Zusammenfassung

Warum dieser Fall in eine Risiko- und Rechenschaftsakte gehört

Deloitte gehört in eine Risiko- und Rechenschaftsakte, weil der Vorfall das Vertrauen in professionelle Dienstleistungen in ein E-Mail-Verwaltungsproblem verwandelte. Die unmittelbare technische Frage war, wie Angreifer auf die Plattform zugreifen konnten. Die Rechenschaftsfrage war breiter: ob ein Unternehmen, das vertrauliche Kundenkommunikation, Prüfungsmaterial, Strategiedokumente, Transaktionsunterlagen, Sicherheitsdiagramme, regulierte Daten und privilegierte Beratung verwaltet, nachweisen kann, was bei der Kompromittierung einer gemeinsamen E-Mail-Umgebung exponiert wurde.

Der Guardian-Erstbericht unterhttps://www.theguardian.com/business/2017/sep/25/deloitte-hit-by-cyber-attack-revealing-clients-secret-emailsbesagte, dass Angreifer möglicherweise auf vertrauliche Kunden-E-Mails und zugehörige Daten zugegriffen haben. Sein Folgebericht unterhttps://www.theguardian.com/business/2017/oct/10/deloitte-hack-hit-server-containing-emails-from-across-us-governmentberichtete, dass ein Server E-Mails enthielt, die mit einer größeren Kundenpopulation verbunden waren, einschließlich regierungsbezogenem Material, und dass Quellen die Enge der öffentlichen Position von Deloitte bestritten. KrebsOnSecurity berichtete unterhttps://krebsonsecurity.com/2017/09/source-deloitte-breach-affected-all-company-email-admin-accounts/, dass Deloitte einen unbefugten Zugriff auf eine E-Mail-Plattform eingeräumt und erklärt hatte, nur sehr wenige Kunden seien betroffen, während eine der Untersuchung nahestehende Quelle eine breitere Kompromittierung behauptete. SC Media berichtete unterhttps://www.scworld.com/news/no-accounting-for-this-deloittes-email-server-reportedly-breached, dass Deloitte erklärte, die Überprüfung sei abgeschlossen, wenige Kunden seien betroffen, es habe keine Unterbrechung des Kundengeschäfts gegeben und die betroffenen Unternehmen seien kontaktiert worden.

Diese Quellen liefern der Öffentlichkeit keinen vollständigen forensischen Bericht. Sie zeigen jedoch einen Konflikt auf, der nach Sicherheitsverstößen in hochvertrauenswürdigen Institutionen üblich ist. Die Organisation sagt, die betroffene Population sei begrenzt. Journalisten und Quellen stellen in Frage, ob die Grenze so eng ist wie beschrieben. Kunden müssen fragen, ob sie außerhalb der betroffenen Population liegen, weil die forensischen Beweise dies belegen, oder weil die öffentliche Aussage eine Definition von „betroffen" verwendet, die nicht ihrem eigenen Risiko entspricht. Das ist das Rechenschaftsproblem.

Der Fall ist wichtig, weil E-Mail in einer Professional-Services-Firma kein Back-Office-Werkzeug mit geringer Sensitivität ist. Es ist ein Kundendatenlager, ein Workflow-System, ein rechtliches Dokument, ein Lieferkanal, eine Beweisspur, eine Genehmigungsoberfläche und ein Archiv privilegierter Zusammenhänge. Ein einzelnes Administratorkonto kann, wenn es viele Postfächer oder Verwaltungsfunktionen erreichen kann, zu einem Vertraulichkeitsversagen in vielen Kundenbeziehungen werden. Es geht nicht nur darum, ob personenbezogene Daten exponiert wurden.

Es geht darum, ob Kundengeheimnisse, Strategien, Prüfungsdiskussionen, Sicherheitsentwürfe, Kommunikation mit Aufsichtsbehörden, Anmeldeinformationen, Diagramme und Anhänge erreichbar waren.

Die Rechenschaftsfrage ist daher praktisch: Wer hatte die praktische Kontrolle über privilegierten E-Mail-Zugriff, Administrator-Authentifizierung, Kundendaten-Eingrenzung, Benachrichtigung betroffener Parteien, Prüfungsnachweise und den Nachweis, dass die Vertraulichkeit professioneller Dienstleistungen den Verstoß überstanden hatte? Diese Frage folgt der Kontrolle, nicht dem Ruf. Deloitte-Kunden konnten die kompromittierte E-Mail-Plattform nicht in Echtzeit überprüfen. Sie mussten sich auf Deloittes Eingrenzung, Mitteilungen und spätere Zusicherungen verlassen.

Das Unternehmen, das den Protokollen, Berechtigungen, dem Postfachbestand, der Cloud-Mandantenkonfiguration und dem Überprüfungsprozess am nächsten stand, hatte die stärkste Beweispflicht.

Interne E-Mail wird zur Kundeninfrastruktur, wenn vertrauliche Arbeit durch sie fließt

Der Begriff „E-Mail-Verstoß" kann den Fall kleiner erscheinen lassen, als er ist. In einem Unternehmen wie Deloitte ist E-Mail eine Enterprise-Software-Automatisierung für professionelle Arbeit. Engagement-Teams tauschen Entwürfe, Genehmigungen, Anfragen, Anhänge, Tabellenkalkulationen, Prüfungsnachweise, Architekturdiagramme, rechtliche Kommentare, Geschäftsmaterial, Steuerpositionen, Cyber-Bewertungen, Personalentscheidungen und Kundenanweisungen aus. Selbst wenn ein endgültiges Arbeitsergebnis in einem Dokumentensystem gespeichert wird, reist die Konversation, die ihm Bedeutung verleiht, oft durch Postfächer.

Das macht die Kontrollebene breit. Administrativer Zugriff auf E-Mail kann nicht nur Nachrichten exponieren, sondern auch Delegierungen, Weiterleitungsregeln, Postfachsuche, Aufbewahrung, Audit-Logs, E-Discovery-Funktionen, Archivzugriff und mandantenweite Einstellungen. Wenn diese Funktionen nicht streng segmentiert und überwacht werden, kann der Verstoß gegen ein privilegiertes Konto zu einem Verstoß gegen viele Kundenvertraulichkeitsgrenzen werden. Die Professional-Services-Firma mag das Mail-System besitzen, aber die Kunden besitzen einen Großteil der Sensitivität, die darin transportiert wird.

