Xerox: Maze-Ransomware-Offenlegung als Rechenschaftstest für die Dokumenteninfrastruktur

Zusammenfassung

• Xerox ist ein Rechenschaftsfall, da die öffentlichen Beweise rund um die Maze-Berichterstattung von 2020 uneinheitlich sind: Öffentliche Berichte beschrieben Ransomware-Behauptungen und angebliche Datenveröffentlichungen, während die verfügbaren öffentlichen Unternehmensaufzeichnungen keine detaillierte Vorfallanalyse lieferten.
• Die zentrale Frage ist, wer die Segmentierung, Überwachung, Dokumentenservice-Kontinuität, Datenabgrenzung, Kundenbenachrichtigung und den Nachweis kontrollierte, dass die Wiederherstellung dem von den öffentlichen Berichten behaupteten oder implizierten Risiko entsprach.
• Dieser Artikel behandelt Leak-Site-Behauptungen und Medienberichte als gemeldete Beweise, nicht als vollständige forensische Feststellung über Xerox-Systeme.
• Xerox öffentliche Sicherheits-, Datenschutz-, Produkt- und Investorenmaterialien werden als Belege für kundenorientierte Verpflichtungen und Risikodarstellung verwendet, nicht als Beweis dafür, dass alle Kontrollen im Jahr 2020 wie beabsichtigt funktionierten.
• Die dauerhafte Lehre ist, dass die Offenlegung von Ransomware für Dokumenteninfrastruktur zwischen bestätigten Fakten, wahrscheinlicher Betriebsgefährdung, Angreiferbehauptungen und unbekannten forensischen Details unterscheiden muss.

Warum dieser Fall in eine Risiko- und Rechenschaftsakte gehört

Xerox machte die Offenlegung von Ransomware-Beweisen zu einem Rechenschaftstest für die Dokumenteninfrastruktur, weil der öffentliche Auslöser keine saubere Unternehmensanalyse war. Es war eine Mischung aus öffentlicher Berichterstattung, Angreifer-Behauptungen, die der Maze-Ransomware-Operation zugeschrieben wurden, und begrenzten kundenorientierten Beweisen darüber, was genau bei Xerox passiert ist. Berichte wiehttps://www.bleepingcomputer.com/news/security/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/undhttps://databreaches.net/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/sind daher als Chronologie und Beleg für öffentliche Behauptungen nützlich, aber sie klären nicht den Eindringweg, den Datenumfang, die Betriebsunterbrechung, die Kundenexposition oder die rechtliche Verantwortung. Die erste Disziplin in dieser Akte ist es, die Existenz einer gemeldeten Leak-Behauptung nicht in eine vollständige Sicherheitsverletzungs-Erzählung zu verwandeln.

Der Unternehmenskontext ist wichtig. Xerox ist nicht nur eine Druckermarke. Das Unternehmen hat Managed Print Services, Workplace Services, Dokumenten-Workflows, Geräteflotten, Software, Support, Verbrauchsmaterialien, Finanzierungsbeziehungen und Serviceverträge verkauft. Eine Ransomware-Behauptung, die ein solches Unternehmen betrifft, kann für kleine und mittelständische Kunden von Bedeutung sein, da die Dokumenteninfrastruktur oft in der Nähe von Rechnungen, Personalakten, Verträgen, Versanddokumenten, gescanntem Identifikationsmaterial, Service-Tickets, Kundenkommunikation, Rechtsakten und internen Abläufen liegt. Xerox-öffentliche Seiten wiehttps://www.xerox.com/en-us/about/security-solutions,https://security.business.xerox.com/en-us/,https://www.xerox.com/en-us/about/privacy-policyundhttps://www.xerox.com/en-us/information-securitybieten den unternehmensseitigen Vertrauens- und Sicherheitskontext, in dem Kunden die Vorfallsaufzeichnung bewerten würden.

Die Rechenschaftsfrage ist nicht, ob einer Ransomware-Bande vertraut werden sollte. Sie sollte nicht als neutraler Prüfer behandelt werden. Das Problem ist, dass Ransomware-Banden öffentlichen Druck erzeugen können, indem sie Zugriff behaupten oder Proben veröffentlichen, während Unternehmen möglicherweise mit spärlichen oder juristischen Aussagen antworten. Kunden stehen dann zwischen zwei unvollständigen Darstellungen: einer Angreiferdarstellung, die eigennützig ist, und einer Unternehmensdarstellung, die durch Untersuchungen, rechtliche Prüfungen, Versicherungen, Verträge, Strafverfolgung und Reputationsmanagement eingeschränkt sein kann.

Die Öffentlichkeit muss stattdessen eine praktische Kontrollfrage stellen: Wer hatte die Fähigkeit, Schäden zu verhindern, zu erkennen, zu begrenzen, offenzulegen und die Behebung nachzuweisen?

Die Antwort beginnt innerhalb des Unternehmens, endet aber nicht dort. Xerox kontrollierte seine Netzwerkarchitektur, Identitäts- und Zugriffsverwaltung, Endpunktüberwachung, Pläne zur Kontinuität der Dokumentendienste, Kundenkommunikationskanäle und Vorfall-Beweise. Kunden kontrollierten ihre eigenen Dokumenten-Workflows, Gerätekonfigurationen, Druckserver, Authentifizierungsoptionen, Vertragsanforderungen und Daten, die sie über von Xerox verwaltete Dienste sendeten. Anbieter und Sicherheitspartner könnten Teile der Erkennung, Reaktion, Sicherung oder verwalteten Infrastruktur kontrolliert haben.

