Desjardins جعلت الوصول الداخلي اختبارًا للمساءلة في حوكمة البيانات المالية

ملخص

• Desjardins مهمة لأن السجل العام يصف مؤسسة مالية تم فيها نسخ معلومات حساسة للأعضاء من خلال مسارات عمل كانت مشروعة في الظاهر ولكنها غير آمنة في التصميم.
• قال مكتب خصوصية كندا إن الاختراق أثر في النهاية على ما يقرب من 9.7 مليون فرد في كندا وخارجها، وقال بيان Desjardins العام الأول إن الاكتشاف الأصلي شمل أكثر من 2.9 مليون عضو تمت مشاركة معلوماتهم خارج المؤسسة.
• سؤال المساءلة هو من كان لديه السيطرة العملية على حقوق وصول الموظفين، وسير عمل الأقراص المشتركة، وحدود تقليل البيانات، والمراقبة، والتعرض للوسائط القابلة للإزالة، وإشعار الأعضاء، وتكلفة العلاج، والدليل على أن نفس نوع النسخ لا يمكن أن يتكرر.
• استجابت Desjardins بمراقبة الائتمان، وحماية الهوية، والتزامات تنظيمية، ومخصصات مالية عامة، وعملية تسوية دعوى جماعية؛ كانت تلك الإجراءات ضرورية، لكنها لم تحل محل الحاجة إلى دليل على أن شروط حوكمة الوصول قد تغيرت.
• تتعامل هذه المقالة مع إشعارات Desjardins، ونتائج مكتب خصوصية كندا، وتقارير Desjardins المالية، وسجلات التسوية، وقانون الخصوصية، وإرشادات OSFI، وأطر الحوكمة الأمنية كأدلة عامة. لا تدعي الوصول إلى ملفات الشرطة الخاصة، أو سجلات الموظفين الكاملة، أو سجلات الخسائر الفردية للأعضاء، أو كل أداة تدقيق داخلية لاحقة.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

Desjardins تنتمي إلى ملف المخاطر والمساءلة لأن الاختراق لم يكن سردًا تقليديًا للاقتحام الخارجي. تصف الأدلة العامة استخراجًا مرتبطًا بموظف لسجلات الهوية المالية من مؤسسة لم يكن لدى أعضائها طريقة عملية لفحص تصميم الوصول أو ممارسة الاحتفاظ. قال بيان Desjardins العام في 20 يونيو 2019 على source: newswire.ca إن شرطة لافال اتصلت بـ Desjardins بمعلومات تؤكد أن المعلومات الشخصية لأكثر من 2.9 مليون عضو تمت مشاركتها خارج المؤسسة، بما في ذلك 2.7 مليون عضو فردي و173 ألف عضو تجاري. ونسب البيان الموقف إلى استخدام غير مصرح به وغير قانوني للبيانات الداخلية من قبل موظف تم فصله.

كان ذلك الإفصاح الأول خطيرًا بالفعل. جعل السجل التنظيمي اللاحق الأمر أكبر وأكثر أهمية من الناحية الهيكلية. قالت نتائج مكتب خصوصية كندا على source: priv.gc.ca إن Desjardins أبلغت مكتب الخصوصية الفيدرالي في 27 مايو 2019 عن خرق لضمانات الأمن أثر في النهاية على ما يقرب من 9.7 مليون فرد في كندا وخارجها. تضمنت المعلومات المخترقة الأسماء وتواريخ الميلاد وأرقام الضمان الاجتماعي وعناوين السكن وأرقام الهواتف وعناوين البريد الإلكتروني وتواريخ المعاملات. قال التقرير نفسه إن Desjardins خلصت إلى أن موظفًا واحدًا كان يسرق المعلومات الشخصية على مدى 26 شهرًا على الأقل.

تنتمي القضية إلى هنا لأن تلك الأدلة تغير المشكلة من "موظف فعل شيئًا خاطئًا" إلى "المؤسسة بنت بيئة بيانات حيث يمكن لموظف واحد خلق خطر هوية جماعي". لا يمكن لمؤسسة مالية أن تعامل التعرض الداخلي كاستثناء مفاجئ عندما تتحرك المعلومات الحساسة عبر مستودعات البيانات ومجلدات التسويق ومحطات العمل والوسائط القابلة للإزالة. إذا أنشأت المؤسسة سير عمل حيث يمكن لأدوار الموظفين رؤية أو نسخ أو تجميع أو تصدير كميات كبيرة من بيانات هوية الأعضاء، فإن حوكمة الوصول هي عنصر تحكم لحماية الأعضاء. إنها ليست تفضيلًا إداريًا.

سؤال المساءلة مباشر: من كان لديه السيطرة العملية على حقوق وصول الموظفين، وحدود تقليل البيانات، والمراقبة، وكشف التصدير، وإشعار الأعضاء، وتكلفة العلاج، والدليل على أنه لا يمكن نسخ بيانات الهوية المالية خارج سير العمل المعتمد؟ قيادة Desjardins سيطرت على الحوكمة والاستثمار وأولوية ضوابط الخصوصية. سيطرت وحدات الأعمال على ما إذا كانت سير عمل التسويق والتحليل تتطلب ملفات هوية واسعة. سيطرت فرق التكنولوجيا والأمن على توفير الوصول وهندسة الأقراص المشتركة ومراقبة نقاط النهاية والتسجيل وضوابط الوسائط القابلة للإزالة. سيطرت فرق الخصوصية والمخاطر على سياسات الاحتفاظ والتدريب والاستجابة للخرق وأدلة المنظمين. لم يتحكم الأعضاء في أي من ذلك تقريبًا.

قدموا معلومات الهوية لأن الحياة المالية تطلبت ذلك.

