento de los clientes con los requisitos de notificación aplicables en caso de incumplimiento.
• Informar incidentes de seguridad al director ejecutivo y a la junta directiva, capacitar mejor a los empleados y reservar recursos y apoyo adecuados para la ciberseguridad.
• Protección de la información personal con cifrado total de bases de datos y monitoreo de la web oscura.
• Establecer requisitos de seguridad específicos con respecto a la segmentación de la red, gestión de parches, detección de intrusiones, firewalls, controles de acceso, registro y monitoreo, y pruebas de penetración.
• Ser evaluado su cumplimiento por un tercero durante siete años.

Un ataque de ransomware podría comprometer la información de su cuenta bancaria, sus números de Seguro Social y otros detalles de identificación. A continuación se muestran algunas formas de proteger sus datos y redes contra el ransomware:

• Mantenga actualizado su antivirus y otro software malicioso.
• Haga una copia de seguridad de sus datos periódicamente.
• Asegúrese de realizar negocios únicamente en redes seguras y a través de URL legítimas.
• Realice un análisis de riesgos de su red y sistemas de seguridad y realice sus propios intentos de piratería para encontrar brechas de seguridad.
• Parche cualquier vulnerabilidad en su sistema de seguridad tan pronto como la identifique.
• Permita que solo se ejecuten programas y software aprobados y verificados en su computadora y redes.
• Asegúrese de que cualquier persona que tenga acceso a su red haya recibido capacitación sobre las mejores prácticas en ciberseguridad y sepa qué hacer si ocurre un incidente de piratería informática o ransomware.
• No haga clic en los archivos adjuntos de los correos electrónicos de phishing.

Share on Facebook

Tweet