ملخص

  • حادثة PageUp لعام 2018 مهمة لأن منصة التوظيف كخدمة (SaaS) كانت وسيطًا بين أرباب العمل الذين اشتروا الخدمة والمتقدمين الذين تمت معالجة بياناتهم الشخصية والتوظيفية وفحوصاتهم من خلالها.
  • سؤال المساءلة هو من كان لديه السيطرة العملية على حيازة بيانات المتقدمين، وحدود مستأجري أرباب العمل، ونطاق الخرق، وإخطار العملاء، وخطط الطوارئ لسير العمل، وإثبات أن ادعاءات الإصلاح من المنصة كانت أكثر من مجرد طمأنة.
  • السجل العام يدعم الحذر: وصفت PageUp والتقارير العامة نشاطًا غير مصرح به وخطر وصول محتمل، بينما أكدت التقارير اللاحقة أن المحققين لم يجدوا دليلاً محددًا على سرقة البيانات. هذان بيانان مختلفان ولا ينبغي الخلط بينهما.
  • أجبرت الحادثة الجامعات والشركات وأرباب العمل في القطاع العام والمتقدمين والمسؤولين عن التوظيف والجهات التنظيمية على الاعتماد على نطاق تحقيق بائع واحد وسلسلة اتصالات حتى عندما لم يكن لديهم وصول مباشر إلى سجلات المنصة.
  • تتعامل هذه المقالة مع تقارير مكتب مفوض المعلومات الأسترالي (OAIC) عن خرق البيانات القابل للإخطار، وإشعارات العملاء العامة، ومواد الأمان والخصوصية الحالية لـ PageUp، والتقارير المعاصرة كأدلة عامة. لا تدعي الوصول إلى سجلات PageUp الخاصة، أو سجلات مستأجري العملاء، أو صور الطب الشرعي، أو بيانات التعرض لكل متقدم.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

تنتمي PageUp إلى ملف المخاطر والمساءلة لأن برنامج التوظيف ليس مجرد وسيلة راحة مكتبية عادية. إنه نظام لحيازة بيانات الأشخاص الذين غالبًا ما يكونون في موقف تفاوض ضعيف. الشخص الذي يتقدم لوظيفة في جامعة أو هيئة عامة أو متجر أو شركة طاقة أو مؤسسة قد لا يعرف اسم PageUp. يرى المتقدم العلامة التجارية لصاحب العمل، ويحمل سيرته الذاتية، ويكتب رسائل التغطية، ويدخل بيانات الاتصال، ويسرد تاريخ التوظيف، ويجيب على أسئلة الفحص، وأحيانًا يقدم معلومات الهوية والمراجع والتأشيرة وفحوصات الخلفية. اختار صاحب العمل المنصة. قدم المتقدم البيانات لأن سير عمل التوظيف لصاحب العمل تطلب ذلك.

هذا الهيكل يغير سؤال المساءلة. في العديد من حوادث SaaS، يكون لدى العميل الدافع على الأقل بعض الوسائل التعاقدية لطلب الأدلة من البائع. عادة لا يمتلك المتقدمون ذلك. قد يأتي إشعارهم الأول من صاحب العمل، أو صفحة ويب جامعية، أو تقرير خرق عام، أو قصة إعلامية. لا يمكنهم فحص العزل بين المستأجرين في البائع، أو بنية قاعدة البيانات، أو الاحتفاظ بالسجلات، أو الجدول الزمني للحادثة، أو نتائج الطب الشرعي. لا يمكنهم اختيار معالج توظيف مختلف لوظيفة تقدم إليها سابقًا. لا يمكنهم بسهولة معرفة ما إذا كانت سيرتهم الذاتية القديمة أو عنوانهم أو رقم هاتفهم أو تاريخهم الوظيفي أو إجابة فحصهم أصبحت الآن جزءًا من سطح التصيد أو مخاطر الهوية.

تبدأ الأدلة العامة بحقيقة أن PageUp كشفت عن حادثة أمنية أثرت على منصة التوظيف الخاصة بها في عام 2018. وصفت التقارير المعاصرة في source: securityweek.com أن PageUp حذرت العملاء بعد اكتشاف نشاط غير مصرح به. أظهرت التقارير العامة الأسترالية في source: abc.net.au و source: theguardian.com لماذا أصبح الحدث سريعًا أكثر من مجرد حادثة بائع: كان على كبار أرباب العمل والجامعات شرح الخطر المحتمل لمقدمي الطلبات ومرشحي الموظفين.

تقرير مكتب مفوض المعلومات الأسترالي (OAIC) عن رؤى 12 شهرًا لخرق البيانات القابل للإخطار في source: oaic.gov.au مهم لأنه أطر السنة الأولى من نظام الإخطار الإلزامي في أستراليا وناقش ظروف الخرق متعدد الأطراف. نسخة PDF في source: oaic.gov.au مفيدة كسجل ثابت. كانت PageUp نوع الحدث الذي يختبر ما إذا كان نظام الخرق يمكنه التعامل مع موفري الخدمات السحابية الذين يعالجون المعلومات للعديد من كيانات العملاء في وقت واحد. يمكن أن يؤدي حادثة منصة واحدة إلى العديد من الإخطارات النهائية، والعديد من الأشخاص المتأثرين المشوشين، والعديد من الواجبات المتداخلة.

السؤال الأساسي لذلك ليس "هل سُرقت بيانات كل متقدم؟" الأدلة العامة لا تدعم هذا الادعاء المباشر. السؤال الأقوى هو: من الذي سيطر على الأدلة اللازمة لتحديد من كان في خطر؟ سيطرت PageUp على المنصة، والتحقيق الجنائي، وقناة اتصال العملاء، والقدرة على قول الأنظمة التي كانت متورطة، والدليل الفني على الاحتواء. سيطر العملاء على علاقاتهم مع المتقدمين، والإشعارات العامة، وقرارات سير عمل التوظيف. لم يسيطر المتقدمون على أي من الحقائق تقريبًا.

