ديلويت تجعل اختراق نظام البريد الإلكتروني اختبارًا للمساءلة في إشعار بيانات العميل

ملخص

• أصبحت تقارير اختراق نظام البريد الإلكتروني لشركة Deloitte في عام 2017 اختبارًا للمساءلة في إشعار بيانات العملاء لأن التقارير العامة ذكرت أن المهاجمين تمكنوا من الوصول إلى منصة بريد إلكتروني لشركة Deloitte تحتوي على اتصالات ومرفقات العملاء، بينما قالت Deloitte إن عددًا قليلًا جدًا من العملاء تأثروا ولم يحدث أي تعطيل للأعمال.
• من كان له السيطرة العملية على الوصول المميز للبريد الإلكتروني، ومصادقة المسؤول، وتحديد نطاق بيانات العملاء، وإخطار الأطراف المتأثرة، وأدلة التدقيق، والدليل على أن سرية الخدمات المهنية نجت من الاختراق؟
• قضية المساءلة هي أن شركات الخدمات المهنية تحول ضوابط البريد الإلكتروني الداخلي إلى ضوابط سرية العملاء عندما تتدفق السجلات المنظمة والاستراتيجية والتجارية عبر أنظمة البريد المشتركة.
• احتاج العملاء والمدققون والمنظمون والشركاء والموظفون وفرق المشتريات ومراجعو الأمن إلى أدلة على أن المواد المكشوفة، ومجموعة الإخطار، وخطوات الإصلاح كانت محدودة بحقائق قابلة للتحقق.
• تعتبر هذه المقالة تقارير The Guardian علىhttps://www.theguardian.com/business/2017/sep/25/deloitte-hit-by-cyber-attack-revealing-clients-secret-emailsوhttps://www.theguardian.com/business/2017/oct/10/deloitte-hack-hit-server-containing-emails-from-across-us-governmentكتقارير عامة مركزية، وKrebsOnSecurity علىhttps://krebsonsecurity.com/2017/09/source-deloitte-breach-affected-all-company-email-admin-accounts/وتقارير رويترز المعاد نشرها علىhttps://uk.finance.yahoo.com/news/deloitte-hacked-says-very-few-clients-affected-052609557--sector.htmlكسجلات عامة إضافية، ومواد NIST وCISA وMicrosoft وICO وCompanies House كسياق تحكم أو كيان وليس كدليل على القطع الأثرية الخاصة بشركة Deloitte.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

تنتمي Deloitte إلى ملف المخاطر والمساءلة لأن الحادثة وضعت ثقة الخدمات المهنية داخل مشكلة إدارة البريد الإلكتروني. كان السؤال الفني المباشر هو كيف تمكن المهاجمون من الوصول إلى المنصة. كان سؤال المساءلة أوسع: ما إذا كانت الشركة التي تحتفظ باتصالات العملاء السرية، ومواد التدقيق، ووثائق الاستراتيجية، وسجلات الصفقات، ورسومات الأمان، والبيانات المنظمة، والمشورة المميزة يمكنها إثبات ما تم كشفه عند اختراق بيئة بريد إلكتروني مشتركة.

ذكر تقرير The Guardian الأولي على source: theguardian.com أن المهاجمين ربما تمكنوا من الوصول إلى رسائل البريد الإلكتروني السرية للعملاء والبيانات ذات الصلة. ذكر تقريره المتابع على source: theguardian.com أن الخادم احتوى على رسائل بريد إلكتروني مرتبطة بمجموعة أوسع من العملاء، بما في ذلك مواد متعلقة بالحكومة، وأن المصادر شككت في ضيق الموقف العام لشركة Deloitte. ذكر موقع KrebsOnSecurity على source: krebsonsecurity.com أن Deloitte اعترفت بالوصول غير المصرح به إلى منصة بريد إلكتروني وقالت إن عددًا قليلًا جدًا من العملاء تأثروا، بينما ادعى مصدر قريب من التحقيق وجود اختراق أوسع.

ذكرت SC Media على source: scworld.com أن Deloitte قالت إن المراجعة اكتملت، وأن عددًا قليلًا من العملاء تأثروا، ولم يحدث أي تعطيل لأعمال العملاء، وتم الاتصال بالشركات المتأثرة.

لا توفر هذه المصادر للجمهور سجلاً طبياً كاملاً. لكنها تظهر صراعًا شائعًا بعد اختراق المؤسسات ذات الثقة العالية. تقول المنظمة إن السكان المتضررين محدودون. يشكك الصحفيون والمصادر في ما إذا كان الحد ضيقًا كما هو موصوف. يُترك العملاء ليتساءلوا عما إذا كانوا خارج السكان المتضررين لأن الأدلة الجنائية تثبت ذلك، أو لأن البيان العام يستخدم تعريفًا لـ"المتأثر" لا يتوافق مع مخاطرهم الخاصة. هذه هي مشكلة المساءلة.

القضية مهمة لأن البريد الإلكتروني ليس أداة مكتبية منخفضة الحساسية في شركة الخدمات المهنية. إنه مستودع بيانات العملاء، ونظام سير العمل، وسجل قانوني، وقناة توصيل، وأثر أدلة، وسطح موافقة، وأرشيف للسياق المميز. قد يصبح حساب المسؤول الفردي، إذا كان يمكنه الوصول إلى العديد من صناديق البريد أو وظائف الإدارة، فشلًا في السرية عبر العديد من علاقات العملاء. القضية ليست فقط ما إذا كانت البيانات الشخصية قد كشفت. إنها ما إذا كانت أسرار العملاء، والاستراتيجية، ومناقشات التدقيق، وتصميمات الأمان، واتصالات المنظمين، وبيانات الاعتماد، والرسومات، والمرفقات كانت قابلة للوصول.

السؤال المسؤول هو بالتالي عملي: من كان له السيطرة العملية على الوصول المميز للبريد الإلكتروني، ومصادقة المسؤول، وتحديد نطاق بيانات العملاء، وإخطار الأطراف المتأثرة، وأدلة التدقيق، والدليل على أن سرية الخدمات المهنية نجت من الاختراق؟ هذا السؤال يتبع السيطرة، وليس السمعة. لم يتمكن عملاء Deloitte من فحص منصة البريد الإلكتروني المخترقة في الوقت الفعلي. كان عليهم الاعتماد على نطاق Deloitte، والإشعارات، والضمان اللاحق. الشركة الأقرب إلى السجلات، والامتيازات، وجرد صندوق البريد، وتكوين المستأجر السحابي، وعملية المراجعة كان لديها أقوى التزام بالأدلة.

