ملخص
- أصبح حادث فدية Blackbaud في عام 2020 اختبارًا للمساءلة السحابية لأن السجل العام انتقل من إشعار عميل موجز إلى أدلة تقارير هيئة الأوراق المالية والبورصات (SEC) ولجنة التجارة الفيدرالية (FTC) والنائب العام للولاية والعملاء والتقارير العامة حول الملفات المنسوخة والحقول الحساسة وتوقيت الإشعار والاحتفاظ.
- من كان لديه السيطرة العملية على بيانات المستأجرين وأدلة الاختطاف والاتصال بدفع الفدية وتوقيت إخطار العملاء والتعاون مع الجهات التنظيمية وإثبات أن مكونات المنظمات غير الربحية لم تصبح تكلفة خفية للتركيز السحابي؟
- قضية المساءلة ليست فقط أن المهاجم نسخ البيانات. بل إن المؤسسات الموجهة بالمهمة اعتمدت على تحقيق البائع وجرد البيانات وادعاءات الحذف وضوابط الإفصاح قبل أن تتمكن من إخطار المتبرعين والخريجين والطلاب والمرضى والداعمين.
- تشمل الحقائق المؤكدة إفصاح Blackbaud لاحقًا في نموذج 8-K علىhttps://investor.blackbaud.com/static-files/58a4ae64-afc5-45f7-81df-69dfc93888fc، وأمر هيئة الأوراق المالية والبورصات علىhttps://www.sec.gov/files/litigation/admin/2023/33-11165.pdf، وبيان هيئة الأوراق المالية والبورصات الصحفي علىhttps://www.sec.gov/intelligence team/press-releases/2023-48، وبيان لجنة التجارة الفيدرالية علىhttps://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-order-will-require-blackbaud-delete-unnecessary-data-boost-safeguards-settle-charges-its-lax، وإعلان تسوية Blackbaud متعددة الولايات علىhttps://www.blackbaud.com/intelligence team/article/blackbaud-resolves-multi-state-attorneys-general-investigation-of-2020-security-incident.
- يجب أن تظل الاستنتاجات المدعومة محدودة: لا يستطيع العملاء غير الربحيين التحقق بشكل مستقل من محتويات الملفات المختطفة أو حذف المهاجم أو نطاق الحقول الحساسة بدون أدلة Blackbaud، لكن السجل العام لا يكشف كل أثر جنائي أو مجموعة بيانات خاصة بالعميل أو أثر علاجي.
لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة
تنتمي Blackbaud إلى ملف المخاطر والمساءلة لأن العميل المرئي نادرًا ما كان الشخص النهائي المكشوف. قد تكون جامعة أو مؤسسة مستشفى أو بنك طعام أو مؤسسة خيرية لرعاية الطفل أو منظمة دينية أو مدرسة أو متحف أو مؤسسة بحثية أو مؤسسة غير ربحية للخدمة العامة قد اشترت برنامج Blackbaud. السجلات الموجودة داخل تلك الأنظمة تعود إلى المتبرعين والخريجين والمرضى ومتطوعي الحملات والطلاب وحضور الفعاليات والمستفيدين والأمناء والموظفين والداعمين. ربما لم ير هؤلاء الأشخاص شاشة تسجيل دخول Blackbaud أبدًا. لقد تم تمثيلهم للبائع من قبل مؤسسة وثقوا بها من أجل مهمة، وليس بحساب استهلاكي عادي.
الجدول الزمني العام الأساسي مفيد بشكل غير عادي. يقول أمر هيئة الأوراق المالية والبورصات على SEC source إن Blackbaud اكتشفت الوصول غير المصرح به في 14 مايو 2020 وأن تحقيق الشركة أشار إلى أن الوصول ربما بدأ في وقت مبكر من فبراير 2020. يقول الأمر إن الحادث أدى إلى الوصول غير المصرح به واختطاف أكثر من مليون ملف تخص أكثر من 13,000 عميل. أعلنت Blackbaud عن الحادث وأخطرت العملاء المتأثرين في 16 يوليو 2020.
ثم يقول أمر هيئة الأوراق المالية والبورصات إن الموظفين علموا في غضون أيام أن التصريحات السابقة حول معلومات الحساب المصرفي للمتبرعين وأرقام الضمان الاجتماعي كانت خاطئة لبعض العملاء، لكن نموذج 10-Q للشركة في 4 أغسطس 2020 لم يفصح عن ذلك النطاق الأوسع ووصف المخاطر بأنها افتراضية.
إفصاح Blackbaud اللاحق في نموذج 8-K، المتاح على source: investor.blackbaud.com، غيّر صورة المخاطر العامة. قال إن التحقيق الجنائي الإضافي وجد أنه بالنسبة لبعض العملاء الذين تم إخطارهم، ربما يكون المهاجم قد وصل إلى حقول غير مشفرة مخصصة لمعلومات الحساب المصرفي وأرقام الضمان الاجتماعي وأسماء المستخدمين و/أو كلمات المرور. هذا لا يعني أن كل عميل تعرض لتلك الحقول. لكنه يعني أن بنية الإشعار الأصلية فشلت في حمل عدم اليقين الكامل وأن بعض العملاء احتاجوا إلى دعم إضافي.
سؤال المساءلة هو بالتالي عملي. من كان لديه السيطرة العملية على بيانات المستأجرين وأدلة الاختطاف والاتصال بدفع الفدية وتوقيت إخطار العملاء والتعاون مع الجهات التنظيمية وإثبات أن مكونات المنظمات غير الربحية لم تصبح تكلفة خفية للتركيز السحابي؟ تبدأ الإجابة مع Blackbaud لأن Blackbaud سيطرت على البيئة المستضافة والتحقيق والإخطارات الأولى للعملاء ووضع الاحتفاظ بالبيانات والملفات الخاصة بالخدمة وتدفق الأدلة الذي احتاجته المؤسسات النهائية لإخطار مجتمعاتها.