Regulierungsbehörden und Investoren kontrollierten einige Offenlegungsanreize. Eine glaubwürdige Rechenschaftsakte benennt diese Grenzen, ohne vorzutäuschen, dass öffentliche Quellen jedes private Protokoll offenlegen.

Der Fall gehört auch hierher, weil das Fehlen einer vollständigen öffentlichen Nachanalyse an sich Teil des Beweisproblems ist. CISAs Ransomware-Materialien unterhttps://www.cisa.gov/stopransomwareundhttps://www.cisa.gov/news-events/news/ransomware-guide, die FBI-Ransomware-Leitlinien unterhttps://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-scams-and-crimes/ransomwareund Vorfallreaktionsleitfäden wiehttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicszeigen, was Organisationen rekonstruieren können sollten: Zeitplan, Umfang, Eindämmung, Wiederherstellung, betroffene Datenkategorien und Benutzeraktion. Wenn die öffentliche Akte diese Fakten nicht liefert, ist die richtige Schlussfolgerung nicht, sie zu erfinden. Die richtige Schlussfolgerung ist, dass Kunden und Risikoteams keinen vollständigen öffentlichen Entscheidungsdatensatz hatten.

Die öffentliche Zeitleiste beginnt mit Berichterstattung, nicht mit einer vollständigen Unternehmenserzählung

Die bestätigte öffentliche Zeitleiste ist eng. Im Jahr 2020 brachte die öffentliche Berichterstattung Xerox mit Maze-Ransomware-Behauptungen und angeblicher Datenveröffentlichung in Verbindung. Maze war zu dieser Zeit weithin als Ransomware-Operation bekannt, die Verschlüsselungs- oder Unterbrechungsdruck mit öffentlichem Datenleck-Druck kombinierte. Dieses allgemeine Ransomware-Muster wird in öffentlichen Kontrollquellen wie MITRE ATT&CKs Datenverschlüsselungs-Wirkungstechnik unterhttps://attack.mitre.org/techniques/T1486/, Exfiltrations-bezogenen Technikreferenzen wiehttps://attack.mitre.org/techniques/T1567/und CISA-Ransomware-Leitlinien beschrieben. Diese Quellen beweisen nicht, was bei Xerox passiert ist. Sie erklären, warum eine Leak-Site-Behauptung ein Rechenschaftsproblem schafft, das von jedem Verschlüsselungsereignis getrennt ist.

Die fehlende Zeitleiste ist ebenso wichtig. Öffentlich verfügbares Material liefert keine detaillierte von Xerox verfasste Sequenz, die den ersten Eindringversuch, die erste Erkennung, die erste Eindämmung, betroffene Umgebungen, die Verschlechterung der Geschäftsdienste, überprüfte Datenkategorien, Entscheidungen zur Kundenbenachrichtigung, Entscheidungen zur Mitarbeiterbenachrichtigung, die Einbindung von Strafverfolgungsbehörden, die Wiederherstellung von Backups und die Abschlusskriterien zeigt. Die SEC-Unternehmensseite unterhttps://www.sec.gov/edgar/browse/?CIK=108772und Xerox' Form 10-K von 2020 unterhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htmsind nützlich für den Unternehmens- und Risikoberichtskontext, aber ein Form 10-K-Risikofaktor ist kein forensischer Vorfallsbericht. Er sagt Investoren, dass Cyberrisiken bestehen und wesentlich sein können. Er beantwortet normalerweise nicht die kundenbezogene Frage, was in einem benannten Ereignis passiert ist.

Diese Unterscheidung ist wichtig, weil Ransomware-Zeit nicht eine Zeit ist. Es gibt die Zeit der Kompromittierung, die Verweildauer, die Erkennungszeit, die Eindämmungszeit, die Zeit der Verhandlung oder des öffentlichen Drucks, die Zeit der Dienstwiederherstellung, die Zeit der Benachrichtigung und die Zeit des langfristigen Datenmissbrauchs. Ein Unternehmen kann den Betrieb wiederherstellen, bevor es die Exfiltration vollständig eingegrenzt hat. Es kann wissen, dass auf ein System zugegriffen wurde, bevor es weiß, ob Kundendaten berührt wurden.

Es kann zu dem Schluss kommen, dass ein Dienst nicht betroffen war, während es noch eine andere Umgebung überprüft. Es kann sagen, dass es keine Beweise für eine Kategorie von Schaden gibt, während es die Abwesenheit noch nicht bewiesen hat. Ein guter Offenlegungsdatensatz trennt diese Phasen.

Für Xerox-Kunden war die praktische Frage im Jahr 2020 nicht nur, ob der Unternehmensname auf einer Ransomware-Leak-Site erschien. Es war, ob Dokumenten-Workflows, Managed Print Services, Support-Portale, Gerätetelemetrie, Kundenverträge, Service-Tickets, Mitarbeiteraufzeichnungen oder Lieferantendokumente innerhalb der betroffenen Grenze lagen. Wenn sich die Antwort nach Geschäftsbereich, Geografie, Dienst oder Kundenvertrag unterschied, sollte der öffentliche Datensatz klarstellen, dass der Umfang segmentiert war.

Wenn das Unternehmen noch nichts sagen konnte, sollte der öffentliche Datensatz diese Unsicherheit bewahren und erklären, wann Kunden mehr erfahren würden.

