Объяснение требований CCPA: почему важны безопасность электронной почты и DMARC
Последнее обновление:
8 Время чтения: 8 минут
Ключевые выводы
- CCPA требует «разумных мер безопасности» для защиты личной информации, включая адреса электронной почты, счета-фактуры и данные учетных записей, передаваемые по электронной почте.
- Электронная почта является каналом с высоким риском нарушений CCPA, поскольку спуфинг, фишинг и компрометация деловой электронной почты могут привести к несанкционированному раскрытию данных.
- DMARC предотвращает подделку домена, давая почтовым серверам указание отклонять или помещать в карантин неаутентифицированные сообщения.
- Отчеты DMARC обеспечивают прозрачность всех источников электронной почты, помогая выявлять неавторизованных поставщиков и сокращать количество «слепых зон» в области соблюдения нормативных требований.
- Применение DMARC на уровне p=reject блокирует поддельные электронные письма и демонстрирует проактивную безопасность в соответствии со стандартами CCPA.
Персональные данные являются основной валютой в современной цифровой экономике. Для компаний, которые ведут деятельность в Калифорнии или управляют данными ее жителей, Закон о защите прав потребителей Калифорнии (CCPA) устанавливает золотой стандарт защиты данных.
Хотя многие дискуссии о CCPA сосредоточены на файлах cookie веб-сайтов или кнопках «Не продавать», многие организации упускают из виду свой наиболее уязвимый канал передачи данных: электронную почту.
Электронная почта по-прежнему остается основным средством обмена личными данными. Сюда входят счета, заявки в службу поддержки и ссылки для восстановления учетной записи. Если ваша инфраструктура электронной почты не защищена от подделки личности, вы не можете действительно утверждать, что соблюдаете требования CCPA. В этом руководстве рассматривается, как безопасность электронной почты и DMARC служат основополагающими техническими средствами контроля для соблюдения требований закона о «разумной безопасности».
Что такое соответствие CCPA?
Соответствие CCPA означает соблюдение требований Закона о защите прав потребителей штата Калифорния, который дает жителям Калифорнии право знать, получать доступ, удалять и отказываться от продажи своих персональных данных, собранных компаниями.
Это очень важно для конфиденциальности. Это дает жителям Калифорнии гораздо больше права голоса в том, как компании используют их личные данные. Проще говоря, это набор правил, которые заставляют компании быть прозрачными и осторожными.
Вот что получают потребители в соответствии с законом:
- Право на информацию: они могут видеть, какие данные о них у вас есть.
- Право на удаление: они могут попросить вас удалить их данные.
- Право на отказ: они могут отказаться от продажи своей информации.
- Справедливое обращение: вы не можете наказывать их за использование этих прав.
Правило «разумной безопасности»
Закон также гласит, что вы должны иметь«разумные процедуры безопасности».Речь идет не только о честности, но и о безопасности. Если у вас произошло нарушение из-за небрежности в обеспечении безопасности, вам может быть наложен штраф в соответствии с законом. Это означает, что вы можете быть обязаны выплатить деньги, даже если клиент не потерял ни копейки.
Как электронная почта создает риск в связи с CCPA
Электронная почта выполняет функции как хранилища данных, так и канала доставки. Это делает ее огромной площадкой для рисков нарушения CCPA.
- Адреса электронной почты как PII: в соответствии с CCPA адреса электронной почты сами по себе считаются личной идентифицируемой информацией (PII).
- Конфиденциальный контент: электронные письма часто содержат имена, физические адреса, историю покупок и даже журналы поддержки. Все это подпадает под защиту CCPA.
- Риск доставки: если злоумышленник подражает вашему бренду, чтобы отправить обновление счета, он использует репутацию вашего домена для кражи данных потребителей. Если отсутствие протоколов безопасности позволяет подражать бренду, вы можете понести ответственность за неспособность обеспечить разумную безопасность.
