اختراق بيانات كابيتال وان: عندما أصبح التكوين السحابي سلسلة مسؤولية

الملخص

• قالت Capital One إن فردًا خارجيًا استغل ثغرة في التكوين في 22 و23 مارس 2019. تصف السجلات الجنائية والتنظيمية سلسلة تحكم أطول: جدار حماية لتطبيقات الويب تم تكوينه بشكل خاطئ مكّن الأوامر من الوصول إلى البيئة السحابية، وتم الحصول على بيانات اعتماد لدور ما، وتمكنت بيانات الاعتماد هذه من تعداد ونسخ كائنات التخزين، ولم تحول المراقبة النشاط المشبوه إلى احتواء في الوقت المناسب.
• لم يصف مكتب مراقب العملة (OCC) الحدث بأنه خطأ هندسي معزول. امتدت نتائج الموافقة إلى الوراء إلى هجرة البنك السحابية في عام 2015، وحددت تقييم مخاطر غير فعال، وضوابط أمن شبكات ومنع فقدان بيانات قاصرة، وضعف في التصرف في التنبيهات، وفجوات في التدقيق الداخلي، وإجراءات مجلس إدارة غير فعالة لمساءلة الإدارة.
• كانت المسؤولية قائمة على مستويات متعددة دون أن تصبح قابلة للتبادل قانونيًا. أدانت هيئة محلفين اتحادية Paige Thompson بالسلوك الإجرامي. قبلت Capital One غرامة قدرها 80 مليون دولار من OCC دون الاعتراف أو نفي نتائج الوكالة. نجت دعاوى المستهلكين ضد Capital One وAmazon جزئيًا في مرحلة المرافعات واستقرت لاحقًا، لذا لم تنتج القضية المدنية توزيعًا للخطأ بين البنك ومزود السحابة في المحاكمة.
• ليست درس السيادة هو أن اختيار منطقة سحابية محلية يحل حماية البيانات. تأثر حوالي ستة ملايين شخص في كندا، بما في ذلك حوالي مليون شخص تم اختراق أرقام التأمين الاجتماعي الخاصة بهم. يجب إدارة الموقع الجغرافي، والاحتفاظ، وأذونات الهوية، والوصول إلى البيانات الوصفية، وسلطة التشفير، والتسجيل، ووصول الجهات التنظيمية إلى الأدلة كنظام واحد.

اختراق وُصف بشكل ضيق للغاية

النسخة المألوفة من اختراق Capital One موجزة: تم تكوين جدار الحماية بشكل خاطئ، ووصل المهاجم إلى البيانات في Amazon Web Services، وتم أخذ معلومات مرتبطة بأكثر من 100 مليون شخص. يشير كل جزء من هذه الجملة في الاتجاه الصحيح. ومع ذلك، كحساب للمساءلة، فهو ضيق للغاية. يجعل الحدث يبدو وكأنه إعداد سيئ واحد على حافة بيئة خاضعة للتحكم بخلاف ذلك.

يصف السجل الرسمي شيئًا أكثر هيكلية. قال إعلان Capital One المؤرخ في 29 يوليو 2019 والمودع لدى هيئة الأوراق المالية والبورصات (SEC) إن الشركة قررت في 19 يوليو أن فردًا خارجيًا حصل على معلومات شخصية بعد استغلال ثغرة تكوين محددة. ووضع الوصول غير المصرح به الجوهري في 22 و23 مارس، وقال إن تقرير الكشف المسؤول وصل في 17 يوليو، وأوضح أن الشركة أصلحت التكوين وعملت مع وكالات إنفاذ القانون الفيدرالية. كما قال إن نموذج التشغيل السحابي ساعد الشركة في تشخيص المشكلة وتصحيحها بسرعة بمجرد معرفتها.

هذه النقطة الأخيرة مهمة. لم تقدم Capital One السحابة نفسها كسبب. أكدت الشركة أن عناصر البنية التحتية ذات الصلة يمكن أن توجد في السحابة أو في الموقع. الموقف قابل للدفاع من الناحية الفنية: يمكن أن يصبح الوكيل العكسي أو جدار حماية تطبيقات الويب مرحلاً غير مقصود في أي من البيئتين؛ يمكن أن تكون بيانات اعتماد الخدمة قوية جدًا في أي من البيئتين؛ يمكن لهوية شرعية قراءة البيانات المشفرة في أي من البيئتين. لكن السحابة تغير السرعة والتجريد والحجم الذي تتحد به هذه الشروط. يمكن لأمر يعبر حدود التطبيق أن يصل إلى خدمة البيانات الوصفية للمثيل. يمكن استخدام بيانات اعتماد مؤقتة عبر واجهة برمجة التطبيقات من مكان آخر.

يمكن لدور تخزين تعداد بحيرة بيانات تقاس بما يتجاوز بكثير قرص خادم واحد. نفس الأتمتة التي تجعل عمليات السحابة فعالة يمكن أن تجعل خطأ الإذن فعالاً للمتسلل.

تنص صفحة معلومات الحادث الحالية لـ Capital One على أن حوالي 100 مليون فرد في الولايات المتحدة وحوالي ستة ملايين في كندا تأثروا. كانت أكبر فئة بيانات هي المعلومات التي قدمها المستهلكون والشركات الصغيرة عند التقدم بطلب للحصول على منتجات بطاقات الائتمان من عام 2005 حتى أوائل عام 2019. الأسماء والعناوين والرموز البريدية وأرقام الهواتف وعناوين البريد الإلكتروني وتواريخ الميلاد والدخل المبلغ عنه ذاتيًا. تضمنت أجزاء من بيانات عملاء الائتمان الدرجات والحدود والأرصدة وتاريخ الدفع وبيانات الاتصال وأجزاء من بيانات المعاملات من 23 يومًا عبر 2016 و2017 و2018.

أبلغت الشركة عن حوالي 140,000 رقم ضمان اجتماعي أمريكي، وحوالي 80,000 رقم حساب مصرفي مرتبط، وحوالي مليون رقم تأمين اجتماعي كندي بين البيانات المخترقة. وقالت إن أرقام حسابات بطاقات الائتمان وبيانات اعتماد تسجيل الدخول لم يتم اختراقها.

تمنع هذه التمييزات المبالغة، لكنها لا تختزل سؤال التحكم في رقم. يمكن أن تظل بيانات التطبيق حساسة للهوية لفترة طويلة بعد قرار الائتمان. يمكن الجمع بين الدخل وتاريخ العنوان وتاريخ الميلاد والحالة الائتمانية والمعرفات الحكومية عبر الأنظمة. لذلك لم يكن الحدث فقط حول ما إذا كان الدلو خاصًا. كان حول لماذا يمكن لدور مواجه للتطبيق الوصول إلى المجموعة المخزنة، ولماذا يمكن لمسار بيانات اعتماد عند حدود بيانات وصفية محلية أن يصبح مسار بيانات خارجي، ولماذا لم تسد المراقبة الفجوة، ولماذا بقيت البيانات التي تم جمعها على مدى أربعة عشر عامًا تقريبًا ضمن المجموعة القابلة للوصول.

التسلسل الزمني والشكل المتغير للمساءلة

تغير التواريخ ما يمكن توقعه بشكل معقول أن تعرفه المنظمة وتفعله. يمكن استخلاص التسلسل الزمني الأساسي من إفصاحات الشركة، ولائحة الاتهام والإدانة اللاحقة، وأوامر الجهات التنظيمية، وسجلات المحكمة دون معاملة كل مصدر كنفس نوع الإثبات.

عدم التطابق الظاهري بين 12 مارس و22 مارس ليس تناقضًا يجب اختزاله إلى تاريخ واحد. اتهمت لائحة الاتهام البديلة لعام 2021 فترة أوسع من الوصول غير المصرح به للكمبيوتر بدءًا من حوالي 12 مارس. استخدم إعلان Capital One 22 و23 مارس للوصول إلى البيانات المركزي في سرد الحادث. يجب أن يحافظ التسلسل الزمني على هذا الفرق بين مسار السلوك المتهم ووصف الشركة لسرقة البيانات.