هذا لا يمحو مسؤولية العميل. يقرر العملاء ما هي البيانات التي يجمعونها وما هي الحقول التي يستخدمونها وما هي المرفقات التي يحملونها ومدة الاحتفاظ بالسجلات القديمة وكيفية التواصل مع مكوناتهم. لكن مسؤولية العميل تجلس خلف بوابة أدلة البائع. إذا لم تستطع مؤسسة غير ربحية رؤية ملفات Blackbaud التي تم نسخها، أو لا تستطيع التحقق مما إذا كان الحقل مشفرًا، أو لا تستطيع فحص اتصالات المهاجم، أو لا تستطيع تأكيد حذف البيانات بشكل مستقل، فإن انضباط أدلة البائع يصبح الشرط المسيطر على مساءلة الجميع الآخرين.
الجدول الزمني هو قضية ضوابط الإفصاح، وليست مجرد قضية اختراق
الجدول الزمني مهم لأنه يظهر أن المساءلة لم تنته عندما تم طرد المهاجم. لقد تحولت إلى ضوابط الإفصاح. يقول بيان هيئة الأوراق المالية والبورصات الصحفي على SEC source إن Blackbaud وافقت على دفع غرامة مدنية قدرها 3 ملايين دولار أمريكي لتسوية اتهامات بالإفصاحات المضللة، دون الاعتراف أو إنكار نتائج هيئة الأوراق المالية والبورصات. النقطة المهمة لهذا الملف ليست مبلغ الدولار. إنه فشل السيطرة الموصوف من قبل هيئة الأوراق المالية والبورصات: علم الموظفون الفنيون وموظفو علاقات العملاء بمعلومات حول البيانات الحساسة لم تصل إلى الإدارة العليا المسؤولة عن الإفصاح العام قبل تقديم أغسطس 2020.
هذا نمط فشل مختلف عن فجوة جدار الحماية أو اختراق نقطة النهاية. إنها فجوة توجيه الأدلة. في حادث سحابي، تتحرك الحقائق من محققي نقطة النهاية إلى فرق المنتج ونصوص دعم العملاء والمحامين والمديرين التنفيذيين والجهات التنظيمية والمستثمرين والعملاء. إذا لم تتحرك تلك الحقائق بالسرعة الكافية أو بالدقة الكافية، يمكن أن يخبر السجل العام الأشخاص المتأثرين بالشيء الخطأ حتى بعد أن تعلم الشركة أن الإشعار الأول كان غير مكتمل. بالنسبة للعملاء الموجهين بالمهمة، هذا التأخير ليس تجريدًا من علاقات المستثمرين.
إنه يقرر متى يمكن للمتبرع تجميد حسابه البنكي، ومتى يمكن للمريض مراقبة إساءة استخدام الهوية، ومتى يمكن للجامعة إخطار الخريجين، ومتى يمكن للمؤسسة الخيرية الإجابة على الداعمين القلقين.
يصف أمر هيئة الأوراق المالية والبورصات تسلسلًا حادًا بشكل خاص. إشعار Blackbaud في 16 يوليو قال إن المهاجم لم يصل إلى معلومات الحساب المصرفي للمتبرعين أو أرقام الضمان الاجتماعي. أثارت أسئلة العملاء بعد ذلك مخاوف من أن البيانات الحساسة قد تم تخزينها في مرفقات أو حقول غير مشفرة. بحلول 21 يوليو، وفقًا لأمر هيئة الأوراق المالية والبورصات، كان الموظفون قد طوروا نص خدمة عملاء يعترف بأن بعض المرفقات والحقول التي تُستخدم بشكل محتمل لهذه الفئات لم تكن مشفرة. بحلول نهاية يوليو، كان الموظفون قد أكدوا الوصول واختطاف بعض معلومات الحساب المصرفي للمتبرعين غير المشفرة وأرقام الضمان الاجتماعي لعدد من العملاء المتأثرين.
نموذج 10-Q في 4 أغسطس لم يتضمن ذلك التصحيح الجوهري.
لجنة التجارة الفيدرالية (FTC) لاحقًا صاغت نفس الحدث من خلال حماية المستهلك والاحتفاظ بالبيانات. بيانها على FTC source يقول إن Blackbaud فشلت في تنفيذ الضمانات المناسبة، وسمحت للاختراق بالمرور دون كشف لعدة أشهر، واحتفظت بالبيانات لفترة أطول من اللازم، ودفعت 24 بيتكوين بعد أن هدد المهاجم بكشف البيانات المسروقة، ولم تتحقق أبدًا من أن المهاجم حذف البيانات. هذه مزاعم وشروط أمر من لجنة التجارة الفيدرالية، وليست سجلات جنائية خاصة تم كشفها من قبل Blackbaud. لكنها لا تزال مركزية لأنها تحدد معيار المساءلة العام: الأمان والاحتفاظ والكشف والإخطار ودليل الحذف هم سلسلة واحدة.
لهذا السبب هذه قضية اعتماد على الخدمة السحابية. لم يكن العملاء بحاجة فقط إلى استجابة الحوادث الخاصة بهم. بل كانوا بحاجة إلى أدلة من البائع يمكن تحويلها إلى إخطارات قانونية ودقيقة خاصة بالعميل. لا يمكن لمؤسسة خيرية أن تقول بمسؤولية للداعمين "لا حاجة إلى اتخاذ إجراء" إذا كانت مراجعة البائع نفسه ليست قوية بما يكفي لدعم هذا البيان. لا يمكن للجامعة أن تخبر الخريجين ما إذا كانت الحقول المصرفية أو أرقام الهوية متورطة إذا كان البائع قد حلل فقط أسماء الملفات وليس المحتويات ذات الصلة. يصبح توقيت الإشعار سطح تحكم.
