La fiscal general de Nueva York, Letitia James, informó sobre un acuerdo multiestatal con The Home Depot, Inc., que resuelve una investigación sobre una masiva violación de datos en 2014, que comprometió la información de las tarjetas de pago de aproximadamente 40 millones de consumidores de Estados Unidos.
El acuerdo de hoy resuelve el ciberataque al requerir que The Home Depot pague a 46 estados y al Distrito de Columbia un total de 17.5 millones de dólares, de los cuales US$597,459.80 irán al estado de Nueva York. Además del pago, The Home Depot también ha acordado una serie de prácticas de seguridad de datos diseñadas para fortalecer su programa de seguridad de la información y salvaguardar la información personal de los consumidores.
“Los neoyorquinos tienen todas las expectativas razonables de que su información financiera personal permanezca privada y protegida”, dijo la fiscal general James. “En lugar de construir un sistema seguro, The Home Depot falló en proteger a los consumidores y puso sus datos en riesgo. Mi oficina está comprometida a proteger a los consumidores, por lo que continuaremos usando cada instrumento de nuestra caja de herramientas para hacer responsables a las empresas que no logren salvaguardar la información personal”.
La violación de datos ocurrió cuando los hackers obtuvieron acceso a la red de The Home Depot y desplegaron malware en el sistema de puntos de venta de la compañía. El malware permitió a los hackers obtener la información de las tarjetas de pago de los clientes que utilizaron los carriles de auto-registro en las tiendas de The Home Depot en todo EE.UU. entre el 10 de abril de 2014 y el 13 de septiembre de 2014.
Como parte del acuerdo, The Home Depot también hará una serie de provisiones a sus protocolos de seguridad, incluyendo:
– El empleo de un jefe de seguridad de la información debidamente calificado, que informe tanto a los ejecutivos de alto nivel o de nivel C, como a la junta directiva sobre la postura de seguridad de The Home Depot y los riesgos de seguridad.
– Proporcionar los recursos necesarios para implementar completamente el programa de seguridad de la información de la compañía.
– Proporcionar la capacitación adecuada en materia de seguridad y privacidad a todo el personal que tenga acceso a la red de la empresa o que sea responsable de la información personal de los consumidores estadounidenses.
– Empleando salvaguardias de seguridad específicas con respecto al registro y la supervisión, los controles de acceso, la gestión de contraseñas, la autenticación de dos factores, la supervisión de la integridad de los archivos, los cortafuegos, la codificación, las evaluaciones de riesgos, las pruebas de penetración, la detección de intrusos y la gestión de cuentas de proveedores.
– Se someterá a una evaluación de la seguridad de la información después del acuerdo – consistente con los acuerdos anteriores de violación de datos del estado – que, en parte, evaluará su implementación del programa de seguridad de la información acordado.
Junto con la fiscal general James, en la presentación del acuerdo multiestatal, están los fiscales generales de Alaska, Arizona, Arkansas, California, Colorado, Connecticut, Delaware, Florida, Georgia, Hawai, Idaho, Illinois, Indiana, Iowa, Kansas, Kentucky, Louisiana, Maine, Maryland, Massachusetts, Michigan, Minnesota, Mississippi, Missouri, Montana, Nebraska, Nevada, Nueva Jersey, Nuevo México, Carolina del Norte, Dakota del Norte, Ohio, Oklahoma, Oregón, Pensilvania, Rhode Island, Carolina del Sur, Tennessee, Texas, Utah, Vermont, Virginia, Washington, Virginia Occidental, Wisconsin, y el Distrito de Columbia.