ينطبق نفس النظام على أعداد السكان. استخدم الإعلان الأولي للشركة حوالي 100 مليون فرد متأثر في الولايات المتحدة وستة ملايين في كندا. وصف مسؤول التسوية الأمريكية لاحقًا حوالي 98 مليون مستهلك أمريكي في فئة التسوية. لا ينبغي تحويل أي من الرقمين بصمت إلى عدد عالمي دقيق. إنهما ينتميان إلى سجلات مختلفة، في مراحل مختلفة، بتعاريف مختلفة.

كيف أصبحت حدود البيانات الوصفية حدودًا لبيانات الاعتماد

تبدأ السلسلة الفنية بتزوير طلب من جانب الخادم، وغالبًا ما يُختصر بـ SSRF. في حالة SSRF، يحث مستدع خارجي مكونًا من جانب الخادم على تقديم طلب يختاره أو يتأثر به ذلك المستدع. يتم تقديم الطلب من موقع الشبكة للخادم، لذلك قد يصل إلى وجهات غير متاحة مباشرة من الإنترنت العام. لا تقتصر المشكلة الأمنية على قبول عنوان URL. بل هي أن التطبيق يصبح نائبًا يحمل نية دخيل إلى سياق شبكة أكثر ثقة.

تصف صفحة قضية Capital One التابعة لوزارة العدل الاختراق على أنه حدث من خلال جدار حماية لتطبيقات الويب تم تكوينه بشكل خاطئ. زعمت لائحة الاتهام البديلة، المقدمة قبل المحاكمة، أن Thompson أنشأت واستخدمت ماسحات ضوئية لتحديد عملاء السحابة الذين تسمح تكوينات جدار حماية تطبيقات الويب الخاصة بهم للأوامر الخارجية بالوصول إلى خوادمهم وتنفيذها. زعمت أن تلك الأوامر حصلت على بيانات اعتماد أمنية لحسابات أو أدوار العملاء؛ ثم تم استخدام بيانات الاعتماد لقائمة دلاء التخزين ونسخ الكائنات التي كان للدور الإذن بها. استخدمت لائحة الاتهام المصطلح المحايد "شركة الحوسبة السحابية"، لكن السجل المدني العام وإيداعات Capital One الخاصة تحدد البيئة على أنها AWS.

توجد خدمة البيانات الوصفية لمثيل EC2 حتى يتعلم البرنامج على جهاز افتراضي عن بيئة وقت التشغيل الخاصة به ويحصل على بيانات اعتماد مؤقتة مرتبطة بدور هوية مرفق. هذا بديل مفيد لتخزين مفاتيح الوصول طويلة العمر في الملفات. ومع ذلك، يفترض التصميم أن الوصول من المثيل له معنى. إذا كان من الممكن جعل مكون مواجه للويب يصدر طلبات داخلية تعسفية، فإن "محلي للمثيل" لم يعد مكافئًا لـ "رمز عبء العمل المصرح به".

يحدد شرح AWS لعام 2019 لـ IMDSv2 عنوان البيانات الوصفية كنقطة نهاية رابط محلي ويشرح أن البيانات الوصفية يمكن أن تتضمن بيانات اعتماد مؤقتة لدور مرفق بالمثيل. يتطلب الإصدار 2 من البرنامج أولاً تقديم طلب HTTP PUT لإنشاء جلسة والحصول على رمز سري، ثم تقديم هذا الرمز في طلبات البيانات الوصفية اللاحقة. صممت AWS البروتوكول لإضافة مقاومة ضد جدران حماية تطبيقات الويب المفتوحة الشائعة، والوكلاء العكسيين المفتوحين، ونقاط ضعف SSRF، وبعض أخطاء جدار الحماية من الطبقة 3 أو ترجمة عنوان الشبكة. يمكن للعملاء طلب الإصدار 2 أو تعطيل الوصول إلى البيانات الوصفية تمامًا.

النقطة التحليلية المهمة ليست أن مراجعة البروتوكول تثبت بأثر رجعي وجود عيب، ولا أن تكوين العميل يعفي مصمم المنصة من كل مسؤولية تصميم. إنه أنه يمكن تعزيز افتراض الثقة المحلية في أكثر من طبقة. يمكن لـ Capital One تقييد WAF، وتقييد الخروج إلى نقطة نهاية البيانات الوصفية، وتضييق الدور، والحد من التخزين القابل للوصول، واكتشاف استخدام غير عادي لواجهة برمجة التطبيقات، وتقليل البيانات المحتجزة. يمكن لـ AWS جعل بروتوكول البيانات الوصفية أقل قابلية لإعادة الاستخدام من خلال الوكلاء الشفافين ومسارات SSRF.

يدرك الدفاع في العمق أن خطأ التطبيق لا ينبغي أن ينضج تلقائيًا إلى بيانات اعتماد هوية، وأن بيانات اعتماد الهوية لا ينبغي أن تنضج تلقائيًا إلى تصدير بيانات كبير.

لم يكن جدار حماية تطبيقات الويب هو الاختراق بأكمله

يمكن أن تخفي تسمية الحادث على أنه تكوين خاطئ لجدار الحماية ثلاثة أسئلة منفصلة. أولاً، لماذا يمكن لطلب غير موثوق أن يتسبب في وصول جدار الحماية أو مكون خلفه إلى وجهة داخلية؟ ثانيًا، ما هي الهوية التي تم كشفها عندما حدث ذلك؟ ثالثًا، ما الذي يمكن لتلك الهوية فعله؟

الأول هو سؤال بشأن التطبيق ومسار الشبكة. عادة ما يُفهم جدار حماية تطبيقات الويب كعنصر تحكم يقوم بتصفية المدخلات الضارة قبل أن تصل إلى التطبيق. في هذا الحادث، جعل التكوين ذو الصلة جزءًا من الطريق إلى الموارد الداخلية. يجب أن يغير هذا الانعكاس كيفية اختبار فرق السحابة لضوابط الحافة. WAF ليس فقط مجموعة قواعد عند المحيط العام؛ إنه كود بسياق تنفيذ، وقابلية وصول صادرة، ورؤوس، وطرق، وهووية مرفقة. يجب أن يسأل مراجعة الأمان عما يمكن أن يصل إليه عنصر التحكم وينتحل شخصيته عندما يكون هو نفسه مشوشًا.

السؤال الثاني يتعلق ببيانات اعتماد البيانات الوصفية. بيانات الاعتماد المؤقتة أكثر أمانًا من المفاتيح الطويلة العمر المضمنة بطرق مهمة: فهي تدور، وتنتهي صلاحيتها، ويمكن ربطها مركزيًا بدور. لكن "مؤقت" يصف المدة، وليس الامتياز. إذا كان بإمكان المهاجم استرداد بيانات اعتماد حالية بشكل متكرر، أو استخدام بيانات اعتماد خلال نافذتها الصالحة لنسخ مجموعة بيانات كبيرة، فإن التدوير لا يمنع الضرر. لذلك يجب أن تشمل نظافة بيانات الاعتماد المسار الذي يتم من خلاله إصدار بيانات الاعتماد والأذونات التي تحملها.

السؤال الثالث هو أقل امتياز. زعمت لائحة الاتهام أن الحسابات التي تم الحصول عليها كانت لديها الإذن اللازم لقائمة وتخزين الهدف. يسجل أمر رفض الدعوى الصادر في سبتمبر 2020 من المحكمة المدنية، كادعاء مقبول لتلك المرحلة الإجرائية، وصف Amazon لتكوين خاطئ لجدار حماية طبقة التطبيق مضافًا إليه أذونات كانت على الأرجح أوسع من المقصود. يسجل الأمر أيضًا ادعاءات المدعين بشأن الوصول إلى التخزين وبحيرة البيانات. هذه المقاطع ليست نتائج محاكمة. لكنها لا تزال مفيدة لأن تصرف المحكمة يظهر أن الاختراق الجنائي لم يقطع بالضرورة السلسلة السببية المزعومة بين قرارات الأمن والضرر بالمستهلك كمسألة قانونية.