بيانات المؤسسات الخيرية ليست منخفضة المخاطر لأن المؤسسة خيرية
عبارة "بيانات المؤسسات الخيرية" قد تبدو لينة. إنها ليست كذلك. يمكن أن تحتوي قاعدة بيانات المتبرعين على أسماء وعناوين منزلية وعناوين بريد إلكتروني وأرقام هواتف وتواريخ ميلاد وعلاقات عائلية ومعلومات عن صاحب العمل ومؤشرات ثروة واهتمامات بالتبرع العقاري وتاريخ تبرع متكرر وتفاصيل بنكية وحضور فعاليات وتفضيلات تطوعية وانتماءات مجلسية وملاحظات حملات وارتباط ديني أو سياسي وعلاقات مؤسسة صحية وتاريخ اتصال يكشف روابط خاصة. في سياق جامعي، يمكن أن تتضمن سجلات الخريجين الدرجة والسنة ومعرفات الطلاب وأنماط المشاركة وتفاصيل المهنة والقدرة الخيرية.
في سياق مؤسسة رعاية صحية، يمكن أن توحي العلاقة المؤسسية بقرب صحي حساس حتى عندما لا تكون السجلات السريرية في النظام المخترق.
نموذج Blackbaud 10-K لعام 2023 على SEC source يصف منتجات إدارة جمع التبرعات والعلاقات بما في ذلك Raiser's Edge NXT وBlackbaud CRM وeTapestry وLuminate Online وTeamRaiser وJustGiving وFundraiser Performance Management وAltru. أوصاف المنتج مهمة لأنها تظهر سطح الاعتماد: جمع التبرعات ونماذج التبرعات وإدارة الحملات والعطاء الرقمي وجمع التبرعات للأحداث والتحليلات والمشاركة والعضوية وسجلات المكونات. هذه ليست ملفات عملاء معزولة. إنها ذاكرة تشغيلية للمؤسسات التي غالبًا ما يكون لها علاقات طويلة مع الناس.
إخطارات العملاء تجعل الطبقة البشرية مرئية. إشعار جامعة ألاباما على source: giving.ua.edu قال إن Blackbaud أبلغت الجامعة في 16 يوليو 2020 أن هجوم فدية حدث في مايو وأن مجموعة فرعية من بيانات العديد من العملاء تم نسخها. إشعار نظام UNC على source: northcarolina.edu وصف Blackbaud كواحدة من أكبر مزودي إدارة علاقات المكونات في العالم للتعليم العالي وقال إن بيئة البيانات المستضافة ذاتيًا قد تأثرت. إشعار جامعة إدنبرة نابير على source: napier.ac.uk أدرج فئات تشمل تفاصيل الاتصال وتفاصيل الدورة التعليمية والمشاركة في أنشطة الخريجين وجمع التبرعات والتفاصيل المهنية والاهتمامات المقدمة من خلال الاستبيانات.
إخطارات المؤسسات الخيرية لم تكن متطابقة لأن بيانات العملاء لم تكن متطابقة. إشعار Child & Family Service على source: childandfamilyservice.org أشار إلى معلومات السيرة الذاتية والاتصال وتاريخ التبرع والعلاقات. إشعار Task Force for Global Health على source: taskforce.org وصف حادث بائع طرف ثالث وتحقيقًا في تأثير بيانات المتبرعين. إشعار Ridgewater College على source: ridgewater.edu قال إن Blackbaud استُهدفت بين 7 فبراير وحتى 20 مايو 2020 وأبلغت الكلية في 16 يوليو. هذه الإخطارات قيمة لأنها تظهر المؤسسات النهائية تترجم حدث بائع واحد إلى العديد من علاقات الثقة المحلية.
مشكلة المساءلة هي أن تلك المؤسسات النهائية كانت ضحايا ورسلًا في نفس الوقت. كان عليهم الإجابة على أسئلة المتبرعين والخريجين والداعمين مع الاعتماد على تحقيق Blackbaud. وكان عليهم أيضًا تقييم ما إذا كانت ممارسات البيانات الخاصة بهم جعلت التأثير أسوأ: هل خزنوا بيانات حساسة في حقول نص حر؟ هل رفعوا مرفقات غير مشفرة؟ هل احتفظوا بسجلات قديمة بدون غرض حالي؟ هل فهموا كيف احتفظت Blackbaud ببيانات العملاء السابقين؟ البائع سيطر على المنصة، لكن العملاء سيطروا على بعض خيارات البيانات داخلها. المساءلة تتبع كلتا الطبقتين، بالترتيب.
الحقائق المؤكدة والاستنتاجات المدعومة والمجهولات يجب أن تبقى منفصلة
الحقائق العامة المؤكدة كافية لجعل القضية خطيرة. يقول أمر هيئة الأوراق المالية والبورصات إن أكثر من مليون ملف تخص أكثر من 13,000 عميل تم الوصول إليها واختطافها. يقول إن الشركة اكتشفت الهجوم في 14 مايو 2020، وأعلنت الحادث وأخطرت العملاء المتأثرين في 16 يوليو، وقدمت نموذج 10-Q في 4 أغسطس، وكشفت في نموذج 8-K في 29 سبتمبر أن حقولًا غير مشفرة مخصصة لمعلومات الحساب المصرفي وأرقام الضمان الاجتماعي وأسماء المستخدمين و/أو كلمات المرور ربما تم الوصول إليها لبعض العملاء.
بيان لجنة التجارة الفيدرالية يقول إن الاختراق لم يُكتشف لمدة ثلاثة أشهر، وبيانات ملايين المستهلكين الشخصية كانت متورطة، والاحتفاظ غير الضروري بالبيانات كان جزءًا من المشكلة، والأمر تطلب حذف البيانات غير الضرورية بالإضافة إلى برنامج أمن معلومات شامل.
نتائج الإنفاذ المؤكدة واضحة أيضًا. إعلان Blackbaud في أكتوبر 2023 على source: blackbaud.com يقول إنها وافقت على دفع 49.5 مليون دولار أمريكي لـ 49 ولاية ومقاطعة كولومبيا وتنفيذ أو تحسين برامج وأدوات الأمن السيبراني، مع عدم الإدلاء بتصريحات مضللة تتعلق بحماية البيانات والخصوصية والأمان والسرية والنزاهة وشؤون الإخطار بالاختراق. بيان المدعي العام لنيويورك على source: ag.ny.gov وصف التسوية بأنها تحل تحقيقًا متعدد الولايات في كشف معلومات المتبرعين. بيان المدعي العام لولاية كاليفورنيا على source: oag.ca.gov أعلن عن تسوية منفصلة بقيمة 6.75 مليون دولار أمريكي في 2024. هذه سجلات تسوية مدنية، وليست نتائج جنائية.