CBS News berichtete unterhttps://www.cbsnews.com/news/deloitte-cyber-attack-reportedly-hit-corporate-government-clients/, dass Deloitte erklärte, nur sehr wenige Kunden seien betroffen gewesen und es habe keine Unterbrechung gegeben, während die öffentliche Berichterstattung ein Administratorkonto und das Fehlen einer Zwei-Faktor-Authentifizierung beschrieb. Sky News berichtete unterhttps://news.sky.com/story/global-accountancy-firm-deloitte-admits-cyber-attack-11053136, dass Deloitte einräumte, Angreifer hätten auf Daten auf einer E-Mail-Plattform zugegriffen und betroffene Kunden informiert. Der Bericht der Financial Times unterhttps://www.ft.com/content/1a69d936-a1fa-11e7-9e4f-7f5e6a7c98a2?syn-25a6b1a6=1behandelte den Vorfall ebenfalls als einen großen Cyberangriff auf ein Professional-Services-Unternehmen. Diese Aufzeichnungen reichen aus, um die öffentliche Kontroverse zu zeigen, auch wenn sie die private Protokollprüfung nicht offenlegen.

Das Kundendaten-Problem wird nicht gelöst, indem man sagt, dass nur eine kleine Anzahl von Kunden „betroffen" war, es sei denn, die Definition ist klar. Ein Kunde könnte sich darum kümmern, ob seine E-Mail abgerufen wurde, ob seine Anhänge erreichbar waren, ob seine Daten durchsucht wurden, ob Anmeldeinformationen oder Diagramme vorhanden waren, ob Nachrichten exfiltriert wurden, ob privilegiertes rechtliches Material eingesehen wurde, ob personenbezogene Daten der Mitarbeiter vorhanden waren und ob der Angreifer die Möglichkeit hatte, Mail-Regeln oder Persistenz zu erstellen. Jede Frage kann eine andere betroffene Population erzeugen.

Die Vertraulichkeit professioneller Dienstleistungen hat auch eine rufschädigende Dimension. Deloitte und seine Peer-Firmen beraten Kunden zu Cyber-Risiken, Kontrollen, Prüfungen, Compliance und Transformation. Ein Verstoß in der eigenen E-Mail-Umgebung der Firma schafft daher ein nachgelagertes Rechenschaftsproblem: ob die internen Kontrollen der Firma der Kontrolldisziplin entsprachen, die sie verkauft. Dieses rufschädigende Problem sollte forensische Fakten nicht ersetzen. Es erklärt, warum Kunden und Beobachter besonders besorgt über die Administrator-Authentifizierung und die verzögerte öffentliche Offenlegung waren.

Privilegierter Zugriff ist der Dreh- und Angelpunkt des Falles

Die öffentliche Berichterstattung konzentrierte sich wiederholt auf den privilegierten Zugriff. Der Guardian berichtete, dass Angreifer über ein Administratorkonto auf einen globalen E-Mail-Server zugegriffen hätten und dass dem Konto die Zwei-Faktor-Authentifizierung fehlte. KrebsOnSecurity berichtete über Behauptungen zu Administratorkonten und dem weiteren E-Mail-System, veröffentlichte aber auch Deloittes Erklärung, dass nur sehr wenige Kunden betroffen seien und eine Überprüfung ergeben habe, was gefährdet sei und was der Angreifer getan habe. CyberScoop berichtete unterhttps://cyberscoop.com/deloitte-breach-2017/, dass der Verstoß ein privilegiertes Konto betraf, das nicht durch Zwei-Faktor-Authentifizierung geschützt war. TechTarget berichtete unterhttps://www.techtarget.com/searchsecurity/news/450427269/Deloitte-hack-compromised-sensitive-emails-client-data, dass der Vorfall Fragen zu Kundendaten, Administratorzugriff und Benachrichtigung aufwarf.

Die genaue private Konfiguration ist nicht öffentlich. Das Rechenschaftsprinzip ist dennoch klar. Privilegierte Konten erfordern eine stärkere Authentifizierung, engere Autorisierung, Aufgabentrennung, bedingten Zugriff, Überwachung und Notfall-Ausschaltung als normale Benutzerkonten. Sie sollten nicht breit, leise und von unerwarteten Orten aus einfach zu bedienen sein. Wenn ein Konto eine große E-Mail-Umgebung verwalten kann, dann schafft die Kompromittierung dieses Kontos ein Ereignis zur Verletzung der Kundenvertraulichkeit, nicht nur ein IT-Helpdesk-Problem.

Der Kontrollkontext ist jetzt umfassend dokumentiert. Die CISA-Leitlinien für kleine und mittlere Unternehmen unterhttps://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authenticationbesagen, dass Organisationen eine Multi-Faktor-Authentifizierung für Fernzugriff und privilegierten bzw. administrativen Zugriff verlangen sollten. Das CISA-Merkblatt zu phishing-resistenter MFA unterhttps://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdfdrängt auf stärkere Formen der MFA für E-Mail, Dateifreigabe und Finanzkontozugriff. Der aktuelle NIST-Leitfaden zur digitalen Identität unterhttps://csrc.nist.gov/pubs/sp/800/63/b/4/finaldefiniert Authentifizierungssicherheitsanforderungen. Die Microsoft Entra-MFA-Übersicht unterhttps://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworksbeschreibt MFA als die Anforderung einer zusätzlichen Identifikationsform bei der Anmeldung. Diese Quellen sind später oder allgemein; sie beweisen nicht Deloittes Kontrollen von 2017. Sie erklären, warum ein Administratorkonto ohne starke MFA ein offensichtliches Kontrollproblem darstellen würde.

Privilegierter Zugriff erfordert auch Protokollierung. Es reicht nicht aus, einen zweiten Faktor zu verlangen, wenn Administratoraktionen nicht sichtbar, durchsuchbar und aufbewahrt werden. Eine Mailbox-Plattform sollte administrative Anmeldungen, Postfachsuchen, Berechtigungsänderungen, Weiterleitungsregeln, E-Discovery-Aktionen, App-Registrierungen, Token-Ausstellung, Audit-Log-Zugriff und anomale Downloads aufzeichnen. Ohne diese Aufzeichnung wird die Eingrenzung zur Ratespielerei.