لذلك، سيتجنب المراجعة الفعالة الإغلاق بعبارة "تم إصلاح WAF". سيعيد بناء الرسم البياني الكامل للامتياز: طلب عام إلى وكيل؛ وكيل إلى نقطة نهاية البيانات الوصفية؛ نقطة نهاية البيانات الوصفية إلى جلسة دور؛ دور إلى قائمة تخزين؛ قائمة تخزين إلى قراءة كائن؛ قراءة كائن إلى مسار فك التشفير؛ استدعاء API إلى خروج شبكة. كل حافة تحتاج إلى مالك، ومبرر تجاري، وضوابط وقائية، وقياس عن بعد. إزالة قاعدة واحدة معيبة توقف الطريق المعروف. لا يثبت أن بنية الهوية والبيانات كانت متناسبة.

حمى التشفير الوسائط، لا سوء الاستخدام المصرح به

قالت Capital One إنها تشفر البيانات كممارسة قياسية وتقوم بتقسيم الحقول المختارة، ولا سيما أرقام الضمان الاجتماعي وأرقام الحسابات. وقالت إن الظروف مكنت من فك تشفير البيانات التي تم الوصول إليها، بينما بقيت البيانات المقسمة محمية لأن التقسيم استخدم طريقة ومفاتيح مختلفة. هذا تصحيح مهم لادعاء شائع بأن "البيانات كانت مشفرة" يحل سؤال التحكم.

تم تصميم التشفير في حالة السكون بشكل أساسي لحماية البيانات عند الوصول إلى وسائط التخزين أو اللقطات أو التخزين الأساسي خارج مسار الخدمة المصرح به. لا تزال التطبيقات بحاجة إلى قراءة البيانات. لذلك تقوم أنظمة التخزين السحابي وإدارة المفاتيح بفك تشفير المعلومات للهويات التي تفي بالسياسة. إذا حصل المهاجم على بيانات اعتماد بنفس سلطة القراءة التي يتمتع بها عبء العمل، يمكن أن يعمل التشفير تمامًا كما هو مصمم مع إطلاق النص العادي لإنسان غير مصرح له باستخدام هوية آلة مصرح لها.

هذه ليست حجة ضد التشفير. إنها حجة لفصل السلطات. لا ينبغي أن يحمل دور مكشوف لعنصر تحكم مواجه للعامة أذونات واسعة لقراءة البيانات واستخدام المفاتيح. يجب أن يتم تجزئة الحقول شديدة الحساسية أو تشفيرها تحت حدود خدمة لا يمكن لهوية قارئ التخزين العامة عبورها. يجب مراجعة سياسات المفاتيح، وسياسات البيانات، وسياسات الأدوار كقرار ترخيص واحد. وإلا، يمكن أن تتقاطع ثلاثة تكوينات فردية معقولة لمنح وصول لم يقصده أي من مالكيها.

يظهر الحدث أيضًا لماذا يجب أن تميز تقارير التحكم بين التغطية والعواقب. "مئة في المئة من الكائنات مشفرة" يمكن أن تكون صحيحة بينما يظل خطر السرية مرتفعًا. سيكون مقياس مجلس الإدارة الأكثر فائدة هو إظهار نسبة الكائنات الحساسة التي يمكن لكل دور وقت التشغيل قراءتها، وأي الهويات يمكنها استدعاء فك التشفير، وما إذا كان عبء العمل المواجه للجمهور يظهر في تلك المسارات، وعدد المرات التي يقرأ فيها الدور خارج البادئة أو الحجم أو المنطقة أو نمط الوقت الطبيعي.

فشل الكشف قبل نجاح الاستجابة

عمل برنامج الكشف المسؤول لـ Capital One بمجرد أن استخدمه شخص خارجي. قالت الشركة إنها تلقت تقريرًا في 17 يوليو، وأكدت الاختراق في 19 يوليو، وأصلحت المشكلة، واتصلت بمكتب التحقيقات الفيدرالي، وأعلنت الحادث في 29 يوليو، ودعمت اعتقالًا سريعًا. هذه حقائق استجابة ذات معنى. لكنها لا تجيب عن سبب عدم قيام نظام الرقابة الداخلية بحل نشاط مارس.

تعالج نتائج OCC تلك الفجوة على مستوى أعلى. في أمر الموافقة على الغرامة المدنية، وجد المراقب أن Capital One لم تنشئ إدارة مخاطر سحابية مناسبة، بما في ذلك ضوابط كافية لمنع فقدان البيانات وتصريف فعال للتنبيهات. لم تعترف Capital One بنتائج OCC ولم تنفها. "التصريف" هو أكثر من مجرد توليد تنبيه. إنها العملية التي تحدد ما إذا كان الحدث حميدًا، أو تم تصعيده، أو احتواؤه، أو إغلاقه مع دليل.

تولد العقارات السحابية وفرة من القياس عن بعد: افتراض الدور، استخدام البيانات الوصفية، قائمة التخزين، قراءات الكائنات، عناوين مصدر API، حجم الخروج، المكالمات المرفوضة، تغييرات السياسة، وأحداث تصنيف البيانات. لا تؤدي المزيد من الإشارات تلقائيًا إلى إنشاء كشف. يمكن للبرنامج جمع كل حدث ذي صلة ومع ذلك يفشل إذا كانت القواعد لا تربط التسلسل، إذا كانت العتبات غير حساسة للسلوك الطبيعي للدور، إذا كانت التنبيهات تفتقر إلى مالك مسؤول، أو إذا لم تتم مراجعة أسباب الإغلاق بشكل مستقل.

يجب تسجيل حقيقة أن تقريرًا خارجيًا أدى إلى الاكتشاف كنجاح استجابة وفشل ضمان. النجاح هو أن القناة كانت موجودة، وتم مراقبتها، ومكنت من اتخاذ إجراء. الفشل هو أن مسار وصول عمره أربعة أشهر كان يمكن اكتشافه من خلال النشاط العام قبل أن تنتج ضوابط البنك نفسها احتواءً نهائيًا. الكشف المسؤول هو مستشعر خارجي قيم. لا ينبغي اعتباره بديلاً عن الكشف الداخلي عن استرجاع بيانات الاعتماد، وتعداد الدلاء غير العادي، ونسخ الكائنات الكبيرة.

عامل OCC الاختراق كفشل في حوكمة الهجرة

أقوى سجل للمساءلة العامة ليس تقريرًا فنيًا بعد الحادث. إنه حزمة إنفاذ OCC لعام 2020. إعلان العقوبة التابع للوكالة يقول إن البنك فشل في إنشاء عمليات تقييم مخاطر فعالة قبل نقل عمليات تكنولوجية كبيرة إلى السحابة العامة وفشل في تصحيح أوجه القصور في الوقت المناسب. فرضت الوكالة غرامة قدرها 80 مليون دولار، وأشادت بإخطار البنك ومعالجته، وذكرت أن الابتكار المسؤول لا يزال يتطلب إدارة مخاطر سليمة وضوابط داخلية.

نتائج الموافقة محددة بشكل غير عادي. وجد OCC أنه في حوالي عام 2015 فشل البنك في إنشاء تقييم مخاطر فعال قبل الهجرة. وجد أوجه قصور في تصميم وتنفيذ ضوابط أمن الشبكات، ومنع فقدان البيانات، وتصريف التنبيهات. وجد أن التدقيق الداخلي لم يحدد العديد من نقاط الضعف والفجوات الرقابية، ولم يبلغ بشكل فعال عن نقاط الضعف المحددة إلى لجنة التدقيق، وأن مجلس الإدارة فشل في اتخاذ إجراءات فعالة لمساءلة الإدارة عن بعض المخاوف التي أثارها التدقيق. وافقت Capital One على الأمر لتجنب تكلفة الإجراءات وأعلنت صراحة أنها لا تعترف ولا تنفي النتائج.

يغير هذا التأطير وحدة المساءلة. إذا كان الحدث قاعدة WAF سيئة واحدة تم إنشاؤها في عام 2019، يمكن أن يركز العلاج على المهندس، ومراجعة التغيير، والتحكم الفوري. إذا بدأ الفشل ذو الصلة بنموذج تشغيل تم تقييمه بشكل غير كافٍ في عام 2015، فإن النظام المسؤول يشمل حوكمة الهجرة، وتصميم التحكم السحابي، والتحدي من الخط الثاني، والتدقيق الداخلي، وتقارير اللجان، وعلاج الإدارة، وتصعيد مجلس الإدارة.