الاستنتاجات المدعومة أضيق. من المعقول استنتاج أن العديد من العملاء لم يتمكنوا من تحديد نطاق محتوى الملف بشكل مستقل من أنظمتهم الخاصة لأن الحادث حدث داخل بيئة Blackbaud ولأن أمر هيئة الأوراق المالية والبورصات يصف مراجعة Blackbaud لأسماء الملفات ومخاوف العملاء اللاحقة بشأن الحقول غير المشفرة. من المعقول استنتاج أن جودة الإشعار كانت متفاوتة لأن الإخطارات النهائية اعتمدت على معلومات البائع المتطورة. من المعقول استنتاج أن الاحتفاظ غير الضروري زاد من عدد الأشخاص المكشوفين لأن لجنة التجارة الفيدرالية ادعت أن Blackbaud احتفظت بالبيانات لفترة أطول من اللازم، بما في ذلك المعلومات التي تخص عملاء سابقين.
يجب أن تظل المجهولات مجهولة. السجل العام لا يعطي قائمة كاملة بكل عميل متأثر، وكل شخص متأثر، وكل اسم ملف، وكل حقل منسوخ، وكل حقل مشفر، وكل مثيل منتج خاص بالعميل، وكل إشعار خاص، وكل اتصال مع جهات إنفاذ القانون، وكل اتصال مع المهاجم، وكل استنتاج جنائي، وكل تحسين أمني. لا يثبت أن كل سجل منسوخ أسيء استخدامه. لا يثبت أن حذف المهاجم حدث. لا يثبت أن جميع العملاء خزنوا البيانات بمسؤولية. كما لا يثبت أن جميع العلاجات اللاحقة كانت غير فعالة. ملف المساءلة المسؤول لا يجب أن يملأ تلك الفجوات باتهامات غير مدعومة.
هذا الفصل ليس مجرد لطف قانوني. إنه الانضباط الذي يجب أن تستخدمه استجابة الحوادث نفسها. الحقائق المؤكدة تخبر الناس بالإجراء الذي يجب اتخاذه. الاستنتاجات المدعومة تخبر العملاء بالأسئلة التي يجب طرحها. المجهولات تخبر الجهات التنظيمية بمكان طلب الأدلة. إذا تم دمج الفئات الثلاث، يصبح التواصل بشأن الاختراق إما راحة كاذبة أو هلع. قضية Blackbaud تظهر لماذا يجب أن تكون الفئات صريحة من أول إشعار.
دفع الفدية ليس دليل حذف
سجل دفع الفدية مركزي لأن العديد من الإخطارات النهائية كررت فكرة أن Blackbaud دفعت وتلقت تأكيدات بأن البيانات المنسوخة دُمّرت. بيان لجنة التجارة الفيدرالية على FTC source ينص على أن Blackbaud دفعت 24 بيتكوين بعد أن هدد المهاجم بكشف البيانات و، وفقًا للجنة التجارة الفيدرالية، لم تتحقق أبدًا من أن المهاجم حذف بالفعل البيانات المسروقة. إخطارات العملاء مثل إدنبرة نابير وChild & Family Service وجامعة ألاباما وصفت تأكيدات أو تأكيدًا من Blackbaud بشأن الحذف. تظهر هذه الإخطارات الاعتماد النهائي على لغة البائع.
قضية المساءلة هي أن دفع الفدية يمكن أن يكون قرار أزمة، لكنه ليس تحكمًا أمنيًا. لا يثبت الحذف. لا يثبت أنه لم يتم عمل نسخة. لا يثبت أنه لم يتم عرض أي بيانات. لا يغلق قضية الاحتفاظ. لا يخطر الأشخاص المتأثرين. لا يصلح مسار الوصول. لا يحل محل التشفير والتقسيم والمصادقة متعددة العوامل وإدارة الثغرات والمراقبة والامتياز الأقل والتحقق من النسخ الاحتياطي وتقليل البيانات وضوابط الإفصاح.
دليل CISA StopRansomware على source: cisa.gov ودليل NIST لمعالجة الحوادث على source: csrc.nist.gov يوفران مفردات عامة مفيدة هنا. لا يقدمان استنتاجات حول Blackbaud. يحددان لماذا يجب التعامل مع حدث فدية من خلال التحضير والكشف والاحتواء والاستئصال والاسترداد والتواصل والدروس المستفادة. إذا دفع مزود فدية، فإن هذا القرار يجلس داخل سجل الاستجابة. لا ينبغي أن يصبح الدليل على أن المستهلكين آمنون.
بالنسبة للعملاء الموجهين بالمهمة، مشكلة الحذف صعبة بشكل خاص. قد لا تمتلك المؤسسة الخيرية القدرة الفنية على التشكيك في ادعاء حذف البائع. قد يكون للجامعة مستشار قانوني ولكن ليس الوصول إلى اتصالات البائع مع المهاجم. قد تصدر مؤسسة صغيرة إشعارًا باستخدام صياغة البائع لأنه ليس لديها الكثير غيره. لهذا السبب الجهات التنظيمية مهمة. أمر لجنة التجارة الفيدرالية الذي يتطلب حذف البيانات وجداول الاحتفاظ حوّل ادعاء الحذف إلى التزام تشغيلي: يجب على الشركة حذف البيانات التي لم تعد بحاجة إليها وتوثيق سبب بقاء البيانات المحتفظ بها ضرورية.
الدرس الدائم هو أن حذف البيانات يجب أن يكون قابلاً للتحكم قبل وقوع الحادث. إذا احتفظت الشركة ببيانات العملاء القدامى لأن التخزين رخيص والتنظيف معقد، فإنها تخلق مجموعة اختراق أكبر. إذا لم تستطع إثبات ما كان في الملفات المنسوخة، فلا يمكنها إصدار إخطارات دقيقة. إذا اعتمدت على وعود المهاجم، فإنها نقلت إثبات الأمان إلى الطرف الأقل جدارة بالثقة في السلسلة. المساءلة تتطلب دليل حذف يملكه المزود، وليس المهاجم.
