Федеральная торговая комиссия обязала Marriott и Starwood усилить защиту данных.

Федеральная торговая комиссия (FTC) объявила на прошлой неделе, что она завершила разработку приказа, обязывающего Marriott International и ее дочернюю компанию Starwood Hotels усилить свои меры по обеспечению цифровой безопасности. Об этом сообщает BleepingComputer. FTC предъявила обвинения компаниям в небрежности в сфере безопасности, что привело к трем масштабным утечкам данных, обнаруженным в 2015, 2018 и 2020 годах. Эти инциденты затронули более 344 миллионов клиентов по всему миру, раскрыв информацию о паспортах, платежных картах и других данных.

Самая короткая из этих утечек длилась 14 месяцев до ее обнаружения, в то время как самая продолжительная — началась в 2018 году и продолжалась четыре года. Компании согласились внедрить усиленные программы безопасности, включая разработку политик для хранения информации только в течение необходимого времени и создание возможности для американских потребителей запрашивать удаление данных, связанных с их адресом электронной почты или учетной записью лояльности.

Отели стали одной из основных целей для хакеров. Например, в прошлом году из-за атаки программ-вымогателей MGM Resorts была вынуждена вернуться к использованию бумажных носителей, оставив многих гостей, включая председателя FTC Лину Хан, ждать заселения.

FTC выдвинула обвинения против компаний в октябре, обвинив их в обмане потребителей с ложными заявлениями о «разумной и надлежащей безопасности данных». Среди их предполагаемых нарушений — плохая практика управления паролями и брандмауэрами, а также неоправданная задержка при устранении устаревшего программного обеспечения и систем. В тот же день, когда FTC обнародовала обвинения, офис генерального прокурора Коннектикута сообщил, что Marriott согласилась на урегулирование в размере 52 миллионов долларов.

Помимо улучшения безопасности, теперь компаниям запрещено искажать информацию о том, как они собирают, хранят, используют, удаляют или раскрывают персональные данные потребителей, а также о степени защиты конфиденциальности и безопасности этих данных. Другие требования включают хранение записей о соблюдении требований и подготовку к проверкам FTC. Приказ будет действовать в течение 20 лет.

Источник: TheVerge