جعل أمر الكف والامتناع الصادر عن OCC هذا المحيط الأوسع قابلاً للتطبيق. طلب لجنة امتثال من ثلاثة أعضاء مجلس إدارة على الأقل، وخطط عمل تصحيحية مكتوبة، وتحسينات في تقييم مخاطر التكنولوجيا، وإدارة مخاطر العمليات السحابية، وإدارة المخاطر المستقلة، واختبار التحكم، والتدقيق الداخلي. كان على الخطة السحابية معالجة أمن المحيط، وتحديد وحماية المعلومات الحساسة، ومنع وكشف الكشف غير المصرح به، وإدارة التكوين للكائنات المحتواة. كان على إدارة المخاطر المستقلة تحديد كون مخاطر وتحكم شامل وتحدي تقييم الخط الأول للمخاطر السيبرانية الكامنة والمتبقية.

متطلبات اختبار التحكم في الأمر مهمة بشكل خاص. كان على Capital One تطوير جرد للضوابط السحابية ذات الصلة، ومواءمة خطة اختبار قائمة على المخاطر مع ذلك الجرد، وتتبع الفجوات، ومعالجتها، أو قبول المخاطرة رسميًا. كان على التدقيق الداخلي التحقق من اكتمال ودقة جرد الإدارة لأصول التكنولوجيا والأجهزة القابلة للتكوين والبرامج؛ وربط عالم التدقيق بمخاوف الفحص؛ ودمج الدروس المستفادة من تحليل السبب الجذري للاختراق؛ ومراجعة تغطية التدقيق؛ وتقييم خبرة الموظفين؛ وتحسين التقارير إلى لجنة التدقيق.

تجيب هذه الالتزامات على خطأ متكرر في حوكمة السحابة. قد يكون لدى المؤسسة كتالوج تحكم وخطة تدقيق لكنها تفتقر إلى علاقة موثوقة بينهما. يحتوي كتالوج التحكم على ما تعتقد الإدارة أنه موجود. يحتوي جرد الأصول على ما تعتقد الفرق أنها تشغله. يحتوي عالم التدقيق على ما يتوقع التدقيق مراجعته. إذا لم يتم التوفيق بين هذه المجموعات، يمكن أن يكون دور مواجه للجمهور، أو مسار بيانات وصفية، أو دلو تخزين، أو محرك تكوين بين نماذج الملكية. تطلب أمر OCC دليلاً على أن المجموعات متوافقة.

مساءلة مجلس الإدارة هي دليل، وليس تكرار الاجتماع

يقول بيان الوكالة لعام 2020 لـ Capital One إن الإدارة أبلغت مجلس الإدارة فورًا بالحادث بعد الاكتشاف في 19 يوليو. اجتمع أعضاء مستقلون من عدة لجان ومجلس الإدارة بأكمله أكثر من 20 مرة بخصوص الحادث والاستجابة. استعان مجلس الإدارة بخبراء خارجيين، وتلقى تقارير عن السبب الجذري والعلاج، وعزز الرقابة، وكلف لجنة المخاطر بدور قيادي في مراجعة الحوكمة السيبرانية المعززة. أنشأت الإدارة لجنة عليا لقضايا السيبرانيات المؤسسية والتصعيد.

هذه استجابات حوكمة مشروعة، لكن عدد الاجتماعات لا يمكن أن يثبت أن عنصر التحكم يعمل. ركزت نتائج OCC على الفترة التي سبقت الاختراق، عندما زُعم أن نقاط ضعف التدقيق لم يتم عرضها بشكل فعال ولم تتم مساءلة الإدارة عن بعض الفجوات المفتوحة. لذلك فإن المقارنة المفيدة ليست "اجتماعات قليلة قبل، اجتماعات كثيرة بعد". بل هي ما إذا كانت المعلومات التي تصل إلى أعضاء مجلس الإدارة قد تغيرت من تقارير النشاط إلى أدلة التحكم.

حدد أمر OCC ما يجب أن يدعمه هذا الدليل. طُلب من أعضاء مجلس الإدارة ضمان اتخاذ إجراء تصحيحي في الوقت المناسب، والتحقق من فعالية الإجراءات، وضمان كفاية الموظفين والأنظمة، ومساءلة الإدارة، وطلب تقارير كافية وفي الوقت المناسب، ومعالجة عدم الامتثال. يمكن لمجلس الإدارة الاعتماد على الإدارة واللجان والأطراف الثالثة، لكن الاعتماد لم يزل واجب ضمان الإجراء التصحيحي.

بالنسبة لمخاطر البيانات الوصفية والتخزين السحابي، يجب أن تجيب حزمة بجودة مجلس الإدارة على أسئلة ملموسة. كم عدد أعباء العمل القابلة للوصول عبر الإنترنت التي يمكنها الوصول إلى البيانات الوصفية للمثيل؟ كم منها تتطلب بروتوكول الجلسة الأقوى؟ أي منها يمكنها تعطيل البيانات الوصفية تمامًا؟ كم عدد الأدوار المواجهة للعامة التي يمكنها قائمة أو قراءة متاجر الكائنات الحساسة؟ ما هو الحد الأقصى لحجم البيانات الذي يمكن لكل دور استرداده في عمر بيانات اعتماد واحد؟ ما هي الضوابط التي تمنع البيانات من مغادرة شبكة أو منطقة معتمدة؟ كم عدد التنبيهات التي تم إغلاقها دون أدلة مؤكدة؟

ما هي قضايا التدقيق السحابي التي فاتتها التواريخ المستهدفة، وأي مدير تنفيذي قبل المخاطرة المتبقية؟

لا يطلب أي من هذه الأسئلة من أعضاء مجلس الإدارة تكوين جدار حماية. يطلبون ما إذا كانت الإدارة يمكنها إثبات حدود التشغيل التي تدعيها. هذا هو التمييز بين الإدارة والرقابة. لا يحتاج أعضاء مجلس الإدارة إلى معرفة كل معلمة API، لكنهم يحتاجون إلى نظام تقارير يجعل المجموعات الخطرة مرئية قبل أن يقوم باحث خارجي بذلك.

المسؤولية المشتركة هي خريطة تحكم، وليس إعفاء من المسؤولية

تصف AWS الأمن السحابي كمسؤولية مشتركة بين المزود والعميل. بموجب نموذج المسؤولية المشتركة لـ AWS، تحمي AWS البنية التحتية التي تدير الخدمات السحابية، بينما تختلف واجبات العميل حسب اختيار الخدمة وتشمل عادة بيانات العميل، والهوية والوصول، وبرامج التطبيق، وتكوين نظام التشغيل، وتكوين جدار الحماية، وخيارات التشفير، وحماية حركة المرور. بالنسبة لخدمة بنية تحتية مثل EC2، يتحكم العميل في جزء أكبر بكثير من حزمة التشغيل مما قد يكون عليه في خدمة مُدارة بالكامل.

النموذج مفيد لأنه يمنع خطأ فئوي: استئجار الحوسبة لا يجعل المزود مشغل أذونات تطبيق العميل. لكن المخطط هو فقط بداية الحوكمة. العديد من الضوابط المهمة تعبر الخط. يصمم المزود خدمة البيانات الوصفية؛ يقرر العميل ما إذا كان سيستخدمها وكيف. يوفر المزود آلية سياسة الهوية؛ يحدد العميل الأدوار والأذونات. ينتج المزود سجلات؛ يقوم العميل بتمكينها والاحتفاظ بها وتوجيهها والتحقيق فيها. يقدم المزود خيارات المنطقة؛ يختار العميل المناطق والهياكل التي تفي بالالتزامات القانونية. يجعل المزود الإعدادات الافتراضية الأكثر أمانًا ممكنة؛ يجب على العميل ترحيل أعباء العمل الحالية وفرضها.