يصبح البريد الإلكتروني الداخلي بنية تحتية للعميل عندما تتدفق الأعمال السرية من خلاله

يمكن لعبارة "اختراق البريد الإلكتروني" أن تجعل القضية تبدو أصغر مما هي عليه. في شركة مثل Deloitte، البريد الإلكتروني هو أتمتة برمجيات المؤسسات للعمل المهني. تتبادل فرق العمل المسودات والموافقات والطلبات والمرفقات وجداول البيانات وأدلة التدقيق والرسومات المعمارية والتعليقات القانونية ومواد الصفقات والمواقف الضريبية وتقييمات الأمن السيبراني وقرارات التوظيف وتعليمات العملاء. حتى عندما يتم تخزين التسليم النهائي في نظام وثائق، فإن المحادثة التي تمنحه المعنى غالبًا ما تنتقل عبر صناديق البريد.

هذا يجعل مستوى التحكم واسعًا. يمكن أن يكشف وصول المسؤول إلى البريد الإلكتروني ليس فقط الرسائل ولكن أيضًا التفويض، وقواعد إعادة التوجيه، والبحث في صندوق البريد، والاحتفاظ، وسجلات التدقيق، ووظائف الاكتشاف الإلكتروني، والوصول إلى الأرشيف، والإعدادات على مستوى المستأجر. إذا لم تكن هذه الوظائف مقسمة بإحكام ومراقبة، يمكن أن يصبح اختراق حساب مميز واحد اختراقًا للعديد من حدود سرية العملاء. قد تمتلك شركة الخدمات المهنية نظام البريد، لكن العملاء يمتلكون الكثير من الحساسية المنقولة داخله.

ذكرت CBS News على source: cbsnews.com أن Deloitte قالت إن عددًا قليلًا جدًا من العملاء تأثروا ولم يحدث أي تعطيل، بينما وصفت التقارير العامة حساب مسؤول وعدم وجود مصادقة ثنائية. ذكرت Sky News على source: news.sky.com أن Deloitte اعترفت بأن المهاجمين تمكنوا من الوصول إلى البيانات المحتفظ بها على منصة بريد إلكتروني وأبلغوا العملاء المتأثرين. تعاملت Financial Times على source: ft.com مع الحادثة كاختراق كبير للخدمات المهنية. هذه السجلات كافية لإظهار الجدل العام حتى لو لم تكشف عن مراجعة السجل الخاص.

لا تحل مشكلة بيانات العميل بالقول إن عددًا صغيرًا فقط من العملاء "تأثروا" ما لم يكن التعريف واضحًا. قد يهتم العميل بما إذا تم الوصول إلى بريده الإلكتروني، وما إذا كانت مرفقاته قابلة للوصول، وما إذا تم البحث في بياناته، وما إذا كانت بيانات الاعتماد أو الرسومات موجودة، وما إذا تم استخراج الرسائل، وما إذا تم مراجعة المواد القانونية المميزة، وما إذا كانت البيانات الشخصية للموظف موجودة، وما إذا كان المهاجم لديه القدرة على إنشاء قواعد بريد أو استمرارية. قد ينتج عن كل سؤال مجموعة سكانية مختلفة متأثرة.

للسرية في الخدمات المهنية أيضًا بعد سمعة. تقدم Deloitte وشركاتها النظيرة للعملاء نصائح حول المخاطر السيبرانية والضوابط والتدقيق والامتثال والتحول. لذا فإن الاختراق في بيئة البريد الإلكتروني الخاصة بالشركة يخلق قضية مساءلة من الدرجة الثانية: ما إذا كانت الضوابط الداخلية للشركة تتطابق مع انضباط التحكم الذي تبيعه. لا ينبغي أن تحل هذه القضية السمعة محل الحقائق الجنائية. إنها تشرح لماذا كان العملاء والمراقبون قلقين بشكل خاص بشأن مصادقة المسؤول والتأخير في الإفصاح العام.

الوصول المميز هو محور القضية

ركزت التقارير العامة مرارًا على الوصول المميز. ذكرت The Guardian أن المهاجمين تمكنوا من الوصول إلى خادم بريد إلكتروني عالمي من خلال حساب مسؤول وأن الحساب كان يفتقر إلى التحقق بخطوتين. ذكرت KrebsOnSecurity مزاعم حول حسابات المسؤول ونظام البريد الإلكتروني الأوسع، بينما نشرت أيضًا بيان Deloitte بأن عددًا قليلًا جدًا من العملاء تأثروا وأن المراجعة حددت ما هو في خطر وما فعله المهاجم. ذكرت CyberScoop على source: cyberscoop.com أن الاختراق شمل حسابًا مميزًا غير محمي بمصادقة ثنائية. ذكرت TechTarget على source: techtarget.com أن الحادثة أثارت أسئلة حول بيانات العملاء، ووصول المسؤول، والإخطار.

التكوين الخاص الدقيق ليس علنيًا. مبدأ المساءلة واضح على أي حال. تتطلب الحسابات المميزة مصادقة أقوى، وتفويضًا أكثر إحكامًا، وفصلًا في الواجبات، ووصولًا مشروطًا، ومراقبة، وتعطيلًا طارئًا أقوى من حسابات المستخدم العادية. لا ينبغي أن تكون واسعة وهادئة وسهلة الاستخدام من أماكن غير متوقعة. إذا كان بإمكان حساب واحد إدارة بيئة بريد كبيرة، فإن اختراق هذا الحساب يخلق حدث سرية عميل، وليس مجرد مشكلة مكتب مساعدة تكنولوجيا المعلومات.