Eine Firma kann sagen, sie glaube, dass nur eine kleine Gruppe von Kunden betroffen sei, aber Kunden müssen wissen, ob dieser Glaube durch Protokolle oder durch das Fehlen von Beweisen gestützt wird.

Der Fall dreht sich daher um den Beweis negativer Tatsachen. Hat der Angreifer nicht auf das Postfach eines Kunden zugegriffen? Hat der Angreifer keine Anhänge heruntergeladen? Hat der Angreifer keine Persistenz erstellt? Hat der Angreifer keine Anmeldeinformationen oder Diagramme erlangt? Um diese Negativaussagen zu beweisen, benötigt die Firma vollständige Protokolle, konsistente Aufbewahrung, vertrauenswürdige Zeitstempel, bekannte Administratorberechtigungen und eine Rekonstruktionsmethode. Wenn Protokolle unvollständig sind, kann die ehrliche Antwort sein, dass der Umfang nicht mit Sicherheit nachgewiesen werden kann.

Diese Antwort ist schmerzhaft, aber sie ist rechenschaftspflichtiger, als Unsicherheit in Beruhigung umzuwandeln.

Kundenbenachrichtigung hängt von der Eingrenzung ab, nicht vom öffentlichen Vertrauen

Deloitte kontaktierte Berichten zufolge betroffene Kunden. Der von Reuters erneut veröffentlichte Bericht unterhttps://uk.finance.yahoo.com/news/deloitte-hacked-says-very-few-clients-affected-052609557--sector.htmlbesagte, dass Deloitte Opfer eines Cyberangriffs geworden sei, der eine kleine Anzahl von Kunden betreffe, und dass Angreifer auf Daten von einer E-Mail-Plattform zugegriffen hätten. Sky News und SC Media berichteten ähnliche Unternehmenspositionen. Der Guardian und KrebsOnSecurity berichteten, dass Quellen glaubten, die betroffene Umgebung oder das potenzielle Expositionsausmaß sei größer. Die Öffentlichkeit kann diesen Konflikt nicht ohne die zugrunde liegenden Beweise auflösen.

Die Rechenschaftspflicht bei Benachrichtigungen beginnt mit Definitionen. Ein Kunde kann „betroffen" sein, weil auf seine Daten zugegriffen wurde, weil seine Daten erreichbar waren, weil sich seine Daten in einem Postfach befanden, das durchsucht wurde, weil sich seine Daten im selben Mandanten wie kompromittierte Administratorrechte befanden, weil seine Anmeldeinformationen vorhanden waren, weil seine regulierten Daten vorhanden waren oder weil sein Engagement-Team Teil eines betroffenen Workflows war. Eine enge Benachrichtigungsdefinition mag eine rechtliche Schwelle erfüllen, aber nicht den operativen Risikobedarf des Kunden.

Eine breite Definition mag Alarm auslösen, gibt den Kunden aber genügend Informationen, um sich zu schützen.

Die richtige Antwort hängt von Beweisen ab. Wenn Protokolle zeigen, dass der Angreifer nur auf bestimmte Postfächer und bestimmte Nachrichten zugegriffen hat, können Benachrichtigungen gezielt erfolgen. Wenn Protokolle einen Zugriff auf Administratorebene zeigen, aber nicht beweisen können, was angesehen wurde, muss die betroffene Population möglicherweise breiter gefasst werden. Wenn der Angreifer über E-Discovery- oder Suchfähigkeiten verfügte, muss die Eingrenzung Suchvorgänge über Postfächer hinweg berücksichtigen. Wenn Anhänge regulierte personenbezogene Daten enthielten, können Datenschutzbestimmungen greifen.

Wenn Kundengeheimnisse oder Sicherheitsdiagramme vorhanden waren, müssen Kunden möglicherweise Anmeldeinformationen zurücksetzen, Kontrollen überprüfen oder an ihre eigenen Aufsichtsbehörden berichten.

Der Leitfaden des britischen Information Commissioner’s Office zur Datensicherheit unterhttps://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/a-guide-to-data-security/stammt aus der Zeit nach 2017 und gehört zur UK-GDPR-Ära, sollte also nicht als direktes Durchsetzungsergebnis von 2017 behandelt werden. Er ist dennoch nützlich, da er das allgemeine Sicherheitsprinzip formuliert, dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt werden müssen. Die ICO-Seite zu Datenschutzprinzipien unterhttps://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/stellt ebenfalls Rechenschaftspflicht, Integrität und Vertraulichkeit als zentrale Datenschutzideen dar. In einem globalen Professional-Services-Netzwerk spiegeln diese Prinzipien die Kundenerwartungen wider, selbst wenn spezifische rechtliche Regelungen variieren.

Die Kundenbenachrichtigung muss auch Souveränität und Lokalität berücksichtigen. Die Guardian-Berichterstattung beschrieb eine Microsoft-Cloud-basierte E-Mail-Umgebung und einen auf die USA fokussierten Untersuchungskontext. Ein globales Unternehmen kann Daten über Kunden, Regierungen und Einzelpersonen über mehrere Gerichtsbarkeiten hinweg in einer gemeinsamen E-Mail-Plattform halten.

Kunden müssen wissen, wo ihre Daten gespeichert waren, welche rechtliche Einheit die Kontrolle hatte, welche Deloitte-Mitgliedsfirma involviert war, welche Aufsichtsbehörden benachrichtigt wurden und ob grenzüberschreitender Zugriff oder grenzüberschreitende Verarbeitung das Risiko verändert hat. „E-Mail-Plattform" ist keine gerichtliche Antwort. Es ist eine technische Kategorie, die auf Datenstandort und Controller- oder Prozessorrollen abgebildet werden muss.