Der Rechenschaftsstandard beginnt daher mit der Chronologie: Was wurde gemeldet? Was wurde bestätigt? Was wurde behauptet? Was blieb unbekannt? Die öffentliche Berichterstattung ist ein Beweis dafür, dass ein Ransomware-Offenlegungsproblem existierte. Sie ist kein Beweis für jede Datenbehauptung. Das Fehlen einer detaillierten öffentlichen Nachanalyse hinterlässt eine Lücke, die Risikoteams ehrlich behandeln sollten, anstatt sie mit Annahmen zu füllen.

Leak-Site-Beweise sind Druckbeweise, keine neutralen Beweise

Die Maze-Ära der Ransomware veränderte die Offenlegungsanreize von Unternehmen, da Angreifer öffentliche Leak-Sites nutzten, um Stillschweigen schwieriger zu machen. Ein Leak-Site-Eintrag konnte ein Unternehmen unter Druck setzen, Kunden alarmieren, Medienberichterstattung anziehen und regulatorische Fragen aufwerfen, bevor das Unternehmen die interne Eingrenzung abgeschlossen hatte. Das macht den Inhalt der Leak-Site nicht in jedem Detail zuverlässig. Angreifer haben Anreize, den Zugriff zu übertreiben, Dateien falsch zu kennzeichnen, Material zu recyceln oder selektive Proben zu veröffentlichen.

Sie können auch echtes Material veröffentlichen. Rechenschaft erfordert, beide Aussagen gleichzeitig zu halten.

Für Xerox sollten öffentliche Artikel über Maze-Behauptungen als Drittberichterstattung über eine öffentliche Behauptung behandelt werden. Die Behauptung ist wichtig, weil Kunden und Mitarbeiter sie nicht ignorieren können. Aber eine verantwortungsvolle Analyse muss zwischen "Maze behauptete" und "Xerox bestätigte" trennen. Dieselbe Trennung sollte für Dateiproben, Screenshots, Verzeichnislisten und behauptete Datenmengen gelten. Eine Probe kann zeigen, dass etwas Material existiert, ohne einen umfassenden Zugriff zu beweisen. Eine behauptete Menge kann Besorgnis erregen, ohne eine vollständige Exfiltration zu beweisen.

Ein Fehlen einer Unternehmensbestätigung kann auf Unsicherheit, rechtliche Zurückhaltung oder Untersuchungsstatus zurückzuführen sein; es beweist nicht, dass die Behauptung falsch ist.

Deshalb ist die Quellenbehandlung zentral. Unternehmenssicherheitsseiten wiehttps://www.xerox.com/en-us/about/security-solutionsundhttps://security.business.xerox.com/en-us/zeigen den Sicherheits- und Servicerahmen, den Xerox Kunden präsentiert. Datenschutzmaterialien wiehttps://www.xerox.com/en-us/about/privacy-policyzeigen den Kontext der Verarbeitung personenbezogener Daten. Regulierungsbehörden wiehttps://www.sec.gov/edgar/browse/?CIK=108772zeigen die Risikodarstellung für Investoren. Unabhängige Leitlinien von NIST unterhttps://www.nist.gov/cyberframeworkund Vorfallreaktionsleitfäden unterhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalzeigen, wie Organisationen Reaktionsbeweise strukturieren sollten. Keiner dieser Bereiche sollte zu einer Behauptung zusammengefasst werden.

Das Rechenschaftsproblem tritt auf, wenn Kunden Entscheidungen auf der Grundlage teilweiser Bereiche treffen müssen. Ein Beschaffungsteam muss möglicherweise entscheiden, ob es eine verwaltete Druckbereitstellung pausieren soll. Ein Kundensicherheitsteam muss möglicherweise fragen, ob mit Xerox verbundene Systeme isoliert werden sollten. Ein Mitarbeiter muss möglicherweise wissen, ob Personal- oder Gehaltsdaten offengelegt wurden. Ein kleines Unternehmen muss möglicherweise verstehen, ob gescannte Dokumente oder Servicedatensätze durch die betroffene Umgebung gelaufen sind.

Jede Entscheidung erfordert mehr als die Tatsache, dass eine Ransomware-Gruppe eine Behauptung aufgestellt hat.

Die öffentliche Akte sollte daher fünf Beweisfragen beantworten. Erstens: Welche öffentliche Behauptung wurde aufgestellt und von wem? Zweitens: Was hat Xerox bestätigt oder dementiert? Drittens: Welche Datenkategorien wurden sichtbar behauptet oder später bestätigt? Viertens: Welche Dienste, Geografien oder Systeme waren im oder außerhalb des Umfangs? Fünftens: Welche Maßnahmen sollten Kunden oder Mitarbeiter ergreifen? Wenn eine Antwort nicht verfügbar ist, sollte dies als unbekannt angegeben werden. Unsicherheit zu bewahren ist keine Schwäche.

Es ist der einzig vertretbare Weg, um zu vermeiden, dass Angreiferbehauptungen zu Tatsachen gewaschen werden.

Dokumenteninfrastruktur verwandelt einen Unternehmensvorfall in eine kundenbezogene Kontrollfrage

Ransomware bei einem Anbieter von Dokumenteninfrastruktur wirft andere Fragen auf als Ransomware in einer rein internen Büroumgebung. Xerox-Kunden nutzen möglicherweise Geräte, verwaltete Druckdienste, Workflow-Tools, Scanvorgänge, cloudverbundenes Druckmanagement und Supportdienste, die Geschäftsdokumente verarbeiten oder berühren. Die Sensitivität ist nicht einheitlich. Ein Druckauftrag für Werbematerial ist anders als ein Scan eines Reisepasses, eines Gesundheitsformulars, eines Rechtsvertrags, einer Kreditakte oder einer Personalakte.