سياق التحكم موثق على نطاق واسع الآن. تقول إرشادات CISA للشركات الصغيرة والمتوسطة على source: cisa.gov إنه يجب على المؤسسات طلب المصادقة متعددة العوامل للوصول عن بعد والوصول المميز أو الإداري. ورقة حقائق CISA حول MFA المقاومة للتصيد على source: cisa.gov تحث على أشكال أقوى من MFA للبريد الإلكتروني ومشاركة الملفات والوصول إلى الحسابات المالية. تحدد إرشادات NIST الحالية للهوية الرقمية على source: csrc.nist.gov متطلبات ضمان المصادقة. نظرة عامة على MFA من Microsoft Entra على Microsoft source تصف MFA بأنها تتطلب شكلاً إضافيًا من التعريف أثناء تسجيل الدخول. هذه المصادر لاحقة أو عامة؛ لا تثبت ضوابط Deloitte لعام 2017.

تشرح لماذا سيكون حساب المسؤول بدون MFA قوية مصدر قلق تحكم واضح.

يتطلب الوصول المميز أيضًا التسجيل. لا يكفي طلب عامل ثانٍ إذا كانت إجراءات المسؤول غير مرئية وقابلة للبحث ومحفوظة. يجب على منصة البريد تسجيل عمليات تسجيل الدخول الإدارية، والبحث في صندوق البريد، وتغييرات الأذونات، وقواعد إعادة التوجيه، وإجراءات الاكتشاف الإلكتروني، وتسجيلات التطبيق، وإصدار الرموز، والوصول إلى سجل التدقيق، والتنزيلات الشاذة. بدون هذا السجل، يصبح تحديد النطاق تخمينًا. يمكن للشركة أن تقول إنها تعتقد أن مجموعة صغيرة فقط من العملاء تأثرت، لكن العملاء بحاجة إلى معرفة ما إذا كان هذا الاعتقاد مدعومًا بسجلات أم بغياب الأدلة.

وبالتالي فإن القضية تتحول إلى إثبات الحقائق السلبية. هل لم يصل المهاجم إلى صندوق بريد العميل؟ هل لم يقم المهاجم بتنزيل المرفقات؟ هل لم ينشئ المهاجم استمرارية؟ هل لم يحصل المهاجم على بيانات الاعتماد أو الرسومات؟ لإثبات هذه السلبيات، تحتاج الشركة إلى سجلات كاملة، واحتفاظ ثابت، وطوابع زمنية موثوقة، وأذونات إدارية معروفة، وطريقة إعادة بناء. إذا كانت السجلات غير كاملة، فقد تكون الإجابة الصادقة هي أنه لا يمكن إثبات النطاق بثقة. هذه الإجابة مؤلمة، لكنها أكثر مساءلة من تحويل عدم اليقين إلى طمأنة.

إشعار العميل يعتمد على النطاق، وليس على الثقة العامة

ذكرت Deloitte أنها اتصلت بالعملاء المتأثرين. التقرير المعاد نشره من رويترز على source: uk.finance.yahoo.com قال إن Deloitte كانت ضحية هجوم إلكتروني أثر على عدد صغير من العملاء وأن المهاجمين تمكنوا من الوصول إلى بيانات من منصة بريد إلكتروني. ذكرت Sky News وSC Media مواقف شركة مماثلة. ذكرت The Guardian وKrebsOnSecurity أن المصادر تعتقد أن البيئة المتأثرة أو التعرض المحتمل كان أوسع. لا يمكن للجمهور حل هذا الصراع بدون الأدلة الأساسية.

تبدأ مساءلة الإشعار بالتعريفات. يمكن أن يكون العميل "متأثرًا" لأنه تم الوصول إلى بياناته، أو لأن بياناته كانت قابلة للوصول، أو لأن بياناته كانت في صندوق بريد تم البحث فيه، أو لأن بياناته كانت في نفس المستأجر مثل امتيازات المسؤول المخترقة، أو لأن بيانات اعتماده كانت موجودة، أو لأن بياناته المنظمة كانت موجودة، أو لأن فريق عمله كان جزءًا من سير عمل متأثر. قد يفي تعريف الإشعار الضيق بحد قانوني واحد لكنه يفشل في تلبية احتياجات المخاطر التشغيلية للعميل. قد يخلق تعريف واسع إنذارًا لكنه يعطي العملاء معلومات كافية لحماية أنفسهم.

تعتمد الإجابة الصحيحة على الأدلة. إذا أظهرت السجلات أن المهاجم وصل فقط إلى صناديق بريد ورسائل محددة، يمكن استهداف الإشعارات. إذا أظهرت السجلات وصولاً على مستوى المسؤول ولكن لا يمكن إثبات ما تم عرضه، قد يحتاج السكان المتأثرون إلى أن يكونوا أوسع. إذا كان المهاجم لديه قدرات الاكتشاف الإلكتروني أو البحث، يجب أن يأخذ النطاق في الاعتبار عمليات البحث عبر صناديق البريد. إذا تضمنت المرفقات بيانات شخصية منظمة، قد تنطبق قواعد حماية البيانات. إذا كانت أسرار العملاء أو رسومات الأمان موجودة، قد يحتاج العملاء إلى تدوير بيانات الاعتماد، أو مراجعة الضوابط، أو الإبلاغ إلى المنظمين الخاصين بهم.

دليل أمن البيانات لمكتب مفوض المعلومات في المملكة المتحدة على source: ico.org.uk هو أحدث من تقارير 2017 وينتمي إلى عصر اللائحة العامة لحماية البيانات في المملكة المتحدة، لذلك لا ينبغي معاملته كنتيجة إنفاذ مباشرة لعام 2017. لا يزال مفيدًا لأنه ينص على مبدأ الأمان العام بأن البيانات الشخصية يجب أن تكون محمية من خلال التدابير التقنية والتنظيمية المناسبة. صفحة مبادئ حماية البيانات في ICO على source: ico.org.uk تؤطر أيضًا المساءلة والنزاهة والسرية كأفكار أساسية لحماية البيانات. في شبكة الخدمات المهنية العالمية، تتوافق هذه المبادئ مع توقعات العملاء حتى عندما تختلف الأطر القانونية المحددة.

