Last Updated on 2024-09-17 05:25 by admin
Blackbaud、FTCとの合意によりIT防御を強化
クラウドソフトウェアプロバイダーであるBlackbaudは、FTC（米国連邦取引委員会）との提案された合意の下で、IT防御を強化することを約束しました。この合意は、Blackbaudのデータベースから何者かによって数百万人の個人情報が盗まれた事件を受けています。FTCは、Blackbaudの「不公正かつ欺瞞的なデータセキュリティ慣行」を非難し、同社の過剰なデータ保持慣行がセキュリティの失敗をより深刻なものにしたと指摘しました。
2020年2月、犯罪者がBlackbaudのデータベースに侵入し、約3ヶ月間検出されずに約13,000の顧客ファイルを盗み出しました。これらのファイルには数百万人の消費者の個人情報が含まれていました。侵入者はその後、ソフトウェアメーカーに身代金を要求し、Blackbaudは約23万5000ドルを支払って文書の削除を求めましたが、盗まれたデータが実際に破棄されたかを確認することはできませんでした。
2023年3月、BlackbaudはSEC（米国証券取引委員会）によって提起された訴訟を解決するために300万ドルを支払うことに同意しました。その後、2023年10月には全50州の司法長官との間で、ネットワーク侵害への「不十分なデータセキュリティ慣行と不適切な対応」に関するさらなる4950万ドルの合意に至りました。
FTCとの最新の合意の一環として、Blackbaudは顧客に提供する製品やサービスに必要のない顧客のバックアップファイルを削除または破棄することに同意しました。これにより、将来的に個人データが盗まれるリスクが軽減されることが期待されます。また、同社は更新されたデータ保持ポリシーを公表し、どの顧客情報を保持しているか、その理由、およびこれらのファイルを削除する具体的なタイムフレームを明示する必要があります。さらに、多要素認証、データ損失ツール、侵入テスト、最低限、顧客の社会保障番号、パスポート番号、税ID、運転免許証およびその他の政府発行の識別情報、銀行口座、クレジットカード、デビットカード情報、生年月日、医療情報、およびユーザーアカウント認証情報の暗号化を含む、改訂された情報セキュリティプログラムを実施することにも同意しました。
Blackbaudのスポークスパーソンは、同社はFTCの提案された合意において、いかなる申し立ても認めも否定もしないと述べましたが、FTCとこの問題を解決できることを喜んでいるとコメントしました。
【ニュース解説】
クラウドソフトウェアを提供するBlackbaud社が、大規模なデータ侵害事件を受けて米国連邦取引委員会（FTC）との間でIT防御の強化を約束する合意に至りました。この事件では、犯罪者がBlackbaudのデータベースに侵入し、数百万人の個人情報が含まれる顧客ファイルを盗み出しました。この合意により、Blackbaudは不要な顧客データの削除や、セキュリティプログラムの改善など、一連の対策を講じることになります。
この事件の背景には、Blackbaudが過剰なデータを保持していたことがあり、これがセキュリティの失敗をより深刻なものにしました。また、侵害が発覚した後、Blackbaudは顧客への通知において不正確な情報を提供し、真実が明らかになるまでに数ヶ月を要しました。このような対応は、FTCから「不公正かつ欺瞞的なデータセキュリティ慣行」と批判される要因となりました。
FTCとの合意により、Blackbaudは顧客データの保持ポリシーを見直し、不要なデータの削除、多要素認証の導入、データ損失防止ツールの使用、侵入テストの実施、重要な顧客情報の暗号化など、セキュリティ対策を強化します。これらの措置は、将来的なデータ侵害のリスクを軽減し、顧客情報の保護を強化することを目的としています。
この事件と合意は、企業が顧客データを保護するための責任の重さを浮き彫りにし、データ保持ポリシーの重要性を示しています。また、データ侵害が発生した際の迅速かつ透明な対応の必要性を強調しています。企業は、セキュリティ対策の継続的な見直しと改善を通じて、顧客の信頼を維持し、データ保護規制の要件を満たす必要があります。
この合意は、他の企業にとっても重要な教訓となり、データ保護とセキュリティ対策の強化が、現代のデジタル社会における絶対的な要件であることを再認識させます。また、データ侵害のリスクを最小限に抑えるためには、技術的な対策だけでなく、組織全体のデータ管理慣行の見直しが不可欠であることを示しています。
from Blackbaud settles with FTC after that IT breach exposed millions of people's info.
“BlackbaudがFTCと合意、データ侵害後のセキュリティ強化を約束” への1件のコメント
このBlackbaudの事件は、データ保護の重要性が高まっている現代社会において、非常に教訓的な事例と言えます。私自身、ITエンジニアとして日々ソフトウェアの開発に携わっている中で、セキュリティ対策の重要性を常に意識していますが、このような大規模なデータ侵害事件を目の当たりにすると、その重要性が一層強調されます。
Blackbaudのケースから学べる点はいくつかありますが、特に注目すべきは、過剰なデータ保持慣行と迅速かつ透明な情報開示の欠如が、問題をより深刻なものにしたという点です。データ保持ポリシーの見直しや、不要な顧客データの削除、多要素認証の導入など、FTCとの合意に至った対策は、他の企業にとっても重要な指針となるでしょう。
私たちITエンジニアは、技術的な解決策を実装するだけでなく、組織全体でデータ管理慣行を再考し、セキュリティ対策を継続的に更新し維持することが不可欠です。また、万が一データ侵害が発生した場合には、迅速かつ透明に情報を提供し、対応することが、顧客の信頼を維持する上で極めて重要です。
この事件は、私たちが直面するセキュリティ関連の