Der Anbieter kennt möglicherweise nicht den Inhalt jedes Kundendokuments, aber er kennt die Architektur, durch die diese Dokumente fließen.

Deshalb ist Netzwerksegmentierung ein zentrales Rechenschaftsthema. Die öffentliche Frage ist nicht nur, ob Ransomware ein Xerox-System erreicht hat. Es ist, ob die Umgebungen für Kundendokumente, verwaltete Serviceplattformen, Supportsysteme, interne Unternehmens-IT, Entwicklungsumgebungen, Abrechnungssysteme und Mitarbeitersysteme ausreichend getrennt waren, sodass eine Kompromittierung in einem Bereich nicht eine Kompromittierung in allen Bereichen bedeutete. Segmentierung, Least Privilege, Protokollierung, privilegierte Zugriffskontrolle, Backup-Trennung und Vorfallsisolation sind keine abstrakten Best Practices.

Sie sind die Kontrollen, die bestimmen, ob ein Kunde einen Ransomware-Bericht als eingedämmt oder systemisch behandeln kann.

NIST SP 800-53 unterhttps://csrc.nist.gov/pubs/sp/800/53/r5/upd1/finalund CIS Controls unterhttps://www.cisecurity.org/controlsbieten ein öffentliches Kontrollvokabular für Zugriffskontrolle, Prüfung, Wiederherstellung, Konfigurationsmanagement und Vorfallreaktion. Sie sind keine Xerox-spezifischen Ergebnisse. Sie helfen zu definieren, welche Beweise nützlich wären: Identitätsgrenzen, privilegierte Zugriffsaufzeichnungen, Geräteverwaltungsgrenzen, Backup-Testergebnisse, Protokollaufbewahrung, Abdeckung der Endpunkterkennung und eine dienstbezogene Auswirkungsmatrix. Ein Unternehmen muss nicht jedes sensible technische Detail offenlegen, um Kunden mitzuteilen, welche Kontrollkategorien überprüft wurden und welche Art von Grenze bestätigt wurde.

Managed Print und Dokumenten-Workflows schaffen auch eine gemeinsame Kundengrenze. Kunden können Druckserver, Treiber, Authentifizierung, Gerätespeicher, Adressbücher, Scan-to-E-Mail-Funktionen, Cloud-Repositories, Pull-Print-Warteschlangen und Wartungszugriff konfigurieren. Xerox kann Geräte, Dienste, Software, Support oder Fernverwaltung bereitstellen. Die praktische Kontrollfrage erfordert daher, dass beide Seiten den Datenfluss abbilden. Wenn ein Ransomware-Bericht den Anbieter betrifft, sollte ein Kunde wissen, ob seine eigene lokale Druckinfrastruktur mit der betroffenen Umgebung verbunden war.

Wenn ein Kundensystem kompromittiert ist, sollte der Anbieter wissen, ob sein Fernsupportkanal zu einem Einstiegspunkt oder Datenpfad werden könnte.

Der öffentliche Datensatz von 2020 gab dem externen Leser diese vollständige Karte nicht. Diese Lücke sollte die Schlussfolgerung prägen. Es wäre zu stark zu sagen, dass die gemeldete Maze-Behauptung eine Offenlegung von Kundendokumenten bewies. Es wäre zu schwach zu sagen, dass Kunden ohne eine detaillierte öffentliche Bestätigung keinen Grund hatten, schwierige Fragen zu stellen. Dokumenteninfrastruktur sitzt nahe am operativen Gedächtnis. Ein Ransomware-Bericht, der ihren Anbieter betrifft, verdient daher eine strukturierte Antwort zur Dienstgrenze.

Servicekontinuität ist mehr als nur die Frage, ob Drucker noch funktionierten

Der Begriff "Kontinuität der Dokumentendienste" kann banal klingen, bis ein Unternehmen während einer Krise den Zugang zu Druck-, Scan-, Workflow-, Service-Support-, Verbrauchsmaterialien, Geräteverwaltung oder Dokumentenweiterleitung verliert. Kleine und mittlere Organisationen nutzen verwaltete Druck- und Dokumentendienste oft gerade deshalb, weil sie keine große interne Support-Kapazität aufrechterhalten wollen. Diese Abhängigkeit schafft Rechenschaftspflicht, wenn der Anbieter mit einer Ransomware-Behauptung konfrontiert wird. Die Benutzerauswirkungen können nicht ein einziger globaler Ausfall sein.

Es können verzögerte Serviceanrufe, ausgesetzter Support-Zugriff, geänderte Fernverwaltungspraktiken, Unterbrechungen von Rechnungen oder Beschaffungen, Verzögerungen bei Geräte-Patches oder die vorübergehende Isolierung verbundener Systeme sein.

Die öffentliche Berichterstattung rund um die Xerox-Maze-Angelegenheit hat keinen gemessenen Kundenausfall-Datensatz erstellt. Diese Unsicherheit ist wichtig. Ein Fehlen öffentlicher Ausfallbeweise sollte nicht in eine große Betriebsstörung umgeschrieben werden. Es sollte aber auch nicht in einen Beweis dafür umgeschrieben werden, dass das Kontinuitätsrisiko null war. Eine gute Vorfallsberichterstattung würde zwischen Kernkundendiensten, internen Unternehmenssystemen, Service-Support, Lieferkettenabläufen, Datenrepositorys und kundenorientierten Portalen unterscheiden.