يجب أن يتعامل إشعار العميل أيضًا مع السيادة والمحلية. وصفت تقارير The Guardian بيئة بريد قائمة على السحابة من Microsoft وسياق تحقيق يركز على الولايات المتحدة. قد تحتفظ الشركة العالمية ببيانات عن العملاء والحكومات والأفراد عبر ولايات قضائية في منصة بريد مشتركة. يحتاج العملاء إلى معرفة مكان تخزين بياناتهم، والكيان القانوني الذي يتحكم فيها، وأي شركة عضو في Deloitte كانت متورطة، وأي منظمين تم إخطارهم، وما إذا كان الوصول عبر الحدود أو المعالجة قد غير المخاطر. "منصة البريد الإلكتروني" ليست إجابة قضائية. إنها فئة تقنية يجب تعيينها لموقع البيانات وأدوار المراقب أو المعالج.

سجل Companies House لشركة Deloitte LLP على UK government source هو سياق كيان أساسي، وليس دليل حادثة. إنه مهم لأن شبكات الخدمات المهنية غالبًا ما تشمل كيانات قانونية وشركات أعضاء متعددة. قد يحتاج العميل الذي يشتري خدمات من كيان Deloitte واحد إلى معرفة أي كيان يتحكم في المنصة المتأثرة، وأي كيان لديه العقد، وأي كيان أصدر الإشعارات. تصبح المساءلة أضعف عندما تكون العلامة التجارية العالمية موجهة للجمهور ولكن أدلة الحادثة مجزأة عبر الكيانات القانونية والمناطق الجغرافية وخطوط الخدمة.

البريد الإلكتروني السحابي لا يستعين بمصادر خارجية للسرية

وصفت التقارير العامة المنصة المتأثرة بأنها مستضافة في السحابة. لا ينبغي أن يصبح هذا التفصيل إلهاءً. قد يوفر مزود السحابة أدوات الهوية والتسجيل والأمان والمنصة، لكن شركة الخدمات المهنية تظل مسؤولة عن كيفية تكوين حسابات المسؤول، وامتيازات المستأجر، والوصول المشروط، وأذونات صندوق البريد، والاحتفاظ بالتدقيق، وسير عمل بيانات العملاء. يمكن للسحابة تحسين أدلة التحكم إذا تم تكوينها جيدًا. يمكنها أيضًا تركيز الضرر إذا كان للحساب المميز وصول واسع ومصادقة ضعيفة.

وثائق MFA من Microsoft Entra على Microsoft source مفيدة لأنها تظهر أن منصات الهوية السحابية الحديثة لديها مفاهيم MFA أصلية. إرشادات Microsoft ذات الصلة حول طلب MFA للمسؤولين على Microsoft source تصف أنماط الوصول المشروط للأدوار الإدارية. لا تستخدم هذه المقالة تلك الصفحات لتأكيد الخيارات التي كانت متاحة لدى Deloitte في عام 2017. تستخدمها لتأطير قضية التحكم: الوصول الإداري إلى بيئة البريد الإلكتروني السحابي هو سطح هوية عالي المخاطر يجب تقويته ومراقبته ومراجعته.

يغير البريد الإلكتروني السحابي أيضًا توقعات الأدلة. في الأنظمة المحلية القديمة، قد تكون السجلات مجزأة عبر الخوادم والأجهزة. في الأنظمة السحابية، يمكن للسجلات المركزية للتدقيق والهوية وصندوق البريد والإدارة دعم إعادة بناء أفضل، ولكن فقط إذا تم تمكين التسجيل والاحتفاظ به وحمايته من العبث. يجب أن تكون مراجعة ما بعد الاختراق قادرة على إظهار مصادر تسجيل الدخول، والإجراءات الإدارية، وأحداث الوصول إلى صندوق البريد، ونشاط الرموز، وموافقة التطبيق، وتغييرات إعادة التوجيه، وأنماط تنزيل البيانات. إذا لم تستطع الشركة إظهار هذه السجلات، فإن المنصة السحابية لم تحقق المساءلة.

هناك أيضًا مشكلة الأتمتة. تعمل منصات البريد الإلكتروني للمؤسسات على أتمتة الاحتفاظ والاكتشاف والتصنيف وإعادة التوجيه والتفويض وترحيل صندوق البريد والوصول عبر الهاتف المحمول والتكامل مع الطرف الثالث. يمكن لكل ميزة آلية إنشاء مسار للتعرض إذا تم اختراق الوصول المميز. على سبيل المثال، يمكن لقاعدة إعادة التوجيه إعادة توجيه البريد بصمت. يمكن لتسجيل التطبيق الحفاظ على الوصول بعد إعادة تعيين كلمة المرور. يمكن لبحث الاكتشاف الوصول إلى العديد من صناديق البريد. يمكن لأداة الترحيل نقل كميات كبيرة من البيانات. يجب أن تفحص مراجعة نطاق بيانات العميل حالة الأتمتة، وليس فقط عمليات تسجيل الدخول المباشرة إلى صندوق البريد.

يضاعف سياق الخدمات المهنية القضية لأن عمل العملاء متعدد المستأجرين عمليًا حتى عندما تكون العقود منفصلة. قد يعمل شريك واحد عبر عدة عملاء. قد يحتوي صندوق بريد واحد على عدة مهام. قد يتضمن مرفق واحد بيانات من كيانات متعددة. قد يعبر بحث إداري واحد خطوط الخدمة. لذلك، من الصعب تحديد نطاق اختراق البريد الإلكتروني الداخلي بشكل نظيف. سيصنف برنامج قوي لحوكمة البيانات مواد العميل الحساسة، ويحد من الاحتفاظ غير الضروري بالبريد الإلكتروني، ويفصل المهام عالية المخاطر، ويقيد امتيازات المسؤول الواسعة، ويحتفظ بالسجلات لفترة كافية لإعادة بناء التعرض.

تأخير الكشف العام والتأخير العام مختلفان لكنهما مرتبطان

ذكرت The Guardian أن Deloitte اكتشفت الاختراق في مارس 2017 وأن المهاجمين ربما كان لديهم وصول من الخريف السابق. ظهرت التقارير العامة في سبتمبر 2017. تخلق هذه التواريخ سؤالين توقيت. أولاً، كم من الوقت كان المهاجمون لديهم وصول عملي قبل الكشف؟ ثانيًا، كم من الوقت انتظرت الأطراف المتأثرة والسوق الأوسع المعرفة العامة؟ قد تختلف الإجابات. يمكن للشركة الكشف بشكل خاص وإخطار بعض العملاء بينما لا تعلن علنًا. قد يكون ذلك دفاعًا في بعض الحالات. لكن الأدلة يجب أن تظهر لماذا كان مجتمع الإخطار والتوقيت مناسبين.