لهذا السبب تتناسب القضية مع موضوعات الاعتماد على الخدمات السحابية، وسيادة البيانات والمحلية، وأتمتة برمجيات المؤسسات. أصبحت وظيفة التوظيف اعتمادًا سحابيًا. جلست البيانات في علاقة معالج مع التزامات قضائية وخصوصية. كان سير العمل نفسه آليًا بدرجة كافية بحيث يمكن أن يؤدي توقف المنصة أو تعليقها إلى تعطيل التوظيف. تبرز مشكلة المساءلة من هذا المزيج.

كان محفز الحادثة نشاطًا غير مصرح به، لكن القضية الحقيقية كانت حيازة الأدلة

كان المحفز هو اكتشاف PageUp لنشاط غير مصرح به في بيئة تكنولوجيا المعلومات الخاصة بها وإبلاغها للعملاء عن احتمال تعرض البيانات. وصفت التقارير المعاصرة أن الشركة اتخذت خطوات للتحقيق وتأمين أنظمتها. ذكرت التقارير اللاحقة في source: itnews.com.au و source: itnews.com.au أن العمل الجنائي لم يجد دليلاً محددًا على أن المعلومات الشخصية أُخذت. وصف تقرير BankInfoSecurity في source: bankinfosecurity.com بالمثل الفرق بين الوصول المحتمل وعدم وجود دليل على سرقة البيانات.

هذا الفرق مهم. "لا يوجد دليل على سرقة البيانات" ليس مثل "لا خطر". قد يعني أن السجلات والمؤشرات وآثار الشبكة وأدلة نقطة النهاية والمراجعة الجنائية لم تظهر نسخًا للبيانات. هذه نتيجة مهمة. يمكن أن تقلل الضرر المتوقع. لكنها لا تزال تعتمد على اكتمال السجلات، والنافذة الزمنية، والأنظمة التي تم فحصها، ومستوى الثقة في العملية الجنائية. لا يمكن للمتقدمين التحقق بشكل مستقل من أي من هذه الشروط. قد يتلقى العملاء مزيدًا من التفاصيل بموجب العقد أو قنوات الجهات التنظيمية، لكن إشعاراتهم العامة غالبًا ما تضطر إلى ترجمة النتيجة إلى لغة بسيطة.

هذا هو ممر المساءلة الأول: حيازة الأدلة. يمكن لمنصة التوظيف الاحتفاظ ببيانات نيابة عن آلاف أرباب العمل وملايين المرشحين بمرور الوقت. يتحكم البائع في البيئة التي يتم فيها تحديد نطاق الخرق. إذا قال البائع أنه لا يوجد دليل محدد على السرقة، يحتاج المتأثرون إلى معرفة على ماذا يستند هذا البيان. هل تم الاحتفاظ بسجل الوصول ذي الصلة؟ هل كانت قواعد البيانات المتأثرة مجهزة بالأدوات؟ هل تمكنت سجلات التطبيق من التمييز بين وصول القراءة ووصول الكتابة؟ هل تم تسجيل الصادرات والتنزيلات واستدعاءات API والتقارير والإجراءات الإدارية بشكل منفصل؟ هل غطت نفس المراجعة الملفات والسير الذاتية والمرفقات وحقول قاعدة البيانات؟

هل سجلات المتقدمين القدامى في نفس بيئة سير العمل الحالية؟

هذه الأسئلة ليست أكاديمية. بيانات المتقدم قابلة لإعادة الاستخدام بشكل غير عادي من قبل المهاجمين. يمكن أن تتضمن السيرة الذاتية الاسم الكامل ورقم الهاتف والبريد الإلكتروني والمدينة وتاريخ التوظيف والتعليم والتراخيص المهنية والمراجع وأحيانًا وثائق هوية جزئية. يمكن أن يكشف طلب الوظيفة عن الراتب المطلوب والتوافر وحالة الهجرة والإعاقات أو التسهيلات وإجابات فحص السجل الجنائي وحالة المرشح الداخلي وتاريخ العمل. حتى عندما لا تكون المستندات الأكثر حساسية موجودة، يمكن لسجل طلب مفصل دعم التصيد المستهدف ضد الباحثين عن عمل أو أرباب العمل.

متابعة SecurityWeek في source: securityweek.com مفيدة لأنها سجلت الموقف العام بعد مزيد من التحقيق: بيان أدلة أضيق بدلاً من إنكار واسع لخطر الحادثة. هذا الموقف أفضل من التظاهر بعدم وجود مشكلة، لكنه لا يزال يترك السكان المتأثرين يعتمدون على سلسلة من الثقة. كان على PageUp إبلاغ العملاء. كان على العملاء إبلاغ المتقدمين عندما يكون ذلك مطلوبًا أو حكيمًا. كان على المتقدمين أن يقرروا ما إذا كانوا سيراقبون الاحتيال أو التصيد أو سوء الاستخدام.

اختبار المساءلة هو ما إذا كانت تلك السلسلة حافظت على عدم اليقين بأمانة. لا ينبغي للمنصة المبالغة في الضرر لإثارة الذعر، ولكن لا ينبغي أيضًا تحويل الأدلة غير الكاملة إلى طمأنة مطلقة. أقوى صياغة تفصل بين الحقائق المؤكدة والحقائق المحتملة والحقائق الممكنة والمجهولات. يمكن للمرشح أن يتصرف بناءً على "لا يوجد دليل على أن بياناتك قد أُخذت، ولكن النظام الذي عالج الطلبات تم الوصول إليه وكانت أنواع البيانات هذه قد تكون موجودة." لا يمكن للمرشح أن يتصرف بناءً على ثقة غامضة.