يجعل بيان الحوسبة السحابية لـ FFIEC العواقب على القطاع المالي واضحة. لا ينبغي للإدارة افتراض وجود ضوابط الأمان والمرونة لمجرد أن الأنظمة تعمل في بيئة سحابية. يقول البيان إن العقود يجب أن تحدد مسؤوليات الأطراف، لكن المؤسسات المالية تظل مسؤولة عن التشغيل الآمن والسليم والامتثال. يسلط الضوء على الحوكمة، وهندسة السحابة، والهوية، وإدارة البيانات، وإدارة الثغرات، والمراقبة، والاستجابة للحوادث، واستمرارية الأعمال، والتدقيق كممارسات مترابطة.

لذلك يجب ترجمة المسؤولية المشتركة إلى مصفوفة تحكم دقيقة بما يكفي للاختبار. لكل تحكم، يجب أن تحدد المصفوفة من يصممه، ومن يكوّنه، ومن يشغله، ومن يتلقى تنبيهًا، ومن يتحقق من الفعالية، وما الدليل الذي يتم الاحتفاظ به، ومن يتصرف عندما يكون الدليل مفقودًا. تسمية مثل "مسؤولية العميل" ليست مالك تحكم. في بنك كبير، يمكن أن يعني "العميل" هندسة المنصة، أو فرق التطبيق، أو الأمن السحابي، أو حوكمة البيانات، أو هندسة الهوية، أو مخاطر المؤسسة، أو التدقيق الداخلي، أو الشؤون القانونية، أو مورد. الغموض داخل منظمة العميل يمكن أن يكون أكثر خطورة من الغموض بين العميل والمزود.

كما لا يقرر مخطط المسؤولية المشتركة المسؤولية المدنية. شروط العقد، والتمثيلات، والتصميم الفني، والتزامات الإخطار، والسببية، وقانون الولاية، والحقائق المثبتة كلها مهمة. يمكن للنموذج توجيه التشغيل المتوقع، لكنه ليس توزيعًا قضائيًا للخطأ ولا ينبغي تقديمه لمجلس الإدارة كما لو كان تعويضًا.

المسؤولية الجنائية والتنظيمية والمدنية

يدعم السجل العام عدة أشكال من المساءلة، لكل منها وضع قانوني مختلف.

المسؤولية الجنائية هي الأوضح. ينص إعلان وزارة العدل عن الحكم على أن هيئة محلفين فيدرالية وجدت Thompson مذنبة بالاحتيال عبر الأسلاك، وخمس تهم بالوصول غير المصرح به إلى جهاز كمبيوتر محمي، وإتلاف جهاز كمبيوتر محمي. أظهر المدعون أنها فحصت حسابات سحابية بحثًا عن تكوينات خاطئة، واستخدمتها للحصول على البيانات وطاقة الحوسبة، ووصلت إلى أكثر من 30 كيانًا. حُكم عليها بالوقت الذي قضته وخمس سنوات من المراقبة. لا ينبغي تخفيف هذا السلوك الإجرامي المقضي به إلى اكتشاف عرضي.

ركزت المساءلة التنظيمية على البنك. أمر عقوبة OCC هو أمر موافقة نهائي، لكن Capital One لم تعترف بنتائج المراقب ولم تنفها. قال إعلان الإنفاذ المنسق للاحتياطي الفيدرالي إن على الشركة القابضة تعزيز إدارة المخاطر والحوكمة والأمن السيبراني وضوابط أمن المعلومات. طلب أمر موافقة الاحتياطي الفيدرالي المرفق من مجلس إدارة الشركة الأم استخدام موارده لضمان امتثال البنوك لأوامر OCC وتقديم خطة مكتوبة لرقابة مجلس الإدارة.

كانت المسؤولية المدنية أوسع ولكن أقل حسمًا بشأن الخطأ النهائي. رفع المستهلكون دعاوى قضائية ضد Capital One وAmazon بموجب نظريات الإهمال، والعقد، والإثراء غير المشروع، والإخطار، وحماية المستهلك. في سبتمبر 2020، قبلت محكمة المقاطعة بعض أجزاء طلبات الرفض من المدعى عليهم ورفضت البعض الآخر. نجت معظم دعاوى الإهمال، بينما تم رفض دعاوى الإهمال في واشنطن والعديد من نظريات الإهمال في حد ذاته. خلصت المحكمة في تلك المرحلة إلى أن السلوك الإجرامي لـ Thompson لم يتجاوز بالضرورة الإهمال المزعوم للمدعى عليهم. نظرًا لأن طلب الرفض يقبل الادعاءات المذكورة جيدًا كصحيحة، فقد أثبت الحكم أن الدعاوى يمكن أن تستمر؛

لم يثبت أن Capital One أو Amazon ارتكبت الأفعال المزعومة.

انتهت القضية بتسوية بدلاً من محاكمة في الموضوع. وافق أمر الموافقة النهائية على صندوق غير قابل للإلغاء بقيمة 190 مليون دولار، وخدمات الدفاع عن الهوية واستعادتها، والتزامات الممارسات التجارية. حلت التسوية المطالبات ضد Capital One وAmazon. الموافقة تعني أن المحكمة وجدت أن التسوية المتفاوض عليها عادلة ومعقولة وكافية بموجب قواعد الدعوى الجماعية. لم تخصص نسبة مئوية من مسؤولية الاختراق بين البنك وAWS والمهاجم.

هذا التمييز مهم لأن عبارة "من كان مسؤولاً؟" يمكن أن تدعو إلى إجابة خاطئة واحدة. أُدين Thompson بأفعال إجرامية. تكبدت Capital One عقوبات تنظيمية بناءً على نتائج الموافقة وقبلت واجبات تصحيحية. واجهت Capital One وAmazon دعاوى مدنية نجت جزئيًا وتمت تسويتها. تغييرات التصميم اللاحقة للمزود ذات صلة بالوقاية ولكنها ليست اعترافات بالخطأ القانوني. لكل بيان مصدر ووضع إجرائي. سيكون الجمع بينها في حكم عام واحد غير دقيق.

IMDSv2 وحوكمة الإعدادات الافتراضية الأكثر أمانًا

قدمت AWS IMDSv2 في نوفمبر 2019، بعد أقل من أربعة أشهر من كشف Capital One عن الاختراق. وصفه إعلان إطلاق AWS على أنه دفاع في العمق ضد الوصول غير المصرح به إلى البيانات الوصفية. يمكن للعملاء طلب طريقة الطلب المحسنة على المثيلات الجديدة أو الحالية أو إيقاف تشغيل الوصول إلى البيانات الوصفية. ظل الإصدار 1 متاحًا للتوافق.

يخلق رمز الجلسة في IMDSv2 احتكاكًا ضد عدة مسارات نائب مشوشة. قد لا يسمح الوكيل الذي يمرر طلبات GET البسيطة بـ PUT الأولي. يمكن رفض الوكيل العكسي الذي يُدرج رأس توجيه لإنشاء الرمز. الرمز مرتبط بالمثيل ولا يمكن ببساطة إعادة تشغيله من جهاز تعسفي. يمكن لقيود القفزة تقييد مدى انتقال استجابة البيانات الوصفية عبر طبقات الشبكة. هذه هي ضوابط بروتوكول قيمة لأنها تقلل من عواقب أخطاء التطبيق والوكيل.

لا تلغي الحاجة إلى أقل امتياز. إذا تم تنفيذ كود ضار بالفعل على مثيل، فقد يكون قادرًا على إجراء تبادل الرمز تمامًا كما يمكن للكود الشرعي. إذا سمح SSRF ضعيف بطرق ورؤوس تعسفية، فقد تكون الحماية أقل اكتمالاً. إذا كان الدور المرفق يمكنه قراءة بحيرة بيانات غير ضرورية، تظل العواقب المتبقية عالية. لذلك فإن تقوية البيانات الوصفية هي طبقة واحدة في تسلسل، وليست بديلاً عن تصميم الدور، والتحكم في الخروج، وتجزئة البيانات، والمراقبة.

