ماريوت جعلت قاعدة بيانات حجوزات ستاروود حدًا للثقة مع الأطراف الثالثة

ملخص

• تم اختراق بيئة حجوزات ستاروود في أواخر يوليو 2014، أي قبل أكثر من عامين من استكمال ماريوت لاستحواذها على ستاروود في 23 سبتمبر 2016. إيداع استحواذ ماريوت متاح علىhttps://www.sec.gov/Archives/edgar/data/1048286/000119312516718014/d241360d8k.htm، وإشعار الغرامة النهائي لمكتب مفوض المعلومات في المملكة المتحدة موجود علىhttps://ico.org.uk/media2/migrated/2618524/marriott-international-inc-mpn-20201030.pdf.
• لا تكمن مشكلة المساءلة الأساسية في ما إذا كانت ماريوت قد تمكنت من معرفة كل حقيقة مخفية قبل الإغلاق. بل في مدى سرعة تحول السلطة بعد الإغلاق إلى سيطرة مثبتة على قاعدة بيانات الحجوزات الموروثة، وبيانات الاعتماد المميزة، ومراقبة قاعدة البيانات، وجرد التشفير، وحدود مقدمي الخدمات، وتقاعد البيانات.
• اتخذت الجهات التنظيمية لاحقًا مسارات مختلفة: فرض مكتب مفوض المعلومات غرامة قدرها 18.4 مليون جنيه إسترليني بسبب إخفاقات أمنية خلال فترة اللائحة العامة لحماية البيانات، وتوصلت ولايات أمريكية إلى تسوية بقيمة 52 مليون دولار، وفرضت لجنة التجارة الفيدرالية أمرًا لمدة 20 عامًا. لم تعترف ماريوت بالمسؤولية في تسوية الولاية ولم تستأنف غرامة مكتب مفوض المعلومات.
• تدعم السجلات المخاطر التشغيلية الموروثة، واكتشافًا متأخرًا، ومراقبة غير مكتملة، وحماية غير متساوية لجوازات السفر، وأوصافًا تشفيرية متغيرة، وتصحيحات قابلة للتنفيذ. لا تدعم عددًا دقيقًا من الأشخاص الفريدين، أو تحديدًا عامًا للمهاجم، أو دليلًا على أن كل ضيف متضرر تعرض لاحتيال مكتمل.

الاستحواذ ليس تصديقًا أمنيًا

غالبًا ما يوصف الاستحواذ على شركة بمصطلحات تجارية: العلامات التجارية، الغرف، أعضاء برامج الولاء، الأسواق، وقيمة الصفقة. يُظهر اختراق ستاروود لماذا يُعتبر نظام البيانات الحي أيضًا حدًا للثقة مع الأطراف الثالثة. قبل الإغلاق، قد يتلقى المشتري إقرارات ومواد العناية الواجبة وتقارير الامتثال وملخصات البنية وتقارير الاختراق. بعد الإغلاق، يرث المشتري السلطة التشغيلية. قد تتأخر الحقيقة الأمنية عنهما معًا.

وافقت ماريوت على استحواذ ستاروود في نوفمبر 2015 وأكملت الاستحواذ في 23 سبتمبر 2016. أصبحت ستاروود شركة تابعة مملوكة بالكامل بشكل غير مباشر. أنشأت الصفقة أكبر شركة فنادق في العالم من حيث الغرف والعلامات التجارية، مع بصمة حجوزات عالمية موصوفة في مواد الاستحواذ على SEC source. ومع ذلك، لم تكن الحقيقة الأمنية لقاعدة بيانات الحجوزات مماثلة لقيمتها التجارية. وفقًا لمكتب مفوض المعلومات، بدأ الاختراق الذي ارتبط لاحقًا بخرق الحجوزات في أواخر يوليو 2014.

هذا التسلسل الزمني مهم لأن ماريوت لم تكن تملك ستاروود عندما دخل المهاجم لأول مرة. كما أنه مهم لأن ماريوت امتلكت الشركة بينما استمر نظام الحجوزات المخترق في العمل بعد الإغلاق. أخبر الرئيس التنفيذي لماريوت آنذاك لجنة فرعية في مجلس الشيوخ الأمريكي في عام 2019 أن المراجعة التكنولوجية قبل الإغلاق كانت محدودة لأن ماريوت وستاروود ظلتا منافستين، وأن ماريوت قررت تقاعد منصة حجوزات ستاروود، وأن نقل 1,270 فندقًا استغرق عامين. الشهادة متاحة على source: hsgac.senate.gov. هذه القيود حقيقية. لكنها لا تزيل الواجب بعد الإغلاق للتحقق من البيئة التي استمرت في معالجة بيانات الضيوف.

الفرق هو حد الثقة. قبل الاستحواذ، كانت ستاروود طرفًا ثالثًا. بعد الاستحواذ، أصبح نظام ستاروود النظام التشغيلي الموروث لماريوت حتى لو كان منفصلاً تقنيًا عن شبكة ماريوت الأوسع. وجد مكتب مفوض المعلومات أن شبكتي ستاروود وماريوت الأوسع ظلتا منفصلتين وأن المهاجم لم يصل إلى البيانات المعالجة فقط على أنظمة غير ستاروود. قلل الفصل من نطاق الانفجار. كما عنى أن النظام القديم يمكن أن يظل مكانًا منفصلاً يستمر فيه المتسلل.

لذا فإن السؤال المسؤول بعد الإغلاق قائم على الأدلة: أي حسابات مميزة تم إعادة التحقق منها، أي بيانات اعتماد لمقدمي الخدمات تم تدويرها، أي جداول قاعدة بيانات تم مراقبتها، أي صادرات تم تسجيلها، أي ادعاءات تشفيرية تم اختبارها، أي حقول بيانات تم تعيينها، أي نسخ تم تقاعدها، وبأي سرعة حلت حقيقة النظام القديم محل أوراق البائع.

التاريخ المخفي اصطدم بتاريخ أمني معروف

لا ينبغي دمج خرق حجوزات ستاروود مع خرق نقاط البيع السابق لستاروود، لكن الخرق السابق ينتمي إلى سياق مخاطر الاستحواذ. كشف التقرير السنوي لستاروود لعام 2015 على SEC source عن برمجيات خبيثة أثرت على أنظمة نقاط البيع في بعض الفنادق، وقال في ذلك الوقت أنه لا يوجد مؤشر على أن أنظمة الحجوزات أو الولاء تأثرت في ذلك الحدث. لم يكشف هذا البيان عن المتسلل المخفي للحجوزات. لكنه أظهر أن ستاروود كانت لديها مشكلات أمنية حديثة تتطلب تدقيقًا من المشتري.