كان المتقدمون أشخاصًا متأثرين، وليسوا مجرد سجلات عملاء

من السهل التقليل من شأن قضية PageUp إذا كانت كلمة "عميل" تعني صاحب العمل فقط. كان عملاء PageUp من المنظمات التي تستخدم منصة التوظيف. كان الأشخاص المتأثرون هم المتقدمون للوظائف والموظفون المحتملون ومرشحو الموظفين وأحيانًا الموظفون الحاليون الذين يستخدمون سير عمل التوظيف الداخلي أو الإعداد. هذا الفرق يغير أخلاقيات الإخطار.

تظهر إشعارات العملاء كيف انتشرت الحادثة عبر المؤسسات. نشرت جامعة كوينزلاند إشعارًا بمشكلة أمان PageUp في source: news.uq.edu.au ووجهت المتأثرين إلى معلومات حول نظام التوظيف. نشرت جامعة موناش تحديثًا في source: monash.edu. نشرت SA Power Networks إشعارًا بحادثة الأمن السيبراني لـ PageUp في source: sapowernetworks.com.au. هذه الإشعارات مهمة لأنها تظهر الشكل العملي للمسؤولية متعددة الأطراف في SaaS. حقق البائع في المنصة. كان لدى أرباب العمل علاقة مع المتقدمين. كان المتقدم بحاجة إلى معلومات قابلة للتنفيذ.

بعض الأشخاص المتأثرين بخرق التوظيف قد لا يصبحون موظفين أبدًا. هذا يجعل التعويض أكثر صعوبة. قد لا يكون لديهم جهة اتصال داخلية أو بوابة موظفين أو علاقة مستمرة مع صاحب العمل. قد يكونون قد تقدموا قبل أشهر أو سنوات وانتقلوا. قد يستخدمون عنوان بريد إلكتروني تغير. قد يكونون قد قدموا بيانات من خلال عدة أرباب عمل يستخدمون نفس المنصة، مما يخلق تعرضًا مكررًا أو متداخلًا. قد لا يعرفون أي منظمة مسؤولة عن الإجابة على الأسئلة.

تقاطعت الحادثة العامة أيضًا مع الثقة في الجامعات والهيئات العامة. عندما تستخدم جامعة منصة توظيف تابعة لجهة خارجية، قد يفترض المتقدم أن الجامعة تتحكم في البيانات. عمليًا، تتحكم الجامعة في عملية التوظيف واختيار البائع، لكن مزود SaaS يتحكم في بيئة النظام. هذه هي فجوة المساءلة. قد يلقي الشخص الذي يعاني من التصيد المحتمل أو القلق باللوم على المؤسسة التي يعرفها. قد تعتمد المؤسسة على أدلة البائع الجنائية. قد لا يكون للبائع علاقة مباشرة مع المتقدم. يمكن أن تكون كل حلقة عقلانية، ومع ذلك يمكن للنظام العام أن يترك الشخص بأدلة ضعيفة.

لهذا السبب يجب أن يفعل إشعار المتقدم أكثر من مجرد تكرار سطر البائع. يجب أن يقول ما هي فئات البيانات التي كانت محتملة، وفترات المتقدمين التي تم تضمينها، وما إذا كانت الطلبات الداخلية متأثرة، وما أكده البائع، وما لا يزال غير معروف، وما الإجراءات التي اتخذتها المؤسسة، وما يمكن للمتقدم فعله. يجب أن يتجنب الإيحاء بأن المتقدم اختار المعالج شخصيًا. يجب أن يشرح أيضًا كيفية الاحتفاظ بسجلات الطلبات القديمة ومتى يتم حذفها، لأن تقليل البيانات هو عنصر تحكم فقط إذا كانت ممارسة الاحتفاظ معروفة قبل الخرق.

كشفت حادثة PageUp عن نمط أوسع في أتمتة برمجيات المؤسسات. تقوم المنظمات بأتمتة التوظيف لتقليل التكلفة الإدارية وتحسين سير العمل وتتبع الامتثال وإنشاء معالجة متسقة للمرشحين. يصبح النظام طبقة تسجيل. عندما يفشل، لا يقتصر التأثير على التوقف. يصبح سؤال خصوصية وأدلة ورعاية واجبة للأشخاص الذين تكون علاقتهم بالنظام مؤقتة وغير متماثلة.

كان يجب إثبات حدود المستأجرين، وليس افتراضها

تعتمد مساءلة SaaS متعددة المستأجرين على حدود المستأجرين. في منصة توظيف، لا ينبغي أن يكشف صاحب عمل واحد عن مرشحي صاحب عمل آخر لمجرد أن كلاهما يستخدم نفس البائع. يجب أن تكون المنصة قادرة على إثبات أي المستأجرين والجداول وحاويات التخزين والملفات والتكاملات والصادرات ولوحات الإدارة كانت قابلة للوصول أثناء الحادثة. بدون هذا الإثبات، تصبح الرسالة العامة الأكثر أمانًا واسعة وغامضة، مما يزيد من عدم اليقين للجميع.

السجل العام لا يعطي خريطة كاملة لبنية بيئة PageUp لعام 2018. هذا القيد مهم. لا يجب أن يخترع التحليل المسؤول سببًا تقنيًا جذريًا. تدعم الأدلة المتاحة استنتاجًا أكثر تواضعًا: كان على العملاء والمتقدمين الاعتماد على تحديد نطاق PageUp للأنظمة وأنواع البيانات المتأثرة. هذا كافٍ لجعل دليل حدود المستأجرين محوريًا في ملف المساءلة.

لدليل حدود المستأجرين عدة أجزاء. أولاً، يجب أن تظهر سجلات المصادقة والتفويض الحسابات والجلسات وحسابات الخدمة أو مكونات البنية التحتية المستخدمة. ثانيًا، يجب أن تظهر سجلات التطبيق ما إذا تم الوصول إلى سجلات المرشحين والمرفقات والتقارير والصادرات أو صفحات الإدارة. ثالثًا، يجب أن تفصل ضوابط قاعدة البيانات والتخزين بيانات العميل بما يكفي بحيث لا يعني اختراق مكون واحد وصولاً على مستوى المنصة. رابعًا، يجب تضمين النسخ الاحتياطية والتحليلات والدعم وأنظمة إعداد التقارير في خريطة الأدلة، لأن البيانات غالبًا ما تترك مسار التطبيق الأساسي.