الإعدادات الافتراضية لها أيضًا بُعد زمني. في عام 2019، كان على العملاء اختيار وفرض الطريقة الأقوى بعد أن أصبحت متاحة. أعلنت AWS لاحقًا عن خارطة طريق IMDSv2 بشكل افتراضي التي نقلت عمليات البدء السريع في وحدة التحكم وأنواع المثيلات الصادرة حديثًا نحو الإصدار 2، مع الاحتفاظ بخيارات التوافق. يوضح هذا التقدم معضلة حوكمة المنصة. يمكن للتغيير الإلزامي الفوري كسر البرامج الموجودة؛ تترك الاختيارية المطولة الافتراضات القديمة في مكانها. يجب على المزودين جعل الهجرة قابلة للقياس، وتوفير إنفاذ على مستوى الحساب، وكشف استخدام الإصدار 1 المتبقي، وتحديد اتجاه واضح.

يجب على العملاء معاملة ترقيات الأمان الاختيارية كقرارات مخاطرة مع مالكين ومواعيد نهائية، وليس كتراكم للميزات.

بالنسبة لمجالس الإدارة، الدرس هو السؤال عن ديون الإعدادات الافتراضية. كم عدد أعباء العمل التي لا تزال تعتمد على وضع البيانات الوصفية القديم؟ لماذا؟ ما الذي سينكسر إذا تم تعطيله؟ أي التطبيقات لا يمكنها تحمل حد قفزة أقل؟ أي سياسة تنظيمية تمنع الاستثناءات الجديدة؟ كيف تعرف الشركة أن حسابًا مستحوذًا أو بيئة تطوير لم تنجرف؟ ميزة أمان متوفرة ولكنها غير مقاسة تنتج ضمانًا أقل من برنامج هجرة مرتبط بالجرد والإنفاذ.

لم تحتوِ محلية البيانات الوصول المنطقي

أثر الاختراق على أشخاص على جانبي الحدود بين الولايات المتحدة وكندا. فتح مكتب مفوض الخصوصية الكندي تحقيقًا بعد أن أبلغت Capital One عن تأثر ستة ملايين كندي، بما في ذلك بعض الذين تم الوصول إلى أرقام التأمين الاجتماعي الخاصة بهم. قدمت صفحة الحادث الكندية لـ Capital One إشعارات ودعمًا خاصين بالبلد. يحول التأثير عبر الحدود المحلية من سؤال تجريدي لشراء السحابة إلى سؤال مساءلة.

لا تثبت المصادر التي تمت مراجعتها هنا المنطقة الدقيقة لـ AWS لكل كائن متأثر، ولا تظهر أن السجلات الكندية كانت محتجزة في منطقة كندية منفصلة. يجب الحفاظ على هذا الغياب. سيكون من غير المسؤول استنتاج موقع تخزين من جنسية موضوع البيانات أو من علامة تجارية سحابية عالمية. ما يثبته السجل هو أن حادثًا واحدًا أثر على سكان كبيرين تحكمهم أنظمة قانونية وتنظيمية مختلفة.

تقول AWS في مواد خصوصية البيانات الخاصة بها إن العملاء يتحكمون في محتوى العميل وأن واجبات المزود والعميل تتبع نموذج المسؤولية المشتركة. يؤكد إطار السيادة الرقمية الحالي على اختيار العميل حول مكان تشغيل أعباء العمل، والوصول إلى البيانات، والمرونة، والتحكم. هذه القدرات ذات صلة، لكن اختيار المنطقة ليس نتيجة سيادة كاملة.

تجيب المحلية عن مكان تكوين الخدمة لتخزين أو معالجة البيانات في ظل التشغيل العادي. يجب أن يجيب الأمن أيضًا على من يمكنه التسبب في كشف الخدمة لها، وأين يمكن ممارسة بيانات الاعتماد، وأين تذهب السجلات والنسخ الاحتياطية، وكيف يتم التحكم في وصول الدعم، وما إذا كانت البيانات المصدرة يمكنها عبور الحدود المختارة. في سلسلة Capital One، كانت بيانات اعتماد API أكثر تأثيرًا من القرب المادي من القرص. بمجرد قبول دور كمصرح به، يمكن للتخزين تسليم الكائنات من خلال واجهة الخدمة. منطقة محلية لن تمنع، بحد ذاتها، هذا المسار المنطقي.

لذلك تحتاج ضوابط السيادة إلى أربع طبقات على الأقل. الأولى هي التنسيب: المناطق المعتمدة، وإعدادات النسخ المتماثل، والنسخ الاحتياطية، والتحليلات، والتعافي من الكوارث، وخدمات الدعم. الثانية هي السلطة: الهويات، واستخدام المفاتيح، والوصول إلى البيانات الوصفية، والسياسات التي تقيد المكالمات حسب الشبكة أو الحساب أو المؤسسة أو المنطقة. الثالثة هي قابلية المراقبة: السجلات المحتجزة في حساب خاضع للرقابة بشكل مستقل، وأدلة النقل عبر المناطق، وتنبيهات لمواقع المصدر غير العادية، والسجلات المتاحة للجهات التنظيمية ذات الصلة.

الرابعة هي الخروج والاستمرارية: القدرة على تصدير البيانات والسجلات في شكل قابل للاستخدام، وسحب وصول المزود، وتدوير المفاتيح، وتشغيل ترتيب تعافي تم اختباره إذا أصبحت المنطقة أو المزود أو آلية النقل القانونية غير متاحة.

يظهر الحادث أيضًا أن جغرافية موضوع البيانات يمكن أن تكون مهمة حتى عندما تكون جغرافية البنية التحتية غير مؤكدة. لم تختف جهات التنظيم الكندية، والأفراد المتأثرون، وممارسات الإخطار، واحتياجات معالجة الهوية لأن Capital One مقرها في الولايات المتحدة. يجب أن يخطط برنامج سحابي متعدد الجنسيات لمجموعات البيانات للأشخاص والالتزامات التي تمثلها، وليس فقط للحساب والمنطقة التي يراهم فيها المهندسون.

حول الاحتفاظ مسار الوصول إلى ملف تاريخي

قالت Capital One إن أكبر فئة متأثرة تضمنت بيانات التطبيق من عام 2005 حتى أوائل عام 2019. هذا النطاق يغير تحليل المخاطر. طلب الائتمان له غرض فوري: تقييم الأهلية، والامتثال للقانون، ومنع الاحتيال، وإنشاء حساب. بمرور الوقت، قد تظل بعض المعلومات ضرورية للخدمة، والاحتفاظ القانوني، والواجبات التنظيمية، وحوكمة النماذج، وحل النزاعات، أو تحليل الاحتيال. لكن يجب إثبات الضرورة حسب المجال والغرض والفترة.

غالبًا ما يُعتبر الاحتفاظ جدول خصوصية منفصلاً عن أمن السحابة. يظهر الاختراق لماذا هذا الفصل مصطنع. كمية وعمر البيانات التي يمكن لدور مخترق الوصول إليها تحدد التأثير. لا يمكن لجدول حذف مثالي أن يمنع المهاجم من قراءة السجلات الحالية، لكنه يمكن أن يمنع حدث بيانات اعتماد واحد من كشف أربعة عشر عامًا من تاريخ التطبيق. وبالمثل، فإن تصنيف حقل على أنه حساس له تأثير ضئيل إذا لم تتغير سياسة تخزين أو حدود مفتاح أو دور وصول أو وظيفة حذف بسبب التصنيف.

التحكم المناسب ليس ببساطة "حذف البيانات القديمة". إنها دورة حياة قابلة للدفاع: تحديد غرض التحصيل؛ تحديد الأساس القانوني والتجاري للاحتفاظ؛ فصل بيانات التشغيل النشطة عن الأرشيفات المقيدة؛ تقليل الحقول؛ تقوية المعرفات الدائمة؛ فرض الحذف؛ الاحتفاظ فقط بالسجلات الخاضعة لاستثناء موثق؛ واختبار ما إذا كانت البيانات المحذوفة تترك أيضًا نسخًا مكررة، ومجموعات بيانات مشتقة، وذاكرة تخزين مؤقت، ولقطات، ونسخ تطوير. كل استثناء يجب أن يكون له مالك ومراجعة انتهاء الصلاحية.