Sie würde sagen, was betroffen war, was nicht betroffen war, was noch geprüft wurde und wie Kunden ihre eigene Exposition bestätigen sollten.

Der Kontinuitätsstandard sollte praktisch sein. Kunden mussten wissen, ob mit Xerox verbundene Anmeldeinformationen zurückgesetzt werden sollten, ob sich der Fernservice-Zugriff geändert hat, ob Geräte-Firmware oder Verwaltungskonsolen überprüft werden mussten, ob Support-Tickets oder Anhänge betroffen waren und ob Kontinuitätskontrollen getestet worden waren. CISAs Grundlagen zur Vorfallreaktion unterhttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicssind hier nützlich, weil das Problem nicht nur die technische Behebung ist. Es ist Koordination, Kommunikation, Rollen und Entscheidungszeitpunkt.

Vorstände und Beschaffungsteams brauchten ebenfalls Beweise. Ein Unternehmen, das Dokumentendienste kauft, kann fragen, ob die Backups des Anbieters isoliert waren, ob die Ransomware-Eindämmung die Deaktivierung kundenorientierter Dienste erforderte, ob Service-Level-Verpflichtungen erfüllt wurden und ob externe Vorfallsermittler den Umfang bestätigten. Wenn der Anbieter keine privaten forensischen Details veröffentlichen kann, kann er dennoch kundenspezifische Antworten über vertragliche Kanäle bereitstellen. Öffentliche Rechenschaftspflicht erfordert nicht die Offenlegung eines Netzwerkdiagramms.

Sie erfordert genügend Informationen, damit Kunden entscheiden können, ob sie Schutzmaßnahmen ergreifen sollen.

Das Risiko für kleine Kunden ist die Kostenübertragung. Ein großer Anbieter kann Untersuchungs- und Wiederherstellungskosten intern übernehmen. Ein kleiner Kunde kann Unsicherheit absorbieren: Personalzeit, Notfallanbieterprüfung, Versicherungsfragen, rechtliche Prüfung, vorübergehende Workflow-Änderungen und Kundenberuhigung. Wenn der Anbieter wenig sagt, werden die nachgelagerten Kosten auf die Kunden multipliziert. Die Offenlegung der Servicekontinuität ist daher keine Öffentlichkeitsarbeit. Es ist eine Möglichkeit, verschwenderische Abwehrarbeit zu reduzieren, indem Kunden Fakten erhalten, die sie nutzen können.

Datenabgrenzung muss Mitarbeiter, Kunden, Verträge und Dokumente unterscheiden

Ransomware-Offenlegung wird oft verwirrend, weil "Daten" als ein einziges Wort für viele Kategorien verwendet wird. In einer Xerox-ähnlichen Umgebung könnten mögliche Kategorien Mitarbeiteraufzeichnungen, Kundendaten, Serviceverträge, Rechnungen, Gerätewartungsaufzeichnungen, technische Support-Tickets, Beschaffungsaufzeichnungen, Lieferantendokumente, Quell- oder Konfigurationsdateien, interne E-Mails, gescannte Kundendokumente oder Systemmetadaten umfassen. Die öffentliche Berichterstattung über einen angeblichen Datenleck sagt dem Leser nicht automatisch, welche dieser Kategorien betroffen waren.

Datenabgrenzung ist eine Rechenschaftspflicht, weil verschiedene Kategorien unterschiedliche Maßnahmen erfordern. Mitarbeiterdaten können Identitätsschutzmaßnahmen und Arbeitsbenachrichtigung erfordern. Kundendaten können kundenspezifische Benachrichtigungen und kommerzielle Prüfungen erfordern. Technische Konfigurationsdaten können eine Überprüfung der Anmeldeinformationen oder eine Architekturüberprüfung erfordern. Support-Tickets können von Kunden verlangen, nach sensiblen Anhängen zu suchen. Gescannte Dokumente könnten Datenschutzverpflichtungen schaffen, die vom Inhalt und der Gerichtsbarkeit abhängen.

Eine einzelne Aussage, dass "Daten betroffen oder nicht betroffen waren", ist für diese Umgebung zu grob.

Xerox-Datenschutzmaterialien unterhttps://www.xerox.com/en-us/about/privacy-policybieten einen öffentlichen Rahmen für die Verarbeitung personenbezogener Daten, während Unternehmensvertrauensmaterialien die Sicherheitslage darstellen. Ein vorfallspezifischer Datengrenzdatensatz würde jedoch mehr erfordern. Er würde erklären, welche Geschäftseinheit die betroffenen Systeme hielt, ob die Daten mit Xerox-Mitarbeitern, Kunden, Endbenutzern, Geräten, Lieferanten oder internen Abläufen zusammenhingen und ob Kunden etwas unter ihrer eigenen Kontrolle überprüfen sollten. Wenn die Antwort noch unbekannt war, sollte das Unternehmen sagen, was untersucht wurde.

Die Unterscheidung zwischen "keine Beweise" und "Beweise für keinen Zugriff" ist wichtig. Ein Unternehmen kann sagen, es habe keine Beweise dafür, dass auf Kundendokumente zugegriffen wurde. Das kann bedeuten, dass Protokolle überprüft wurden und keinen Zugriff zeigten. Es kann auch bedeuten, dass die Untersuchung noch keine derartigen Beweise gefunden hat oder die Protokolle nicht ausreichten, um die Abwesenheit zu beweisen. Kunden müssen die Stärke der Aussage kennen. Derselbe Wortlaut kann ein sehr unterschiedliches Beweisgewicht tragen.