خامسًا، يجب مراجعة عمليات التكامل مع موفري الهوية وبائعي فحص الخلفية وخدمات البريد الإلكتروني وأنظمة الموارد البشرية بحثًا عن مسارات جانبية.

الدرس ليس أنه يجب على كل إشعار عام نشر مخطط بنية. لا ينبغي. قد يؤدي نشر تفاصيل بنية حساسة إلى خلق خطر جديد. الدرس هو أن البائع والعملاء بحاجة إلى حزمة أدلة داخلية قوية بما يكفي لتبرير النطاق العام. إذا قال الإشعار العام إن أنواع بيانات معينة أو عملاء معينين فقط تأثروا، يجب أن تظهر الأدلة الخاصة لماذا. إذا قال الإشعار العام أنه لا يوجد دليل على سرقة البيانات، يجب أن تظهر الأدلة الخاصة أي السجلات تدعم هذا الاستنتاج.

صفحة الأمان الحالية لـ PageUp في source: pageuppeople.com ذات صلة كمفردات تحكم بدلاً من دليل مباشر على حالة الحادثة في 2018. تقدم ممارسات الأمان الحالية وموضوعات الضمان. سياسة الخصوصية لـ PageUp في source: pageuppeople.com ذات صلة لأنها تظهر أنواع التزامات الخصوصية وشروحات المعالجة التي يقدمها مزود تكنولوجيا الموارد البشرية الحديث. صفحة الإفصاح المسؤول في source: pageuppeople.com ذات صلة لأن استلام الثغرات جزء من الحفاظ على الثقة في الخدمة السحابية. لا تثبت أي من هذه الصفحات ما حدث في 2018. تساعد في تحديد معيار التحكم الذي يجب أن تفي به منصة التوظيف بعد مثل هذا الحدث.

سؤال حدود المستأجر العملي هو أيضًا اقتصادي. يشتري أرباب العمل SaaS للتوظيف لأنهم لا يريدون تشغيل المنصة بأنفسهم. يتوقعون من البائع التعامل مع الأمان والاستضافة وتحديثات سير العمل وتتبع المتقدمين والدعم. هذا يعني أن البائع يتحكم في أهم الأدلة. يمكن للغة التعاقدية تعيين الواجبات، لكن الأدلة تتبع السيطرة التشغيلية. إذا لم يتمكن العميل من فحص البيئة مباشرة، يجب على البائع إنتاج نتائج موثوقة بسرعة كافية للعميل للوفاء بواجبات الخصوصية والحفاظ على ثقة المتقدمين.

توقيت الإخطار كان نظامًا مشتركًا، وليس رسالة واحدة

الإخطار في خرق SaaS هو نظام. يكتشف البائع ويحقق. يخطر البائع العملاء. يقرر العملاء ما إذا كانوا وكيف يخطرون المتأثرين والجهات التنظيمية والموظفين والمسؤولين عن التوظيف ومديري التوظيف والأطراف الثالثة. تتلقى الجهات التنظيمية الإخطارات بموجب القانون المحلي. تخلق التقارير الإعلامية وعيًا عامًا. قد يتصل المتقدمون بأرباب عمل متعددين. يمكن لبيان واحد غير واضح أن يضاعف الارتباك.

جعل نظام الإخطار الأسترالي القابل للإخطار هذا الهيكل أكثر وضوحًا. أكد تقرير OAIC العام في source: oaic.gov.au على كيفية عمل خروقات البيانات المؤهلة وواجبات الإخطار في السنة الأولى من النظام. يمكن أن تخلق حادثة مزود السحابة حدثًا على مستوى المعالج والعديد من القرارات على مستوى العميل حول ما إذا كان هناك ضرر جسيم محتمل. هذا اختبار تحمل للحوكمة. يسأل عما إذا كان البائع يمكنه إعطاء العملاء معلومات كافية بالسرعة الكافية لاتخاذ قرارات إخطار قابلة للدفاع.

حدثت حادثة PageUp في فترة كانت المنظمات لا تزال تتعلم النظام. هذا لا يخفض الواجب تجاه المتأثرين. إنه يرفع أهمية الأدوار الواضحة. يجب على البائع تحديد كيانات المراقب أو العميل، ووصف فئات البيانات، وتحديد النوافذ الزمنية المتأثرة، وتحديث العملاء مع تغير الثقة الجنائية. لا ينبغي للعملاء انتظار اليقين التام إذا تم استيفاء عتبة المخاطرة، لكن لا ينبغي لهم أيضًا إصدار إنذارات غامضة غير مدعومة بالحقائق. يجب أن تكون الجهات التنظيمية قادرة على رؤية الفرق بين الحذر الفوري والتحقيق غير المكتمل.

كانت إشعارات العملاء العامة جزءًا من سلسلة الأدلة. أظهرت أي المنظمات أوقفت أو غيرت سير عمل التوظيف، وما النصيحة التي قدمتها، وكيف ترجمت نتائج PageUp إلى لغة موجهة للمتقدم. يجب أن يحدد الإشعار الجيد البائع، ويشرح طبيعة الحادثة، ويصف فئات البيانات المعنية، ويشير إلى احتياطات الاحتيال والتصيد، ويوفر مسار اتصال. الإشعار الضعيف يترك المتقدم فقط مع "حدثت حادثة لطرف ثالث"، وهو غير كافٍ.