اشتكت لجنة التجارة الفيدرالية في عام 2024 على FTC source لاحقًا من إخفاقات أوسع عبر عدة خروقات، بما في ذلك نقاط ضعف مرتبطة بستاروود وماريوت. تم حل الشكوى بالتراضي ولا ينبغي التعامل معها كنتيجة محاكمة. قيمتها هنا هي إظهار أنواع الموضوعات الرقابية التي شددت عليها الجهات التنظيمية لاحقًا: التجزئة، ضوابط الوصول، التصحيح، المصادقة متعددة العوامل، المراقبة، الحماية التشفيرية، الاحتفاظ بالبيانات، وتقييم الكيانات المستحوذ عليها.

حول الأمر النهائي للجنة التجارة الفيدرالية على FTC source تلك الموضوعات إلى التزامات طويلة الأجل. يتطلب برنامجًا أمنيًا، عناصر برنامج خصوصية، تقييمات متعلقة بالاستحواذ، تحليل مخاطر، ضوابط وصول، مراقبة، اختبار، ضوابط حذف واحتفاظ، تقارير مجلس إدارة، شهادة، وتقييم مستقل. الأمر لا يثبت كل ادعاء في الشكوى. إنه يظهر ما رأته الجهات التنظيمية كرقابة ضرورية استشرافية بعد مخاطر الخرق الموروثة والمتكررة.

بالنسبة لفرق الصفقات، الدرس عملي. الإفصاح السابق للبائع عن الخرق ليس شهادة صحة للأنظمة المجاورة. يمكن أن يغطي تقرير الامتثال بيئة واحدة ويفتقد أخرى. البيان بأن أنظمة الحجوزات لم تظهر كمتأثرة في حادثة نقطة بيع واحدة لا يثبت أنها كانت نظيفة من اختراق منفصل. يحتاج المشتري إلى خطة صيد تهديدات والتحقق من الضوابط بعد الإغلاق للأنظمة القديمة عالية القيمة، خاصة عندما يستغرق النقل سنوات.

التسلسل الزمني: السيطرة التجارية، والكشف التقني، وإخطار الضيوف هي ساعات مختلفة

ترسيخ السجل خمسة تواريخ على الأقل. نهاية يوليو 2014 تمثل دخول المتسلل إلى بيئة ستاروود. 23 سبتمبر 2016 يمثل إغلاق استحواذ ماريوت. 25 مايو 2018 يمثل بدء سريان اللائحة العامة لحماية البيانات للتحليل القانوني لمكتب مفوض المعلومات. 7 و8 سبتمبر 2018 يمثلان تنبيه قاعدة البيانات والتصعيد إلى ماريوت. 19 نوفمبر 2018 يمثل التاريخ الذي قالت ماريوت فيه إن المحققين فكوا تشفير الملفات وأكدوا أن المعلومات الشخصية من قاعدة بيانات حجوزات ستاروود متورطة.

يعيد إشعار غرامة مكتب مفوض المعلومات بناء دخول يوليو 2014 المتأخر من خلال قشرة ويب على جهاز يدعم تطبيق موظف ستاروود. استخدم المهاجم أدوات الوصول عن بُعد، وجمع بيانات الاعتماد، وتحرك عبر البيئة، وقام في النهاية بتصدير جداول قاعدة البيانات. لا يقدم السجل العام قائمة كاملة بالمضيفين، أو قائمة كاملة بالملفات، أو الثغرة الأولية الدقيقة. لكنه يثبت وجودًا غير مصرح به طويل قبل الاستحواذ وبعده.

في 7 سبتمبر 2018، أنشأ IBM Guardium تنبيهًا بعد أن استعلام حساب مسؤول عن عدد صفوف جدول ملفات تعريف الضيوف المحمي. قامت Accenture، التي تدير قاعدة بيانات حجوزات ضيوف ستاروود، بالتصعيد إلى ماريوت في 8 سبتمبر. علمت ماريوت أن الشخص الذي استخدمت بيانات اعتماده لم يقم بالاستعلام. كان هذا الحدث كشفًا عن نشاط مشبوه، وليس معرفة فورية بكل ملف تم تصديره. بدأ مسار الاكتشاف النهائي.

تظهر الأيام التالية لماذا التنبيه، والاحتواء، والتحديد منفصلة. استدعت ماريوت فريق الاستجابة للحوادث وأشركت محققين خارجيين. في 10 سبتمبر، وفقًا لمكتب مفوض المعلومات، تم تصدير جدول آخر متعلق بجواز السفر إلى ملف تفريغ. في 17 سبتمبر، حدد المحققون حصان طروادة للوصول عن بُعد ومنعوا نشاط القيادة والتحكم. في أكتوبر، حدد المحققون أدلة دفعت تاريخ الاختراق إلى عام 2014. في 13 نوفمبر، عثروا على آثار لملفات مشفرة ومحذوفة. في 19 نوفمبر، قاموا بفك تشفير الملفات وأكدوا أنها تحتوي على معلومات شخصية من قاعدة بيانات الحجوزات.

أبلغت ماريوت مكتب مفوض المعلومات في 22 نوفمبر وكشفت علنًا في 30 نوفمبر. نص إشعار الشركة على source: marriott.gcs-web.com أن قاعدة البيانات كانت في الولايات المتحدة وقدمت فئات حقول مبكرة وتقديرات عدد السكان. تظهر نسخة مستقرة للجنة الأوراق المالية والبورصات من الإفصاح الأولي على SEC source.

لم يصدر مكتب مفوض المعلومات لاحقًا نتيجة نهائية بموجب المادة 33 أو المادة 34 ضد ماريوت بعد النظر في الجدول الزمني للتحقيق والإقرارات. هذا حد قانوني. لا يمحو الحقيقة التشغيلية بأن إخطار العملاء اعتمد على قدرة المنظمة على اكتشاف وفك تشفير وتصنيف الملفات المصدرة بعد أشهر من أول تنبيه.