Daniel Kades Regel für diese Akte ist es, schwache Beweise nicht in einen starken Abschluss aufzuwerten.

Hier sind auch Datensouveränität und Lokalität wichtig. Xerox ist global tätig, und Kunden können sich in verschiedenen Rechtsordnungen mit unterschiedlichen Meldepflichten und Erwartungen befinden. Eine globale Vorfallsakte sollte nicht eine einzige rechtliche oder betriebliche Antwort annehmen. Ein Kunde in einer Rechtsordnung benötigt möglicherweise andere Unterlagen als ein Kunde anderswo. Ein guter Offenlegungsdatensatz identifiziert die Geografie, wo relevant, und erklärt, ob die Datenlokalität die Benachrichtigung beeinflusst hat.

Wenn öffentliche Beweise dieses Detail nicht offenlegen, sollte der Artikel es als unbekannt markieren, anstatt globale Einheitlichkeit zu implizieren.

Offenlegung sollte Kunden nicht zwingen, zwischen Stillschweigen und Angreiferbehauptungen zu wählen

Krisenkommunikation in Ransomware-Fällen hat eine spezifische Belastung. Wenn das Unternehmen zu wenig sagt, füllen Angreifer die Lücke. Wenn das Unternehmen zu früh zu viel sagt, kann es den Umfang falsch darstellen. Wenn es nur allgemeine Beruhigung verwendet, können Kunden nicht handeln. Wenn es Angreiferbehauptungen zu direkt wiederholt, kann es sie verstärken. Der Rechenschaftsstandard ist nicht maximale Offenlegung; es ist nützliche Offenlegung. Kunden benötigen genügend bestätigte Informationen, um angemessene Schritte zu unternehmen, während die Untersuchung fortgesetzt wird.

Eine nützliche Offenlegung würde die bekannte Ereignisgrenze, den Betriebsstatus, die untersuchten Kategorien, die erforderlichen oder nicht erforderlichen Kundenmaßnahmen und den erwarteten Aktualisierungspfad angeben. Sie würde vermeiden, Stillschweigen als Tugend zu behandeln.

Ein Unternehmen kann sagen, dass eine Ransomware-Gruppe Behauptungen aufgestellt hat, dass diese Behauptungen untersucht werden, dass bestimmte Dienste in Betrieb sind, dass bestimmte Systeme isoliert wurden, dass es Beweise für den Zugriff auf bestimmte Daten gibt oder nicht und dass Kunden eine direkte Benachrichtigung erhalten, wenn ihre Informationen im Umfang bestätigt werden. Diese Art von Aussage reduziert sowohl Panik als auch Selbstgefälligkeit.

Der öffentliche Xerox-Datensatz, der ab 2020 verfügbar ist, enthielt keine umfangreiche öffentliche Nachanalyse mit diesen Elementen. Das beweist nicht, dass Xerox es versäumt hat, privat mit betroffenen Parteien zu kommunizieren. Private Benachrichtigungen, Kommunikation mit Aufsichtsbehörden, Kommunikation mit Versicherern und die Einbeziehung von Strafverfolgungsbehörden können außerhalb des öffentlichen Datensatzes existieren. Aber öffentliche Rechenschaftspflicht ist auf das beschränkt, was Leser überprüfen können.

Ein Kunde außerhalb der direkten Benachrichtigungsliste muss beurteilen, ob die öffentliche Akte für die Beschaffung, Sicherheitsüberprüfung und Lieferantenrisikomanagement ausreicht.

Die SEC-Cyber-Offenlegungsregel von 2023 unterhttps://www.sec.gov/intelligence team/press-releases/2023-139ist als späterer regulatorischer Kontext relevant, weil sie die Investorennachfrage nach mehr entscheidungsrelevanten Cybervorfällen und Risikomanagement-Offenlegungen widerspiegelt. Sie sollte in diesem Artikel nicht rückwirkend als Xerox-Verpflichtung von 2020 auferlegt werden. Ihr Wert ist vergleichend: Märkte und Regulierungsbehörden erwarten zunehmend, dass Unternehmen Cyberrisiken so erklären, dass Entscheidungsträger sie nutzen können. Ransomware-Offenlegung, die Kunden zwischen Angreiferbehauptungen und generischen Risikofaktoren zurücklässt, ist ein schwaches Rechenschaftsmodell.

Offenlegung muss auch dauerhaft sein. Eine erste Aussage kann unvollständig sein. Spätere Aktualisierungen sollten klarstellen, was sich geändert hat. Wenn sich eine frühere Annahme als falsch erweist, sollte das Unternehmen sie korrigieren. Wenn eine öffentliche Leak-Behauptung untersucht wird und sich als begrenzt herausstellt, sollte das Unternehmen die Grundlage auf einem angemessenen Niveau erklären. Wenn eine Behauptung nicht bestätigt wird, sollte das Unternehmen sagen, welche Beweise diese Schlussfolgerung stützen. Vertrauen wird durch dokumentierte Eingrenzung wieder aufgebaut, nicht durch Vertrauensforderung ohne Beweise.