تسلط الحادثة الضوء أيضًا على تحديث التحديثات المتكررة. غالبًا ما تأتي الإشعارات الأولية قبل اكتمال المراجعة الجنائية. قد تضيق التحديثات اللاحقة الخطر. يمكن أن يخلق ذلك شكوكًا عامة: يسمع الناس "خرق محتمل" أولاً و"لا دليل على السرقة" لاحقًا. النهج المسؤول ليس تجنب الإخطار المبكر. إنه تصنيف مستويات الثقة بعناية. "التحقيق جارٍ" يجب أن يعني التحقيق جارٍ. "لا دليل" يجب أن يحدد قاعدة الأدلة. "لا تأثير" يجب حجزه للحالات التي يمكن للبائع إثباتها.

هذا هو المكان الذي تكون فيه عدسة التحكم لدانيال كايد مهمة. المساءلة تتبع السيطرة العملية على الأدلة، وليس فقط رؤية العلامة التجارية. قد يكون صاحب العمل هو الطرف المرئي. كان لدى PageUp السيطرة العملية على أدلة المنصة. كان لدى المتقدم سيطرة عملية فقط على الاحتياطات النهائية مثل تغييرات كلمة المرور والوعي بالتصيد ومراقبة سوء الاستخدام. هذا الخلل هو سبب تصميم الإخطار للطرف الأقل قوة في السلسلة.

سيادة البيانات والمحلية لم تكن أسئلة سياسة مجردة

تتحرك بيانات التوظيف عبر الحدود بسهولة أكبر مما قد يتوقع المتقدمون. قد تعالج منصة الموارد البشرية العالمية بيانات العملاء في ولايات قضائية متعددة، وتستضيف البنية التحتية في مناطق معينة، وتستخدم فرق دعم في عدة مواقع، وتتكامل مع الخدمات التي تنشئ تدفقات بيانات إضافية. جعلت حادثة PageUp سيادة البيانات والمحلية ملموسة. لم يكن السؤال فقط أين يقع المقر الرئيسي للشركة. كان السؤال أين يتم تخزين سجلات المتقدمين، ومن يمكنه الوصول إليها، وأي قانون ينطبق، وأي جهة تنظيمية أو عميل لديه الأدلة.

السجل العام لا يتطلب الادعاء بأن جميع بيانات المتقدمين عبرت حدودًا بأي طريقة معينة. نقطة المساءلة أضيق: يجب أن تجعل منصات التوظيف السحابية الحيازة القضائية مفهومة قبل الخرق. يجب أن تخبر سياسات الخصوصية والعقود العملاء والمتقدمين كيف تتم معالجة المعلومات الشخصية وأين قد يتم استضافتها أو الوصول إليها وأي معالجات فرعية أو مسارات دعم مهمة. إذا حدث خرق، يجب أن تدعم نفس الخريطة إخطار الجهة التنظيمية والتواصل مع المتأثرين.

تقرير OAIC ذو صلة هنا لأن النظام الأسترالي يعمل من خلال عدسة الكيانات المشمولة بقانون الخصوصية الأسترالي والضرر الجسيم المحتمل. قد تتطلب حادثة منصة تؤثر على المتقدمين الأستراليين إخطارًا أستراليًا حتى لو كانت أجزاء من المكدس التقني أو قاعدة العملاء عالمية. قد يكون للولايات القضائية الأخرى عتبات ومواعيد نهائية مختلفة. يحتاج مزود متعدد المستأجرين إلى حزمة أدلة إخطار يمكنها دعم هذه الاختلافات دون إنتاج حقائق غير متسقة.

تتقاطع محلية البيانات أيضًا مع الاحتفاظ. يمكن أن تبقى بيانات المتقدم لفترة طويلة بعد انتهاء عملية التوظيف. قد يحتفظ أرباب العمل بالطلبات لأدوار مستقبلية أو امتثال أو تقارير تكافؤ الفرص أو تدقيق أو مجموعات المواهب أو لأسباب تقاضي. قد يحتفظ البائعون بالسجلات والمرفقات والنسخ الاحتياطية وبيانات سير العمل المشتقة. كلما زاد الاحتفاظ، زاد سطح الخرق. سيادة البيانات دون انضباط الاحتفاظ غير مكتملة. معرفة أن البيانات موجودة في بلد معين لا تساعد إذا بقيت التطبيقات القديمة قابلة للوصول دون حاجة واضحة للأعمال.

هذا هو سؤال الحوكمة الذي يجب على أرباب العمل طرحه بعد PageUp: أي حقول المتقدم ضرورية، وكم من الوقت يتم الاحتفاظ بها، وأي الحقول مرئية للمسؤولين عن التوظيف، وأيها مرئية لدعم البائع، وأيها يتم تصديرها، وأيها يتم حذفها بعد فترة، وكيف يتم إثبات الحذف في النسخ الاحتياطية وأنظمة التحليلات. يمكن لبرنامج التوظيف أن يجعل جمع البيانات يبدو رخيصًا. تظهر مساءلة الخرق أن كل حقل إضافي له تكلفة مخاطرة مستقبلية.

تنبيه عميل Marsh في source: marsh.com ومناقشة Aon في source: aon.com.au مفيدة لأنهما تعاملا مع الحادثة كحدث مخاطر تنظيمي، وليس مجرد قصة تقنية. يشمل الخطر السيبراني في التوظيف الواجبات القانونية وأسئلة التأمين وإدارة البائع واستمرارية الأعمال والاتصالات. هذا الإطار الأوسع مناسب. حيازة بيانات المتقدم هي وظيفة حوكمة.

كانت استمرارية سير عمل التوظيف جزءًا من نموذج الضرر

خلقت حادثة PageUp أيضًا سؤال استمرارية. منصات التوظيف هي أنظمة سير عمل. تقوم بتوجيه الطلبات، ودعم الموافقات، وإرسال الاتصالات، وتتبع الإعداد، والحفاظ على تواريخ المرشحين. إذا أوقف العميل استخدام المنصة أثناء حادثة، يمكن أن يتباطأ التوظيف. إذا استمر العميل في استخدامها، يجب أن يثق في احتواء البائع. إذا انتقل العميل إلى خيار يدوي، فقد يخلق مخاطر خصوصية جديدة من خلال جداول البيانات ومرفقات البريد الإلكتروني والسجلات المكررة والحذف غير المتسق.