Der Companies House-Eintrag für Deloitte LLP unterhttps://find-and-update.company-information.service.gov.uk/company/OC303675ist ein grundlegender Entitätskontext, kein Vorfallsbeweis. Er ist wichtig, weil Professional-Services-Netzwerke oft mehrere rechtliche Einheiten und Mitgliedsfirmen umfassen. Ein Kunde, der Dienstleistungen von einer Deloitte-Einheit kauft, muss möglicherweise wissen, welche Einheit die betroffene Plattform kontrollierte, welche Einheit den Vertrag hatte und welche Einheit Benachrichtigungen versandte. Die Rechenschaftspflicht wird schwächer, wenn eine globale Marke öffentlich sichtbar ist, die Vorfallsbeweise jedoch über rechtliche Einheiten, geografische Gebiete und Service-Linien fragmentiert sind.

Cloud-E-Mail lagert Vertraulichkeit nicht aus

Die öffentliche Berichterstattung beschrieb die betroffene Plattform als cloud-gehostet. Dieses Detail sollte nicht ablenken. Ein Cloud-Anbieter mag Identitäts-, Protokollierungs-, Sicherheits- und Plattformwerkzeuge bereitstellen, aber die Professional-Services-Firma bleibt dafür verantwortlich, wie Administratorkonten, Mandantenberechtigungen, bedingter Zugriff, Postfachberechtigungen, Audit-Aufbewahrung und Kundendaten-Workflows konfiguriert sind. Die Cloud kann die Kontrollbeweise verbessern, wenn sie gut konfiguriert ist.

Sie kann den Schaden auch konzentrieren, wenn ein privilegiertes Konto eine breite Reichweite und eine schwache Authentifizierung hat.

Die Microsoft Entra-MFA-Dokumentation unterhttps://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworksist nützlich, weil sie zeigt, dass moderne Cloud-Identitätsplattformen native MFA-Konzepte haben. Die zugehörige Microsoft-Anleitung zur Anforderung von MFA für Administratoren unterhttps://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-old-require-mfa-adminbeschreibt Muster für bedingten Zugriff für administrative Rollen. Dieser Artikel verwendet diese Seiten nicht, um zu behaupten, welche Optionen Deloitte im Jahr 2017 aktiviert hatte. Er verwendet sie, um das Kontrollproblem darzustellen: Der Administratorzugriff auf eine Cloud-E-Mail-Umgebung ist eine hochriskante Identitätsoberfläche, die gehärtet, überwacht und überprüft werden sollte.

Cloud-E-Mail ändert auch die Erwartungen an die Beweislage. In älteren On-Premise-Systemen können Protokolle über Server und Geräte fragmentiert sein. In Cloud-Systemen können zentrale Audit-, Identitäts-, Postfach- und Verwaltungsprotokolle eine bessere Rekonstruktion unterstützen, aber nur, wenn die Protokollierung aktiviert, aufbewahrt und vor Manipulation geschützt ist. Eine Überprüfung nach einem Verstoß sollte in der Lage sein, Anmeldequellen, Administratoraktionen, Postfachzugriffsereignisse, Token-Aktivitäten, App-Zustimmungen, Weiterleitungsänderungen und Datenherunterlademuster zu zeigen.

Wenn eine Firma diese Aufzeichnungen nicht vorlegen kann, hat die Cloud-Plattform keine Rechenschaftspflicht geliefert.

Es gibt auch ein Automatisierungsproblem. Enterprise-E-Mail-Plattformen automatisieren Aufbewahrung, Discovery, Klassifizierung, Weiterleitung, Delegierung, Postfachmigration, mobilen Zugriff und Integrationen von Drittanbietern. Jede automatisierte Funktion kann einen Pfad für die Offenlegung schaffen, wenn der privilegierte Zugriff kompromittiert ist. Beispielsweise kann eine Weiterleitungsregel E-Mails stillschweigend umleiten. Eine App-Registrierung kann den Zugriff nach einem Passwort-Reset aufrechterhalten. Eine Discovery-Suche kann viele Postfächer erreichen. Ein Migrationstool kann große Datenmengen verschieben.

Eine Überprüfung des Kundendatenumfangs muss den Automatisierungszustand inspizieren, nicht nur direkte Postfachanmeldungen.

Der Professional-Services-Kontext verstärkt das Problem, weil die Kundenarbeit in der Praxis mandantenfähig ist, auch wenn die Verträge getrennt sind. Ein Partner kann an mehreren Kunden arbeiten. Ein Postfach kann mehrere Engagements enthalten. Ein Anhang kann Daten von mehreren Einheiten enthalten. Eine administrative Suche kann Service-Linien überschreiten. Daher ist ein Verstoß gegen interne E-Mails schwer sauber einzugrenzen.

Ein starkes Data-Governance-Programm würde sensibles Kundenmaterial klassifizieren, unnötige E-Mail-Aufbewahrung begrenzen, risikoreiche Engagements trennen, breite Administratorrechte einschränken und Protokolle lange genug aufbewahren, um die Exposition zu rekonstruieren.

Erkennungsverzögerung und öffentliche Verzögerung sind unterschiedlich, aber verwandt

Der Guardian berichtete, dass Deloitte den Verstoß im März 2017 entdeckte und dass Angreifer möglicherweise seit dem vorherigen Herbst Zugriff hatten. Die öffentliche Berichterstattung erfolgte im September 2017. Diese Daten werfen zwei Zeitfragen auf. Erstens: Wie lange hatten Angreifer vor der Erkennung praktischen Zugriff? Zweitens: Wie lange warteten betroffene Parteien und der breitere Markt auf öffentliches Wissen? Die Antworten können unterschiedlich ausfallen. Ein Unternehmen kann privat erkennen und einige Kunden benachrichtigen, ohne öffentlich zu sein. Das mag in einigen Fällen vertretbar sein.

Aber die Beweise müssen zeigen, warum die Benachrichtigungspopulation und der Zeitpunkt angemessen waren.

Die Erkennungsverzögerung ist ein Problem der Sicherheitsautomatisierung. Wenn sich ein Administratorkonto von ungewöhnlichen Orten anmeldet, breite Postfachsuchen durchführt, auf sensible Postfächer zugreift, neue Regeln erstellt oder ungewöhnliche Mengen herunterlädt, sollte die Plattform Warnungen auslösen. Wenn Warnungen ausgelöst, aber nicht triagiert werden, ist das Problem der Betrieb. Wenn Warnungen nicht ausgelöst werden, ist das Problem die Erkennungstechnik. Wenn Protokolle fehlen, ist das Problem die Beweisarchitektur. In jedem Fall folgt die Verantwortung der Funktion, die die praktische Kontrolle hatte.