يجب أن تظل الأعداد والحقول محدودة

استخدم إشعار ماريوت الأول حدًا أقصى يصل إلى حوالي 500 مليون ضيف، مع مجموعة فرعية تبلغ حوالي 327 مليون سجل تحتوي على مجموعات أوسع من الحقول. خفض تحديثها في يناير 2019 على source: marriott.gcs-web.com الحد الأعلى إلى حوالي 383 مليون سجل وحذرت من أن التكرارات تعني عددًا أقل من الضيوف الفريدين. استخدم مكتب مفوض المعلومات لاحقًا 339 مليون سجل ضيف عالميًا، بما في ذلك 30.1 مليون مرتبط بدول المنطقة الاقتصادية الأوروبية و7 ملايين مرتبط بالمملكة المتحدة. استخدمت التسوية متعددة الولايات لعام 2024 131.5 مليون سجل ضيف مرتبط بالولايات المتحدة.

لا ينبغي تكديس هذه الأرقام. السجلات ليست أشخاصًا فريدين. المجموعات الفرعية الإقليمية ليست إضافات عالمية. تخدم مجموعات التقاضي ومجموعات الجهات التنظيمية أغراضًا إجرائية مختلفة. قام التقرير السنوي لماريوت لعام 2018 على SEC source بتحديث التقديرات لفئات جواز السفر وبطاقة الدفع وسجل تكاليف الحادث واسترداد التأمين، لكنه لم يحول كل سجل إلى نفس التعرض للبيانات.

تباينت تركيبات الحقول أيضًا. أدرج الإشعار الأولي الأسماء، وعناوين البريد، وأرقام الهواتف، وعناوين البريد الإلكتروني، وأرقام جوازات السفر، ومعلومات Starwood Preferred Guest، وتواريخ الميلاد، والجنس، ومعلومات الوصول والمغادرة، وتواريخ الحجز، وتفضيلات الاتصال، وبعض بيانات بطاقة الدفع. وصف مكتب مفوض المعلومات تفاصيل على مستوى الجدول مثل علامات كبار الشخصيات، وبيانات الغرفة والإقامة، وتفاصيل الرحلة، وبلد جواز السفر ورقمه، وحالة تسجيل الوصول، وأعداد البالغين أو الأطفال في الغرف. بعض الحقول تساعد في الاحتيال. البعض الآخر يساعد في الاتصال المستهدف. البعض يكشف أنماط السفر أو السياق الأسري حتى بدون بيانات مالية.

تغيرت حماية الدفع وجواز السفر أيضًا في الوصف العام. وصفت ماريوت أولاً بعض أرقام بطاقات الدفع وبعض أرقام جوازات السفر بأنها محمية بتشفير AES-128. في أبريل 2024، قامت ماريوت بتحديث صفحات الحادث لتذكر أن أرقام بطاقات الدفع ذات الصلة وبعض أرقام جوازات السفر كانت محمية بدلاً من ذلك بـ SHA-1. لاحظت صفحة المستهلك للجنة التجارة الفيدرالية على FTC source لاحقًا هذا التمييز. تشرح صفحة وظائف التجزئة للمعهد الوطني للمعايير والتكنولوجيا على source: csrc.nist.gov وإشعار انتقال SHA-1 على source: nist.gov لماذا SHA-1 هي وظيفة تجزئة ولماذا لا ينبغي للحماية الحديثة التعامل معها كتشفير عادي.

تصحيح 2024 لا يثبت أن جميع القيم المحمية تم عكسها أو إساءة استخدامها. إنه يظهر فشل جرد تشفير. يجب أن يعرف المتحكم الذي يتعامل مع بيانات الحجوزات وجوازات السفر العالمية أي الحقول هي نص عادي، أو مشفرة، أو مجزأة، أو مميزة، أو محولة بطريقة أخرى؛ أي خوارزمية يتم تطبيقها؛ أين يتم الاحتفاظ بالمفاتيح أو الأسرار؛ وكيف يتم التحقق من تلك الحقائق قبل الإخطار العام. تصحيح لمدة خمس سنوات من التشفير إلى التجزئة يغير الطريقة التي يقرأ بها الأشخاص المتأثرون والجهات التنظيمية الخطر.

ما وجده مكتب مفوض المعلومات وما لم يجده

إشعار الغرامة النهائي لمكتب مفوض المعلومات هو أقوى سجل إداري عام لخرق حجوزات ستاروود. كان نطاقه أضيق من القصة الكاملة 2014-2018. تناول معالجة ماريوت من 25 مايو 2018، عندما أصبحت اللائحة العامة لحماية البيانات سارية، حتى 17 سبتمبر 2018، عندما تم تحديد حصان طروادة للوصول عن بُعد واحتواؤه. لم يفرض مسؤولية اللائحة العامة لحماية البيانات عن الفترة التي سبقتها أو يقرر أن العناية الواجبة لماريوت قبل الإغلاق كانت غير كافية قانونيًا.

نص اللائحة العامة لحماية البيانات على source: eur-lex.europa.eu يتطلب من المتحكمين تنفيذ تدابير تقنية وتنظيمية مناسبة، مع الحكم على الملاءمة مقابل المخاطر، والحالة الفنية، والتكلفة، والسياق، وحقوق الأفراد. وجد مكتب مفوض المعلومات انتهاكات لمبادئ الأمن والمادة 32. تعلقت نتائجه الأمنية الأربعة الرئيسية بعدم كفاية مراقبة الحسابات المميزة، وعدم كفاية مراقبة قاعدة البيانات، وعدم كفاية التحكم في الأنظمة الحرجة، والفشل في تشفير جميع أرقام جوازات السفر.

نتيجة الحسابات المميزة مهمة لأن المهاجم استخدم بيانات اعتماد شرعية. يمكن لجلسة قاعدة بيانات أو جلسة عن بُعد أن تبدو مصرحًا بها إذا توقفت المراقبة عند صلاحية بيانات الاعتماد. نتيجة مراقبة قاعدة البيانات مهمة لأن التنبيه الذي كان مهمًا في النهاية كان مرتبطًا بجدول له صلة ببطاقة الدفع، بينما افتقرت البيانات الشخصية الأخرى إلى تنبيه مماثل. نتيجة التحكم في الأنظمة الحرجة مهمة لأن الأنظمة القادرة على الوصول إلى مخازن كبيرة للبيانات الشخصية يجب أن تحتوي على ضوابط تقوية وتنفيذ. نتيجة جواز السفر مهمة لأن ملايين أرقام جوازات السفر لم تكن مشفرة ولا يوجد تقييم مخاطر موثق يبرر الحماية غير المتساوية.