غالبًا ما يتم التقليل من قضية الاستمرارية في تحليل الخرق. إنها ليست دراماتيكية مثل سرقة بطاقات الدفع أو برامج الفدية. لكن التوظيف هو عملية أعمال حاسمة. تحتاج المستشفيات والجامعات والوكالات العامة والمرافق وتجار التجزئة وشركات التكنولوجيا إلى شغل الأدوار. يمكن أن يؤدي تعطيل التوظيف إلى تأخير التوظيف والإعداد وفحوصات الامتثال والتنقل الداخلي. قد يكون المتأثرون باحثين عن عمل ينتظرون القرارات، ومديري توظيف لديهم أدوار شاغرة، وفرق موارد بشرية تدير بيانات حساسة تحت الضغط.

يجب أن يكون لدى مزود SaaS الناضج دليل لعب استمرارية للحوادث موجه للعملاء. يجب أن يخبر العملاء متى يوقفون الطلبات، وكيفية الحفاظ على سجلات المرشحين المعلقة، وكيفية تصدير البيانات أو تسويتها، وكيفية تجنب الجمع المكرر، وكيفية التواصل مع المرشحين، وكيفية إعادة تشغيل سير العمل بعد الاحتواء. يجب أن يخبر العملاء أيضًا أي الوظائف تظل آمنة، وأيها معطل، وأيها يتطلب حذرًا إضافيًا. التحقيق في الخرق الذي يركز فقط على السرية يفوت التأثير التشغيلي لمنصة قد يتردد العملاء في استخدامها.

هذا مهم لأتمتة برمجيات المؤسسات. تركز الأتمتة سير العمل في مزود واحد. يمكن أن يحسن هذا الاتساق والامتثال عندما يكون المزود سليمًا. أثناء الحادثة، يمكن أن يخلق تعطيلًا شائعًا. قد يحتاج العديد من أرباب العمل إلى نفس التوضيح في نفس الوقت. قد يتلقى العديد من المرشحين إشعارات مماثلة. قد تنمو قوائم انتظار الدعم. قد يتجاوز التقارير العامة التواصل المباشر. تصبح قيادة حادثة المزود موردًا مشتركًا لاستمرارية الأعمال لعملائه.

لم تكن حادثة PageUp انقطاعًا طويلاً معروفًا في نفس فئة فشل البنية التحتية المدمر. لا تزال قضية الاستمرارية ذات صلة لأن العديد من العملاء ناقشوا علنًا تغييرات نظام التوظيف أو الحذر. الدرس الصحيح هو ليس تجنب SaaS للتوظيف. إنه طلب دليل طوارئ قبل الحادثة. يجب أن يعرف العملاء كيفية تلقي الطلبات إذا تم إيقاف المنصة، وكيفية تأمين السجلات المؤقتة، وكيفية دمجها مرة أخرى، وكيفية حذف التكرارات. يجب أن يجعل البائعون ذلك ممكنًا دون إجبار العملاء على ارتجال غير آمن.

تؤثر الاستمرارية أيضًا على المتقدمين. إذا تم تأخير الطلب أو إعادة تقديمه، لا ينبغي للمتقدم أن يخمن ما إذا كان السجل الأصلي لا يزال نشطًا، وما إذا تم إنشاء سجلات مكررة، أو ما إذا كانت الاتصالات مشروعة. يخلق الخرق فرصًا للتصيد لأن المتقدمين يتوقعون رسائل حول التوظيف. يجب أن يخبر الرد القوي المتقدمين كيف ستبدو الاتصالات الرسمية وأي النطاقات أو القنوات ستُستخدم وكيفية التحقق من الطلبات المشبوهة دون كشف المزيد من المعلومات.

ما يتطلبه الإصلاح القابل للتحقق

يبدأ اختبار الإصلاح الدائم لمنصة توظيف بالنطاق الجنائي. يجب أن يكون البائع قادرًا على إظهار العملاء والجهات التنظيمية الأنظمة المتأثرة والنافذة الزمنية وفئات البيانات وحدود المستأجرين وطرق التحقيق ومستوى الثقة. لا يجب أن تكون الأدلة عامة بتفاصيلها الكاملة، لكن يجب أن تكون محددة بما يكفي للعملاء لاتخاذ قرارات قانونية وأخلاقية. "لقد حققنا" ليس كافيًا. "راجعنا هذه الأنظمة وهذه السجلات ومسارات البيانات هذه ووجدنا هذه الحقائق" أقرب إلى المعيار.

ثانيًا، يجب على المزود إثبات الاحتواء. يشمل ذلك تدوير بيانات الاعتماد ومراجعة الوصول الإداري وإزالة التعليمات البرمجية الضارة وإصلاح الثغرات وتغييرات المراقبة والتحقق من أن المهاجمين لم يعد لديهم وصول. لا تكشف المصادر العامة عن ملف الإصلاح الكامل لـ PageUp. معيار المساءلة هو أن العملاء يجب أن يكونوا قادرين على تلقي الأدلة المناسبة لمخاطرهم. لا ينبغي لجامعة أو صاحب عمل في القطاع العام يعالج سجلات حساسة للمتقدمين أن يعتمد فقط على بيان عام.

ثالثًا، يجب على المنصة مراجعة تقليل البيانات. غالبًا ما تجمع أنظمة التوظيف أكثر من اللازم لأن كل حقل يبدو مفيدًا لشخص ما. يجب أن يسأل الإصلاح ما إذا كانت السير الذاتية والمرفقات وإجابات الفحص والمراجع ووثائق الهوية محتفظ بها فقط طالما لزم الأمر. يجب أن يسأل أيضًا ما إذا كانت الإعدادات الافتراضية للعملاء تشجع على الجمع الزائد. الخرق هو لحظة لتقليل الضرر المستقبلي، وليس فقط إغلاق مسار الدخول.