Die öffentliche Verzögerung ist ein Offenlegungsproblem. Professional-Services-Firmen können aus rechtlichen Gründen, Gründen der Kundenvertraulichkeit, Strafverfolgungs- oder Untersuchungsgründen von öffentlichen Erklärungen absehen. Aber je länger eine wichtige Kundendatenfrage ungeklärt bleibt, desto mehr nicht benachrichtigte Kunden fragen sich möglicherweise, ob ihr Risiko unterschätzt wurde. Deloittes berichtete Position war, dass nur sehr wenige Kunden betroffen seien und dass diese Kunden informiert worden seien. Die Guardian- und Krebs-Berichte stellten in Frage, ob der Umfang so eng war wie dargestellt.

Ohne die zugrunde liegenden Benachrichtigungskriterien können Außenstehende die Angemessenheit der Verzögerung nicht bewerten.

Die rechenschaftspflichtige Praxis besteht darin, eine Aufzeichnung der Offenlegungsentscheidung zu führen. Diese Aufzeichnung sollte zeigen, wann der Vorfall erkannt wurde, wann die Angreifer-Zeitleiste geschätzt wurde, wann Protokolle überprüft wurden, wann potenziell betroffene Kunden identifiziert wurden, wann Rechtsberater und Aufsichtsbehörden konsultiert wurden, wann Mitteilungen gesendet wurden, wann die öffentliche Erklärung genehmigt wurde und welche Definition von betroffenem Kunden verwendet wurde. Wenn spätere Beweise den Umfang ändern, sollte die Aufzeichnung zeigen, wie die Firma ihre Benachrichtigungen aktualisiert hat.

Hier sollte die Prüfungskultur helfen. Deloitte ist ein Prüfungs- und Beratungsnetzwerk. Es versteht Beweise, Stichproben, Kontrolldesign, Risikobewertung und Managementdarstellung. Ein Kundendatenverstoß sollte mit derselben Disziplin dokumentiert werden: Umfang, Kriterien, Beweise, Ausnahmen, Unsicherheiten, Überprüfung, Genehmigung und Abhilfe. Die unangenehme Frage ist, ob die interne Vorfallsakte der Firma dem Beweisstandard entsprach, den sie von einem Kunden erwarten würde, der mit einem ähnlichen Verstoß konfrontiert ist.

Die Vertraulichkeit professioneller Dienstleistungen erfordert Datenminimierung

Der einfachste Weg, die Auswirkungen eines E-Mail-Verstoßes zu reduzieren, besteht darin, weniger sensibles Material in der E-Mail aufzubewahren. Das ist nicht immer praktikabel. Professionelle Arbeit bewegt sich schnell, und E-Mail bleibt eine universelle Kommunikationsebene. Aber eine Professional-Services-Firma sollte E-Mail als riskanten Aufbewahrungsort behandeln, nicht als dauerhaften Kundensafe. Datenminimierung, Aufbewahrungsregeln, Kontrollen für sensible Anhänge, Verschlüsselung, Rechteverwaltung, sichere Portale und klassifizierte Repositories können die Explosionsradius eines Kompromisses eines Administratorkontos verringern.

Die Guardian-Berichte beschrieben die mögliche Exposition von Benutzernamen, Passwörtern, IP-Adressen, Architekturdiagrammen und Gesundheitsinformationen. Dieser Artikel verifiziert jedes Element nicht unabhängig. Er behandelt diese Berichte als öffentliche Behauptungen, die zeigen, warum Datenklassifizierung wichtig ist. Wenn E-Mail Anmeldeinformationen oder Sicherheitsdiagramme enthält, kann ein Verstoß zu einem Kundensicherheitsvorfall werden. Wenn sie Gesundheits- oder personenbezogene Daten enthält, kann es zu einem Datenschutzvorfall werden.

Wenn sie Regierungs- oder reguliertes Sektormaterial enthält, kann es zu einem Souveränitäts- und Beschaffungsvorfall werden. Wenn sie Prüfungsnachweise enthält, kann dies das Vertrauen in die professionelle Arbeit beeinträchtigen.

Datenminimierung ist schwierig, weil Professional-Services-Firmen Kommunikationen oft aus Verteidigungsgründen aufbewahren. Sie benötigen möglicherweise Aufzeichnungen für Prüfungen, rechtliche, qualitätsbezogene, regulatorische oder kundendienstliche Zwecke. Die Antwort ist nicht, Beweise zu löschen. Es geht darum, sensible Aufzeichnungen in Systemen zu speichern, in denen der Zugriff zweckgebunden, protokolliert, unter klarer Richtlinie aufbewahrt und nach Engagement trennbar ist. E-Mail sollte nicht das Standardarchiv für alles sein, was Kunden am meisten interessiert.

Dies ist auch ein Problem der Enterprise-Software-Automatisierung. Moderne Professional-Services-Firmen verlassen sich auf Workflow-Plattformen, Dokumentenmanagementsysteme, Kundenportale, Identitätsanbieter, Ticketsysteme, Datenräume und Kollaborationstools. Wenn diese Systeme gut gestaltet sind, reduzieren sie die Abhängigkeit von E-Mail und verbessern die Zugriffsbeweise. Wenn sie schlecht integriert sind, nutzen Mitarbeiter E-Mail als inoffizielle Workflow-Ebene, weil sie schneller ist. Das Sicherheitsdesign muss die Arbeit dort treffen, wo sie tatsächlich stattfindet.

Andernfalls sagt die Richtlinie, dass sensible Daten in kontrollierten Repositories gehören, während die Realität sie in Postfächern belässt.