تناسب القضية أيضًا سيادة البيانات والمحلية لأن السجلات كانت عن أفراد كنديين وآخرين تحتفظ بها مؤسسة مالية تعاونية مقرها كيبيك تحت إشراف الخصوصية الفيدرالي والإقليمي. تناسب أتمتة الأمان لأن فشل السيطرة كان جزئيًا بسبب المراقبة وحركة البيانات الآلية وما إذا كان يمكن اكتشاف النسخ غير الطبيعي وإيقافه قبل أن يصبح حدثًا على نطاق سكاني. تناسب استمرارية القطاع العام لأن سجلات الهوية المالية تربط الأعضاء العاديين بأنظمة الضرائب وأنظمة الائتمان والمزايا والإبلاغ للشرطة والثقة التنظيمية العامة. يمكن أن يصبح اختراق تعاونية خاصة مشكلة مخاطر هوية مدنية عندما تتضمن أرقام الضمان الاجتماعي والعناوين وتواريخ المعاملات.

المحفز المرئي كان موظفًا، لكن نظام السيطرة كان أوسع

من المغري وصف اختراق Desjardins كقصة داخلية والتوقف عند هذا الحد. سيفوت ذلك جوهر قضية المساءلة. حددت نتائج الخصوصية الكندية بالفعل موظفًا خبيثًا ووصفت نسخ المعلومات الشخصية من أقراص مشتركة إلى كمبيوتر عمل ثم إلى مفاتيح USB. لكن التقرير نفسه وصف سير عمل تجاري وضع المعلومات الشخصية الحساسة في المجلدات المشتركة في المقام الأول. قال إن الموظفين قاموا بنقل آلي للمعلومات الشخصية من مستودع بيانات الائتمان إلى مجلدات المستخدمين في قرص مشترك لقسم التسويق، وأن موظفين آخرين نسخوا معلومات شخصية سرية من مستودع بيانات مصرفي إلى قرص مشترك.

ثم نسخ الموظف الخبيث معلومات من تلك المواقع المشتركة، بما في ذلك معلومات لم يكن لديه حق الوصول إليها عادةً في مستودع البيانات المصرفي.

هذا مهم لأن الموظف لم يضطر إلى اختراق نظام منيع. استغل الموظف نظامًا كان قد جلب بالفعل سجلات حساسة إلى مواقع عمل يمكن الوصول إليها. من حيث المساءلة، كان على المؤسسة أن تشرح لماذا تم وضع بيانات حساسة بدرجة كافية لخلق خطر هوية طويل الأمد في مواقع تشغيلية واسعة أو غير محمية بشكل كاف. كان عليها أيضًا أن تشرح لماذا لم تقاطع ضوابط الكشف والمنع النسخ على مدى فترة طويلة.

عبارة "استخدام غير مصرح به وغير قانوني" دقيقة كمحفز، لكن الحوكمة لا يمكن أن تنتهي بهذه العبارة. يمكن لداخلي أن يخون الثقة في أي مؤسسة. السؤال المسؤول هو ما إذا كانت المؤسسة صممت سير العمل المتميز كما لو كان سوء الاستخدام الداخلي متوقعًا. تعالج المؤسسات المالية أرقام الضمان الاجتماعي والأسماء والعناوين وتواريخ الميلاد ومعلومات الحساب وتواريخ المعاملات على وجه التحديد لأنها تدعم علاقات الائتمان والخدمات المصرفية المنظمة.

تخلق هذه الحساسية واجبًا لتحديد من يمكنه رؤية البيانات، وأين يمكن تخزينها مؤقتًا، ومدة بقائها هناك، وما إذا كان يمكن نسخها إلى نقاط النهاية، وما إذا كان التخزين القابل للإزالة محظورًا، وما إذا كانت الحركة غير العادية تنتج تنبيهات.

لذلك يجب قراءة بيان Desjardins العام ونتائج مكتب الخصوصية معًا. أعطى البيان العام في البداية الأعضاء محفزًا ومسارًا فوريًا للطمأنة. أعطى السجل التنظيمي تشريح السيطرة. العضو الذي يقرأ فقط البيان الأول قد يتخيل موظفًا مارقًا مع وصول غير عادي. القارئ للسجل التنظيمي يرى قضية حوكمة أوسع: حقوق الوصول، وتصميم الأقراص المشتركة، وممارسة نقل البيانات، والاحتفاظ، وتدريب الموظفين، والمراقبة، والتخفيف بعد الاختراق.

تقليل البيانات لم يكن مبدأ خصوصية مجردًا

غالبًا ما يُعامل تقليل البيانات كلغة قانونية. في هذه الحالة كان حدًا أمنيًا عمليًا. يمكن لمؤسسة مالية أن تفقد أو تسرب فقط ما تجمعه وتحتفظ به وتنسخه وتخزنه مؤقتًا وتجعله في متناول اليد. قالت نتائج الخصوصية الكندية إن عمر بعض المعلومات المخترقة دفع OPC إلى مراجعة ممارسات تدمير البيانات في Desjardins. وجد التقرير مخالفات تتعلق بالمساءلة وفترات الاحتفاظ وضمانات الأمن. كما ذكر أن Desjardins لم يكن لديها إجراءات لتدمير المعلومات الشخصية في نهاية دورة حياتها وكانت لا تزال غير قادرة، بعد أشهر من الحادثة، على تحديد فترة الاحتفاظ للحسابات غير النشطة المخترقة.

هذه نقطة مساءلة حاسمة. سياسة الاحتفاظ ليست مسألة جانبية لإدارة السجلات عندما تتضمن السجلات معلومات هوية يمكن استخدامها للاحتيال بعد سنوات. أرقام الضمان الاجتماعي وتواريخ الميلاد لا تصبح غير ضارة لأن الحساب غير نشط. العناوين وأرقام الهواتف وعناوين البريد الإلكتروني وتواريخ المعاملات يمكن استخدامها لبناء محاولات انتحال مقنعة. كلما بقيت المعلومات في أنظمة يمكن الوصول إليها بعد انتهاء غرضها، زاد سطح الاختراق.