Угрозы, связанные с электронной почтой, которые приводят к нарушениям CCPA
CCPA определяет нарушение как несанкционированный доступ, уничтожение, использование, изменение или раскрытие личной информации. Ниже приведены некоторые конкретные атаки с использованием электронной почты, которые непосредственно приводят к таким результатам.
Подмена электронной почты
Злоумышленники подделывают адрес отправителя, чтобы электронное письмо выглядело так, будто оно пришло от вашей компании. Этот трюк помогает им похитить учетные данные для входа в систему или номера социального страхования.
Компрометация деловой электронной почты
Если злоумышленник подражает руководителю, чтобы запросить у сотрудника конфиденциальные файлы клиентов, то в результате раскрытия данных возникает инцидент, подлежащий сообщению в соответствии с CCPA.
Фишинг
Поддельные электронные письма с обновлениями о конфиденциальности данных могут собирать именно ту информацию, которую CCPA стремится защитить.
Что ожидает CCPA: разумный стандарт безопасности
CCPA не предоставляет жесткого перечня технологий. Вместо этого он предполагает «разумную безопасность». Руководство генерального прокурора Калифорнии предполагает, что разумная безопасность часто соответствует установленным рамкам, таким как CIS Controls или NIST.
Управление идентификацией и доступом является одним из основных элементов контроля в этих рамках. Оно включает в себя проверку того, что отправитель является тем, за кого себя выдает. Игнорирование подделки домена является пробелом в обеспечении соответствия требованиям. Если компания разрешает использование своего домена неавторизованными третьими лицами для обмана клиентов, она, вероятно, не пройдет проверку на разумную безопасность.
Как DMARC поддерживает соблюдение CCPA
DMARC — это техническая политика, которая позволяет владельцу домена защитить свой домен от несанкционированного использования. Она работает вместе с SPF и DKIM, создавая комплексную систему аутентификации. Ниже подробно описано, как ее основные функции напрямую соответствуют требованиям CCPA.
Расширенная защита от подделки личности
CCPA требует от компаний предотвращать несанкционированный доступ к личной информации. DMARC помогает вам выполнить это требование, предоставляя вам контроль над тем, как ваш домен используется в адресе «Header From» (Отправитель), который пользователи фактически видят в своем почтовом ящике.
- Применение политики: DMARC позволяет выйти за рамки простого мониторинга. С помощью p=reject вы даете указание получающим почтовым серверам полностью блокировать любую электронную почту, которая не прошла аутентификацию. Это останавливает подделку на источнике.
- Нейтрализация фишинга: большинство утечек данных в соответствии с CCPA начинаются с фишингового электронного письма, которое выглядит так, как будто оно пришло от надежного бренда. Блокируя эти подделки, вы устраняете основной вектор «несанкционированного раскрытия» данных потребителей.
- Безопасность автоматической почты: DMARC защищает электронные письма с высоким уровнем риска, содержащие наиболее конфиденциальную личную информацию, например, письма о смене пароля, уведомления о доставке и выписки по счетам.
Детальная видимость и аудит
Одной из самых сложных частей CCPA является «право на информацию», которое требует от вас точного понимания того, как данные потребителей перемещаются по вашим системам. DMARC обеспечивает необходимую прозрачность для отображения этих потоков данных.
- Выявление «теневых ИТ»: сводные отчеты DMARC RUA показывают все сторонние службы, отправляющие электронные письма от вашего имени. Это помогает найти несанкционированные маркетинговые инструменты или старые платформы поддержки, которые могут обрабатывать данные клиентов без надлежащего соглашения об обработке данных.
- Криминалистическая экспертиза: Отчеты Forensic RUF содержат подробную информацию на уровне отдельных сообщений о причинах сбоя аутентификации электронного письма. В случае попытки взлома эти отчеты служат важным аудиторским следом. Они позволяют продемонстрировать регулирующим органам, что именно произошло и как ваши меры безопасности успешно блокировали атаку.
- Управление поставщиками: CCPA обязывает вас контролировать своих поставщиков услуг. Отчеты DMARC позволяют вам постоянно проверять, соблюдают ли ваши поставщики протоколы безопасности, установленные вами для вашего домена.