تأخير الكشف هو مشكلة أتمتة أمنية. إذا قام حساب مسؤول بتسجيل الدخول من مواقع غير عادية، أو أجرى عمليات بحث واسعة في صندوق البريد، أو وصل إلى صناديق بريد حساسة، أو أنشأ قواعد جديدة، أو قام بتنزيل كميات غير عادية، يجب أن تولد المنصة تنبيهات. إذا تم إطلاق التنبيهات ولكن لم يتم فرزها، المشكلة هي العمليات. إذا لم يتم إطلاق التنبيهات، المشكلة هي هندسة الكشف. إذا كانت السجلات مفقودة، المشكلة هي بنية الأدلة. في كل حالة، تتبع المسؤولية الوظيفة التي كان لها السيطرة العملية.

التأخير العام هو مشكلة إفصاح. قد تتجنب شركات الخدمات المهنية البيانات العامة لأسباب قانونية أو سرية العملاء أو إنفاذ القانون أو التحقيق. لكن كلما طالت مدة بقاء سؤال كبير حول بيانات العميل دون إفصاح، زاد احتمال أن يتساءل العملاء الذين لم يتم إخطارهم عما إذا كانت مخاطرهم قد تم تقديرها بأقل من قيمتها. كان موقف Deloitte المبلغ عنه أن عددًا قليلًا جدًا من العملاء تأثروا وأن هؤلاء العملاء قد تم إبلاغهم. شككت تقارير The Guardian وKrebs في ما إذا كان النطاق ضيقًا كما تم تقديمه. بدون معايير الإخطار الأساسية، لا يمكن للغرباء تقييم كفاية التأخير.

الممارسة المسؤولة هي الحفاظ على سجل قرار الإفصاح. يجب أن يظهر هذا السجل متى تم اكتشاف الحادثة، ومتى تم تقدير الجدول الزمني للمهاجم، ومتى تم مراجعة السجلات، ومتى تم تحديد العملاء المحتمل تأثرهم، ومتى تم استشارة المستشارين والمنظمين، ومتى تم إرسال الإشعارات، ومتى تمت الموافقة على البيان العام، وما تعريف العميل المتأثر المستخدم. إذا غيرت الأدلة اللاحقة النطاق، يجب أن يظهر السجل كيف قامت الشركة بتحديث الإشعارات.

هذا هو المكان الذي يجب أن تساعد فيه ثقافة التدقيق. Deloitte هي شبكة تدقيق واستشارات. تفهم الأدلة والعينات وتصميم الضوابط وتقييم المخاطر وتمثيل الإدارة. يجب توثيق اختراق بيانات العميل بنفس الانضباط: النطاق، المعايير، الأدلة، الاستثناءات، عدم اليقين، المراجعة، الموافقة، والعلاج. السؤال غير المريح هو ما إذا كان ملف الحادثة الداخلي للشركة قد استوفى معيار الأدلة الذي تتوقعه من عميل يواجه اختراقًا مماثلاً.

سرية الخدمات المهنية تتطلب تقليل البيانات

أسهل طريقة لتقليل تأثير اختراق البريد الإلكتروني هي الاحتفاظ بمواد أقل حساسية في البريد الإلكتروني. هذا ليس عمليًا دائمًا. يتحرك العمل المهني بسرعة، ويظل البريد الإلكتروني طبقة اتصال عالمية. لكن يجب على شركة الخدمات المهنية معاملة البريد الإلكتروني كمنطقة تخزين خطرة، وليس كخزانة عملاء دائمة. يمكن لتقليل البيانات، وقواعد الاحتفاظ، وضوابط المرفقات الحساسة، والتشفير، وإدارة الحقوق، والبوابات الآمنة، والمستودعات المصنفة تقليل نصف قطر الانفجار لاختراق حساب المسؤول.

وصفت تقارير The Guardian احتمال تعرض أسماء المستخدمين وكلمات المرور وعناوين IP والرسومات المعمارية والمعلومات الصحية. لا تتحقق هذه المقالة بشكل مستقل من كل عنصر. تعامل هذه التقارير كمزاعم عامة تظهر سبب أهمية تصنيف البيانات. إذا كان البريد الإلكتروني يحتوي على بيانات اعتماد أو رسومات أمان، يمكن أن يصبح الاختراق حادثة أمن عميل. إذا كان يحتوي على بيانات صحية أو شخصية، يمكن أن يصبح حادثة خصوصية. إذا كان يحتوي على مواد حكومية أو قطاع منظم، يمكن أن يصبح حادثة سيادة ومشتريات. إذا كان يحتوي على أدلة تدقيق، يمكن أن يؤثر على الثقة في العمل المهني.

تقليل البيانات صعب لأن شركات الخدمات المهنية غالبًا ما تحتفظ بالاتصالات من أجل الدفاعية. قد تحتاج إلى سجلات لأغراض التدقيق أو القانونية أو الجودة أو التنظيمية أو خدمة العملاء. الإجابة ليست مسح الأدلة. إنها تخزين السجلات الحساسة في أنظمة حيث يكون الوصول محدود الغرض، ومسجل، ومحتفظ به بموجب سياسة واضحة، وقابل للفصل حسب المهمة. لا ينبغي أن يكون البريد الإلكتروني هو الأرشيف الافتراضي لكل ما يهتم به العملاء أكثر.

هذه أيضًا مشكلة أتمتة برمجيات المؤسسات. تعتمد شركات الخدمات المهنية الحديثة على منصات سير العمل، وأنظمة إدارة الوثائق، وبوابات العملاء، وموفري الهوية، والتذاكر، وغرف البيانات، وأدوات التعاون. إذا كانت تلك الأنظمة مصممة جيدًا، فإنها تقلل الاعتماد على البريد الإلكتروني وتحسن أدلة الوصول. إذا كانت متكاملة بشكل سيئ، يستخدم الموظفون البريد الإلكتروني كطبقة سير عمل غير رسمية لأنه أسرع. يجب أن يلبي تصميم الأمان العمل حيث يحدث فعليًا. وإلا تقول السياسة إن البيانات الحساسة تنتمي إلى مستودعات خاضعة للرقابة بينما يتركها الواقع في صناديق البريد.