قانون حماية المعلومات الشخصية والوثائق الإلكترونية على source: laws-lois.justice.gc.ca يوفر إطار قانون الخصوصية الفيدرالي للتعامل مع المعلومات الشخصية في القطاع الخاص في كندا. طبقت نتائج Desjardins مبادئ المساءلة والضمانات والاحتفاظ في ذلك القانون على الاختراق. الدرس العملي المهم هو أن قانون الخصوصية وهندسة الأمن يلتقيان داخل ضوابط دورة الحياة. إذا لم تعد البيانات ضرورية، فلا ينبغي أن تظل متاحة ليتم نسخها من موقع مشترك. إذا كان سير عمل التسويق يحتاج إلى تحليل إجمالي، فلا ينبغي أن يتلقى تلقائيًا سجلات هوية كاملة ما لم يتطلب حالة الاستخدام ذلك وتطابق الضمانات مع المخاطر.

إذا كان مجلد المستخدم يحتوي على مستخرجات حساسة، فإن هذا المجلد ليس مخبأ للراحة؛ إنه مخزن بيانات منظم.

تقليل البيانات يغير أيضًا نموذج التكلفة. بعد الاختراق، قد تدفع المؤسسة مقابل مراقبة الائتمان، وحماية الهوية، والاتصالات، والعملية القانونية، والتدقيق الخارجي، والإصلاح التشغيلي. اعترف التقرير المالي لـ Desjardins للربع الثاني من 2019 على source: desjardins.com بمصروفات ومخصصات كبيرة للحماية بعد اختراق الخصوصية. تقريرها السنوي لعام 2019 على source: desjardins.com والبيانات المالية ذات الصلة على source: desjardins.com ربطت استجابة الاختراق بتكلفة مالية مادية. تظهر هذه التكاليف لماذا لا يعد التقليل مجرد تفضيل امتثال. تصبح البيانات الزائدة المحتفظ بها مسؤولية ممولة عندما تفشل الضوابط.

اختبار الإصلاح المسؤول ليس "هل كتبت المؤسسة سياسة احتفاظ؟" بل "هل يمكن للمؤسسة إثبات أن المعلومات الحساسة القديمة وغير الضرورية لم تعد في متناول الموظفين العاديين، والمجلدات المشتركة، وأجهزة الكمبيوتر المحمولة، وسير عمل التحليلات، أو الوسائط القابلة للإزالة؟" سياسة بدون دليل تدمير هي وعد. إجراء حذف بدون مراقبة هو أمل. يحتاج الأعضاء إلى دليل على أن تقليل البيانات أصبح عمليًا.

فشلت حوكمة الوصول عندما التقت راحة الأعمال بالسجلات الحساسة

حوكمة الوصول هي قلب القضية. في العديد من المؤسسات المالية، تحتاج فرق الأعمال بشكل مشروع إلى البيانات لإدارة المنتجات والتسويق ونمذجة المخاطر ومنع الاحتيال والعمليات وإعداد التقارير وتحسين الخدمة. يمكن أن تكون هذه الاحتياجات حقيقية. لكن حقيقة أن الاستخدام مشروع لا تعني أنه يجب نسخ كل سجل إلى مناطق عمل واسعة. وصفت نتائج الخصوصية المعلومات الحساسة التي تنتقل من مستودعات البيانات إلى الأقراص المشتركة ومجلدات المستخدمين، حيث يمكن للموظف الخبيث نسخها حتى عندما لم يكن لديه عادةً حق الوصول إلى المستودع المصرفي الأصلي. هذا هو انقلاب كلاسيكي في حوكمة الوصول: مصدر محمي يمكن أن يصبح أقل حماية بعد استخراج الأعمال.

قضية المساءلة ليست أن أقسام التسويق يجب ألا تستخدم بيانات الأعضاء أبدًا. بل أن الوصول يجب أن يتبع الحاجة والغرض والحساسية وإمكانية التتبع في كل مرحلة. إذا غادر مستخرج مستودعًا، يجب أن يرث ضوابط. إذا تلقى مجلد مستخدم بيانات حساسة، يجب أن تكون أذوناته ضيقة، واستخدامه مسجلًا، واحتفاظه قصيرًا، ومسارات تصديره خاضعة للرقابة. إذا تم استخدام قرص مشترك كمساحة عمل وسيطة، فلا ينبغي أن يصبح مستودع بيانات ظل طويل الأمد. إذا لم تكن حقول الهوية مطلوبة، فيجب إزالتها أو ترميزها قبل أن يغادر المستخرج الأنظمة الخاضعة للرقابة.

أتمتة الأمان ذات صلة لأن السياسة اليدوية لا يمكنها مراقبة كل نسخة. بيئة ناضجة ستبحث عن عمليات نقل غير عادية، وتصدير متكرر لأعمدة حساسة، ونسخ من الأقراص المشتركة إلى نقاط النهاية، واستخدام التخزين القابل للإزالة، وأنماط الوصول غير المتسقة مع الدور أو الغرض. كما ستصنف الملفات حسب الحساسية بحيث يتم التعامل مع جدول بيانات أو مستخرج بيانات يحتوي على أرقام الضمان الاجتماعي وتواريخ المعاملات بشكل مختلف عن محتوى الأعمال العادي. يجب أن تجعل ضوابط نقطة النهاية من الصعب نسخ بيانات الهوية المالية المنظمة إلى أجهزة USB دون موافقة وتسجيل.

يمكن أن تكون أدوات منع فقدان البيانات غير كاملة، لكن غياب أو ضعف هذه المراقبة يغير العبء على الأعضاء الذين لا يستطيعون حماية أنفسهم من التصدير الداخلي.