رابعًا، يجب اختبار عزل المستأجرين كخاصية تحكم في الخرق. هذا يعني أن المزود يجب أن يكون قادرًا على إظهار أنه لا يمكن الوصول إلى بيانات عميل واحد من خلال مسار إداري أو دعم أو تكامل أو تقرير أو دور تم تكوينه بشكل خاطئ لعميل آخر. يعني أيضًا أن السجلات يجب أن تكون واعية بالمستأجر بما يكفي لدعم تحديد النطاق. إذا لم تستطع السجلات تمييز وصول المستأجر، سيكون الإشعار العام واسعًا بالضرورة.

خامسًا، يجب ممارسة إخطار العميل. يجب أن يعرف مزود SaaS متعدد الأطراف أي جهات اتصال العملاء تتلقى إشعارات الحوادث، ومدى سرعة الوصول إليهم، والقوالب المتاحة، وكيف يتم إصدار التحديثات، وكيف يتم فصل الإشعارات الأمنية العاجلة عن رسائل الحساب العادية. تتغير جهات اتصال العملاء. تتحلل صناديق البريد الخاصة بالمشتريات. يجب اختبار إشعار الحادثة مثل استعادة النسخة الاحتياطية، لأن الإشعار الذي يصل إلى العنوان الخطأ ليس عنصر تحكم فعال.

سادسًا، يجب تصميم مساعدة موجهة للمتقدمين قبل الذعر. يحتاج المتقدمون إلى شرح بسيط، وقناة اتصال، ونصيحة بشأن التصيد، وإرشادات بشأن كلمة المرور إذا كانت قابلة للتطبيق، وطريقة لفهم ما إذا كانوا قد قدموا بيانات خلال فترة ذات صلة. لا ينبغي أن يتم تحويلهم بين البائع وصاحب العمل دون ملكية. قد لا يتمكن البائع من الإجابة على كل متقدم مباشرة، لكن يمكنه تجهيز العملاء للقيام بذلك.

أخيرًا، يجب أن يبقى الإصلاح مع مرور الوقت. قد تعكس صفحات الأمان والخصوصية الحالية لـ PageUp برنامجًا أكثر نضجًا مما يمكن للجمهور رؤيته في 2018، لكن سؤال المساءلة لا يزال قائمًا لكل منصة توظيف. هل يتم اختبار الضوابط؟ هل يتم إعطاء العملاء أدلة التدقيق؟ هل أدوار الدعم محدودة؟ هل يتم حذف التطبيقات القديمة؟ هل يتم توجيه إشعارات الحوادث إلى جهات الاتصال الحالية؟ هل مسارات المعالجة عبر الحدود واضحة؟ هل يتم التعامل مع المرشحين كأشخاص متأثرين وليس مجرد صفوف في مستأجر العميل؟

ما يجب أن يسأله العملاء بعد PageUp

الدرس للعملاء عملي. يجب على أرباب العمل الذين يستخدمون SaaS للتوظيف أن يطلبوا من المزود خريطة بيانات: حقول المرشحين والمرفقات والسجلات المشتقة والنسخ الاحتياطية والسجلات والصادرات ووصول الدعم والمعالجات الفرعية والمناطق وفترات الاحتفاظ وإثبات الحذف. لا ينبغي لهم انتظار حادثة لمعرفة ما إذا كانت السير الذاتية مخزنة في نظام والمرفقات في نظام آخر، أو ما إذا كان موظفو الدعم يمكنهم عرض تفاصيل المرشحين أثناء استكشاف الأخطاء.

يجب أن يطلبوا التزامات بأدلة الحوادث. يمكن للعقد أن يتطلب إخطارًا فوريًا، لكن الإخطار الفوري بدون حقائق مفيدة يمكن أن يترك العميل مكشوفًا. يجب أن يلتزم المزود بإعطاء الأنظمة المتأثرة وفئات البيانات والنوافذ الزمنية وخطوات الاحتواء ومستويات الثقة عندما تصبح معروفة. يجب على العميل تحديد من يتلقى الإخطارات وكيف يتم تصعيد الإخطارات خارج قنوات إدارة البائع العادية.

يجب أن يطلبوا ضمان عزل المستأجرين. يمكن أن تساعد الشهادات واختبارات الاختراق وتقارير التدقيق، لكن يجب ربط السؤال بنموذج بيانات التوظيف. هل يمكن للمهاجم الذي يصل إلى سير عمل عميل واحد رؤية عميل آخر؟ هل يمكن لدعم البائع انتحال شخصية المستخدمين؟ هل يتم تسجيل جلسات الدعم ومراجعتها؟ هل يتم التحكم في الصادرات الجماعية؟ هل يتم تحديد نطاق رموز API وتدويرها؟ هل يتم تقسيم تكاملات فحص الخلفية؟

يجب أن يطلبوا الإعدادات الافتراضية للاحتفاظ. تقليل البيانات ليس مجرد شعار خصوصية. إنه التحكم في نصف قطر انفجار الخرق. إذا ظل المرشحون القدامى في أنظمة قابلة للبحث نشطة لسنوات دون سبب واضح، يكون العميل قد قبل مخاطرة مستقبلية لأشخاص قد لا تكون لهم علاقة مستمرة بالمنظمة. يجب أن تكون قواعد الاحتفاظ مرئية لفرق الموارد البشرية والقانونية والخصوصية والأمن، وليس مدفونة في الإدارة الفنية.

يجب أن يطلبوا خطة طوارئ للاستمرارية. إذا تم إيقاف منصة التوظيف، ماذا يحدث للأدوار المفتوحة والطلبات المعلقة والمقابلات المجدولة وحزم الإعداد واتصالات المرشحين؟ كيف سيتم تأمين السجلات المؤقتة؟ كيف سيتم تسوية التكرارات؟ كيف سيتحقق المتقدمون من الرسائل الأصلية؟ لا ينبغي أن تدفع حادثة البائع فرق الموارد البشرية إلى جداول بيانات مرتجلة تخلق حدث خصوصية ثانٍ.