أزال مكتب مفوض المعلومات أيضًا أو لم ينهِ عدة قضايا غالبًا ما يتم طمسها في الروايات العامة. أزال نقطة المصادقة متعددة العوامل غير المكتملة من الغرامة النهائية بعد النظر في اعتماد ماريوت على التأكيدات وتقارير الامتثال لبطاقات الدفع. لم يصدر نتيجة نهائية بموجب المادة 33 بشأن إخطار الخرق ولا نتيجة نهائية بموجب المادة 34 بشأن إخطار الأفراد. أقر بأن العناية الواجبة العميقة قبل الإغلاق يمكن أن تكون مقيدة في استحواذ بين منافسين. هذه الحدود لا تجعل الخرق صغيرًا. إنها تجعل السجل القانوني دقيقًا.

ردت ماريوت على القرار النهائي لمكتب مفوض المعلومات على source: marriott.gcs-web.com، ذاكرة أنها لن تستأنف ودون اعتراف بالمسؤولية. وضع عدم الاعتراف هو إجرائي. يتعايش مع النتائج الإدارية النهائية لمكتب مفوض المعلومات.

الثقة في مقدم الخدمة والمنصة

لم تكن قاعدة بيانات حجوزات ستاروود تطبيقًا داخليًا واحدًا يملكه فريق واحد. قامت Accenture بإدارة قاعدة بيانات حجوزات ضيوف ستاروود، وأنشأ Guardium التنبيه الرئيسي، وغذت عمليات الفنادق سجلات الحجوزات، واعتمدت عمليات الولاء ومركز الاتصال على المنصة، وكان على ماريوت الحفاظ على استمرارية الأعمال أثناء نقل الفنادق. هذا يجعل النظام حدًا للثقة في المنصة، وليس مجرد قاعدة بيانات.

تغيير الإدارة من طرف ثالث يغير سؤال الأدلة. يمكن للمتحكم الاستعانة بمصادر خارجية للتشغيل، لكنه لا يزال بحاجة إلى دليل على التسجيل، والتصعيد، ومراجعة الوصول المميز، والتحكم في التغيير، ومراقبة الصادرات، والاحتفاظ، والاستجابة للحوادث. يمكن لمزود الخدمة المُدار رؤية تنبيه قبل المتحكم. لا يزال المتحكم بحاجة إلى سياق كافٍ لتقرير ما إذا كانت بيانات الضيف معرضة للخطر وما إذا كانت واجبات الإخطار قد بدأت. يظهر تسلسل سبتمبر 2018 أن سلسلة التنبيهات يمكن أن تعمل وتظل تحدد النطاق دون حل لأسابيع.

تظهر تسوية الولاية التي أعلنتها كونيتيكت على source: portal.ct.gov والحكم الصادر في فيرمونت على source: ago.vermont.gov كيف قامت جهات إنفاذ القانون في الولايات الأمريكية بترجمة هذا الدرس إلى متطلبات. تضمنت التسوية ضوابط أمنية طويلة الأجل، وتقييم الكيان المستحوذ عليه، وواجبات متعلقة بالامتياز ومقدم الخدمة، ومساعدة المستهلك، والدفع. كما تضمنت عدم الاعتراف بالمسؤولية. الشروط الزجرية مهمة لأنها تعامل الاستحواذ وحدود الأطراف الثالثة كالتزامات رقابية مستمرة وليس قضايا إغلاق لمرة واحدة.

يضيف الأمر النهائي للجنة التجارة الفيدرالية طبقة أخرى لحد الثقة. لا يغطي فقط حادثة حجوزات ستاروود بل مجموعة أوسع من الادعاءات الأمنية لماريوت وستاروود. أحكام الاستحواذ محورية هنا: يجب على المشتري تقييم ومعالجة مخاطر الشركات المستحوذ عليها ودمجها في برنامج أمني. هذه بالضبط المشكلة التي كشفت عنها قاعدة بيانات ستاروود. قد يكون النظام منفصلاً، ومقررًا للتقاعد، وضروريًا تجاريًا. لكنه لا يزال يحتوي على بيانات الضيوف تحت سيطرة المشتري.

موقع البيانات كان مجرد حقيقة واحدة

قال إشعار ماريوت الأولي أن قاعدة بيانات حجوزات ضيوف ستاروود كانت في الولايات المتحدة. كانت هذه حقيقة تخزين مفيدة. لم تجب على من هم الضيوف، وأي الفنادق وأصحاب الامتياز قاموا بتغذية السجلات في قاعدة البيانات، وأين وصل إليها الموظفون ومقدمو الخدمات، وأي الجهات التنظيمية كانت لها سلطة، وأي النسخ كانت موجودة، أو أين تواجدت الملفات المصدرة والصور الجنائية لاحقًا.

حسب مكتب مفوض المعلومات السجلات المرتبطة بالمنطقة الاقتصادية الأوروبية والمملكة المتحدة لأن الأشخاص وسياق المعالجة كانا مهمين بموجب القانون الأوروبي. حسبت الولايات الأمريكية السجلات المرتبطة بالولايات المتحدة لتسويتها. يصف بيان الخصوصية الحالي لماريوت على source: marriott.com النقل العالمي، وآليات النقل، والأمن، والتزامات الاحتفاظ في الأعمال الحالية. إنه ليس دليلاً على بنية ستاروود 2014-2018، لكنه يوضح لماذا لا يمكن لمجموعة فنادق عالمية التعامل مع موقع قاعدة بيانات واحد كإجابة حوكمة كاملة.

سيادة البيانات في نظام الحجز لها عدة طبقات. موقع التخزين يسأل أين توجد قاعدة البيانات الرئيسية، والنسخ المكررة، والنسخ الاحتياطية، والصادرات، والسجلات، والصور الجنائية. موقع الوصول يسأل أي الموظفين والمقاولين ومشغلي الفنادق ومقدمي الخدمات يمكنهم الوصول إلى البيانات ومن أين. الموقع القانوني يتبع الضيوف والفنادق والمتحكمين والمعالجين وترتيبات الامتياز والوصول التنظيمي. موقع الأعمال يتبع معنى الإقامة: تواريخ السفر، والرفقاء، وعلامات كبار الشخصيات، وتفاصيل شركات الطيران، واحتياجات الغرفة، والوجهة.