إرشادات OSFI لإدارة المخاطر التكنولوجية والسيبرانية على source: osfi-bsif.gc.ca ليست نتيجة بأثر رجعي حول ضوابط Desjardins لعام 2019. إنها مفيدة لأنها تعبر عن التوقع الحديث للقطاع المالي بأن المخاطر التكنولوجية والسيبرانية يجب أن تُحكم وتُدار وتُراقب وتُجعل مرنة بما يتناسب مع مخاطر المؤسسة. حركة البيانات الداخلية تقع مباشرة داخل هذا الإطار. إنها ليست مجرد حدث خصوصية. إنها حدث مخاطر تشغيلية حيث يتقاطع الأشخاص والعمليات والتكنولوجيا وحوكمة البيانات.

كان لفشل حوكمة الوصول أيضًا بُعد ثقة مؤسسي. Desjardins هي مجموعة مالية تعاونية. الأعضاء ليسوا مجرد حاملي حسابات تجزئة في نظام بعيد؛ إنهم جزء من علاقة تعاونية تعتمد على الثقة والمحلية وهوية العضوية. لذلك فإن الاختراق الذي يتضمن موظفًا موثوقًا يضرب العقد الاجتماعي للمؤسسة. لا يمكن اختصار الإصلاح إلى "لقد رحل الموظف". يجب على المؤسسة أن تظهر أن ثقة الأعضاء لم تعد تعتمد على افتراض أن كل موظف لديه وصول مناسب سيتصرف بشكل صحيح إلى الأبد.

تأخير الكشف غير شكل المساءلة

توقيت الكشف مهم لأن ضرر بيانات الهوية ينمو بصمت. يمكن استبدال بطاقة الدفع المسروقة. يظل رقم الضمان الاجتماعي وتاريخ الميلاد مفيدين للاحتيال المستقبلي والانتحال والهندسة الاجتماعية. قالت نتائج الخصوصية إن التصدير المرتبط بالموظف حدث على مدى 26 شهرًا على الأقل. هذه النافذة الطويلة أساسية للمساءلة لأنها تشير إلى أن نظام السيطرة لم يلاحظ أو يوقف النسخ المتكرر للمعلومات الحساسة على مدى فترة طويلة بما يكفي لتراكم المخاطر.

السجل العام لا يكشف كل سجل مراقبة أو تنبيه داخلي متاح لـ Desjardins، لذلك لا ينبغي للمقالة اختراع تفاصيل. تدعم الأدلة استنتاجًا أضيق: أظهر سجل الكشف والإفصاح النهائي أن الضمانات الحالية لم تكن كافية لمنع التعرض على نطاق سكاني. وصف البيان الصحفي لـ OPC على source: priv.gc.ca مزيجًا من نقاط الضعف الإدارية والتكنولوجية. قال بيان المفوض على source: priv.gc.ca إن Desjardins لم تظهر المستوى المناسب من الاهتمام المطلوب لحماية المعلومات الشخصية الحساسة، مع ملاحظة أن المؤسسة استجابت بشكل جيد بعد علمها بالاختراق.

يجب الاحتفاظ بهاتين النقطتين معًا. الاستجابة القوية بعد الاكتشاف مهمة. يمكن أن تقلل من ضرر الأعضاء، وتدعم المنظمين، وتمول العلاج، وتحسن الضوابط. لكن الاستجابة القوية بعد الاكتشاف الخارجي لا تمحو ضعف وضع الكشف قبل الاكتشاف. بالنسبة للأعضاء، لم يكن الخطر ذا الصلة فقط ما إذا كانت Desjardins قد تصرفت بمجرد وصول معلومات الشرطة. بل كان ما إذا كانت Desjardins قادرة على اكتشاف النسخ غير الطبيعي دون انتظار إشارات خارجية.

الكشف ليس عنصر تحكم واحد. يتضمن مراجعات الوصول، وتصنيف البيانات، ومسح المجلدات المشتركة، وقياس نقطة النهاية، ومراقبة الوسائط القابلة للإزالة، وتحليلات المستخدمين المتميزين، والاستثناءات القائمة على الدور، وتوجيه التنبيهات، وقواعد التصعيد. يتضمن أيضًا السلطة لوقف العمليات التجارية الواسعة جدًا. إذا قام قسم ببناء مستخرجات متكررة تضع بيانات حساسة في الأقراص المشتركة، يجب على الكشف أن يسأل لماذا يوجد هذا النمط، وما إذا كان معتمدًا، وما إذا كان لا يزال مطلوبًا، وما إذا كان يمكن قمع الحقول الحساسة. المراقبة التي تسجل الأحداث فقط دون مراجعة الحوكمة هي دليل ضعيف.

النافذة الطويلة تغير أيضًا إشعار الأعضاء. إذا كانت البيانات قد غادرت المؤسسة على مدى أشهر عديدة، لا يمكن للأعضاء معرفة خطر الاحتيال المستقبلي الدقيق. على المؤسسة أن توصل عدم اليقين بصدق. يجب أن تحدد فئات المعلومات المتضمنة، ومن قد يتأثر، وما هي الخدمات الوقائية المتاحة، وما هي عمليات إنفاذ القانون والمنظمين الجارية، وماذا ستفعل المؤسسة إذا ظهرت سرقة الهوية لاحقًا. الإشعار ليس مجرد خطوة قانونية. إنه نقل المعرفة القابلة للتنفيذ إلى الأشخاص الذين لم يتحكموا في الاختراق.