يجب أن تقلل هندسة البيانات أيضًا من التجميع. لا ينبغي أن يحصل دور واحد على إمكانية الوصول إلى مجموعة تاريخية واسعة لمجرد أن وظيفة معالجة واحدة احتاجتها مرة واحدة. التقسيم حسب الغرض والحساسية والفترة الزمنية والولاية القضائية يعطي سياسة الوصول شيئًا ذا معنى لفرضه. بدون هذه الحدود، يضطر أقل امتياز للعمل على مستوى دلو أو بحيرة بيانات كبيرة جدًا، ويصبح الفرق بين "يمكن تشغيل هذا التطبيق" و"يمكن قراءة تاريخ هذه المؤسسة" خطيرًا للغاية.

الاعتماد على السحابة يشمل الاعتماد على الأدلة

لم تكن Capital One تستأجر أقراصًا عن بُعد فقط. مثل أي عميل سحابي كبير، كانت تعتمد على دلالات الهوية المحددة من قبل المزود، وسلوك البيانات الوصفية، وتسجيل API، وبنيات المنطقة، وضوابط التخزين، وتوفر الخدمة، والتوثيق، وقدرة المزود على الحفاظ على الأدلة وشرحها. هذا اعتماد أوسع من وقت التشغيل.

لم يتسبب حادث 2019 في انقطاع عام طويل لخدمات Capital One المصرفية الأساسية. كانت قضية الاستمرارية هي السرية والثقة. كان على الشركة التحقيق في عقار سحابي كبير، وتحديد السجلات المتأثرة، وإخطار الأشخاص في بلدين، والعمل مع إنفاذ القانون والجهات التنظيمية، وتوفير المراقبة، والدفاع عن التقاضي، ومعالجة الضوابط مع الاستمرار في العمل. هذه هي الاستمرارية في ظل أدلة مخترقة: قد تظل الخدمات متاحة بينما يجب على المؤسسة تحديد ما إذا كان لا يزال من الممكن الوثوق بسجلاتها وعمليات الهوية واتصالات العملاء.

أبلغت نموذج 10-K لعام 2019 لـ Capital One عن 72 مليون دولار من نفقات الاستجابة والعلاج الإضافية لعام 2019، يقابلها 34 مليون دولار من تعويضات التأمين. توقعت الشركة أن تكون في الطرف الأدنى من نطاقها المعلن سابقًا والذي يتراوح بين 100 مليون دولار و150 مليون دولار لإجمالي بنود تسوية الحادث، مع امتداد بعض التكاليف إلى ما بعد عام 2019. حذرت من التدخل التنظيمي، والتقاضي، وتكاليف العلاج، والضرر بالسمعة، وفقدان الثقة. سبقت هذه الأرقام غرامة OCC البالغة 80 مليون دولار وصندوق التسوية الجماعية اللاحق البالغ 190 مليون دولار، ولا ينبغي إضافتها بشكل عرضي لأن التأمين والتوقيت ونطاق التسوية والمعالجة المحاسبية تختلف.

يجب التخطيط للاعتماد على الأدلة تعاقديًا وتقنيًا. يحتاج العميل الخاضع للتنظيم إلى سجلات بحقول مناسبة واحتفاظ، وإخطار فوري بالأحداث من المزود، والتعاون مع التحصيل الجنائي، وواجبات الحفظ، ومعلومات المنطقة والموفر الفرعي، والوصول إلى تقارير التحكم، والاتصال بالثغرات الأمنية، وعملية لطلبات الحكومة والجهات التنظيمية. كما يحتاج إلى نسخته الخاصة من السجلات الهامة في حساب أمني لا يمكن لعبء العمل المخترق تغييره. لا تثبت لوحة معلومات المزود التي تقول إن الخدمة عملت بشكل طبيعي أن هويات العميل كانت محددة بشكل صحيح.

ينتمي تخطيط الخروج إلى نفس الحزمة. يمكن أن يؤدي تركيز البيانات وسياسة الهوية في مزود واحد إلى تحسين التوحيد والرؤية، لكنه يمكن أيضًا أن يجعل الهجرة صعبة. يجب أن يقيس اختبار الخروج الوقت المستغرق لجرد البيانات، وإعادة إنتاج سياسة الوصول، وتصدير المفاتيح أو إعادة التشفير، ونقل السجلات، وإعادة بناء الكشف، وتلبية قيود المحلية، وإثبات الحذف في المزود القديم. النشر متعدد السحابات ليس أكثر أمانًا تلقائيًا؛ يمكن أن يؤدي تكرار الضوابط غير الناضجة إلى مضاعفة عدم اليقين. الهدف هو قابلية نقل موثوقة للبيانات والأدلة، وليس عددًا زخرفيًا من المزودين.

ما حسمته التسويات وما تركته مفتوحًا

التسوية الاستهلاكية كبيرة، لكن يجب ذكر معناها بعناية. أنشأت التسوية صندوقًا بقيمة 190 مليون دولار للخسائر النثرية المؤهلة، والوقت الضائع، وخدمات الدفاع عن الهوية، وخدمات الاستعادة، والإخطار والإدارة، والرسوم التي وافقت عليها المحكمة. كما تضمنت التزامات الممارسات التجارية. وجد أمر الموافقة النهائية أن التسوية عادلة ومعقولة وكافية ورفض دعاوى المستهلكين المفرج عنها مع التحيز.

لم تثبت التسوية أن كل ادعاء في الشكوى المعدلة كان صحيحًا. لم تحول خلفية طلب الرفض إلى نتائج بعد الأدلة. لم تحدد أن تصميم البيانات الوصفية لـ AWS تسبب في نسبة محددة من الضرر أو أن تكوين Capital One تسبب في الباقي. لم تمح المسؤولية الجنائية لـ Thompson، ولم تحل محل نتائج OCC التنظيمية المنفصلة وأوامرها.

هذا التخصيص غير المحلول هو في حد ذاته درس حوكمة. لا يمكن للشركات انتظار محكمة لتعيين نسبة مئوية أنيقة قبل تحسين تحكم مشترك. قد لا يكون لمزود المنصة أي مسؤولية مقضى بها ومع ذلك يضيف بروتوكولًا أكثر أمانًا. قد ينازع العميل نتائج الجهة التنظيمية ومع ذلك يقبل أمرًا ويصلح الضوابط. قد يحتفظ مجلس الإدارة بالدفاعات القانونية مع معاملة الحقائق التشغيلية على أنها عاجلة. يمكن أن يختلف الوضع القانوني ووضع العلاج دون تناقض.

أعلن OCC لاحقًا أنه أنهى أمر الكف والامتناع لعام 2020 اعتبارًا من 31 أغسطس 2022. الإنهاء هو نقطة نهاية مهمة لذلك الأمر بالذات. لا يلغي الغرامة، ولا يعيد كتابة النتائج التاريخية، ولا يثبت أن المخاطر السحابية أصبحت ثابتة. يشير إلى أن الأمر الرسمي لم يعد قائماً. يجب على مجلس الإدارة الناضج تحويل جرد التحكم للأمر، والاختبار، والتدقيق، وتخصصات التقارير إلى حوكمة عادية بدلاً من تركها تنتهي مع الرقابة التنظيمية.

حزمة أدلة لمخاطر البيانات الوصفية والهوية والمحلية

يدعم سجل Capital One حزمة أدلة عملية للمؤسسات التي تدير أعباء عمل حساسة في السحابة العامة.

رسم خرائط المسارات العامة إلى السلطة الداخلية.جرد كل وكيل ومُوازن تحميل وجدار حماية تطبيقات ويب وبوابة API وتطبيق يمكن الوصول إليه عبر الإنترنت. لكل منها، أظهر الوجهات الصادرة، وقابلية الوصول إلى البيانات الوصفية، والهويات المرفقة، والطرق والرؤوس المسموح بها، وأقصى سلطة بيانات يمكن الوصول إليها من خلال تلك الهوية. اختبر المسار من منظور المهاجم، وليس فقط مقابل مخطط الهندسة المقصود.

