[Hów M~ícró~ségm~éñtá~tíóñ~ Hélp~s Ýóú~ Méét~ CCPÁ~ Sécú~rítý~ Óblí~gátí~óñs]

[Thé Cálífórñíá Cóñsúmér Prívácý Áct (CCPÁ) tóók éfféct óñ Jáñúárý 1, 2020, áñd áúdítíñg áñd éñfórcéméñt stártéd óñ Júlý 1. Thís ñéw prívácý régúlátíóñ wíll hávé á sígñífícáñt ímpáct óñ prívácý íñítíátívés ñót óñlý íñ Cálífórñíá, bút álsó óñ órgáñízátíóñs thát hávé sígñífícáñt búsíñéss ópérátíóñs íñ thé státé áñd áré, théréfóré, cólléctíñg ór hávé áccéss tó CÁ résídéñts’ dátá.]

[Thé májórítý óf íñítíál díscússíóñs óñ CCPÁ fócúséd óñ thé óblígátíóñ óf búsíñéssés tó hóñór Cálífórñíá résídéñts’ réqúésts tó áccéss, délété, áñd ópt-óút óf dátá cólléctíóñ. Íf ýóú áré á CÁ résídéñt, ýóú áré vérý fámílíár wíth thé íñcéssáñt prívácý ñótícés thát póp-úp évérý tímé ýóú vísít á wébsíté. Thé óthér tópíc óf cóñvérsátíóñ súrróúñdíñg CCPÁ céñtéréd óñ thé óblígátíóñ tó stóp séllíñg cóñsúmér dátá úpóñ áñ íñdívídúál’s réqúést.]

[Théré ís á smáll séctíóñ íñ thé CCPÁ dócúméñt thát fócúsés óñ dátá bréáchés áñd sécúrítý. Íñ mý ópíñíóñ, thé víólátíóñs óútlíñéd íñ thésé cláúsés hávé sígñífícáñtlý gréátér ímpáct óñ á búsíñéss’s bráñd áñd fútúré tóp-líñé grówth. Príváté lítígáñts díd ñót wásté áñý tímé fílíñg láwsúíts úñdér thé ñéw láw. Fór éxámplé, Márríótt Íñtérñátíóñál áññóúñcéd á bréách, whích ímpáctéd 5.2 míllíóñ cústómérs, óñ Márch 31, 2020. Á cóúplé óf dáýs látér (Ápríl 3), á CÁ cóñsúmér fíléd á cláss áctíóñ láwsúít ágáíñst thé cómpáñý úñdér thé CCPÁ dátá bréách cláúsé. Íf ýóú’d líké tó léárñ móré ábóút thís cásé áñd símílár légál áctíóñs, prívácý láw fírm Kélléý Drýé públíshés á qúártérlý CCPÁ Lítígátíóñ Róúñd-úp.]

[Wíth~ áll t~hís t~álk ó~f rég~úlát~íóñs~, ýóú m~áý bé~ wóñd~éríñ~g whá~t ról~é míc~ró-sé~gméñ~tátí~óñ pl~áýs í~ñ CCP~Á áñd~ hów ý~óú cá~ñ úsé~ mícr~ó-ség~méñt~átíó~ñ tó á~ddré~ss ýó~úr CC~PÁ dá~tá br~éách~ éxpó~súré~.]

[Só, wíth thát íñ míñd, lét’s díg déépér íñtó whát CCPÁ ís, áñd fócús óñ thé sécúrítý áñd dátá bréách prótéctíóñ réqúíréméñts. (Légál díscláímér: álthóúgh Í cóñsúltéd wíth Íllúmíó’s sécúrítý áñd légál téáms óñ thé cóñtéñts íñ thís blóg, thé íñfórmátíóñ shóúld ñót bé cóñsídéréd ás légál ádvícé.]

[Whát~ ís CC~PÁ¿]

[Óffícíállý cálléd ÁB-375, thé Cálífórñíá Cóñsúmér Prívácý Áct (CCPÁ) ís á státé státúté íñtéñdéd tó éñháñcé prívácý ríghts áñd cóñsúmér prótéctíóñ fór résídéñts óf Cálífórñíá, Úñítéd Státés. Thé bíll wás pásséd bý thé Cálífórñíá Státé Légíslátúré áñd sígñéd íñtó láw óñ Júñé 28, 2018 áñd cámé íñtó éfféct óñ Jáñúárý 1, 2020.]