أظهرت تكلفة العلاج أن خطر الهوية يعيش بعد الحادثة

سجل العلاج لـ Desjardins هو جزء مفيد من ملف الأدلة لأنه يظهر أن المؤسسة تعاملت مع خطر الهوية على أنه طويل الأمد. تصف حماية هوية Desjardins على source: desjardins.com حماية الاحتيال، ودعم سرقة الهوية، وتعويض نفقات استعادة الهوية، وميزات مراقبة الائتمان. اعترفت التقارير المالية لـ Desjardins بتكاليف ومخصصات مرتبطة بحماية الاختراق، وناقش التقرير السنوي للاتحاد لعام 2019 على source: desjardins.com مصروفات تنفيذ حماية هوية Desjardins بعد اختراق الخصوصية.

تلك الاستجابة مهمة لأن بيانات الهوية دائمة. يمكن أن تساعد مراقبة الائتمان لفترة قصيرة، لكن المعرفات المخترقة قد تُستخدم لاحقًا. قد يواجه العضو محاولات احتيال بعد سنوات من الحدث، خاصة إذا تم دمج البيانات مع مصادر أخرى. اعترف عرض Desjardins لحماية هوية أوسع وتعويض بأن نموذج الضرر قد يعيش بعد دورة الأخبار.

يضيف سجل التسوية الجماعية بُعدًا آخر. إعلان تسوية Desjardins في فبراير 2022 على source: desjardins.com قال إن اتفاقية تسوية قد أبرمت مع المدعين في دعاوى جماعية مرتبطة باختراق الخصوصية. إعلان يونيو 2022 على source: desjardins.com قال إن المحكمة العليا في كيبيك وافقت على تسوية تسمح بدفع حد أقصى قدره 200,852,500 دولار كتعويض فردي للأفراد المؤهلين الذين قدموا مطالبات. أصبح موقع التسوية على source: desjardinssettlement.com ومواد محامي الفصل على source: siskinds.com جزءًا من خريطة العلاج العامة.

التسوية ليست هي نفس النتيجة الفنية. لم تكن Desjardins بحاجة إلى الاعتراف بكل ادعاء من أجل التسوية. لكن التسوية هي دليل مساءلة لأنها تظهر كيف انتقلت تكلفة الاختراق من فشل السيطرة إلى تعويض الأعضاء، وإدارة المطالبات، والإفراج القانوني، والمصروف المؤسسي. كما تظهر حدود المال بعد الاختراق. العضو الذي يتلقى تعويضًا لا يزال يتعين عليه التعايش مع حقيقة أنه لا يمكن استدعاء بيانات الهوية. أقوى إصلاح هو الوقاية وتحسين السيطرة القابل للتحقق، وليس فقط التعويض بعد التعرض.

لذلك يجب أن يسأل ملف العلاج ما إذا كانت الأموال والخدمات متطابقة مع أدلة السيطرة. هل تم تضييق حقوق الوصول؟ هل تم إعادة تصميم سير عمل الأقراص المشتركة؟ هل تم تصنيف المستخرجات الحساسة وتحديدها زمنيًا؟ هل تم تعزيز ضوابط USB؟ هل تم تحسين تنبيهات المراقبة؟ هل تم تنفيذ إجراءات الاحتفاظ والتدمير؟ هل طُلب من المدققين الخارجيين اعتماد الأشياء الصحيحة؟ هل كانت تقارير تقدم المنظمين ذات مغزى كافٍ لإثبات التغيير؟ يقول سجل الخصوصية العام إن Desjardins وافقت على التوصيات وإعداد تقارير التدقيق الخارجي. كان الأعضاء لا يزالون بحاجة إلى الضمان العملي بأن المسارات القديمة قد أغلقت.

حولت توصيات المنظم القضية إلى اختبار أدلة

نتائج الخصوصية الكندية قيمة لأنها لم تؤطر الاختراق كغموض. حددت نقاط ضعف وقدمت توصيات. قال OPC إن Desjardins وافقت على تحسين برامج حماية المعلومات الشخصية وأمن المعلومات، وتقديم تقارير مرحلية كل ستة أشهر، وإشراك مدققين خارجيين، وتقديم تقارير تقييم. قال البيان الصحفي لـ OPC أيضًا إن Desjardins وافقت على توصيات تتعلق بممارسات تدمير البيانات وتحسين البرنامج.

هذا هو محور المساءلة. توصية المنظم ليست مجرد توبيخ. إنها تخلق معيار أدلة. كان على Desjardins أن تظهر أن الضوابط قد نُفذت، وأن المدققين الخارجيين فحصوا البرامج ذات الصلة، وأن المخاطر المتبقية قد تم تحديدها. أدرجت نتائج OPC موضوعات تقييم مثل الحوكمة والموارد والمنصات المستخدمة لتخزين المعلومات الشخصية وحساسية المعلومات المخزنة في كل موقع والضمانات والاحتفاظ والتدمير وإزالة الهوية والمخاطر المتبقية. هذه هي الفئات الصحيحة لأن الاختراق عبر حدود تخزين البيانات والوصول ونقطة النهاية والاحتفاظ والحوكمة.

إرشادات مكتب الخصوصية للخرق للشركات على source: priv.gc.ca هي مفردات تحكم مفيدة للاستجابة وحفظ السجلات. تعزز أنه يجب على المؤسسات تقييم المخاطر الحقيقية للضرر الكبير، والإبلاغ عن بعض الخروقات، وإخطار الأفراد المتضررين، والاحتفاظ بالسجلات، واتخاذ خطوات لتقليل الضرر. في قضية Desjardins، لم يكن التحدي مجرد تلبية آليات الإخطار. بل كان إثبات أن الضمانات أصبحت مناسبة لحساسية وحجم البيانات.