جعل وضع البيانات الوصفية قابلاً للقياس.سجل ما إذا كانت البيانات الوصفية مطلوبة، وما إذا كان يمكن تعطيلها، وما هو إصدار البروتوكول المطلوب، وحد القفزة، وقيود جدار الحماية المحلي، وتأثيرات الحاوية، والمكالمات القديمة الملاحظة. فرض الحالة المفضلة على مستوى المؤسسة أو الحساب. يجب أن تحدد الاستثناءات البرنامج التابع، ومالك المخاطرة، والضوابط التعويضية، وتاريخ الإزالة.

حساب نصف قطر انفجار بيانات الاعتماد.لكل دور وقت تشغيل، عدد بادئات التخزين، وقواعد البيانات، وقوائم الانتظار، والأسرار، وعمليات المفاتيح، والإجراءات الإدارية التي يمكنه الوصول إليها. قدر كمية البيانات الحساسة التي يمكن قراءتها ضمن عمر بيانات اعتماد واحد ومن مواقع الشبكة تلك. اختبر الأذونات الفعالة، بما في ذلك تقاطع سياسات الهوية والموارد والمفاتيح ونقطة النهاية والمؤسسة.

فصل الوصول إلى التخزين عن سلطة فك التشفير.لا ينبغي أن ينهار التشفير في نفس الدور المكشوف من خلال مسار التطبيق. استخدم التقسيم أو خدمة مميزة لحقول الهوية الدائمة. نبه عندما تستدعي هوية مواجهة للعموم عمليات مفاتيح أو تقرأ فئة من البيانات خارج غرضها الضيق.

التحكم في البيانات حسب الغرض والولاية القضائية.قم بتوسيم البيانات وتقسيمها حسب الحساسية والغرض وفترة الاحتفاظ والسكان المتأثرين. فرض المناطق المعتمدة للتخزين الأساسي والنسخ المتماثلة والتحليلات والنسخ الاحتياطية والاسترداد. سجل أي خدمة تنقل المحتوى أو بيانات الدعم بالضرورة. اختبر الرفض عبر المناطق والحسابات، وليس فقط الموقع المكون.

امتلاك مسار التدقيق.توجيه أحداث الهوية والبيانات الوصفية والتخزين والمفاتيح والشبكة وفقدان البيانات إلى بيئة تسجيل مدارة بشكل مستقل. حماية السجلات من أدوار عبء العمل. ربط استرجاع بيانات الاعتماد وعمليات القائمة وقراءات الكائنات وفك التشفير والخروج. قياس ما إذا كان يتم التحقيق في التنبيهات إلى نتيجة مدعومة بالأدلة، وليس ما إذا تم إنشاؤها فقط.

التوفيق بين عالم التحكم.يجب أن يكون لكتالوج التحكم السحابي للإدارة، وجرد الأصول، وجرد التكوين، وكتالوج البيانات، وسجل المخاطر، وعالم التدقيق معرفات مشتركة. يجب أن يختبر التدقيق الداخلي الاكتمال بدلاً من أخذ العينات فقط من قائمة الإدارة. يجب الإبلاغ عن الأصول والضوابط غير المتطابقة كتغطية غير معروفة.

تصعيد النتائج المتكررة والمتأخرة.يجب أن تظهر فجوة التكوين مع تاريخ علاج فائت بجانب مسارات الهوية والبيانات التي تتركها مكشوفة. يجب أن تذكر تقارير مجلس الإدارة المدير التنفيذي المسؤول، والضوابط التعويضية، وطريقة التحقق، والموعد النهائي. يجب أن يتطلب الإغلاق دليلاً مستقلاً على أن حالة المخاطرة تغيرت.

ممارسة الاستجابة عبر الحدود.يجب أن يحدد تدريب الاختراق المجموعات السكانية والجهات التنظيمية المتورطة، وما تظهره السجلات من الموقع والوصول، وكيف سيتم تسليم الإشعارات الخاصة بالبلد، وكيف تعمل استعادة الهوية لمُعرّفات حكومية وأنظمة ائتمانية مختلفة. يجب أن تكون المنظمة قادرة على شرح مكان الاحتفاظ بالبيانات المتأثرة دون إعادة بناء الإجابة أثناء الأزمة.

الحفاظ على تعاون المزود وحقوق الخروج.يجب أن تؤمن العقود وإجراءات التشغيل الوصول في الوقت المناسب إلى السجلات، والدعم الجنائي، وإخطار الحوادث، والحفاظ على الأدلة، والتزامات المنطقة، وشفافية المعالج الفرعي، وشهادة الحذف. يجب على الفرق اختبار تصدير البيانات والسياسة والمفاتيح وأدلة التدقيق بشكل دوري إلى بيئة استرداد قابلة للاستخدام.

هذه الحزمة متطلبة لأن المخاطرة اندماجية. قد يفي WAF بخط الأساس الخاص به. قد تعمل خدمة البيانات الوصفية كما هو موثق. قد يكون للدور سبب تجاري. قد يكون الدلو خاصًا. قد تكون الكائنات مشفرة. قد توجد السجلات. ومع ذلك، يمكن أن يسمح التقاطع لطلب عام بأن يصبح تصديرًا مصرحًا به. المساءلة تنتمي إلى التقاطعات.

الاختبار الدائم

يظل اختراق Capital One قضية مساءلة سحابية مفيدة لأنه يقاوم قصتين سهلتين. الأولى تقول إن السحابة العامة تسببت في الاختراق. يتجاهل ذلك التكوين الذي يتحكم فيه العميل، والأذونات، وهندسة البيانات، والمراقبة، ونتائج OCC المباشرة حول برنامج المخاطر السحابية للبنك. الثانية تقول إن المسؤولية المشتركة وضعت الأمر بالكامل على العميل. يعامل ذلك مخطط المزود على أنه نهاية تحليل التصميم ويتجاهل قيمة دفاعات خدمة البيانات الوصفية الأقوى، والإعدادات الافتراضية الأكثر أمانًا، والقياس عن بعد للمزود، والأدلة التعاقدية.

يتبع الحساب الأفضل السلسلة. يمكن لعنصر تحكم مواجه للعامة ترحيل طلب غير مقصود. وصل الطلب إلى حد ثقة البيانات الوصفية. كانت الهوية المؤقتة الناتجة لديها سلطة كافية لقائمة المعلومات المخزنة ونسخها. لم يمنع التشفير بيانات الاعتماد المقبولة كمصرح بها من قراءة البيانات. لم تنتج المراقبة الداخلية احتواءً في الوقت المناسب. أدى أفق الاحتفاظ الطويل إلى توسيع المجموعة المكشوفة. وصل نفس الحدث إلى أشخاص بموجب أنظمة خصوصية أمريكية وكندية. لم يجبر التدقيق وتقارير مجلس الإدارة على حل فجوات التحكم السحابية الأوسع التي حددها المنظم.

انفصلت المسؤولية بعد ذلك حسب المنتدى. أُدين المهاجم. فرض المنظمون المصرفيون التزامات موافقة وغرامة على Capital One. سعى المستهلكون إلى كل من Capital One وAmazon؛ نجت الدعاوى جزئيًا واستقرت دون توزيع الخطأ في المحاكمة. قدمت AWS بروتوكول بيانات وصفية أكثر دفاعية. وصفت Capital One العلاج، وعززت رقابة مجلس الإدارة، وتحملت تكاليف استجابة وإنفاذ وتسوية كبيرة.

بالنسبة لمجالس الإدارة المستقبلية، السؤال الحاسم ليس ما إذا كان مزود السحابة معتمدًا، أو الدلو مشفرًا، أو تم إصلاح قاعدة جدار الحماية. بل هو ما إذا كانت المؤسسة يمكنها إثبات أنه لا يوجد مسار غير موثوق يمكنه الحصول على هوية عبء عمل بسلطة غير متناسبة؛ وأن الاستخدام غير المعتاد لتلك الهوية سيتم اكتشافه وحله؛ وأن البيانات القابلة للوصول محدودة بالغرض والوقت والولاية القضائية؛ وأن أدلة المزود والعميل يمكن ضمها بسرعة كافية لحوكمة المخاطرة.

هذا الإثبات هو المعنى العملي للمسؤولية المشتركة. بدونه، تكون المسؤولية مقسمة على الورق فقط بينما تظل المخاطرة متصلة في الإنتاج.