[Whó í~s réq~úíré~d tó c~ómpl~ý wít~h CCP~Á¿]

[Ýóúr órgáñízátíóñ ís légállý óblígátéd tó cómplý wíth CCPÁ íf ít mééts thé fóllówíñg crítéríá: (1) ópérátés fór prófít, áñd (2) cóllécts cóñsúmér pérsóñál íñfórmátíóñ óñ Cálífórñíá résídéñts, áñd (3) áré dóíñg búsíñéss íñ Cálífórñíá – ÁÑD álsó cróssés át léást óñé óf thé thréshólds lístéd: (1) áññúál gróss révéñúés éxcééd $25 míllíóñ, ór (2) áññúállý búýs, récéívés, shárés ór sélls pérsóñál íñfórmátíóñ óf 50,000 ór móré cóñsúmérs, hóúséhólds, ór dévícés, ór (3) dérívés móré tháñ 50% óf íts áññúál révéñúé fróm séllíñg cóñsúmérs’ pérsóñál íñfórmátíóñ.]

[Álsó~, áñ éñ~títý~ ís có~ñsíd~éréd~ á “bús~íñés~s” áñd~ cóvé~réd b~ý CCP~Á íf í~t cóñ~tról~s ór í~s cóñ~tról~léd b~ý áñ é~ñtít~ý thá~t méé~ts th~é ábó~vé cr~ítér~íá áñ~d shá~rés c~ómmó~ñ brá~ñdíñ~g wít~h thá~t éñt~ítý.]

[Thé l~égál~ésé í~ñ thí~s séc~tíóñ~ ís á t~ád có~ñfús~íñg, s~ó ás á~ rémí~ñdér~, pléá~sé ch~éck w~íth ý~óúr l~égál~ cóúñ~sél t~ó dét~érmí~ñé íf~ ýóúr~ cómp~áñý í~s cóv~éréd~ bý CC~PÁ.]

[Whát~ áré t~hé có~véré~d órg~áñíz~átíó~ñs’ ób~lígá~tíóñ~s úñd~ér CC~PÁ¿]

[Máñý~ Tíér~ 1 áñd T~íér 2 l~áw fí~rms h~ávé p~úblí~shéd~ ártí~clés~ óñ th~ís tó~píc, s~ó Í wí~ll ñó~t spé~ñd á l~ót óf~ tímé~ óñ th~ís. Gó~óglé~ ís ýó~úr fr~íéñd~. Tó sú~mmár~ízé, t~hé ób~lígá~tíóñ~s íñc~lúdé~ bút á~ré ñó~t lím~ítéd~ tó:]

1. [Próv~ídé c~óñsú~mérs~ wíth~ á clé~ár wá~ý tó ó~pt-óú~t óf t~hé bú~síñé~ss’ sá~lé óf~ thé c~óñsú~mér’s~ pérs~óñál~ íñfó~rmát~íóñ. (Ñ~óté t~hát p~érsó~ñál í~ñfór~mátí~óñ ís~ ñót é~qúál~ tó PÍ~Í. Séé~ ñéxt~ qúés~tíóñ~ fór m~óré d~étáí~ls.)]
2. [Ñótí~fý th~é cóñ~súmé~r ábó~út ít~s dát~á cól~léct~íóñ, s~álé á~ñd dí~scló~súré~ prác~tícé~s.]
3. [Próv~ídé t~hé có~ñsúm~ér th~é ábí~lítý~ tó ác~céss~ thé p~érsó~ñál í~ñfór~mátí~óñ có~lléc~téd.]
4. [Próv~ídé t~hé có~ñsúm~ér th~é ábí~lítý~ tó ér~ásé/r~éqúé~st dé~létí~óñ óf~ pérs~óñál~ íñfó~rmát~íóñ c~óllé~ctéd~ bý th~é bús~íñés~s.]
5. [Ímpl~éméñ~t réá~sóñá~blé s~écúr~ítý p~rócé~dúré~s tó s~écúr~é cóñ~súmé~r dát~á fró~m dát~á bré~áché~s.]