إطار الأمن السيبراني لـ NIST على source: nist.gov ومواد التصميم الآمن لـ CISA على source: cisa.gov هي مراجع أوسع، وليست نتائج خاصة بـ Desjardins. لا تزال ذات صلة لأنها تعبر عن حلقة السيطرة التي كشفها هذا الحادث. حدد البيانات الحساسة والعمليات التجارية. احمِ الوصول وحدد الحركة. اكتشف النسخ غير الطبيعي. استجب بإخطار واضح وعلاج. استعد الثقة من خلال إصلاح مختبر. احكم النظام بأكمله من خلال مسؤولية محددة وأدلة. لمست قضية Desjardins كل جزء من تلك الحلقة.

يظهر عنصر استمرارية القطاع العام هنا. أصبح منظمي الخصوصية والشرطة والمحاكم والمشرفون الماليون ومكاتب الائتمان والمستجيبون لسرقة الهوية ومسؤولو الدعاوى الجماعية جزءًا من النظام البيئي للاستجابة. لا يبقى اختراق الهوية المالية الكبير داخل حدود المؤسسة. المؤسسات العامة تضطر لاستيعاب الشكاوى والتحقيقات والإبلاغ عن الاحتيال والعملية القانونية والعمل على الثقة العامة. المؤسسة التي جمعت البيانات تتحكم في ضمانات الخط الأول؛ القطاع العام يساعد في تحمل عواقب الخط الثاني.

حدود الأدلة يجب أن تبقى مرئية

يدعم السجل العام نتائج قوية، لكن له حدود. يدعم أن Desjardins كشفت عن مشاركة معلومات الأعضاء المرتبطة بموظف خارج المؤسسة، وأن الاختراق أثر في النهاية على ما يقرب من 9.7 مليون فرد وفقًا لنتائج الخصوصية الفيدرالية، وأن فئات البيانات الحساسة تضمنت الأسماء وتواريخ الميلاد وأرقام الضمان الاجتماعي والعناوين ومعلومات الاتصال وتواريخ المعاملات، وأن OPC وجدت إخفاقات تتعلق بالمساءلة والاحتفاظ والضمانات. يدعم أن Desjardins مولت تدابير حماية الهوية ودخلت لاحقًا في عملية تسوية معتمدة من المحكمة.

لا يدعم السجل العام الادعاء بأن كل فرد متضرر عانى من سرقة الهوية. لا يثبت الاستخدام النهائي الدقيق لكل سجل. لا يكشف عن جميع أدلة الشرطة، أو جميع سجلات محطات عمل الموظفين، أو جميع أحداث USB، أو جميع مراجعات الوصول الداخلي، أو جميع تقديمات المنظمين، أو كل قطعة تدقيق خارجي. لا يدعم التكهنات حول كل موظف أو قسم في Desjardins. ملف المساءلة الجاد يجب أن يبقي تلك الحدود مرئية لأن المبالغة تضعف التحليل.

الاستنتاج الصحيح أضيق وأقوى: لا يجب على مؤسسة مالية تحتفظ ببيانات هوية دائمة أن تسمح لمسارات العمل العادية بأن تصبح مسارات تصدير جماعي. سوء الاستخدام الداخلي متوقع. الأقراص المشتركة متوقعة. الوسائط القابلة للإزالة متوقعة. مستخرجات البيانات للتسويق أو التحليل متوقعة. انحراف الاحتفاظ متوقع. معيار المساءلة ليس المعرفة المثالية بكل موظف مستقبلي. بل هو دليل على أن النظام يحد من ما يمكن لدور واحد نسخه، ويكشف الحركة غير العادية، ويحتفظ فقط بما هو مطلوب، ويعطي المتضررين حماية ذات مغزى عندما تفشل الضوابط.

يجب أيضًا عدم استخدام القضية للادعاء بأن المؤسسات المالية يمكنها القضاء على جميع المخاطر الداخلية. لا يمكنها ذلك. تحتاج البنوك والاتحادات الائتمانية وشركات التأمين وشركات الدفع إلى موظفين ومقاولين للتعامل مع المعلومات الحساسة لأسباب مشروعة. المعيار الواقعي هو السيطرة النسبية. البيانات شديدة الحساسية يجب أن تتطلب أذونات أقوى، وحقول أضيق، وربط الغرض، ومسارات تدقيق، وتقسيم، وضمانات نقطة النهاية، وانضباط الاحتفاظ. كلما كان المعرف أكثر دوامًا، يجب أن يكون هناك تسامح أقل للنسخ العادي.

التمييز مهم للعدالة. تضمنت استجابة Desjardins العامة حماية الأعضاء والتعاون مع المنظمين. تلك الاستجابة تنتمي إلى السجل. لا تنفي إخفاقات السيطرة. يجب على ملف المساءلة تقييم كليهما: إصلاح المؤسسة بعد الاكتشاف وظروف ما قبل الاكتشاف التي سمحت للاختراق بالاتساع.

ما يتطلبه الإصلاح القابل للتحقق

اختبار الإصلاح الدائم لـ Desjardins يبدأ بحقوق الوصول. كل نقل متكرر للمعلومات الشخصية الحساسة من مستودع خاضع للرقابة إلى مجلد مستخدم أو قرص مشترك أو مساحة عمل تحليلات أو نقطة نهاية يجب أن يكون له غرض تجاري مسمى، وموافقة مالك البيانات، وتقليل الحقول، وحد احتفاظ، وتسجيل، وتاريخ مراجعة. إذا كان يمكن تحقيق الغرض ببيانات مجمعة أو مميزة، يجب ألا تنتقل حقول الهوية. إذا كان يجب أن تنتقل حقول الهوية، يجب معاملة موقع الاستلام كمخزن بيانات عالي المخاطر، وليس مجلد قسم عادي.