يجب أن تدعم أتمتة الأمان هذا الانضباط. منع فقدان البيانات، وملصقات الحساسية، وتدقيق صندوق البريد، وإدارة الوصول المميز، والوصول المشروط، وكشف السفر المستحيل، وتدقيق الاكتشاف الإلكتروني، وملصقات الاحتفاظ، وفرز التنبيهات الآلي كلها مهمة. لكن الأتمتة تخلق مساءلة فقط عندما يمتلك شخص ما الاستثناءات. الملصق الذي يتجاهله المستخدمون، أو قائمة انتظار التنبيهات التي لا يراجعها أحد، أو سير عمل الوصول المميز الذي يوافق على الطلبات بشكل روتيني لا يحمي العملاء. ينتج أوراقًا بدون تحكم.

حدود الأدلة مهمة لأن السجل العام متنازع عليه

سجل Deloitte أكثر تنازعًا من بعض سجلات الحوادث. نشرت The Guardian وKrebsOnSecurity ادعاءات مبنية على مصادر حول التعرض الأوسع. قال بيان Deloitte المبلغ عنه إن المراجعة اكتملت، وأن عددًا قليلًا جدًا من العملاء تأثروا، ولم يحدث أي تعطيل لأعمال العملاء أو قدرة Deloitte على خدمة العملاء أو المستهلكين. ساهمت SC Media وSky News وCBS News وYahoo Finance (إعادة نشر رويترز) وCyberScoop وTechTarget وAccountingWEB على source: accountingweb.co.uk وInfosecurity Magazine على source: infosecurity-magazine.com في الفهم العام، لكن لم يقدم أي منها الملف الجنائي الخاص الكامل.

هذا يعني أن المقالة الصادقة يجب أن تتجنب خطأين. الخطأ الأول هو معاملة الضمان العام الضيق لشركة Deloitte كدليل كامل على عدم وجود خطر أوسع. الخطأ الثاني هو معاملة ادعاءات المصادر غير المسماة كحقيقة جنائية ثابتة. تجلس عدسة المساءلة بينهما. تسأل عن الأدلة التي تحتاج الشركة إلى إنتاجها للعملاء والمنظمين لتمييز الوصول المؤكد، والوصول المحتمل، والبيانات المعرضة للخطر، والبيانات المأخوذة، والعملاء الذين تم إخطارهم، والعملاء الذين لم يتم إخطارهم لأن الأدلة أظهرت أنهم خارج النطاق.

تشمل الحقائق العامة المؤكدة أن Deloitte اعترفت بالوصول غير المصرح به إلى منصة بريد إلكتروني في بيانات تم الإبلاغ عنها من قبل منافذ متعددة، وأن The Guardian وغيرها ذكرت مخاوف بشأن وصول المسؤول وMFA، وأن Deloitte قالت إن عددًا قليلًا جدًا من العملاء تأثروا، وأنه تم الإبلاغ عن الاتصال بالعملاء المتأثرين والسلطات. تشمل الادعاءات المبلغ عنها ولكن المتنازع عليها النطاق الكامل لمحتويات الخادم، وعدد العملاء الذين كانت موادهم موجودة، وما إذا كان وصول المهاجم أوسع من وصف Deloitte العام. تشمل المجهولات السجلات الكاملة، وعدد الإخطار النهائي، والوصول الدقيق إلى صندوق البريد والمرفقات، والإجراءات المميزة المتخذة، وخطوات العلاج الكاملة.

يحتاج العملاء إلى هذه الفئات منفصلة. لن يتم خدمة فريق المشتريات الذي يقيم Deloitte بعد الحادثة بإجابة عامة بأن الأمر تم التعامل معه. سيحتاج إلى معرفة ما إذا كانت MFA الإدارية إلزامية، وما إذا كانت الأدوار المميزة مقلصة، وما إذا كانت سجلات تدقيق صندوق البريد محفوظة، وما إذا كانت سجلات العملاء الحساسة منفصلة، وما إذا كانت فرق العمل تتلقى بدائل اتصال آمنة، وما إذا كانت إشعارات الحوادث محكومة بمعايير مكتوبة، وما إذا كان الضمان المستقل قد راجع الإصلاح.

ضمان العميل يجب أن يكون قابلاً لإعادة التشغيل

أكثر ضمان مفيد بعد اختراق بريد إلكتروني للخدمات المهنية هو القابلية لإعادة التشغيل. لا ينبغي للعميل أن يضطر إلى قبول استنتاج دون فهم الطريقة التي أنتجته. لا تحتاج الشركة إلى نشر كل اسم صندوق بريد أو رسالة. تحتاج إلى شرح كيف انتقلت من الأدلة الخام إلى قرارات الإخطار. ما هي السجلات التي تم جمعها؟ ما هي الإجراءات الإدارية التي تم مراجعتها؟ ما هي صناديق البريد التي كانت في النطاق؟ ما هي مصطلحات البحث، والنوافذ الزمنية، ومعرفات العملاء، ومستودعات المرفقات، وقواعد إعادة التوجيه، وأذونات التطبيق التي تم فحصها؟ ما هي الفجوات التي بقيت؟ من راجع المعايير؟ من وقع على مجتمع الإخطار؟

الضمان القابل لإعادة التشغيل يختلف عن ملخص الحادثة العام. يقول الملخص العام إن طرفًا غير مصرح له تمكن من الوصول إلى منصة بريد إلكتروني وأن عددًا قليلًا جدًا من العملاء تأثروا. يظهر الضمان القابل لإعادة التشغيل مسار الأدلة: استخدم المهاجم هذه الحسابات، من هذه النوافذ الزمنية، بهذه الامتيازات؛ تم تأكيد الوصول إلى هذه الصناديق البريدية؛ كانت هذه الصناديق البريدية الأخرى قابلة للوصول ولكن لم يتم الوصول إليها وفقًا للسجلات المحفوظة؛ تحتوي هذه المرفقات على هذه الفئات من البيانات؛ تم إخطار هؤلاء العملاء لأن المعايير تطابقت؛ تم استبعاد هؤلاء العملاء لأن الأدلة دعمت الاستبعاد. كلما كانت المهمة أكثر حساسية، زادت أهمية هذا التمييز.