Sicherheitsautomatisierung ist nur rechenschaftspflichtig, wenn sie überprüfbare Beweise produziert

Ransomware-Prävention und -Erkennung hängen oft von automatisierten Kontrollen ab: Endpunkterkennung, Identitätswarnungen, Netzwerk-Anomalieerkennung, E-Mail-Filterung, Schwachstellenscanning, Backup-Überwachung und Datenverlustindikatoren. Diese Werkzeuge sind wertvoll, aber sie schaffen keine Rechenschaftspflicht, es sei denn, sie produzieren Beweise, die überprüft werden können. In einem Ransomware-Offenlegungsfall ist die Frage nicht, ob ein Unternehmen Sicherheitstools besitzt.

Es ist, ob die Tools geholfen haben, den Eindringweg, die betroffenen Systeme, die versuchte Exfiltration, den Privilegienmissbrauch, die laterale Bewegung und die Wiederherstellungsgrenze zu identifizieren.

MITRE ATT&CK-Techniken wiehttps://attack.mitre.org/techniques/T1486/für zur Wirkung verschlüsselte Daten,https://attack.mitre.org/techniques/T1490/zur Hemmung der Systemwiederherstellung undhttps://attack.mitre.org/techniques/T1567/für Exfiltration über Webdienste geben ein öffentliches Vokabular dafür, wonach Ermittler in Ransomware-Fällen suchen könnten. Sie beweisen keine Maze-Aktionen innerhalb von Xerox. Sie zeigen, warum Vorfallsbeweise sowohl die Auswirkung auf die Verfügbarkeit als auch das Datenexpositionsrisiko abdecken sollten. Ransomware ist nicht nur eine Geschichte über Festplattenverschlüsselung. Es kann eine Geschichte über Anmeldeinformationen, Exfiltration, Backups, Offenlegung und Erpressung sein.

Die Rechenschaftsfrage ist, ob die Überwachung in der Lage war, diese Zweige zu unterscheiden. Wenn die Verschlüsselung verhindert wurde, aber Daten die Umgebung verließen, ist das Risikoprofil anders als bei einem reinen Verschlüsselungsereignis. Wenn Datenproben alt waren oder aus einer weniger sensiblen Umgebung stammten, ist das Risiko anders als bei aktuellen Kundendokumenten. Wenn Angreifer auf die Unternehmens-IT, aber nicht auf verwaltete Serviceplattformen zugegriffen haben, benötigen Kunden diese Grenze.

Wenn Protokolle nicht ausreichten, um einen dieser Punkte zu beweisen, sollte das Unternehmen sagen, dass die Schlussfolgerung begrenzt ist.

Automatisierung kann auch versagen, indem sie Warnungen generiert, auf die nicht reagiert wird. Der öffentliche Datensatz zeigt nicht, ob dies bei Xerox passiert ist, daher sollte der Artikel es nicht behaupten. Aber eine forensische Offenlegung sollte dennoch beantworten, ob die Erkennung rechtzeitig erfolgte, ob die Eskalation funktionierte, ob privilegierte Anmeldeinformationen betroffen waren und ob Reaktionsmaßnahmen verzögert wurden. Dies sind Managementfragen, nicht nur technische Fragen.

Ein Tool kann erkennen; eine Organisation entscheidet, ob die Warnung einen Geschäftsprozess stoppt, ein System isoliert oder eine Kundenbenachrichtigung auslöst.

Die stärksten Wiederherstellungsbeweise würden Kategorien enthalten, keine sensiblen Details: Die Abdeckung der Endpunkterkennung wurde erweitert, der privilegierte Zugriff wurde überprüft, Segmentierungsregeln wurden geändert, die Backup-Wiederherstellung wurde getestet, die Exfiltrationsüberwachung wurde verbessert und kundenorientierte Serviceabhängigkeiten wurden kartiert. Ohne solche Beweise können Kunden vernünftigerweise fragen, ob der Vorfall genutzt wurde, um das Kontrollsystem zu verbessern, oder nur, um die öffentliche Erzählung abzuschließen.

Investor-Risikofaktoren sind keine Kunden-Vorfallsberichte

Xerox-Einreicherunterlagen sind relevant, weil Cyberrisiken den Betrieb, den Ruf, die rechtliche Exposition und die finanzielle Leistung beeinträchtigen können. Der Form 10-K von 2020 unterhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htmbefindet sich in diesem Corporate-Disclosure-System. Es hilft zu zeigen, wie ein börsennotiertes Unternehmen Cybersicherheitsrisiken gegenüber Investoren darstellt. Aber Investor-Risikofaktoren sind in der Regel allgemein gehalten. Sie warnen, dass Vorfälle passieren können oder Konsequenzen haben können. Sie sagen einem Managed-Print-Kunden normalerweise nicht, ob ein bestimmtes Support-Ticket, ein Dokumenten-Workflow oder ein Geräteverwaltungssystem betroffen war.

Diese Lücke zwischen der Offenlegung gegenüber Investoren und der Offenlegung gegenüber Kunden ist wichtig. Ein börsennotiertes Unternehmen kann die Erwartungen an die Wertpapieroffenlegung erfüllen, während es Kunden dennoch mit praktischen Betriebsfragen zurücklässt. Umgekehrt kann ein Unternehmen direkt mit betroffenen Kunden kommunizieren, auf eine Weise, die für die breite Öffentlichkeit nicht sichtbar ist. Eine faire Rechenschaftsakte geht nicht davon aus, dass Einreicherunterlagen den gesamten Offenlegungsdatensatz ausmachen.