الاختبار الثاني هو التحكم في دورة الحياة. تحتاج Desjardins إلى معرفة ما هي المعلومات الشخصية التي تحتفظ بها، ولماذا تحتفظ بها، وأين يتم تخزينها، ومدة بقائها، وكيف سيتم تدميرها أو إزالة هويتها عندما لا تكون هناك حاجة إليها. هذا ليس سهلاً في مجموعة مالية تعاونية كبيرة مع أنظمة قديمة ومستودعات بيانات ومنتجات أعضاء وأنشطة تأمين وبطاقات وعملاء تجاريين ووظائف تحليلات. الصعوبة هي بالضبط لماذا يجب أن تُحكم السيطرة. جدول الاحتفاظ الذي لا يمكن تعيينه إلى المستودعات الفعلية ليس كافيًا.

الاختبار الثالث هو كشف حركة البيانات. يجب على المؤسسة المالية الحديثة أن تولد دليلاً عند نسخ البيانات الحساسة بكميات، أو نقلها إلى مجلد مشترك، أو تنزيلها إلى محطة عمل، أو كتابتها على وسائط قابلة للإزالة، أو ضغطها، أو إرسالها بالبريد الإلكتروني خارجيًا، أو الوصول إليها خارج أنماط الدور العادية. يجب توجيه التنبيهات إلى أشخاص لديهم سلطة التحقيق. يجب أن تنتهي الاستثناءات. يجب مراجعة العمليات التجارية المتكررة التي تنشئ مستخرجات حساسة كبيرة من قبل الخصوصية والأمن ومالك البيانات، وليس تطبيعها لأنها كانت موجودة دائمًا.

الاختبار الرابع هو التحكم في نقطة النهاية والوسائط القابلة للإزالة. وصفت النتائج العامة النسخ من قرص مشترك إلى كمبيوتر عمل ثم إلى مفاتيح USB. يجب أن تثبت الاستجابة المسؤولة أنه لا يمكن تصدير المعلومات الشخصية عالية المخاطر بشكل عرضي إلى وسائط قابلة للإزالة، أو أن أي تصدير معتمد يتم التحكم فيه بشدة، وتسجيله، وتشفيره، ومحدد زمنيًا، ومرتبط بتذكرة عمل مشروعة. يجب أن تغطي الضوابط أيضًا الطباعة وإعادة توجيه البريد الإلكتروني والمزامنة السحابية والأجهزة الشخصية ومسارات التصدير العملية الأخرى.

الاختبار الخامس هو التخفيف الموجه للعضو. يمكن لخدمات حماية الهوية والتعويض ودعم الاحتيال ومراقبة الائتمان والتعويض أن تقلل الضرر، لكن يجب أن تكون متصلة بشرح واضح لفئات البيانات والمخاطر المستقبلية. لا ينبغي للأعضاء الاضطرار إلى تحليل المستندات القانونية لمعرفة ما حدث، وما يجب أن يراقبوه، وما هي المساعدة المتاحة إذا ظهرت سرقة الهوية لاحقًا.

الاختبار السادس هو الأدلة الخارجية. عندما يطلب المنظم تقارير مرحلية وتدقيقات خارجية، يجب أن تكون الأدلة محددة بما يكفي لإظهار أن حوكمة الوصول قد تغيرت. بيان عام بأن السياسات تحسنت لا يجيب على الاختراق. يجب أن تظهر الأدلة تقدم جرد البيانات، وتنظيف دور الوصول، وتقليل الأقراص المشتركة، وتنفيذ الاحتفاظ، ومقاييس المراقبة، وتحسينات الاستجابة للحوادث، والمخاطر المتبقية غير المحلولة. قد لا ينشر المنظمون كل التفاصيل، لكن يجب أن تكون المؤسسة قادرة على إظهار الجوهر.

ما يجب أن تتعلمه المؤسسات المالية الأخرى

قضية Desjardins لديها درس عام للمؤسسات المالية والاتحادات الائتمانية وشركات التأمين والشركات المالية التكنولوجية ومعالجي البيانات: التعرض الداخلي للبيانات ليس فئة نادرة خارج الحوكمة العادية. إنه وضع الفشل الطبيعي للوصول الواسع، والمستخرجات غير المدارة، والاحتفاظ الطويل، وضعف ضوابط نقطة النهاية، والمراقبة المحدودة. يمكن للموظف الخبيث خلق خطر هوية على نطاق سكاني فقط إذا كانت البيئة تعطي ذلك الموظف مسارًا إلى بيانات على نطاق سكاني.

يجب على مجالس الإدارة أن تطلب أدلة، وليس راحة. كم عدد الموظفين الذين يمكنهم الوصول إلى حقول الهوية الخام؟ كم عدد المستخرجات المتكررة التي تتضمن أرقام الضمان الاجتماعي وتواريخ الميلاد والعناوين أو تواريخ المعاملات؟ أين تهبط تلك المستخرجات؟ كم من الوقت تبقى؟ هل يمكن نسخها إلى أجهزة كمبيوتر محمولة أو وسائط قابلة للإزالة؟ أي تنبيهات ستنطلق إذا قام مستخدم بنسخ مئات الآلاف من السجلات؟ من يراجع حقوق الوصول لأدوار التسويق والتحليلات والمنتجات والاحتيال والدعم والعمليات؟ كيف يتم إزالة الاستثناءات بسرعة؟ كيف يتم تدمير بيانات الأعضاء القديمة؟ ما هو الاختبار المستقل الذي يثبت الإجابة؟

يجب على فرق الأمن مقاومة العبارة الضيقة "التهديد الداخلي" إذا أصبحت طريقة لإضفاء الطابع الفردي على مشكلة التصميم. إدارة المخاطر الداخلية هي حوكمة الوصول، وتصنيف البيانات، والتحكم في الاحتفاظ، والمراقبة، وتصميم نقطة النهاية، والتدريب، وسير عمل التحقيق، وإعادة تصميم العمليات التجارية. إنها ليست حملة ملصقات تطلب من الموظفين أن يكونوا جديرين بالثقة. يجب تدريب الموظفين، لكن التدريب لا يمكن أن يحل محل الحد من كمية البيانات الحساسة التي يمكن لشخص واحد نسخها.