هذا مهم لأن عملاء الخدمات المهنية قد يكون لديهم التزاماتهم النهائية الخاصة. قد يحتاج البنك أو المستشفى أو الوكالة الحكومية أو الشركة العامة أو شركة المحاماة أو بائع التكنولوجيا أو المنفعة المنظمة الذي أرسل مواد حساسة إلى Deloitte إلى تحديد ما إذا كان سيبلغ المنظم الخاص به، أو يدور بيانات الاعتماد، أو يوجز مجلس إدارته، أو يحقق في تعرض الطرف الثالث، أو يحدث مخاطر المشتريات. لا يمكنه اتخاذ هذه القرارات من طمأنة على مستوى العلامة التجارية. يحتاج إلى فئات البيانات، والأطر الزمنية، والاحتمالات، وإرشادات العمل.

القابلية لإعادة التشغيل تحمي الشركة أيضًا. إذا استطاعت Deloitte أو أي شركة نظيرة إظهار أن مجموعة إخطار العملاء الخاصة بها جاءت من مراجعة موثقة وقابلة للدفاع، فهي أقل عرضة للتكهن بأن النطاق تم اختياره لأسباب سمعة. إذا كانت المراجعة تحتوي على عدم يقين، فإن تسمية ذلك عدم اليقين يمكن أن يكون ذا مصداقية. على سبيل المثال، يمكن للشركة أن تقول إن السجلات كانت كاملة لفترة واحدة وغير كاملة لفترة أخرى، وأن الإشعارات تم توسيعها حيث لم تدعم الأدلة الاستبعاد. هذا أصعب من قول "تأثر عدد قليل من العملاء"، لكنه مساءلة أقوى.

يجب أيضًا تحديث حزمة الضمان بعد العلاج. يجب أن يتعلم العملاء ليس فقط ما حدث، ولكن ما تغير: MFA الإدارية، والوصول المشروط، وإدارة الوصول المميز، وتسجيل التدقيق، والاحتفاظ، ووضع العلامات على الحساسية، والبوابات الآمنة، ومراقبة قواعد صندوق البريد، وحوكمة موافقة التطبيق، وإجراءات إشعار الحوادث. يجب أن تكون الأدلة محددة بما يكفي ليتمكن فريق أمن العميل من تحديد ما إذا كان سيستمر في إرسال العمل الحساس عبر نفس القنوات أو يتطلب نموذج تعاون مختلف.

ما يجب أن يثبته الإصلاح الدائم

يجب أن يثبت الإصلاح الدائم بعد اختراق نظام البريد الإلكتروني تقوية الهوية أولاً. يجب حصر كل دور إداري، وتبريره، وحمايته بواسطة MFA قوية، ومراقبته، ومقيد زمنيًا حيثما أمكن. يجب التخلص من حسابات المسؤول المشتركة أو التحكم فيها بإحكام. يجب حماية حسابات الطوارئ وتسجيلها بشكل منفصل. يجب أن يقيم الوصول المشروط الموقع، ووضع الجهاز، والمخاطر، وحساسية الدور. يجب مراجعة موافقة التطبيق الإدارية والوصول إلى التطبيق لأن الاستمرارية السحابية غالبًا ما تنجو من إعادة تعيين كلمة المرور البسيطة.

ثانيًا، يجب أن يثبت الإصلاح الدائم تحديد نطاق صندوق البريد. يجب أن تكون الشركة قادرة على إعادة بناء صناديق البريد التي تم الوصول إليها، والبحث فيها، وتفويضها، وتصديرها، أو تغييرها. يجب أن تحدد المرفقات والمجلدات والنطاقات الزمنية المتأثرة. يجب أن تراجع قواعد إعادة التوجيه، وقواعد علبة الوارد، وقواعد النقل، وعمليات البحث في الاكتشاف الإلكتروني، وأذونات صندوق البريد، والجلسات المحمولة، ورموز التطبيق. إذا كانت السجلات غير كاملة، يجب أن يقول سجل الإصلاح ذلك ويشرح كيف أثر عدم اليقين على إشعار العميل.

ثالثًا، يجب أن يثبت الإصلاح الدائم تصنيف بيانات العميل. يجب أن تعرف الشركة أي العملاء والمهام والولايات القضائية وفئات البيانات كانت موجودة في صناديق البريد المتأثرة. هذا يتطلب فهرسة أفضل من الاعتماد على ذاكرة الموظف. يتطلب معرفات المهام، وملصقات الاحتفاظ، وملصقات الحساسية، وروابط المستودع الآمن، وخرائط البيانات. بدون تصنيف، يصبح الإخطار بطيئًا وذاتيًا.

رابعًا، يجب أن يثبت الإصلاح الدائم حوكمة الاتصالات. يجب أن توضح الإشعارات للعملاء ما حدث، وما أنواع البيانات التي كانت متضمنة أو يحتمل أن تكون متضمنة، وما الأدلة التي تدعم النطاق، وما الإجراء الموصى به للعميل، وما فعلته الشركة، وما لا يزال غير معروف. يجب أن يتلقى المنظمون معلومات دقيقة وفي الوقت المناسب حيث تنطبق العتبات القانونية. لا ينبغي للبيانات العامة استخدام طمأنة واسعة النطاق بطريقة تحجب عدم اليقين.

خامسًا، يجب أن يثبت الإصلاح الدائم المراقبة. يجب أن تظهر الشركة أن إجراءات صندوق البريد المميزة تولد تنبيهات، وأن التنبيهات يتم فرزها من قبل محللين مدربين، وأن الحوادث يتم تصعيدها إلى الفرق القانونية وفرق العملاء، وأن قواعد الكشف يتم اختبارها. يجب أن تظهر أتمتة الأمان نتائج: وقت أقل للكشف، وامتياز إداري دائم أقل، ومرفقات حساسة غير مصنفة أقل، وتحديد نطاق أسرع للعملاء.

سادسًا، يجب أن يثبت الإصلاح الدائم الحوكمة على مستوى الشراكة أو ما يعادل مجلس الإدارة. لدى شركات الخدمات المهنية هياكل قيادية معقدة. يجب أن تحدد المساءلة من يملك مخاطر البريد الإلكتروني، ومن يملك سرية العميل، ومن يملك حماية البيانات، ومن يملك العمليات السيبرانية، ومن يوافق على الإشعار العام، ومن يتحقق من العلاج. بدون مالكين محددين، يمكن أن تصبح السرية قيمة الجميع ولا أحد يتحكم فيها.