إخطارات العملاء تظهر مساءلة مفوضة تحت الضغط
الإخطارات النهائية هي أفضل دليل عام على كيفية وصول الحادث إلى المجتمعات. كررت إخطارات الجامعات والمؤسسات الخيرية والمؤسسات وصف Blackbaud للحدث، وشرحت فئات البيانات المحلية، وأخبرت الأشخاص المتأثرين بما تفعله المؤسسة. هذا التكرار ليس عيبًا في حد ذاته. هكذا يعمل اتصال الحادث من طرف ثالث. العيب يظهر عندما يكون المصدر العلوي غير مكتمل أو متأكد جدًا أو بطيء في التحديث.
إشعار UNC على source: northcarolina.edu أطر Blackbaud كمزود رئيسي لإدارة علاقات المكونات في التعليم العالي. إشعار جامعة ألاباما على source: giving.ua.edu وصف سجلات متعلقة بالمتبرعين وتأكيد البائع بالدفع والحذف. إشعار إدنبرة نابير على source: napier.ac.uk وصف حقول مشاركة الخريجين وجمع التبرعات. إشعار Task Force for Global Health على source: taskforce.org أكد على معلومات المتبرعين وتحقيق مؤسسي مستمر. كل إشعار كان عليه توطين حدث البائع لمجتمع متميز.
هذه مساءلة مفوضة. البائع يسيطر على الأدلة. العميل يسيطر على العلاقة مع المكونات. المكون يتحمل المخاطرة. إذا كانت أدلة البائع متأخرة، يبدو العميل مراوغًا. إذا كانت نظافة بيانات العميل سيئة، يكون لحادث البائع تأثير أوسع. إذا فقد المكون الثقة، يمكن أن تتأثر مهمة المؤسسة الخيرية حتى عندما لا تشغل المؤسسة البنية التحتية المخترقة. الخط الفاصل بين مخاطر البائع ومخاطر المهمة يختفي.
الاستمرارية في القطاع العام جزء من هذا لأن العديد من المؤسسات غير الربحية والجامعات والمؤسسات الصحية المجاورة ليست مؤسسات زخرفية. إنها تدعم التعليم والبحث الطبي والرعاية الاجتماعية والتراث الثقافي والاستجابة للكوارث والخدمات المجتمعية والسكان الضعفاء. اختراق سجلات المكونات يمكن أن يقلل من ثقة جمع التبرعات، ويخلق أعباء دعم، ويشتت انتباه الموظفين، ويجعل الناس مترددين في المشاركة. الضرر التشغيلي ليس دائمًا انقطاع النظام. أحيانًا يكون الضرر انقطاع الثقة: ترن الهواتف، ويسأل المتبرعون عن تفسيرات، ويشكك الخريجون في ممارسات البيانات، ويفقد الموظفون وقتًا في إعادة بناء السجلات والالتزامات القانونية.
يجب على البائع بالتالي تصميم اتصال الحادث للمساءلة المفوضة. هذا يعني نطاقًا خاصًا بالعميل، وعلامات عدم يقين واضحة، وتوجيهات للعمل، ومحفزات للإخطار التكميلي، وتنسيق مع الجهات التنظيمية، واحتفاظ بالأدلة. ويعني أيضًا تجنب التأكيدات القطعية قبل أن تكون محتويات الملفات وممارسات حقول العملاء معروفة. في قضية Blackbaud، تظهر سجلات هيئة الأوراق المالية والبورصات ولجنة التجارة الفيدرالية اللاحقة لماذا أصبحت اليقين المبكر التزامًا.
الإنفاذ حوّل جودة الإشعار إلى التزام تحكم
سجلات هيئة الأوراق المالية والبورصات ولجنة التجارة الفيدرالية والمدعي العام للولاية وكاليفورنيا تركز كل منها على جزء مختلف من السلسلة. نظرت هيئة الأوراق المالية والبورصات إلى إفصاح المستثمرين وضوابط الإفصاح. نظرت لجنة التجارة الفيدرالية إلى حماية المستهلك وأمن البيانات والاحتفاظ والإخطار والتمثيلات. نظر المدعون العامون للولايات إلى أمن البيانات وإخطار الاختراق وواجبات حماية المستهلك عبر الولايات القضائية. أضافت كاليفورنيا سجل تسوية منفصل. معًا حوّلوا جودة الإشعار إلى التزام تحكم، وليس تفضيل اتصال.
تقرير AP على source: apnews.com مفيد كملخص إخباري عام لأنه يصف التسوية متعددة الولايات ويشير إلى أن الاختراق أثر على أكثر من 13,000 مؤسسة غير ربحية وكشف معلومات حساسة لملايين الأشخاص، مع الإشارة أيضًا إلى أن Blackbaud لم تعترف بالخطأ في التسوية. تقرير رويترز على source: reuters.com لخص تسوية هيئة الأوراق المالية والبورصات بالمثل. التقارير الإخبارية لا تحل محل الأوامر، لكنها تظهر كيف ترجمت سجلات الإنفاذ إلى فهم عام.
جودة الإشعار لها عدة مكونات. أولاً، التوقيت: هل تعلم العميل بالسرعة الكافية لحماية الأشخاص المتأثرين؟ ثانيًا، الخصوصية: هل حدد الإشعار فئات البيانات المعنية؟ ثالثًا، الدقة: هل كانت الادعاءات القطعية مدعومة بأدلة؟ رابعًا، واجب التحديث: هل صححت الشركة الإخطارات عند ظهور حقائق جديدة؟ خامسًا، قابلية التنفيذ: هل عرف الأشخاص المتأثرون ماذا يفعلون؟ سادسًا، المساءلة: هل حددت الشركة أي الحقائق مؤكدة وأيها قيد التحقيق وأيها مجهولة؟
السجل العام لـ Blackbaud يظهر ضعفًا في العديد من هذه المكونات. يقول أمر هيئة الأوراق المالية والبورصات إن تقديم أغسطس حذف الحقيقة الجوهرية بأن بعض بيانات الحساب المصرفي غير المشفرة وأرقام الضمان الاجتماعي تم اختطافها، على الرغم من أن الموظفين علموا بذلك. ادعت لجنة التجارة الفيدرالية أن Blackbaud انتظرت ما يقرب من شهرين لإخطار العملاء ثم ضللت المستهلكين بشأن نطاق البيانات المسروقة، بما في ذلك تصريحات بأن العملاء لم يكونوا بحاجة إلى اتخاذ إجراء. تطلبت تسويات الولايات تغييرات حول أمن البيانات وممارسات إخطار الاختراق. هذه قضية حول الأدلة التي تتحرك ببطء شديد عبر المنظمة.