Sicherheitsautomatisierung sollte diese Disziplin unterstützen. Datenverlustprävention, Sensitivitätskennzeichnungen, Postfach-Audit, Privileged-Access-Management, bedingter Zugriff, Unmöglich-Reise-Erkennung, E-Discovery-Auditing, Aufbewahrungskennzeichnung und automatisierte Warnungstriage sind alle wichtig. Aber Automatisierung schafft nur dann Rechenschaftspflicht, wenn jemand die Ausnahmen besitzt. Eine Kennzeichnung, die Benutzer ignorieren, eine Alarmwarteschlange, die niemand überprüft, oder ein Workflow für privilegierten Zugriff, der Anfragen durchwinkt, schützt keine Kunden. Es erzeugt Papierkram ohne Kontrolle.

Beweisgrenzen sind wichtig, weil die öffentliche Aufzeichnung umstritten ist

Die Deloitte-Aufzeichnung ist umstrittener als manche Vorfallsaufzeichnungen. Der Guardian und KrebsOnSecurity veröffentlichten quellenbasierte Behauptungen über eine breitere Exposition. Deloittes veröffentlichte Stellungnahme besagte, dass die Überprüfung abgeschlossen sei, dass nur sehr wenige Kunden betroffen seien und dass es keine Unterbrechung des Kundengeschäfts, der Fähigkeit von Deloitte, Kunden zu bedienen, oder der Verbraucher gegeben habe. SC Media, Sky News, CBS News, Yahoo Finance’s Reuters-Republikation, CyberScoop, TechTarget, AccountingWEB unterhttps://www.accountingweb.co.uk/practice/general-practice/deloitte-hit-by-major-client-email-hackund Infosecurity Magazine unterhttps://www.infosecurity-magazine.com/news/deloitte-hack-exposes-confidential/trugen alle zum öffentlichen Verständnis bei, aber keiner lieferte die vollständige private forensische Akte.

Das bedeutet, dass der ehrliche Artikel zwei Fehler vermeiden muss. Der erste Fehler ist, Deloittes enge öffentliche Zusicherung als vollständigen Beweis dafür zu behandeln, dass kein weiteres Risiko bestand. Der zweite Fehler ist, Behauptungen ungenannter Quellen als gesicherte forensische Tatsache zu behandeln. Die Rechenschaftslinse sitzt dazwischen.

Sie fragt, welche Beweise das Unternehmen vorlegen musste, damit Kunden und Aufsichtsbehörden zwischen bestätigtem Zugriff, potenziellem Zugriff, gefährdeten Daten, entnommenen Daten, benachrichtigten Kunden und nicht benachrichtigten Kunden unterscheiden können, weil Beweise zeigten, dass sie außerhalb des Rahmens lagen.

Bestätigte öffentliche Fakten umfassen, dass Deloitte in Stellungnahmen, die von mehreren Medien berichtet wurden, unbefugten Zugriff auf eine E-Mail-Plattform eingeräumt hat, dass der Guardian und andere über Administratorzugriff und MFA-Bedenken berichteten, dass Deloitte sagte, nur sehr wenige Kunden seien betroffen, und dass betroffene Kunden und Behörden Berichten zufolge kontaktiert wurden. Öffentlich berichtete, aber bestrittene Behauptungen umfassen die vollständige Breite der Serverinhalte, die Anzahl der Kunden, deren Material vorhanden war, und ob die Reichweite des Angreifers größer war als Deloittes öffentliche Beschreibung.

Unbekannt sind die vollständigen Protokolle, die endgültige Benachrichtigungspopulation, der genaue Postfach- und Anhangangriff, die ergriffenen privilegierten Aktionen und die vollständigen Abhilfemaßnahmen.

Kunden benötigen diese Kategorien getrennt. Ein Beschaffungsteam, das Deloitte nach dem Vorfall bewertet, wäre mit einer allgemeinen Antwort, dass die Angelegenheit behandelt wurde, nicht bedient. Es müsste wissen, ob administrative MFA obligatorisch ist, ob privilegierte Rollen minimiert sind, ob Postfach-Audit-Protokolle aufbewahrt werden, ob sensible Kundenaufzeichnungen getrennt sind, ob Engagement-Teams sichere Kommunikationsalternativen erhalten, ob Vorfallsmeldungen durch schriftliche Kriterien geregelt sind und ob eine unabhängige Prüfung die Abhilfe überprüft hat.

Kundenzusicherung muss wiederholbar sein

Die nützlichste Zusicherung nach einem Professional-Services-E-Mail-Verstoß ist wiederholbar. Ein Kunde sollte keine Schlussfolgerung akzeptieren müssen, ohne die Methode zu verstehen, die sie hervorgebracht hat. Die Firma muss nicht jedes Postfach oder jede Nachricht veröffentlichen. Sie muss jedoch erklären, wie sie von rohen Beweisen zu Benachrichtigungsentscheidungen gelangt ist. Welche Protokolle wurden gesammelt? Welche Administratoraktionen wurden überprüft? Welche Postfächer waren im Rahmen? Welche Suchbegriffe, Zeitfenster, Kundenkennungen, Anhang-Repositories, Weiterleitungsregeln und App-Berechtigungen wurden untersucht?

Welche Lücken blieben? Wer hat die Kriterien überprüft? Wer hat die Benachrichtigungspopulation freigegeben?

Wiederholbare Zusicherung unterscheidet sich von einer allgemeinen Vorfallszusammenfassung. Eine allgemeine Zusammenfassung besagt, dass ein Unbefugter auf eine E-Mail-Plattform zugegriffen hat und dass nur sehr wenige Kunden betroffen waren.

Wiederholbare Zusicherung zeigt den Beweispfad: Der Angreifer verwendete diese Konten, von diesen Zeitfenstern, mit diesen Berechtigungen; diese Postfächer wurden bestätigt zugegriffen; diese anderen Postfächer waren erreichbar, wurden aber laut aufbewahrter Protokolle nicht zugegriffen; diese Anhänge enthielten diese Datenklassen; diese Kunden wurden benachrichtigt, weil die Kriterien zutrafen; diese Kunden wurden ausgeschlossen, weil Beweise den Ausschluss stützten. Je sensibler das Engagement, desto wichtiger wird diese Unterscheidung.