[Whát~ ís có~ñsíd~éréd~ pérs~óñál~ íñfó~rmát~íóñ ú~ñdér~ CCPÁ~¿]

[Ñóté thát CCPÁ láñgúágé référs tó pérsóñál íñfórmátíóñ áñd ñót óñlý PÍÍ (pérsóñállý ídéñtífíáblé íñfórmátíóñ). Thé défíñítíóñ óf pérsóñál íñfórmátíóñ úñdér CCPÁ ís álsó qúíté bróád áñd íñclúdés bút ís ñót límítéd tó thé fóllówíñg cátégóríés:]

• [Díré~ct íd~éñtí~fíér~s – réá~l ñám~é, álí~ás, pó~stál~ áddr~éss, s~ócíá~l séc~úrít~ý ñúm~bérs~, drív~ér's~ lícé~ñsé, p~ássp~órt í~ñfór~mátí~óñ, áñ~d síg~ñátú~ré. Th~ésé á~ré có~ñsíd~éréd~ PÍÍ.]
• [Íñdí~réct~ ídéñ~tífí~érs – c~óókí~és, bé~ácóñ~s, píx~él tá~gs, té~léph~óñé ñ~úmbé~rs, ÍP~ áddr~éssé~s, ácc~óúñt~ ñámé~s.]
• [Bíóm~étrí~c dát~á – fác~é, rét~íñá, f~íñgé~rprí~ñts, D~ÑÁ, vó~ícé r~écór~díñg~s, héá~lth d~átá. T~hésé~ áré c~óñsí~déré~d PÍÍ~.]
• [Géól~ócát~íóñ – l~ócát~íóñ h~ístó~rý ví~á dév~ícés~.]
• [Íñté~rñét~ áctí~vítý~ – brów~síñg~ híst~órý, s~éárc~h hís~tórý~, dátá~ óñ íñ~térá~ctíó~ñ wít~h á wé~bpág~é, ápp~lícá~tíóñ~ ór ád~vért~ísém~éñt.]
• [Séñs~ítív~é íñf~órmá~tíóñ~ – pérs~óñál~ chár~ácté~ríst~ícs, b~éháv~íór, r~élíg~íóús~ ór pó~lítí~cál c~óñví~ctíó~ñs, sé~xúál~ préf~éréñ~cés, é~mpló~ýméñ~t áñd~ édúc~átíó~ñ dát~á, fíñ~áñcí~ál áñ~d méd~ícál~ íñfó~rmát~íóñ.]

[Ýóú s~hóúl~d ché~ck wí~th ýó~úr lé~gál c~óúñs~él áñ~d séc~úrít~ý téá~ms tó~ cóñf~írm t~hé cá~tégó~ríés~ cóvé~réd b~ý thé~ CCPÁ~ prív~ácý á~ñd dá~tá br~éách~ sécú~rítý~ cláú~sés. T~hís á~ñálý~sís w~íll h~élp ý~óú dé~térm~íñé t~hé sc~ópé ó~f ýóú~r CCP~Á-rél~átéd~ sécú~rítý~ óblí~gátí~óñs.]

[Síñc~é ýóú~ áré l~íkél~ý thí~ñkíñ~g ábó~út CC~PÁ fr~óm th~é pér~spéc~tívé~ óf dá~tá br~éách~ éxpó~súré~, Í wáñ~t tó d~óúbl~é-clí~ck óñ~ thís~ íssú~é.]

[Whát~ áré t~hé sé~cúrí~tý ób~lígá~tíóñ~s úñd~ér CC~PÁ¿]

[Thé óffícíál CCPÁ dócúméñt ís súrprísíñglý shórt, áñd íf ýóú hávé thé cháñcé tó réád ít, ýóú wíll réálízé thát théré ís ñó préscríptívé láñgúágé óñ dátá sécúrítý. Ít dóés íñclúdé thé dátá bréách cláúsé, whích créátés á príváté ríght óf áctíóñ fór dátá bréáchés árísíñg fróm fáílúré tó máíñtáíñ “réásóñáblé sécúrítý” úñdér Cálífórñíá Cívíl Códé 1798.81.5 (d)(1)(Á). (Áñóthér rémíñdér tó pléásé chéck wíth ýóúr láwýér).]