منظمة تتعامل مع سجلات حساسة لمؤسسات أخرى يجب أن تعامل ضوابط الإفصاح كجزء من بنية الأمان. تحتاج إلى مسار من النتائج الجنائية إلى إخطارات العملاء وإيداعات هيئة الأوراق المالية والبورصات ومنظمي الخصوصية ونصوص مراكز الاتصال وإشراف مجلس الإدارة والعلاج الخاص بالعميل. إذا كان هذا المسار غير رسمي، يمكن أن يصبح البيان الأول فخًا. قد تعرف الفرق التقنية حقيقة واحدة، وفرق العملاء حقيقة أخرى، والفرق القانونية حقيقة أخرى، والإدارة العليا حقيقة أخرى. الجمهور يتلقى متوسط الجهل.
الاحتفاظ بالبيانات جعل مشكلة المساءلة أكبر
تركيز لجنة التجارة الفيدرالية على الاحتفاظ بالبيانات هو أحد أهم أجزاء سجل Blackbaud. الاحتفاظ غالبًا ما يكون غير مرئي حتى وقوع الاختراق. قبل الحادث، يمكن أن تبدو البيانات التاريخية الإضافية مفيدة: قد يعود المتبرعون القدامى، وقد يتبرع الخريجون القدامى، وقد ينضم حضور الفعاليات القدامى إلى حملة، وقد تساعد المرفقات القديمة في إعادة بناء علاقة. بعد الحادث، تصبح البيانات الإضافية جرد تعرض. إذا لم تستطع المنظمة شرح لماذا لا تزال تحتفظ بحقل، فقد خزنت مخاطرة بدون غرض.
بيان لجنة التجارة الفيدرالية يقول إن Blackbaud احتفظت بالبيانات لفترة أطول من اللازم، بما في ذلك المعلومات التي تخص عملاء سابقين. هذا التفصيل مهم لأنه يغير عدالة توزيع المخاطر. قد يتوقف الشخص عن التبرع، أو يتخرج، أو يترك برنامجًا، أو ينسحب من حملة. قد تتوقف المؤسسة الأصلية عن استخدام بائع. إذا بقيت البيانات في بيئة مستضافة بعد سنوات، لا يزال الشخص المكشوف يحمل مخاطرة دون أي فائدة حالية من الخدمة. فشل الاحتفاظ يمكن أن يحول اختراق البائع إلى ضرر طويل الذيل للأشخاص الذين ليس لديهم طريقة عملية للمطالبة بالحذف.
سيادة البيانات والمحلية تدخلان هنا أيضًا. Blackbaud دعمت عملاء في العديد من البلدان، ونموذج 10-K لعام 2023 يصف عمليات في الولايات المتحدة وأستراليا وكندا وكوستاريكا والمملكة المتحدة، مع مستخدمين في أكثر من 100 دولة. سياق المنصة العالمية مهم. عميل في ولاية قضائية قد يكون لديه التزامات تجاه متبرعين أو خريجين في أخرى. جامعة بريطانية أو مؤسسة خيرية كندية أو مؤسسة مستشفى أمريكية أو مؤسسة غير ربحية أسترالية قد تواجه التزامات خصوصية وإخطار واحتفاظ مختلفة. بنية البائع المستضافة وخرائط البيانات الخاصة بالعميل تصبح بنية تحتية قانونية.
إرشادات ICO للفدية على source: ico.org.uk هي سياق مفيد لأنها تعامل الفدية كقضية حماية بيانات، وليست مجرد حادث برمجيات خبيثة. لا تقدم استنتاجًا خاصًا بـ Blackbaud في هذا المقال. تظهر لماذا يجب أن يشمل تحليل اختراق البيانات الشخصية الأمان والتوفر والسرية والاختطاف والتزامات المراقب والمعالج والأدلة. في منصة متعددة المستأجرين غير ربحية، تلك الالتزامات موزعة لكنها غير مخففة.
انضباط الاحتفاظ هو أيضًا واجب العميل. لا يجب على العملاء تخزين أرقام الضمان الاجتماعي أو التفاصيل المصرفية أو الملاحظات الطبية أو معلومات جواز السفر أو المرفقات النصية الحساسة في أنظمة العلاقات إلا إذا كان لديهم غرض محدد ووضع تشفير وسياسة وصول وجدول حذف وضمان البائع. مناقشة أمر هيئة الأوراق المالية والبورصات للمرفقات والحقول غير المشفرة هي تحذير: يمكن للعملاء إنشاء جيوب بيانات حساسة داخل أنظمة قد لا يفهمها المشتري. يجب على البائع حماية المنصة، لكن العملاء يجب أن يعرفوا ما يضعونه فيها.
ضمان العميل يجب أن يكون خاصًا بالمنتج
سجل Blackbaud يظهر أيضًا لماذا الضمان العام للبائع ضعيف جدًا لمنصات إدارة المكونات. عميل غير ربحي قد يستخدم منتجًا واحدًا لسجلات المتبرعين، وآخر للحملات عبر الإنترنت، وآخر لجمع التبرعات للأحداث، وآخر للتحليلات أو إدارة المنح. كل منتج يمكن أن يخزن بيانات مختلفة، ويطبق إعدادات افتراضية مختلفة، وينشئ صادرات مختلفة، ويدعم ممارسات مختلفة للمرفقات أو النص الحر. إذا قال إشعار حادث فقط إن "بيانات العميل" تم نسخها، لا يزال على العميل معرفة أي منتج وأي حقول وأي سجلات تاريخية وأي صادرات وأي تكاملات متورطة.