Как PowerDMARC помогает снизить риски, связанные с CCPA
Настройка DMARC является сложной задачей для больших команд, использующих услуги нескольких поставщиков. PowerDMARC предоставляет автоматизированный набор инструментов, который упрощает переход к политике p=reject, являющейся золотым стандартом для защиты доменов в соответствии с CCPA.
1. Хостинг SPF и PowerSPF
CCPA обязывает компании поддерживать актуальную систему безопасности. Ручное обновление DNS-настроек — это медленный процесс, в котором легко допустить ошибку, что создает уязвимости в системе безопасности.
- Управление облаком: управляйте записями SPF, DKIM и DMARC с единой панели управления. Добавляйте или удаляйте поставщиков одним щелчком мыши, не затрагивая код DNS.
- Устранение ограничения на 10 запросов: большинство организаций непреднамеренно нарушают свою безопасность, авторизуя слишком много поставщиков, превышая ограничение на 10 запросов DNS. Это вызывает «PermError», что фактически отключает вашу защиту. PowerSPF автоматически «сглаживает» ваши записи, гарантируя, что ваша легитимная почта всегда проходит аутентификацию и попадает в папку «Входящие».
2. Обнаружение угроз на основе искусственного интеллекта
Чтобы соответствовать ожиданиям CCPA в отношении проактивной защиты, PowerDMARC использует механизм искусственного интеллекта для мониторинга глобальных почтовых потоков в режиме реального времени.
- Выявление злоупотреблений: ИИ выявляет схемы злоупотребления доменами и точно определяет место происхождения атак.
- Оповещения в режиме реального времени: получайте мгновенные уведомления, если злоумышленник пытается подделать ваш домен, что позволит вам предотвратить мошенничество до того, как данные потребителей будут скомпрометированы.
3. Понятные для человека криминалистические отчеты
Стандартные отчеты DMARC представляют собой необработанный XML-код, бесполезный для нетехнического специалиста по вопросам конфиденциальности. Анализатор отчетов PowerDMARC преобразует эти данные в полезную информацию.
- Данные, готовые к аудиту: точно узнайте, что хакер пытался отправить. Это важнейшее доказательство для подтверждения «разумной безопасности» во время аудита CCPA.
- Зашифрованная конфиденциальность: вы можете зашифровать отчеты судебной экспертизы, чтобы только уполномоченные сотрудники вашей команды могли просматривать конфиденциальные фрагменты сообщений, что позволит вам соблюдать более широкие законы о конфиденциальности.
4. Видимость «теневого ИТ»
Несанкционированные «теневые ИТ-услуги» являются серьезной проблемой с точки зрения ответственности по CCPA. PowerDMARC предоставляет централизованный обзор всех услуг, использующих ваш домен.
- Аудит поставщиков: определите, какие сторонние инструменты обрабатывают ваши данные, и убедитесь, что они прошли надлежащую аутентификацию. Если инструмент не соответствует вашим стандартам безопасности, вы можете мгновенно отозвать его доступ.
5. BIMI: визуальный знак доверия
После достижения уровня DMARC enforcement вы можете внедрить BIMI.
- Доверие потребителей: логотип вашего бренда отображается в папке «Входящие» и служит «печатью подтверждения», которая сообщает клиентам, что электронное письмо можно безопасно открыть.
- Доказательство соответствия требованиям: для регулирующих органов BIMI служит наглядным показателем того, что ваша компания внедрила систему безопасности электронной почты самого высокого уровня.
Лучшие практики для работы с электронной почтой в соответствии с CCPA
Чтобы не нарушать положения CCPA, необходимо действовать на упреждение. Воспользуйтесь этим контрольным списком, чтобы усилить свою защиту:
- Приверженность соблюдению DMARC. Не ограничивайтесь только мониторингом вашей почты. Политика p=none похожа на наличие камеры безопасности, но при этом двери остаются незапертыми. Вы должны достичь уровня соблюдения DMARC p=reject, чтобы фактически блокировать попадание поддельных писем в почтовый ящик.