يظهر خرق ستاروود أن قاعدة بيانات مقرها الولايات المتحدة يمكن أن تخلق تعرضًا تنظيميًا عالميًا وضررًا عالميًا للعملاء. كما يظهر لماذا يجب أن تحدد العناية الواجبة للاستحواذ النسخ والوصول، وليس فقط التخزين الأساسي. المشتري الذي يعرف أين يقع النظام الرئيسي ولكن لا يعرف من يمكنه تصدير الجداول أو أي حقول جواز السفر محمية لديه معرفة بالموقع دون معرفة بالتحكم.

اقتصاديات الاتصال المسيء في بيانات السفر

لم تكن هناك حاجة لتضمين البيانات المكشوفة كلمات مرور أو أرقام بطاقات كاملة لتقليل تكلفة الإساءة. يمكن لسجل الحجز أن يجعل الرسالة ذات مصداقية. يمكن أن يذكر علامة تجارية فندقية، وتاريخ إقامة، وعلاقة ولاء، ووجهة سفر، وتفاصيل رحلة، وتفضيل غرفة، ودليل على تكوين الأسرة، أو تفضيل اتصال. هذا السياق يساعد المحتال على أن يبدو أقل عمومية.

يصف دليل التصيد لوكالة الأمن السيبراني وأمن البنية التحتية على source: cisa.gov التصيد المستهدف بأنه استخدام معلومات رئيسية عن الشخص. حذرت نصيحة مستهلكي لجنة التجارة الفيدرالية بشأن ماريوت على FTC source المستهلكين من عمليات الاحتيال التي يمكن أن تستغل الخرق. يوفر دليل IdentityTheft.gov على source: identitytheft.gov خطوات استجابة عامة للمعلومات الشخصية المكشوفة. هذه المصادر لا تثبت أن ضيفًا معينًا تعرض لعملية احتيال محددة. إنها تدعم مسار المخاطر الذي أنشأته فئات البيانات.

بيانات السفر لها أيضًا سياق شخصي يتجاوز الاحتيال. يمكن لتواريخ الوصول والمغادرة الكشف عن الغياب عن المنزل، والسفر للعمل، والسفر الطبي، والزيارات العائلية، أو العلاقات. أرقام جوازات السفر هي معرفات دائمة. يمكن لمعلومات الولاء ربط الإقامات بمرور الوقت. يمكن لعلامة كبار الشخصيات أو طلب الغرفة الكشف عن توقعات الخدمة أو الظروف العائلية. لذلك، تنتمي اقتصاديات الاتصال المسيء إلى تحليل التأثير حتى حيث لا يتم إثبات احتيال البطاقة.

يتبع سؤال تقليل البيانات. كم من الوقت يجب أن تظل بيانات الحجز السابقة في الأنظمة الحية؟ ما هي الحقول الضرورية بعد تسجيل المغادرة، بعد رصيد الولاء، بعد نوافذ النزاع، بعد الفترات الضريبية، أو بعد الحجز القانوني؟ ما هي الحقول التي يمكن تمييزها، أو إخفاؤها، أو حذفها، أو فصلها؟ تحتاج النسخ الاحتياطية والصادرات إلى نفس منطق الاحتفاظ بالإنتاج. وإلا يمكن لقاعدة بيانات قديمة الاحتفاظ بالبيانات لأنها تظل ملائمة تشغيليًا، وليس لأن كل حقل يظل ضروريًا.

ملاحظة طباعة لسجلات المخاطر الموروثة

يجب أن تكون سجلات أمن النظام المستحوذ عليه مقروءة للمديرين التنفيذيين والمهندسين والمحامين ومقدمي الخدمات والجهات التنظيمية في آن واحد. يمكن للنتائج الكثيفة إخفاء فجوات حاسمة. تم تضمين كتلة الطباعة التالية لأن عرض المخاطر الموروثة يؤثر على ما إذا كان مالكو الضوابط يرون ما يجب أن يتغير.

بالنسبة للاستحواذ، تعني السجلات المقروءة خريطة حدود من صفحة واحدة تفصل الحقائق المعروفة، وإقرارات البائع، والادعاءات غير المؤكدة، والاختبارات المطلوبة، وإجراءات بيانات الاعتماد، ونسخ البيانات، والحالة التشفيرية، وواجبات مقدم الخدمة، وتواريخ التقاعد. إذا تم دفن هذه العناصر في مستندات الصفقة وصادرات الأدوات، يمكن للمنظمة أن تعتقد أنها قبلت المخاطر دون معرفة ما هي المخاطر التي قبلتها.

المساءلة من خلال السيطرة العملية

سيطر المهاجم على الاختراق غير المصرح به، والاستمرارية، وإساءة استخدام بيانات الاعتماد، وتصدير البيانات. لا سجل عام تمت مراجعته هنا يحدد المهاجم أو يحكم على دافع أو انتماء دولة. تظل المسؤولية عن الوصول الإجرامي مع الفاعل أو الفاعلين الذين نفذوه.

سيطرت ستاروود على البيئة عند حدوث الاختراق الأولي. كانت تملك أو تشغل الأنظمة، وبيانات الاعتماد، والمراقبة التي سمحت للمهاجم بالدخول والاستمرار قبل استحواذ ماريوت. كما حملت تاريخ خرق نقاط البيع السابق إلى الصفقة. هذا لا يثبت أن ستاروود كانت تعلم عن المتسلل في الحجوزات. إنه يعني أن البيئة المخفية كانت كائن الثقة من جانب البائع.

سيطرت ماريوت على البيئة بعد الإغلاق وخطة النقل. بمجرد امتلاكها لستاروود، تحكمت في ما إذا كانت بيانات الاعتماد القديمة قد أعيد تعيينها، أو تم مراقبة الحسابات المميزة، أو توسيع تنبيهات قاعدة البيانات، أو تقوية الأنظمة الحرجة، أو تقييم حقول جواز السفر، أو التحقق من الادعاءات التشفيرية، أو تسريع أو تخفيف مسار التقاعد. كما تحكمت ماريوت في إخطار العملاء والتحديثات العامة بعد الاكتشاف. كانت سيطرتها مقيدة باستمرارية الأعمال والحجم، لكنها لم تكن غائبة.

