Edtech-компания оштрафована за утечку персональных данных

Компания Illuminate Education наказана за утечку персональных данных клиентов. В результате утечки персональных данных пострадали миллионы учащихся.

В начале ноября генеральные прокуроры трех американских штатов объявили, что компания Illuminate Education, разрабатывающая ИТ-решения для образовательной отрасли (направление edtech), выплатит штраф в размере 5,1 млн долларов США и согласится внести ряд изменений в свою деятельность.

Illuminate Education урегулирует обвинения в том, что ненадлежащие методы обеспечения безопасности привели к утечке данных в 2021 году.

В результате инцидента ИБ в Illuminate Education были раскрыты имена учащихся, их расовая принадлежность, закодированные данные о состоянии здоровья, а также информация о том, предоставлялись ли им специальные образовательные услуги. Инцидент затронул данные учащихся в 49 штатах. Только в Калифорнии пострадали три миллиона человек.

Согласно пресс-релизу калифорнийской прокуратуры, к взлому Illuminate Education привели несколько нарушений безопасности. В частности, компания не удалила учетные данные уволившегося сотрудника. Прокуратура предполагает, что именно этот аккаунт для доступа к сети Illuminate использовал хакер, укравший конфиденциальные данные.

Кроме того, в пресс-релизе отмечается, что взломанная edtech-компания не контролировала свои системы на предмет аномальной активности и не обеспечила раздельную защиту баз данных. Поскольку хранилища информации не были разделены, резервные копии также были скомпрометированы при взломе активной базы данных.

В рамках урегулирования дела Illuminate Education согласилась укрепить контроль доступа и управление учетными записями. Компания также обязуется вести мониторинг подозрительной активности в режиме реального времени и прекратить хранение резервных копий баз данных в той же сети, что и активные базы данных.

В заявлении для СМИ представитель Illuminate Education напомнил, что его компания в августе 2022 г. была поглощена другим игроком на рынке edtech — компанией Renaissance.

«С момента сделки Renaissance интегрировала продукты Illuminate в свою программу кибербезопасности и защиты данных, которая включает в себя надежные протоколы безопасности и средства контроля, используемые для защиты целостности и конфиденциальности данных, доверенных нам школами, преподавателями и семьями», — говорится в заявлении.

Источник: The Record