السيناريو المقابل ليس عدم وجود بريد إلكتروني؛ إنه بريد إلكتروني محدود بإدارة قابلة للإثبات

سيكون من غير الواقعي القول إن شركة الخدمات المهنية لا ينبغي أن تستخدم البريد الإلكتروني لعمل العميل. السيناريو المقابل الأفضل هو البريد الإلكتروني المحدود. لا يزال العمل الحساس يمكن أن يشمل البريد الإلكتروني، ولكن الوصول المميز مقلص، والمواد عالية المخاطر منقولة إلى مستودعات خاضعة للرقابة، وبيانات العميل مصنفة، ونشاط صندوق البريد مسجل، والمسؤولون يستخدمون MFA قوية، والعمليات الواسعة مراقبة، والاحتفاظ محكوم، وتحديد نطاق الحوادث يمكن إجراؤه بسرعة.

يشمل السيناريو المقابل أيضًا اختيار العميل. يجب أن يعرف العملاء ما إذا كانت مهامهم الأكثر حساسية تتطلب بوابات آمنة، أو تشفيرًا، أو مستأجرين منفصلين، أو مساحات تعاون مخصصة، أو احتفاظًا أكثر صرامة. قد يقبل بعض العملاء البريد الإلكتروني العادي للاتصالات الروتينية. آخرون، خاصة العملاء الحكوميين، والرعاية الصحية، والمالية، والقانونية، والاندماجية، والأمن السيبراني، والمنظمين، قد يحتاجون إلى ضوابط أقوى. لا ينبغي لشركة الخدمات المهنية أن تتخذ هذا الاختيار بصمت من خلال ترك كل العمل يتدفق عبر نفس منصة البريد الواسعة.

يشمل السيناريو المقابل نموذج إشعار أفضل. بدلاً من الاعتماد على الادعاءات العامة بأن عددًا قليلًا من العملاء تأثروا، يمكن للشركة إعطاء العملاء شرحًا منظمًا: تمكن المهاجم من الوصول إلى هذه الأنظمة، وتم مراجعة هذه السجلات، وتم تأكيد الوصول إلى هذه الصناديق البريدية، وكانت فئات البيانات هذه موجودة، وتم إخطار هؤلاء العملاء لأن المعايير تطابقت، ولم يتم إخطار هؤلاء العملاء لأن الأدلة تستبعدهم، وهذه الضوابط تغيرت بعد الحادثة. هذا النموذج يحترم السرية مع إعطاء العملاء أدلة كافية لحوكمة مخاطرهم الخاصة.

أخيرًا، يشمل السيناريو المقابل التواضع. يجب على الشركة التي تقدم نصائح للآخرين حول المخاطر أن تعترف بأن أنظمتها الخاصة يمكن أن تفشل وأن تجعل أدلة الإصلاح مرئية لأصحاب المصلحة المناسبين. لا يتم استعادة الثقة بالسمعة وحدها. يتم استعادتها بسجل يمكن للعملاء فحصه، والمنظمين اختباره، والقادة الداخليين استخدامه لمنع التكرار.

المساءلة تتبع السيطرة على الوصول المميز، والنطاق، والإشعار

يجب أن يتبع التخصيص النهائي للمساءلة السيطرة العملية. سيطرت Deloitte على تكوين بيئة البريد الإلكتروني، وامتيازات المسؤول، ومتطلبات المصادقة، والتسجيل، والاحتفاظ، وتصنيف بيانات العملاء، ومراجعة الحوادث، وإشعارات العملاء، والبيانات العامة، والعلاج. سيطر موفرو المنصة السحابية على ميزات المنصة والبنية التحتية، ولكن ليس على تصميم الامتيازات أو استخدام بيانات العملاء. سيطر العملاء على بعض الخيارات حول ما أرسلوه، لكنهم لم يتحكموا في إدارة صندوق بريد Deloitte. سيطر الصحفيون على السرد العام فقط بعد أن تم بالفعل اتخاذ خيارات الأدلة والإشعار الخاصة بالشركة.

هذا التخصيص لا يتطلب افتراض أسوأ نسخة من كل ادعاء مصدر. يتطلب الاعتراف بأن عبء الإثبات يقع على عاتق الشركة التي كان لديها إمكانية الوصول إلى السجلات وسجلات العملاء. إذا تأثر عدد قليل جدًا من العملاء، يجب أن تكون الشركة قادرة على إظهار منطق النطاق بشكل خاص. إذا كان الوصول الأوسع ممكنًا ولكن لم يتم إثباته، يجب أن تقول الشركة كيف تم التعامل مع عدم اليقين. إذا كانت MFA الإدارية غائبة أو غير كافية، يجب أن يجعل الإصلاح الوصول المميز أكثر صعوبة هيكليًا للاختراق. إذا كان البريد الإلكتروني يحمل مواد عميل حساسة، يجب أن تقلل حوكمة البيانات من نصف قطر انفجار صندوق البريد في المستقبل.

يبقى اختراق نظام البريد الإلكتروني لشركة Deloitte في عام 2017 مهمًا لأنه جمع العديد من مخاطر المؤسسات الحديثة في حالة واحدة: إدارة البريد الإلكتروني السحابي، الوصول المميز، السرية المهنية، بيانات العملاء عبر الحدود، المعرفة العامة المتأخرة، ونطاق الإشعار المتنازع عليه. الحادثة ليست مجرد قصة عن حساب واحد أو منصة واحدة. إنها تذكير بأن أنظمة الاتصالات الداخلية تصبح بنية تحتية للعملاء عندما يعهد العملاء بأعمالهم الأكثر حساسية إلى شركة الخدمات المهنية.

الدرس الدائم هو أن إشعار بيانات العميل يجب أن يكون قائمًا على الأدلة. الشركة لا تستعيد الثقة بالقول إن عددًا قليلًا من العملاء تأثروا. تستعيد الثقة بإثبات كيف تعرف، وإخبار العملاء المناسبين بالسرعة الكافية للتصرف، وإصلاح الضوابط التي جعلت الإجابة على السؤال صعبة للغاية.