يجب على فرق الخصوصية معاملة تقليل البيانات كهندسة أمنية. عندما يتم الاحتفاظ بسجلات الخصوصية لفترة طويلة جدًا أو نسخها على نطاق واسع جدًا، يرث فريق الأمن نطاق انفجار أكبر. عندما تتجاهل مراقبة الأمن المستخرجات التجارية لأنها مصرح بها رسميًا، يرث فريق الخصوصية دورة حياة غير خاضعة للسيطرة. يلتقي التخصصان في سؤال ما إذا كانت البيانات الحساسة موجودة حيث يجب، وللمدة التي يجب أن تكون عليها، وتحت ضوابط تطابق ضررها المستقبلي.

يجب على الأعضاء والعملاء أن يسألوا المؤسسات كيف تتم حماية بيانات الهوية بعد مغادرتها التطبيق الأصلي. العديد من المؤسسات لديها ضوابط وصول قوية إلى قاعدة البيانات في المصدر ولكن ضوابط أضعف حول المستخرجات والتقارير والأقراص المشتركة وجداول البيانات وبيئات التحليلات الرملية. قد لا تكون النسخة الخطرة هي السجل في النظام الأساسي. قد تكون التصدير الذي تم إنشاؤه للراحة ونسي.

الدرس النهائي للمساءلة عملي. لم تجعل Desjardins الوصول الداخلي اختبارًا للحوكمة لأن موظفًا تصرف بشكل سيء. جعلت الوصول الداخلي اختبارًا للحوكمة لأن السجل العام أظهر أن بيانات الهوية المالية يمكن أن تنتقل عبر أنظمة العمل العادية بطريقة خلقت خطرًا جماعيًا. في مؤسسة مالية، هوية العضو هي بنية تحتية. يجب أن تُحكم بنفس الجدية التي تُحكم بها حركة الأموال، لأنه بمجرد أن تغادر بيانات الهوية المؤسسة، يتحمل العضو المخاطر لسنوات.

الثقة التعاونية جعلت عبء الإثبات أعلى

الهيكل التعاوني لـ Desjardins يجعل عبء الإثبات أعلى، وليس أقل. يمكن للمجموعة المالية التعاونية أن تتحدث بلغة العضوية والخدمة المحلية والملكية المشتركة والالتزام المجتمعي. هذه القيم ذات معنى فقط إذا كانت متطابقة مع دليل على أن بيانات الأعضاء محمية داخل المؤسسة. لا يمكن للعضو أن يشارك بشكل هادف في حوكمة البيانات إذا كانت الضوابط ذات الصلة مخفية في المستودعات والأقراص المشتركة وأدوات نقطة النهاية وأنظمة الاحتفاظ. لذلك تعتمد العلاقة التعاونية على إثبات مؤسسي، وليس افتراض العضو.

يجب أن يكون ذلك الإثبات قابلاً للقراءة على عدة مستويات. يحتاج مجلس الإدارة إلى أدلة السيطرة: جرد البيانات، ومراجعات الوصول، ومقاييس المراقبة، وتقدم التدمير، ونتائج التدقيق، والمخاطر المتبقية. يحتاج المنظمون إلى تفاصيل كافية لاختبار ما إذا كانت التوصيات قد نُفذت بدلاً من استيعابها في لغة السياسة العامة. يحتاج الأعضاء إلى إشعار واضح حول البيانات المتضمنة، وما هي الحماية المستمرة، وكيفية الحصول على المساعدة. يحتاج الموظفون إلى حواجز عملية تجعل المسار المعتمد أسهل من المسار غير الآمن. يحتاج كل جمهور إلى سطح مختلف، لكن جميعهم يحتاجون إلى نفس الحقيقة الأساسية: لم يعد بإمكان بيانات الهوية الحساسة التحرك عبر مسارات عمل ضعيفة الحوكمة على نطاق واسع.

هذا أيضًا حيث تصبح الثقة العامة قضية استمرارية. المؤسسات المالية جزء من الحياة اليومية. تعتمد الرواتب والقروض والبطاقات والسجلات الضريبية ومدخرات التقاعد وتمويل الأعمال الصغيرة والتأمين والتفاعلات الحكومية جميعها على هوية مستقرة وسجلات موثوقة. عندما يتضمن الاختراق أرقام الضمان الاجتماعي ومعلومات الاتصال، يمتد عبء الإصلاح إلى ما بعد ميزانية مؤسسة واحدة. تصبح البنوك ومكاتب الائتمان وخدمات الشرطة والسلطات الضريبية وأرباب العمل ومكاتب مساعدة المستهلكين جزءًا من بيئة إدارة الضرر. لهذا السبب تعامل المقالة استمرارية القطاع العام كموضوع خاضع للضوابط على الرغم من أن Desjardins ليست وكالة حكومية.

لمس الاختراق بنية تحتية للهوية يعتمد عليها كل من الجهات العامة والخاصة.

لذا فإن استنتاج المساءلة الأكثر فائدة ليس خطابًا عقابيًا. إنه قاعدة أدلة. إذا كانت المؤسسة تجمع معلومات هوية دائمة، يجب أن تكون قادرة على إثبات أين توجد تلك المعلومات، ومن يمكنه استخدامها، ولماذا يمكنهم استخدامها، ومدة بقائها هناك، وماذا يحدث عندما تتحرك، وما هي الإشارة التي تظهر عندما تتحرك بشكل غير طبيعي. إذا كانت المؤسسة لا تستطيع الإجابة على هذه الأسئلة قبل الحادثة، فستجيب عليها بعد ذلك من خلال الإشعارات والمخصصات والدعاوى الجماعية ونتائج المنظمين وقلق الأعضاء. جعلت Desjardins هذا التوقيت مرئيًا.