يجب أن يبدأ الضمان الخاص بالمنتج بخرائط البيانات. يجب أن يكون العميل قادرًا على رؤية أي أنظمة Blackbaud تحتوي على الأسماء والعناوين وتاريخ التبرع والحقول المصرفية وأرقام الهوية وحقول تسجيل الدخول وملاحظات المشاركة والمرفقات وحضور الفعاليات وروابط العلاقات والملفات المستوردة. يجب أن يعرف ما إذا كانت تلك الحقول مشفرة أو قابلة للبحث أو قابلة للتصدير أو مدعومة بالنسخ الاحتياطي أو محتفظ بها بعد إنهاء العقد. يجب أن يعرف أيضًا ما إذا كان بإمكان مسؤولي العميل وضع بيانات حساسة عن طريق الخطأ في حقول أضعف. في قضية Blackbaud، جعل سجل الجهة التنظيمية وضع الحقل والمرفق جزءًا من قصة المساءلة. يجب أن يصبح درسًا للمشتريات.
يجب أن يغطي نفس الضمان التكاملات. أنظمة جمع التبرعات نادرًا ما تقف وحدها. تتصل بمعالجات الدفع ومنصات البريد الإلكتروني وأدوات التحليل ونماذج الويب وأنظمة الأحداث ومستودعات البيانات وأنظمة التمويل ومزودي الهوية. حادث فدية في بيئة البائع الرئيسية قد لا يخترق كل تكامل مباشرة، لكن لا يزال العميل بحاجة إلى معرفة ما إذا كانت الرموز أو الصادرات أو خطافات الويب أو سجلات API أو الملفات المستوردة كانت في الحوزة المتأثرة. إجابة ضيقة عن "قاعدة البيانات" قد تفوت الواقع التشغيلي لكيفية أتمتة عمل جمع التبرعات.
المؤسسات الخيرية الصغيرة تحتاج إلى هذا الدليل بشكل يمكنها استخدامه. قد يكون لدى الجامعة الكبيرة مستشار خصوصية وموظفو مشتريات ومراجعون أمنيون. قد يكون لدى المؤسسة الخيرية المحلية مدير عمليات واحد ومتطوع لجمع التبرعات بدوام جزئي وعضو مجلس مسؤول عن الإشراف التقني. إذا كان ضمان البائع مكتوبًا فقط لمحامي المؤسسات، فإن العملاء ذوي القدرات الداخلية الأقل قد يتخذون أضعف قرارات الاحتفاظ والإخطار. مزود سحابي يخدم المؤسسات الموجهة بالمهمة يجب بالتالي نشر ضمان متدرج: ملخص حادث بلغة بسيطة، وتقرير فئة بيانات خاص بالعميل، وتحديث تحكم أمني، ومواد أعمق للعملاء الخاضعين للتنظيم أو عاليي المخاطر.
يجب أن يفصل ضمان العميل أيضًا بين الأنظمة الحية والنسخ الاحتياطية والأرشيفات. غالبًا ما يفترض المكونون أنهم إذا توقفوا عن التبرع أو طلبوا من مؤسسة خيرية التوقف عن الاتصال بهم، فإن مخاطرتهم تنخفض. قد لا يكون ذلك صحيحًا إذا بقيت صادرات قديمة أو مجموعات نسخ احتياطي أو ملفات حملات مؤرشفة أو قواعد بيانات عملاء سابقين. مخاوف لجنة التجارة الفيدرالية بشأن الاحتفاظ تجعل هذه النقطة ملموسة. حزمة ضمان قابلة للدفاع يجب أن تشرح جداول الحذف واحتفاظ النسخ الاحتياطية بطريقة يمكن للعملاء ترجمتها إلى إخطارات الخصوصية الخاصة بهم.
أخيرًا، يجب أن يكون الضمان الخاص بالمنتج مستمرًا. لا يجب أن يبدأ فقط بعد الحادث. يجب على العملاء مراجعة فئات البيانات عند التنفيذ، بعد الحملات الكبرى، عند استيراد السجلات القديمة، عند تغيير تدفقات الدفع، عند تمكين وحدات جديدة، وعند التجديد. اختراق يكشف عن قرارات تاريخية. حوكمة أفضل تقلل من التاريخ الذي يمكن كشفه.
يجب أن يشمل ذلك المراجعة المستمرة تصميم الأدوار بالإضافة إلى حقول البيانات. جمع التبرعات وعلاقات الخريجين وإدارة المنح والتمويل والفعاليات وإدارة المتطوعين وإعداد التقارير التنفيذية يمكن أن تتطلب جميعها أنماط وصول مختلفة. إذا أصبحت حقوق المسؤول الواسعة افتراضًا ملائمًا، فإن العميل يخلق سطح تعرض أكبر داخل بيئة البائع. إذا لم يستطع البائع إظهار العملاء أين توجد الأدوار المميزة، ومتى استخدمت آخر مرة، وأي صادرات أو مرفقات يمكنها الوصول إليها، لا يمكن للعميل حوكمة نصيبه من المخاطرة.
سجل Blackbaud بالتالي يشير إلى التزام ضمان مشترك: يجب على المزود جعل ضوابط المنتج مرئية بما يكفي لاستخدامها، ويجب على العملاء معاملة تلك الضوابط كجزء من إدارة المتبرعين والمكونين بدلاً من إعداد خلفي مع مراجعة مجلسية متكررة.
ما يجب أن يثبته الإصلاح الدائم
يجب أن يثبت الإصلاح الدائم بعد حادث Blackbaud سبعة أشياء. أولاً، يجب أن يثبت النطاق. يجب على المزود معرفة أي المنتجات والعملاء والملفات والحقول والمرفقات وفئات البيانات ومجموعات الأشخاص تأثرت. مراجعة اسم الملف قد تكون نقطة بداية، لكن ادعاء النطاق الذي يؤثر على معلومات مصرفية أو أرقام هوية يحتاج إلى أدلة على مستوى المحتوى أو سبب موثق لاستحالة المراجعة على مستوى المحتوى.