سيطر مقدمو الخدمات على العمليات المدارة، والتنبيه، والتصعيد عند حدودهم. يظهر دور Accenture في إدارة قاعدة البيانات وتصعيد تنبيه Guardium لماذا يجب أن يكون لعمليات الطرف الثالث عتبات حادثة واضحة، وتسليم الأدلة، وسلطة المتحكم. يمكن أن يكون مزود الخدمة كاشفًا مبكرًا. لا يزال على المتحكم أن يقرر الإخطار، والتحديد، والتصحيح.

سيطرت الجهات التنظيمية على التصحيح القابل للتنفيذ. غرامة مكتب مفوض المعلومات، وتسوية الولاية، وأمر لجنة التجارة الفيدرالية ترجمت دروس الأمن إلى واجبات. لا تثبت كل ادعاء خاص. إنها توضح أن الاستحواذ لا يجمد المسؤولية عند حالة المعرفة قبل الإغلاق. الملكية تجلب واجب اختبار وتحسين الضوابط الموروثة.

سيطر الضيوف على القليل جدًا. حجزوا الغرف، وانضموا إلى برامج الولاء، وقدموا بيانات جواز السفر والاتصال، واعتمدوا على عمليات الفندق. يمكنهم مراقبة البطاقات أو الرد على الإشعارات بعد وقوعها. لم يتمكنوا من فحص مراقبة قاعدة بيانات ستاروود، أو تدوير بيانات الاعتماد المميزة، أو التحقق من بيانات التشفير، أو تسريع تقاعد النظام. هذا التباين هو سبب انتماء هذا إلى سجل المساءلة.

ما يتطلبه التكامل القابل للتحقق

درس الإصلاح ليس "لا تستحوذ أبدًا على أنظمة قديمة." بل هو أن تكامل الاستحواذ يجب أن يشمل البحث عن الحقيقة الأمنية مع الأدلة. يجب على المشتري تصنيف الأنظمة الموروثة عالية المخاطر قبل الإغلاق، ثم البدء في التحقق بعد الإغلاق فورًا: إعادة تعيين الهوية المميزة، مراجعة وصول مقدم الخدمة، صيد نقاط النهاية والخوادم، تسجيل تصدير قاعدة البيانات، مقارنة تغطية الضوابط، جرد التشفير، مراجعة الاحتفاظ بالبيانات، تعيين النسخ الاحتياطية، وتقييم مخاطر النقل.

بالنسبة لقاعدة بيانات الحجوزات، يجب أن تكون الأدلة على مستوى الحقل والنسخة. ما هي الجداول التي تحتوي على أرقام جوازات السفر؟ ما هي التي تحتوي على بقايا بطاقات الدفع؟ ما هي التي تحتوي على رفقاء السفر، الأطفال، معرفات الولاء، وتفضيلات الاتصال؟ ما هي الحقول التي هي نص عادي، مشفرة، مجزأة، أو مميزة؟ ما هي التطبيقات التي يمكنها طلبها؟ ما هي المستخدمين الذين يمكنهم تصديرها؟ ما هي السجلات التي تظهر نسخ جدول كاملة؟ ما هي النسخ الاحتياطية التي تحتفظ بها؟ ما هو الغرض القانوني أو التجاري الذي يبرر الاحتفاظ؟

بالنسبة للثقة مع الأطراف الثالثة، يجب أن يعرف المشتري أي مقدمي الخدمات يديرون النظام، وما هي التنبيهات التي يتلقونها، وما هي العتبات التي تتطلب التصعيد، وما هي السجلات التي يحتفظون بها، وما هي بيانات الاعتماد التي يحملونها، وكيف يتم حوكمة المقاولين من الباطن، وكيف يمكن للمتحكم الحصول على أدلة بعد اشتباه في خرق. تقرير البائع ليس كافيًا إذا لم يكن مرتبطًا بالنظام المحدد وفئات البيانات.

بالنسبة للإخطار، يجب أن تكون المنظمة قادرة على إنتاج شرح خاص بالضيف: أي الحقول، وأي فترة زمنية، وأي مصدر سجل، وما هي الخطوات الوقائية، وما هو عدم اليقين المتبقي، وما هي التحديثات التي ستتبع. قد يكون الإخطار الواسع ضروريًا في البداية، ولكن يجب توقع التصحيح لاحقًا عندما تتغير الأعداد أو الحقول أو الحقائق التشفيرية.

التقاعد ليس نفس إزالة المخاطر

كانت خطة ماريوت لتقاعد منصة حجوزات ستاروود ذات دلالة تجارية وتشغيلية. يمكن أن يكون التقاعد رقابة قوية: يقلل من سطح الهجوم المباشر، ويجبر على النقل إلى منصة أفضل حوكمة، ويمكن أن ينهي الاعتماد على بيانات الاعتماد والأدوات القديمة. لكن التقاعد ليس إزالة فورية للمخاطر. يمكن للنظام المقرر إيقافه أن يظل شديد الحساسية بينما لا يزال يعالج الحجوزات، ويدعم الفنادق، ويحتوي على سجلات تاريخية.

خلق النقل الذي استمر عامين كما وصفته ماريوت فترة انتقالية. خلال تلك الفترة، كانت المنصة الموروثة لا تزال بحاجة إلى مراقبة، وتقوية، ومراجعة بيانات الاعتماد، وتسجيل الصادرات، وتقليل البيانات. تاريخ التقاعد لا يبرر ضوابط أضعف قبل وصول التاريخ. في بعض الحالات يمكن أن يخلق خطرًا معاكسًا: قد تتردد الفرق في الاستثمار في ضوابط لنظام تتوقع إيقافه، بينما يستفيد المهاجمون من النافذة المتبقية.