Dies ist wichtig, weil Professional-Services-Kunden möglicherweise eigene nachgelagerte Pflichten haben. Eine Bank, ein Krankenhaus, eine Regierungsbehörde, ein börsennotiertes Unternehmen, eine Anwaltskanzlei, ein Technologieanbieter oder ein reguliertes Versorgungsunternehmen, das sensibles Material an Deloitte gesendet hat, muss möglicherweise entscheiden, ob es seine eigene Aufsichtsbehörde benachrichtigen, Anmeldeinformationen zurücksetzen, seinen Vorstand informieren, die Exposition Dritter untersuchen oder das Beschaffungsrisiko aktualisieren muss.

Diese Entscheidungen können nicht auf der Grundlage von Markenberuhigung getroffen werden. Es werden Datenkategorien, Zeiträume, Wahrscheinlichkeiten und Handlungsanleitungen benötigt.

Wiederholbarkeit schützt auch das Unternehmen. Wenn Deloitte oder ein anderes Unternehmen zeigen kann, dass seine Kundenbenachrichtigungspopulation aus einer dokumentierten, verteidigungsfähigen Überprüfung stammt, ist es weniger Spekulationen ausgesetzt, dass der Umfang aus Reputationsgründen gewählt wurde. Wenn die Überprüfung Unsicherheit enthält, kann die Benennung dieser Unsicherheit dennoch glaubwürdig sein.

Ein Unternehmen kann zum Beispiel sagen, dass die Protokolle für einen Zeitraum vollständig und für einen anderen unvollständig waren und dass die Benachrichtigungen ausgeweitet wurden, wo die Beweise einen Ausschluss nicht stützten. Das ist schwerer zu sagen als „wenige Kunden waren betroffen", aber es ist eine stärkere Rechenschaftspflicht.

Das Zusicherungspaket sollte auch nach der Abhilfe aktualisiert werden. Kunden sollten nicht nur erfahren, was passiert ist, sondern auch, was sich geändert hat: administrative MFA, bedingter Zugriff, Privileged-Access-Management, Audit-Protokollierung, Aufbewahrung, Sensitivitätskennzeichnung, sichere Portale, Postfachregelüberwachung, App-Zustimmungs-Governance und Verfahren für Vorfallsmeldungen. Die Beweise sollten spezifisch genug sein, damit das Sicherheitsteam eines Kunden entscheiden kann, ob es weiterhin sensible Arbeit über dieselben Kanäle sendet oder ein anderes Kollaborationsmodell verlangt.

Was eine dauerhafte Reparatur beweisen sollte

Eine dauerhafte Reparatur nach einer Kompromittierung des E-Mail-Systems sollte zuerst die Identitätshärtung beweisen. Jede administrative Rolle sollte inventarisiert, begründet, durch starke MFA geschützt, überwacht und wo möglich zeitlich begrenzt sein. Gemeinsame Administratorkonten sollten eliminiert oder streng kontrolliert werden. Break-Glass-Konten sollten separat geschützt und protokolliert werden. Bedingter Zugriff sollte Standort, Gerätezustand, Risiko und Rollensensitivität bewerten. Administrative Zustimmung und App-Zugriff sollten überprüft werden, da Cloud-Persistenz oft einfache Passwort-Zurücksetzungen überlebt.

Zweitens sollte eine dauerhafte Reparatur die Postfach-Eingrenzung beweisen. Das Unternehmen sollte in der Lage sein zu rekonstruieren, welche Postfächer zugegriffen, durchsucht, delegiert, exportiert oder geändert wurden. Es sollte identifizieren, welche Anhänge, Ordner und Zeiträume betroffen waren. Es sollte Weiterleitungsregeln, Postfachregeln, Transportregeln, E-Discovery-Suchvorgänge, Postfachberechtigungen, mobile Sitzungen und App-Token überprüfen. Wenn Protokolle unvollständig sind, sollte der Reparaturdatensatz dies sagen und erklären, wie sich die Unsicherheit auf die Kundenbenachrichtigung ausgewirkt hat.

Drittens sollte eine dauerhafte Reparatur die Klassifizierung von Kundendaten beweisen. Das Unternehmen sollte wissen, welche Kunden, Engagements, Gerichtsbarkeiten und Datenkategorien in den betroffenen Postfächern vorhanden waren. Dies erfordert eine bessere Indexierung, als sich auf das Gedächtnis der Mitarbeiter zu verlassen. Es erfordert Engagement-Identifikatoren, Aufbewahrungskennzeichnungen, Sensitivitätskennzeichnungen, sichere Repository-Links und Datenzuordnungen. Ohne Klassifizierung werden Benachrichtigungen langsam und subjektiv.

Viertens sollte eine dauerhafte Reparatur die Kommunikations-Governance beweisen. Benachrichtigungen an Kunden sollten angeben, was passiert ist, welche Datentypen betroffen oder möglicherweise betroffen waren, welche Beweise den Umfang stützen, welche Kundenmaßnahmen empfohlen werden, was das Unternehmen getan hat und was noch unbekannt ist. Aufsichtsbehörden sollten zeitnah und genau informiert werden, wo rechtliche Schwellenwerte gelten. Öffentliche Erklärungen sollten keine breite Beruhigung verwenden, die Unsicherheit verschleiert.

Fünftens sollte eine dauerhafte Reparatur die Überwachung beweisen. Ein Unternehmen sollte demonstrieren, dass privilegierte Postfachaktionen Warnungen auslösen, dass Warnungen von geschulten Analysten triagiert werden, dass Vorfälle an Rechts- und Kundenteams eskaliert werden und dass Erkennungsregeln getestet werden. Sicherheitsautomatisierung sollte Ergebnisse zeigen: reduzierte Erkennungszeit, reduziertes administratives Standrecht, weniger nicht klassifizierte sensible Anhänge und schnellere Kundeneingrenzung.

Sechstens sollte eine dauerhafte Reparatur die Governance auf Partnerschafts- und Vorstandsebene beweisen. Professional-Services-Firmen haben komplexe Führungsstrukturen. Die Rechenschaftspflicht sollte identifizieren, wer das E-Mail-Risiko, die Kundenvertraulichkeit, den Datenschutz, den Cyber-Betrieb, die öffentliche Benachrichtigung und die Überprüfung der Abhilfe besitzt. Ohne benannte Eigentümer kann Vertraulichkeit jedermanns Wert und niemandes Kontrolle werden.