السؤال الأخير ثقافي لكنه قائم على الأدلة: هل يفصل المزود بين الطمأنة والإثبات؟ يُظهر سجل حادثة PageUp العامة سبب أهمية هذا الفرق. قد يكون بيان أنه لا يوجد دليل على سرقة البيانات صحيحًا ومفيدًا، ولكن فقط إذا كانت قاعدة الأدلة قوية بما يكفي للعملاء والمتأثرين لفهم المخاطر المتبقية. تكسب منصة التوظيف الثقة من خلال إثبات الحيازة والنطاق والاحتواء والإصلاح للأشخاص الذين تحتفظ ببياناتهم، بما في ذلك أولئك الذين لم يوقعوا أبدًا عقد البائع.

معيار المساءلة بعد الخرق

المعيار الدائم بسيط في البيان وصعب في التحقيق: يجب على الطرف الذي يسيطر عمليًا على المنصة أن ينتج أدلة عملية للأشخاص الذين يتحملون المخاطرة. سيطرت PageUp على بيئة التوظيف، والنطاق الجنائي، ومدخلات إخطار العملاء. سيطر أرباب العمل على علاقات التوظيف واتصالات المتقدمين. تحمل المتقدمون مخاطرة الخصوصية دون السيطرة على اختيار البائع أو أدلة المنصة.

هذا لا يعني أن كل نتيجة سيئة تنتمي فقط إلى بائع SaaS. يختار العملاء البائعين، ويكونون سير العمل، ويقررون حقول البيانات، ويضعون توقعات الاحتفاظ، ويتواصلون مع المتقدمين. تحدد الجهات التنظيمية عتبات الإخطار وتوقعات التنفيذ. يمكن للمتقدمين اتخاذ بعض الاحتياطات النهائية. لكن البائع هو الطرف الوحيد الذي يمكنه إثبات ما حدث داخل المنصة.

يجب تنظيم هذا الإثبات حول ستة أسئلة. ما الأنظمة التي تم الوصول إليها؟ ما البيانات التي يمكن الوصول إليها؟ ما البيانات التي تم الوصول إليها أو تصديرها بالفعل، إذا كان معروفًا؟ أي العملاء والمتقدمين يقعون ضمن النافذة؟ ما الضوابط التي فشلت أو احتاجت إلى تحسين؟ ما الذي تغير بطريقة قابلة للقياس؟ إذا لم يتمكن المزود من الإجابة على الأسئلة الستة فورًا، يجب أن يقول ما هو غير معروف ومتى يتوقع التحديث التالي.

تظل قضية PageUp ذات صلة لأن بيانات التوظيف أصبحت الآن جزءًا طبيعيًا من الاعتماد على السحابة في المؤسسات. يقوم أرباب العمل بشكل متزايد بتوجيه التوظيف والتقييم والإعداد والتحليلات من خلال منصات متخصصة. قد يكون هذا فعالاً، لكنه يجعل حياة المتقدمين الخاصة تعتمد على أدلة البائع. يجب أن يظل ملف المساءلة مركزًا على الإثبات: حدود المستأجرين، واكتمال السجلات، وتقليل البيانات، والوضوح عبر الحدود، وسير عمل الطوارئ، والإخطار الصادق.

لا ينبغي تذكر الحادثة فقط كعنوان عن خرق برمجيات. يجب تذكرها كاختبار لما إذا كان سوق تكنولوجيا التوظيف يمكنه احترام الأشخاص الذين تملأ بياناتهم النظام. هؤلاء الأشخاص ليسوا مجرد سجلات. إنهم باحثون عن عمل تمت معالجة سيرهم الذاتية وتواريخهم ومراجعهم وآمالهم من خلال منصة لم يختاروها عادةً. تبدأ المساءلة عندما يمكن للمنصة أن تظهر، بالأدلة، أنها تعاملت مع هذا التباين كمسؤولية تصميم.

يساعد هذا المعيار أيضًا العملاء على شراء أنظمة أفضل قبل الحادثة التالية. لا ينبغي لفريق المشتريات أن يسأل فقط عما إذا كان البائع لديه شهادات أمان. يجب أن يسأل ما الأدلة التي ستكون متاحة أثناء الخرق، وما السجلات التي تدعم تحديد نطاق المتقدم، وكيف يتم اختبار عزل المستأجرين، وكيف يتم حذف التطبيقات القديمة، وكيف تصل الإخطارات العاجلة إلى جهات الاتصال الحالية، وكيف يتلقى المتقدمون المساعدة عندما لم يعودوا مرشحين نشطين. يظهر سجل PageUp لماذا تنتمي هذه الأسئلة إلى العقد ومراجعة الأمان وتقييم تأثير الخصوصية وكتيب التشغيل. تحمل منصات التوظيف تواريخ شخصية هشة. يتعامل المزود المسؤول مع هذا التاريخ كحدود ثقة، وليس فقط كبيانات سير عمل.

يجب أن يشكل نفس المعيار تكوين العميل. يمكن لأرباب العمل إضعاف منصة آمنة من خلال جمع مرفقات غير ضرورية، وإنشاء أدوار واسعة للمسؤولين عن التوظيف، وترك حملات التوظيف القديمة مفتوحة، والسماح بالصادرات غير المُدارة، أو توجيه بيانات المرشحين إلى أنظمة جانبية لا تغطيها حزمة أدلة البائع. تظل مساءلة البائع أساسية، لكن إعدادات العميل تحدد جزءًا من نصف قطر الانفجار. لذلك يسأل مراجعة ما بعد الحادثة المفيدة ما إذا كان العميل قد استخدم المنصة بطريقة تقليل البيانات، وما إذا تم تسجيل الصادرات، وما إذا كان لدى مديري التوظيف وصول ضروري فقط، وما إذا كانت الحلول اليدوية خلقت سجلات جديدة تحتاج أيضًا إلى الحماية والحذف.