ثانيًا، يجب أن يثبت سلامة الإشعار. يجب أن يكون هناك طريق موثق من الحقائق الجنائية إلى إخطارات العملاء والإخطارات التكميلية وإفصاحات المستثمرين وتقارير الجهات التنظيمية ونصوص مراكز الاتصال وتقارير مجلس الإدارة. إذا علم فريق تقني أن إشعارًا خاطئ، يجب ألا يعتمد التصحيح على التصعيد غير الرسمي. قضية هيئة الأوراق المالية والبورصات تظهر أن ضوابط الإفصاح هي في حد ذاتها نتيجة أمنية.
ثالثًا، يجب أن يثبت التحكم في الاحتفاظ. يجب أن تكون جداول الاحتفاظ بالبيانات خاصة بالمنتج والعميل بما يكفي لشرح سبب الاحتفاظ بالبيانات ومتى سيتم حذفها ومن يمكنه الموافقة على الاستثناءات. يجب ألا تبقى بيانات العملاء السابقين في بيئات الإنتاج أو النسخ الاحتياطي القابلة للوصول بدون حاجة قابلة للدفاع. إذا كان الاحتفاظ مطلوبًا قانونيًا، يجب حمايته وفقًا للحساسية.
رابعًا، يجب أن يثبت التشفير وحوكمة الحقول. مزود يسمح بحقول نص حر ومرفقات يجب أن يعرف أين قد تظهر البيانات الحساسة خارج الحقول المحمية. التشفير يساعد فقط إذا كان العملاء لا يستطيعون وضع بيانات حساسة عن طريق الخطأ في مواقع غير مشفرة. تصميم المنتج وتوجيهات العملاء والفحص والتحذيرات والضوابط الافتراضية كلها جزء من الإصلاح.
خامسًا، يجب أن يثبت التحكم في الوصول والتقسيم. ادعت لجنة التجارة الفيدرالية فشلاً في المراقبة والتقسيم والمصادقة متعددة العوامل وضوابط كلمات المرور وضوابط جدار الحماية والاختبار. الإصلاح الدائم سيظهر أقل امتياز ومصادقة أقوى وفصل بيئة ومراقبة وصول مميز وإغلاق ثغرات وتغطية سجلات وكشف مُختبر.
سادسًا، يجب أن يثبت استجابة للفدية دون الاعتماد على تأكيدات المهاجم. إذا ادُّعي أن البيانات المنسوخة دُمّرت، يجب على الشركة ذكر الأدلة التي تدعم هذا الادعاء وما هو عدم اليقين المتبقي. إذا لم يمكن التحقق من الحذف، يجب ألا توحي الإخطارات بالتحقق. الدفع لا يلغي واجب الإخطار.
سابعًا، يجب أن يثبت حوكمة العميل. يجب أن يتلقى عملاء Blackbaud أدلة تساعدهم في تصحيح ممارساتهم الخاصة: استخدام الحقول الحساسة، ومخاطر المرفقات، وإعدادات الاحتفاظ، وخيارات التشفير، والوصول إلى السجلات، وقوالب الإخطار الموصى بها. إصلاح البائع غير مكتمل إذا كان العملاء يمكنهم إعادة إنشاء نفس أنماط التعرض داخل المنتج.
المساءلة تتبع السيطرة على الأدلة
التوزيع النهائي يتبع السيطرة العملية. Blackbaud سيطرت على البيئة المستضافة وبرنامج الأمن واستجابة الحوادث ومزودي الطب الشرعي والإخطارات الأولى للعملاء وأدلة اتصال المهاجم وبنية الاحتفاظ بالبيانات وضمانات المنتج وضوابط الإفصاح والتعاون مع الجهات التنظيمية. العملاء سيطروا على خيارات الجمع واستخدام الحقول والإخطارات المحلية والعلاقات مع المكونين والحوكمة بعد الحادث. الجهات التنظيمية سيطرت على الإنفاذ. الأشخاص المتأثرون سيطروا فقط على مجموعة صغيرة من الإجراءات الوقائية بعد تلقي معلومات كافية للتحرك.
هذا التوزيع لا يتطلب اتهامات غير مدعومة. لا يقول إن كل سجل مكشوف أسيء استخدامه. لا يقول إن كل عميل تعامل مع البيانات بشكل سيء. لا يقول إن كل ضمان لاحق فشل. يقول إن الطرف الذي يملك بوابة الأدلة كان لديه أعلى واجب لنقل الحقائق الدقيقة بسرعة. سجلات هيئة الأوراق المالية والبورصات ولجنة التجارة الفيدرالية والولاية والعملاء والسجلات العامة تشير جميعها إلى تلك البوابة.
قضية Blackbaud تظل مهمة لأنها تظهر تكلفة خفية لتركيز السحابة غير الربحية. المؤسسات الموجهة بالمهمة يمكنها تجميع البيانات التشغيلية داخل بائع متخصص واكتساب الكفاءة. لكن عندما يتم اختراق البائع، يصبح المتبرعون والخريجون والمرضى والطلاب والداعمون مجموعة ضرر موزعة. إنهم ليسوا فقط عملاء لمؤسسة خيرية. إنهم أشخاص بيانات في نظام بائع قد لا يعرفون بوجوده.
الدرس الدائم بسيط وصعب: مزود سحابي للقطاع الاجتماعي يجب أن يكون قادرًا على إثبات ما يحتفظ به، وما تم نسخه، وما تم تشفيره، وما تم الاحتفاظ به دون ضرورة، وما قيل للعملاء، وما تغير عند ظهور حقائق جديدة، وما هي الضمانات التي تمنع التكرار. بدون هذا الدليل، يصبح إشعار بيانات المؤسسات الخيرية تمرينًا في الثقة المستعارة. مع هذا الدليل، يمكن للعملاء تحويل حادث بائع إلى اتصال دقيق وفي الوقت المناسب ومسؤول بدلاً من الطمأنة العامة.