يجب أن تحتوي خطة التقاعد الآمنة على معالم تتجاوز "التوقف عن استخدام النظام لعمليات الأعمال." يجب أن تحدد النسخ الاحتياطية، والنسخ المكررة، والصادرات، والصور الجنائية، وحسابات المسؤولين، وحسابات الخدمة، ووصول البائعين، ومفاتيح التشفير، ومخازن التسجيل، وتغذية البيانات، والنسخ النهائية. يجب أن تقرر ما يجب الحفاظ عليه لأسباب قانونية أو تجارية وما يجب حذفه أو تحويله. يجب أن تتحقق من أن بيانات الاعتماد غير المستخدمة لا يمكنها الوصول إلى الأرشيفات. يجب أن تحافظ على الأدلة اللازمة للتقاضي أو مراجعة الجهة التنظيمية دون ترك بيانات غير ضرورية مكشوفة.

تُظهر قضية ستاروود لماذا هذا مهم. تم تقاعد قاعدة بيانات الحجوزات المباشرة بحلول نهاية عام 2018، لكن تحقيق الخرق، والإجراءات التنظيمية، والتقاضي الجماعي، وتسويات الولايات، وأمر لجنة التجارة الفيدرالية، والتصحيح التشفيري استمر لسنوات. يمكن للنظام أن يغادر الإنتاج ويظل محوريًا للمساءلة. يصبح سجل ما احتواه، ومن وصل إليه، وكيف تمت حمايته، وكيف تم التعامل مع النسخ قاعدة الأدلة لكل إجراء لاحق.

يتفاعل التقاعد أيضًا مع حقوق الضيوف. إذا سأل ضيف ما هي البيانات المتورطة، لا يمكن أن تختفي الإجابة مع المنصة القديمة. إذا سألت جهة تنظيمية لماذا تم الاحتفاظ بحقل أو كيف تمت حمايته، تحتاج المنظمة إلى سجلات بعد النقل. إذا صححت شركة لاحقًا وصفًا تشفيريًا، يجب أن تفهم سلوك التطبيق القديم والقيم المخزنة بما يكفي لشرح التصحيح. يمكن أن يجعل إيقاف التشغيل دون الحفاظ على أدلة الرقابة اكتشاف الحقيقة لاحقًا أصعب.

الإشراف التشفيري هو رقابة إدارية

غالبًا ما يتم التعامل مع تصحيح AES إلى SHA-1 كحاشية تقنية. من الأفضل فهمه كإشارة رقابة إدارية. يحمي التشفير الأشخاص فقط عندما تعرف المنظمة ما هي الحماية المطبقة فعليًا. يجب أن تبقى تلك المعرفة على قيد الحياة في عمليات الدمج، وعمليات البائعين، والتطبيقات القديمة، والإشعارات العامة، والتقاضي.

يجب أن يجيب جرد التشفير على مستوى الحقل على عدة أسئلة. ما هو الحقل المحمي؟ هل التحويل هو تشفير عكسي، أم تجزئة أحادية الاتجاه، أم تمييز، أم إخفاء، أم اقتطاع، أم طريقة أخرى؟ ما هي الخوارزمية والوضع المستخدم؟ هل توجد أملاح أو مفاتيح؟ أين يتم تخزين المفاتيح أو الأسرار؟ ما هو التطبيق الذي يمكنه طلب القيمة الأصلية؟ ما هي السجلات التي تظهر الاستخدام؟ ما هي الإصدارات القديمة التي استخدمت طريقة مختلفة؟ ما هي الإشعارات أو السياسات التي تصف الحماية؟ من لديه سلطة التصديق على البيان قبل نشره؟

في نظام مستحوذ عليه، قد تكون هذه الإجابات مبعثرة عبر وثائق البائع، والكود، وإعدادات قاعدة البيانات، وملاحظات البائع، وذاكرة المطور، وتقارير الامتثال القديمة. يجب على المشتري أن يفترض أن التصنيفات قد تكون خاطئة حتى يتم اختبارها. "محمي" ليس كافيًا. "مشفر" ليس كافيًا. اسم حقل ينتهي بـ token أو hash ليس كافيًا. تتطلب الأدلة فحص القيم المخزنة، واستدعاءات التطبيقات، وخدمات المفاتيح، ومسارات الاسترداد.

تعزز نتيجة رقم جواز السفر نفس النقطة. لم تكن المشكلة فقط أن ملايين أرقام جوازات السفر لم تكن مشفرة. بل كانت أن ماريوت تفتقر إلى تقييم مخاطر موثق يشرح لماذا تمت معاملة بعض أرقام جوازات السفر بشكل مختلف عن غيرها. يمكن أن تكون الحماية الانتقائية عقلانية. يمكن أن تعكس قيودًا قديمة، أو حاجة تجارية، أو نقل مرحلي. لكن يجب توثيقها ومراجعتها مقابل عواقب التعرض. وإلا تبدو الحماية غير المتساوية كحادث بدلاً من قرار مخاطرة.

يؤثر الإشراف التشفيري أيضًا على جودة الإخطار. إذا أخبرت منظمة الأشخاص أن قيمة بطاقتهم أو جواز سفرهم كانت مشفرة، قد يستنتج الشخص خطرًا مختلفًا عما إذا كانت القيمة مجزأة بـ SHA-1 أو تركت غير مشفرة. إذا غيرت المنظمة لاحقًا هذا الوصف، يجب أن يذكر التصحيح ما تغير، وما هي القيم المتأثرة، وما يعنيه لسوء الاستخدام، وما هو عدم اليقين المتبقي. هذا ليس مجرد نظافة اتصالات. إنه جزء من الإشراف المسؤول على بيانات الهوية.

يجب أن يذكر دليل الاستحواذ المجهولات

تكافئ ثقافة الصفقات الثقة. يحتاج تكامل الأمن إلى قائمة بالمجهولات. يجب أن يعرف المشتري أي أجزاء من البيئة الموروثة تم التحقق منها، وأيها ممثلة من قبل البائع، وأيها مفترضة لاستمرارية الأعمال، وأيها تبقى غير مختبرة. سجل المخاطر الذي يصنف مجهولاً كخطر مقبول أقوى من مذكرة العناية الواجبة التي تخفي المجهول خلف تأكيدات واسعة.

بالنسبة لمنصة حجوزات عالمية، يجب أن تتضمن المجهولات نسخ البيانات، والحسابات المميزة، ووصول مقدم الخدمة، والأنظمة المواجهة للخارج، وقطع أثرية للخرق القديم، والبرامج غير المدعومة، وفجوات التسجيل، والحالة التشفيرية، والاحتفاظ. يجب أن يكون لكل مجهول مالك وتاريخ. سيتم حل البعض عن طريق النقل. سيحتاج البعض إلى ضوابط تعويضية بينما يظل النظام قيد التشغيل. قد يصبح البعض غير مقبول بمجرد أن يفهم المشتري حجم البيانات.