[Ít ál~só íñ~clúd~és lá~ñgúá~gé óñ~ á cóñ~súmé~r’s dá~tá br~éách~ rígh~ts, wh~ích p~éñál~ízés~ cóvé~réd b~úsíñ~éssé~s fór~ bréá~chés~ árís~íñg f~róm á~ “víól~átíó~ñ óf t~hé dú~tý tó~ ímpl~éméñ~t áñd~ máíñ~táíñ~ réás~óñáb~lé sé~cúrí~tý pr~ócéd~úrés~ áñd p~ráct~ícés~”.]

[Whát~ ís th~é réc~ómmé~ñdát~íóñ f~ór ím~plém~éñtí~ñg “ré~ásóñ~áblé~ sécú~rítý~ méás~úrés~”¿]

[CCPÁ dóés ñót próvídé préscríptívé gúídáñcé óñ “réásóñáblé sécúrítý.” Kámálá Hárrís, whó wás thé CÁ Státé ÁG dúríñg tímé thé láw wás dráftéd, ópíñéd íñ thé CÁ Dátá Bréách Répórt 2012-2015 thát thé státé cóñsídérs thé Céñtér fór Íñtérñét Sécúrítý (CÍS) Tóp 20 Sécúrítý Cóñtróls ás thé básélíñé fór réásóñáblé sécúrítý prócédúrés áñd práctícés. Théré hás bééñ ñó úpdáté tó thís ópíñíóñ fróm thé cúrréñt CÁ Státé ÁG, Xávíér Bécérrá, só wé cáñ ássúmé thát thé 2016 récómméñdátíóñs stíll stáñd.]

[Whát~ áré t~hé CÍ~S Tóp~ 20 Sécú~rítý~ Cóñt~róls~¿]

[Thé CÍS Tóp 20 Sécúrítý Cóñtróls Fráméwórk hás bééñ áróúñd fór móré tháñ 10 ýéárs áñd ís úpdátéd fréqúéñtlý. Thé fráméwórk ís dérívéd fróm thé móst cómmóñ áttáck páttérñs híghlíghtéd íñ thé léádíñg thréát répórts áñd véttéd ácróss á vérý bróád cómmúñítý óf góvérñméñt áñd íñdústrý práctítíóñérs. Ít réflécts thé cómbíñéd kñówlédgé óf cómmércíál áñd góvérñméñt fóréñsíc áñd íñcídéñt réspóñsé éxpérts. Ít ís ñó súrprísé thát thé CÁ Státé ÁG wóúld récómméñd thís fráméwórk ás thé básélíñé, bécáúsé máñý órgáñízátíóñs álréádý táké thís áppróách, áñd théñ áúgméñt thé cóñtróls tó áddréss théír éñvíróñméñt’s spécífíc réqúíréméñts.]

[Júst tó bé cléár, ýóú cáññót rélý óñ á síñglé pródúct tó ímpléméñt thésé cóñtróls. Ídéállý, ýóú wíll wáñt á sólútíóñ thát súppórts thé éñábléméñt óf thésé cóñtróls áñd hás róbúst ÁPÍs tó pláý wéll wíth ýóúr óthér sécúrítý íñvéstméñts súch ás ýóúr SÍÉM, vúlñérábílítý scáññérs, CMDB, SCMs, cóñtáíñér órchéstrátíóñ, étc.]

[Íllúmíó díréctlý mééts áñd súppórts 16 óf thé CÍS Tóp 20 Sécúrítý Cóñtróls. Héré ís á hígh-lévél máppíñg fór éásý víéwíñg. Í récéñtlý áúthóréd á sépáráté blóg óñ Máppíñg Íllúmíó tó thé CÍS Tóp 20 Cóñtróls íf ýóú wáñt tó dóúblé-clíck óñ éách óf thésé cóñtróls. (Ñóté: “súppórts” íñ thé Íllúmíó cápábílítý cólúmñ méáñs thát cústómérs úsé Íllúmíó dátá ór féátúré tó éñáblé á pórtíóñ óf thé cóñtról.]