- Обеспечьте безопасность ваших автоматизированных систем. Ваши наиболее конфиденциальные данные часто передаются через автоматизированные инструменты. Убедитесь, что ссылки для сброса пароля и цифровые счета имеют полную аутентификацию. Если эти сообщения являются поддельными, это создает для вашей компании серьезную ответственность по закону CCPA.
- Практикуйте минимизацию данных. По возможности не храните конфиденциальную информацию в почтовом ящике. Не отправляйте информацию, представляющую высокий риск, такую как исходные пароли или полные номера кредитных карт, по стандартной электронной почте в виде открытого текста. Если вам необходимо поделиться этими данными, используйте безопасный портал или надежное шифрование.
- Регулярно просматривайте отчеты. Не позволяйте данным DMARC покрываться цифровой пылью. Проверяйте эти отчеты, чтобы узнать, не пытаются ли хакеры выдать себя за ваш бренд. Эти данные служат системой раннего предупреждения о фишинговых кампаниях.
- Обучите своих сотрудников. Даже самая передовая технология не может предотвратить все угрозы. Проводите регулярные занятия, чтобы помочь своей команде распознавать тонкие признаки поддельного электронного письма, которое могло пройти через традиционный фильтр.
Подводя итоги
Конфиденциальность данных — это не просто отметка в юридическом документе или хранение руководства по политике в архиве. Это основное обещание вашим клиентам, что их личные данные находятся в безопасности. Оставляя домен электронной почты открытым для подделки, вы нарушаете это обещание и подвергаете свой бизнес риску массовых исков в соответствии с CCPA.
Настоящее соблюдение CCPA означает принятие проактивной позиции в вопросах безопасности. Хотя юридическая документация — это только начало, технические инструменты, такие как DMARC, обеспечивают реальную защиту, которая удерживает личные данные от злоумышленников. Блокируя свою почтовую инфраструктуру, вы делаете больше, чем просто соблюдаете закон штата. Вы создаете основу доверия, которая одновременно защищает репутацию вашего бренда и ваших клиентов. Не ждите крупной утечки данных или юридической проверки, чтобы понять, что вашему домену не хватает надлежащих мер безопасности.
Защитите свой домен и упростите процесс обеспечения соответствия требованиям с помощью PowerDMARC уже сегодня!
Часто задаваемые вопросы
Применяется ли CCPA к электронной переписке?
Безусловно. CCPA охватывает любую личную информацию, с которой работает компания, а поскольку мы используем электронную почту практически для всего, она является основным хранилищем таких данных. Будь то адрес электронной почты клиента или детали, содержащиеся в сообщении, все это подпадает под действие CCPA.
Является ли утечка электронной почты нарушением CCPA?
Возможно. Если нарушение произошло из-за того, что компания не приняла «разумных» мер безопасности, это может быть расценено как нарушение. Проще говоря, если дверь была оставлена незапертой, закон может привлечь компанию к ответственности.
Помогает ли DMARC в обеспечении соответствия CCPA?
Хотя DMARC не является прямым требованием для соблюдения CCPA (слово «DMARC» не встречается в тексте закона), он поддерживает его. CCPA требует «разумной безопасности», а DMARC является отраслевым стандартом для предотвращения прямой подделки домена. Он служит ключевым техническим щитом, который показывает, что вы серьезно относитесь к защите данных.
Специалист по контенту в PowerDMARC
Милена - опытный писатель и создатель контента с более чем 7-летним опытом работы в создании увлекательных материалов по ИТ, кибербезопасности, виртуальным мероприятиям и многим другим темам. У нее есть опыт работы с высококачественными материалами для международных журналов, она окончила такие престижные учебные заведения, как Нью-Йоркский университет Абу-Даби, UWC China и Колледж Европы.
Последние сообщения Милены Багдасарян (см. все)