هذا النهج يحمي المشتري أيضًا من الرؤية الخاطئة اللاحقة. إنه يقر بأنه لا يمكن معرفة كل حقيقة قبل الإغلاق. ثم يخلق واجبًا بعد الإغلاق لتقليل عدم اليقين. الفشل ليس عدم القدرة على معرفة كل شيء في اليوم الأول. الفشل هو السماح لعدم اليقين في اليوم الأول بأن يصبح عدم يقين في السنة الثانية بينما يستمر النظام الموروث في احتواء بيانات الضيوف.

جودة الإخطار تعتمد على جودة التكامل

غالبًا ما يتم التعامل مع إخطار العملاء كمشكلة موعد قانوني. يظهر حادث ستاروود أن جودة الإخطار تعتمد على جودة التكامل قبل وقت طويل من تأكيد الخرق. إذا كانت المنظمة لا تعرف أي الجداول تحتوي على أي الحقول، وكيف يتم تعيين التكرارات للأشخاص، وكم عدد أرقام جوازات السفر التي هي نص عادي، وما هي القيم المحمية، وأي السجلات تنتمي إلى أي مناطق، فسيكون الإخطار إما واسعًا أو متأخرًا أو مصححًا أو الثلاثة معًا.

استخدم إشعار ماريوت الأول حدودًا حذرة لأن المحققين كانوا لا يزالون يصنفون السجلات والتكرارات. قد يكون هذا لا مفر منه في نظام موروث كبير. لكن درس الرقابة طويل الأجل هو أن كتالوجات بيانات الضيوف يجب أن تكون موجودة بالفعل للأنظمة عالية المخاطر. يجب أن تصف غرض الحقل، والحساسية، والمنطقة، والاحتفاظ، والحالة التشفيرية، وأدوار الوصول، ومسارات التصدير. يجب أن تكون متطابقة مع محتويات قاعدة البيانات الفعلية، وليس فقط وثائق التطبيق.

يؤثر هذا أيضًا على الجهات التنظيمية. الجهة التنظيمية التي تقيم توقيت أو كفاية الإخطار تحتاج إلى معرفة متى علم المتحكم أن البيانات الشخصية متورطة وما هي الحقائق المتاحة بشكل معقول. إذا كانت عملية التكامل الخاصة بالمتحكم لا تستطيع التمييز بين جدول حساب وجدول جواز سفر أو سجل مكرر من ضيف فريد، فإن التحليل القانوني يصبح متشابكًا مع الديون التقنية. التكامل الأفضل يقلل من ارتباك الحادث وعدم اليقين القانوني اللاحق.

ينطبق نفس المبدأ على التصحيحات العامة. كان تحديث ماريوت لـ SHA-1 في 2024 مختلفًا جوهريًا عن وصف التشفير الأصلي. قد يكون التصحيح بعد سنوات هو العمل المسؤول بمجرد معرفة الحقيقة، لكنه يظهر أيضًا أن سلسلة الأدلة الأصلية لم تكن قوية بما يكفي. يجب أن يتضمن برنامج الأمن بعد الاستحواذ قاعدة مفادها أن الأوصاف التشفيرية العامة يتم التحقق منها من قبل المالكين التقنيين قبل الإخطار وإعادة النظر فيها دوريًا إذا تغيرت الأدلة القديمة.

الاعتماد على السحابة في الضيافة

يصنف هذا المانيفستو هذه القضية جزئيًا كاعتماد على الخدمات السحابية لأن منصة الحجوزات عملت كبنية تحتية مشتركة لأعمال ضيافة عالمية، حتى لو لم تكن سحابة عامة بالمعنى الحديث. اعتمدت الفنادق، ومراكز الاتصال، وخدمات الولاء، ومقدمو الخدمات المدارة، والفرق المؤسسية على توفر وسلامة منصة مركزية. ركزت تلك المنصة بيانات من العديد من العقارات والولايات القضائية.

هذا الاعتماد هو سبب تأثير الخرق على أكثر من المالك المؤسسي. لأصحاب الامتياز، والفنادق المدارة، والضيوف، وفرق بطاقات الدفع، وحاملي جوازات السفر، وأعضاء الولاء، والجهات التنظيمية، ومقدمي الخدمات مصلحة في نفس النظام الموروث. لم يستطع فندق محلي فحص مراقبة قاعدة البيانات. لم يستطع الضيف معرفة ما إذا كانت حقول جواز السفر مشفرة. يمكن لمزود الخدمة تصعيد تنبيه، لكن المتحكم فقط هو من يمكنه تنسيق إخطار الضيوف والاستجابة العالمية.

للتخطيط للاستحواذ، الرقابة العملية هي تعيين الاعتماد. ما هي وظائف الأعمال التي تتوقف إذا تم عزل منصة الحجوزات القديمة؟ ما هي الفنادق التي لا تزال تعتمد عليها؟ ما هي تغذية البيانات التي تستمر أثناء النقل؟ ما هي الأطراف الثالثة التي يمكنها الوصول إليها؟ ما هي التزامات العملاء التي تعتمد عليها؟ المشتري الذي يعين فقط مكونات التكنولوجيا يفتقد الضغط التجاري الذي يمكن أن يبقي النظام الخطير على قيد الحياة. المشتري الذي يعين الاعتماد يمكنه تبرير ضوابط تعويضية بينما يستمر النقل.

التقييم النهائي هو تأثير عالٍ وثقة عالية. ورثت ماريوت منصة حجوزات حية ومخترقة. هذه الحقيقة لا تجعل ماريوت هي المتسلل الأصلي أو تثبت أنها كانت يمكن أن تعرف كل التفاصيل قبل الإغلاق. إنها تجعل ماريوت مسؤولة عن الفترة بعد الإغلاق التي سيطرت فيها على النظام المستحوذ عليه، وعالجت بيانات الضيوف، وكان عليها تحويل الثقة من الطرف الثالث إلى سيطرة مثبتة. يمكن للاستحواذ شراء علامة تجارية بين ليلة وضحاها. لا يمكنه شراء اليقين. اليقين يجب أن يُبنى ويُختبر ويُعرض.