[Hów c~áñ ór~gáñí~zátí~óñs ú~sé Íl~lúmí~ó áñd~ thé C~ÍS Tó~p 20 Séc~úrít~ý Cóñ~tról~s Frá~méwó~rk tó~ éñáb~lé th~é “réá~sóñá~blé s~écúr~ítý m~éású~rés” r~éqúí~rémé~ñts ó~f CCP~Á¿]

[Íf ýó~ú háv~é ádó~ptéd~ thé C~ÍS Tó~p 20 Cóñ~tról~s tó m~éét ý~óúr C~CPÁ s~écúr~ítý ó~blíg~átíó~ñs, ýó~ú cáñ~ úsé Í~llúm~íó tó~:]

1. [Gáíñ béttér vísíbílítý áñd éfféctívélý ásséss thé scópé óf sécúrítý óblígátíóñs. CCPÁ réqúírés órgáñízátíóñs tó créáté áñd máíñtáíñ áñ íñvéñtórý óf áll résóúrcés áñd ápplícátíóñs thát cólléct áñd stóré cóñsúmér dátá. Tó áddréss thís, Íllúmíó próvídés réál-tímé vísíbílítý. Ýóú cáñ úsé thé ápplícátíóñ dépéñdéñcý máp tó stárt créátíñg ýóúr íñvéñtórý áñd tó válídáté thé áccúrácý óf thé íñfórmátíóñ týpícállý fóúñd íñ státíc, póíñt-íñ-tímé tóóls líké ássét máñágéméñt áñd CMDB sýstéms. Wíth líttlé éffórt, ýóú cáñ séé whích ápplícátíóñs, dátá stórés, máchíñés, wórklóáds, áñd éñdpóíñts áré íñ-scópé fór CCPÁ, áñd whích cóññéctíóñs áñd flóws áré áúthórízéd.]
2. [Rédú~cé ýó~úr] [áttá~ck sú~rfác~é][ áñd máké ít móré díffícúlt fór bád áctórs tó réách ýóúr CCPÁ dátá. Íllúmíó hélps ýóú désígñ áñd ápplý pólícíés tó ríñgféñcé ápplícátíóñs áñd tráffíc bétwééñ wórklóáds, bétwééñ wórklóáds áñd úsérs, áñd bétwééñ úsér éñdpóíñts bý prógrámmíñg thé Láýér 3/Láýér 4 státéfúl fíréwálls thát résídé íñ éách hóst.]
3. [Máíñ~táíñ~ áñd m~óñít~ór ýó~úr mí~cró-s~égmé~ñtát~íóñ] [sécú~rítý~ póst~úré][. Íllúmíó’s ágéñts, béttér kñówñ ás VÉÑs, áct líké séñsórs áñd cóñtíñúóúslý móñítór ýóúr éñvíróñméñt fór ñéw wórklóád áñd éñd-úsér cóññéctíóñs, áñd álsó fór cháñgés íñ cóññéctívítý tó áñý dátá áñd ápplícátíóñs thát áré íñ scópé fór CCPÁ. Ít cáñ álsó blóck úñáúthórízéd cóññéctíóñs ór áttémpts tó cóññéct.]
4. [Íñcréásé tímé tó sécúrítý cómplíáñcé. Thé CCPÁ déádlíñé wás Jáñúárý 1, 2020. Éñfórcéméñt, áúdíts, áñd répórtíñg bégáñ óñ Júlý 1, 2020. Íllúmíó wíll hélp méét thé CÍS 20 cóñtróls qúícklý bý áccélérátíñg pláññíñg áñd désígñ wíth réál-tímé vísíbílítý áñd lábél-báséd pólícý módélíñg. Á múltí-ÓS, hóst lévél mícró-ségméñtátíóñ sólútíóñ méáñs thát ýóú dó ñót hávé tó ré-árchítéct ýóúr ñétwórk/SDÑ.]

[Íf ýó~ú’d lí~ké tó~ léár~ñ mór~é ábó~út Íl~lúmí~ó’s cá~pábí~lítí~és, ch~éck ó~út Íl~lúmí~ó Cór~é.]