Capital One Financial Corporation

لم يُظهر اختراق Capital One لعام 2019 أن السحابة العامة غير آمنة بطبيعتها، أو أن العميل يمكنه الاستعانة بمصادر خارجية للمساءلة لمزود السحابة. لقد أظهر كيف يمكن لخطأ في التكوين المواجه للويب، مسار بيانات الاعتماد الوصفية، أذونات تخزين واسعة، حل ضعيف للتنبيهات، وسنوات من بيانات التطبيق المحتجزة أن تتحد في فشل رقابي واحد ذي عواقب قانونية.

لا يزال خرق تطبيق Capital One المستضاف على السحابة في 2019 مثالاً محددًا لما يوضح أن لغة المسؤولية المشتركة لا يمكن أن تحل محل أدلة الرقابة التشغيلية. جمع الحادث بين تكوين جدار الحماية للتطبيقات الويب، والوصول إلى بيانات السحابة الوصفية، وأذونات دور IAM، والكشف، ونتائج الجهات التنظيمية، وإشعار العملاء، والملاحقة الجنائية، والتسوية في سؤال واحد: من يمكنه فعليًا منع واكتشاف وإصلاح المسار الذي استخدمه المهاجمون؟

انتهاك Capital One عام 2019 للبيانات الوصفية السحابية غالبًا ما يُختزل إلى شعار حول المسؤولية المشتركة. سؤال المساءلة الأفضل أكثر حدة: عندما يخصص عقد سحابي فئات المسؤولية، ما هي الأدلة التشغيلية التي تثبت أن رقابة فعلية عملت عند الحدود الدقيقة حيث التقى تطبيق تم تكوينه بشكل خاطئ، دور جدار حماية ويب، الوصول إلى خدمة البيانات الوصفية، الامتياز الأقل والكشف؟ أظهر الانتهاك أن اللغة التعاقدية يمكنها تخصيص المسؤولية، لكن الأدلة فقط يمكنها إثبات الوقاية والاحتواء والإصلاح.