Die Gegentatsache ist nicht keine E-Mail, sondern begrenzte E-Mail mit nachweisbarer Verwaltung

Es wäre unrealistisch zu sagen, dass eine Professional-Services-Firma E-Mail nicht für die Kundenarbeit verwenden sollte. Die bessere Gegentatsache ist begrenzte E-Mail. Sensible Arbeit kann immer noch E-Mail beinhalten, aber der privilegierte Zugriff wird minimiert, risikoreiches Material wird in kontrollierte Repositories verschoben, Kundendaten werden gekennzeichnet, die Postfachaktivität wird protokolliert, Administratoren verwenden starke MFA, breite Suchvorgänge werden überwacht, die Aufbewahrung wird geregelt und die Vorfallseingrenzung kann schnell durchgeführt werden.

Die Gegentatsache umfasst auch die Kundenwahl. Kunden sollten wissen, ob ihre sensibelsten Engagements sichere Portale, Verschlüsselung, separate Mandanten, dedizierte Kollaborationsräume oder strengere Aufbewahrung erfordern. Einige Kunden akzeptieren möglicherweise gewöhnliche E-Mail für Routinekommunikation. Andere, insbesondere Regierungs-, Gesundheits-, Finanz-, Rechts-, Fusions-, Cybersicherheits- und regulierte Kunden, benötigen möglicherweise stärkere Kontrollen. Eine Professional-Services-Firma sollte diese Wahl nicht stillschweigend treffen, indem sie alle Arbeiten durch dieselbe breite E-Mail-Plattform fließen lässt.

Die Gegentatsache umfasst ein besseres Benachrichtigungsmodell. Anstatt sich auf öffentliche Behauptungen zu stützen, dass nur wenige Kunden betroffen waren, kann die Firma den Kunden eine strukturierte Erklärung geben: Der Angreifer hatte auf diese Systeme zugegriffen, diese Protokolle wurden überprüft, diese Postfächer wurden bestätigt zugegriffen, diese Datenkategorien waren vorhanden, diese Kunden werden benachrichtigt, weil die Kriterien zutrafen, diese Kunden werden nicht benachrichtigt, weil Beweise sie ausschließen, und diese Kontrollen wurden nach dem Vorfall geändert.

Dieses Modell respektiert die Vertraulichkeit und gibt den Kunden gleichzeitig genügend Beweise, um ihr eigenes Risiko zu steuern.

Schließlich umfasst die Gegentatsache Demut. Eine Firma, die andere zu Risiken berät, sollte anerkennen, dass ihre eigenen Systeme versagen können, und sollte die Reparaturbeweise für die relevanten Interessengruppen sichtbar machen. Vertrauen wird nicht allein durch den Ruf wiederhergestellt. Es wird durch eine Aufzeichnung wiederhergestellt, die Kunden prüfen, Aufsichtsbehörden testen und interne Führungskräfte nutzen können, um Wiederholungen zu verhindern.

Rechenschaftspflicht folgt der Kontrolle über privilegierten Zugriff, Eingrenzung und Benachrichtigung

Die endgültige Verteilung der Rechenschaftspflicht sollte der praktischen Kontrolle folgen. Deloitte kontrollierte die Konfiguration der E-Mail-Umgebung, die Administratorberechtigungen, die Authentifizierungsanforderungen, die Protokollierung, die Aufbewahrung, die Klassifizierung von Kundendaten, die Vorfallsüberprüfung, die Kundenbenachrichtigungen, die öffentlichen Stellungnahmen und die Abhilfe. Cloud-Plattformanbieter kontrollierten Plattformfunktionen und Infrastruktur, aber nicht das Privilegdesign oder die Kundendatennutzung der Firma.

Kunden kontrollierten einige Entscheidungen darüber, was sie sendeten, aber sie kontrollierten nicht Deloittes Postfachverwaltung. Reporter kontrollierten die öffentliche Erzählung erst, nachdem die Beweise und Benachrichtigungsentscheidungen der Firma bereits getroffen worden waren.

Diese Verteilung erfordert nicht, die schlimmste Version jeder Quellenbehauptung anzunehmen. Sie erfordert die Anerkennung, dass die Beweislast bei der Firma liegt, die Zugang zu den Protokollen und Kundenaufzeichnungen hatte. Wenn nur sehr wenige Kunden betroffen waren, sollte die Firma in der Lage sein, die Eingrenzungslogik privat zu zeigen. Wenn ein breiterer Zugriff möglich, aber nicht nachgewiesen war, sollte die Firma sagen, wie mit der Unsicherheit umgegangen wurde. Wenn administrative MFA fehlte oder unzureichend war, sollte die Reparatur den privilegierten Zugriff strukturell schwerer zu kompromittieren machen.

Wenn E-Mail sensibles Kundenmaterial enthielt, sollte die Daten-Governance den zukünftigen Postfach-Explosionsradius verringern.

Der E-Mail-System-Verstoß von Deloitte im Jahr 2017 bleibt wichtig, weil er mehrere moderne Unternehmensrisiken in einem Fall verdichtete: Cloud-E-Mail-Verwaltung, privilegierter Zugriff, professionelle Vertraulichkeit, grenzüberschreitende Kundendaten, verzögertes öffentliches Wissen und umstrittener Benachrichtigungsumfang. Der Vorfall ist nicht nur eine Geschichte über ein Konto oder eine Plattform. Er ist eine Erinnerung daran, dass interne Kommunikationssysteme zur Kundeninfrastruktur werden, wenn Kunden einem Professional-Services-Unternehmen ihre sensibelsten Arbeiten anvertrauen.

Die dauerhafte Lektion ist, dass die Benachrichtigung über Kundendaten evidenzbasiert sein muss. Ein Unternehmen stellt das Vertrauen nicht wieder her, indem es sagt, dass nur wenige Kunden betroffen waren. Es stellt das Vertrauen wieder her, indem es beweist, wie es es weiß, die richtigen Kunden schnell genug informiert, um zu handeln, und die Kontrollen repariert, die die Frage so schwer zu beantworten gemacht haben.