Sie besteht darauf, dass öffentliche Behauptungen über Risiko und Kontrolle mit vorfallspezifischen Beweisen verbunden werden sollten, wenn ein Unternehmen öffentlich mit Ransomware in Verbindung gebracht wird.

Die späteren SEC-Cyber-Offenlegungsmaterialien unterhttps://www.sec.gov/intelligence team/press-releases/2023-139zeigen, wie sich das regulatorische Umfeld in Richtung einer strukturierteren Cyber-Governance und materiellen Vorfallsberichterstattung bewegt hat. Auch hier ist diese spätere Regel nicht der Maßstab für die Beurteilung jeder Entscheidung von 2020. Sie ist ein Beleg für den breiteren Rechenschaftstrend: Investoren und Kunden benötigen gleichermaßen entscheidungsrelevante Cyber-Informationen. Eine Ransomware-Behauptung, die ein globales Dokumentendienstleistungsunternehmen betrifft, ist genau die Art von Ereignis, das die Grenzen generischer Risikosprache offenlegt.

Die rechtliche Verantwortung sollte ebenfalls sorgfältig behandelt werden. Öffentliche Beweise in dieser Akte belegen nicht, dass Xerox gegen ein bestimmtes Gesetz verstoßen, einen bestimmten Kundenvertrag verletzt oder einen quantifizierten Kundenverlust verursacht hat. Sie belegen, dass der öffentliche Datensatz Fragen zur Offenlegung, zum Vertrauen und zur Kontrolle aufgeworfen hat. Diese Fragen sind auch ohne ein endgültiges rechtliches Urteil legitim. Rechenschaftspflicht ist weiter gefasst als Haftung, aber sie darf nicht vorgeben, ein Gerichtsurteil zu sein.

Für Beschaffungsteams ist die Investorenakte ein Ausgangspunkt, kein Endpunkt. Sie sollten vorfallspezifische Bestätigungen, Zusammenfassungen unabhängiger Bewertungen, sofern verfügbar, Service-Grenzenerklärungen, Sicherheitsverbesserungen und vertragliche Benachrichtigungsmechanismen verlangen. Wenn ein Anbieter keine öffentlichen Details bereitstellen kann, kann er möglicherweise vertrauliche Kundendetails bereitstellen. Der Schlüssel ist, dass jemand in der Lage sein muss, das Ereignis mit Kontrollen und Kundenrisiken zu verbinden.

Wiederherstellungsbeweise sollten der Art des Schadens entsprechen

Die Wiederherstellung nach Ransomware wird oft als Wiederherstellung von Systemen beschrieben. Das ist notwendig, aber möglicherweise nicht ausreichend. Wenn das öffentliche Risiko eine Datenexposition umfasst, muss die Wiederherstellung auch Datenabgrenzung, Benachrichtigung, Überprüfung von Anmeldeinformationen, Überwachung und Missbrauchs-Watchpoints umfassen. Wenn das öffentliche Risiko eine Kundenabhängigkeit von Dienstleistungen umfasst, muss die Wiederherstellung die Servicewiederherstellung und die Kundenkommunikation umfassen.

Wenn das öffentliche Risiko die Dokumenteninfrastruktur umfasst, muss die Wiederherstellung das Vertrauen umfassen, dass Dokumenten-Workflows und verbundene Dienste nicht stillschweigend kompromittiert wurden.

Die stärksten Wiederherstellungsbeweise für Xerox-ähnliche Dienste hätten mehrere Teile. Sie würden die betroffene Umgebung identifizieren. Sie würden erklären, ob die Produktion von Kundendiensten betroffen war, und wenn ja, wie. Sie würden beschreiben, ob Kunden- oder Mitarbeiterdatenkategorien im Umfang bestätigt wurden. Sie würden sagen, ob Fernsupport, Geräteverwaltung oder kundenorientierte Portale eine Änderung der Anmeldeinformationen oder Konfigurationsänderungen erforderten. Sie würden erklären, was Kunden tun sollten und was das Unternehmen bereits getan hatte.

Sie würden klarstellen, welche Fakten bestätigt wurden und welche noch untersucht wurden.

Öffentliche Standardquellen helfen, diesen Reparaturdatensatz zu definieren. NIST Cybersecurity Framework-Material unterhttps://www.nist.gov/cyberframeworkorganisiert die Funktionen Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. NIST-Vorfallbehandlungsleitfaden unterhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalbetont Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Aktivitäten nach dem Vorfall. CIS Controls unterhttps://www.cisecurity.org/controlsbietet eine praktische Kontrollliste. Diese Frameworks schaffen kein Xerox-spezifisches Ergebnis. Sie zeigen, dass die Wiederherstellung Artefakte hinterlassen sollte: Entscheidungen, Protokolle, Umfang, Eindämmung, Lehren und Kontrolländerungen.

Das Vertrauen des Artikels ist mittel, weil die öffentliche Akte nicht leer, aber unvollständig ist. Es gibt genügend öffentliche Berichterstattung, um eine Analyse eines Ransomware-Offenlegungs-Rechenschaftsproblems zu rechtfertigen. Es gibt nicht genügend öffentliche Beweise, um eine vollständige interne Ereigniskette zu behaupten. Dieses Vertrauensniveau sollte jede Schlussfolgerung prägen. Die wahrscheinliche Rechenschaftslast liegt bei der Partei, die Systeme und Kommunikation kontrolliert hat, aber spezifische Ergebnisse zu Eindringweg, Datentypen und Kundenschaden bleiben durch öffentliche Beweise eingeschränkt.

Kunden haben auch eigene Wiederherstellungspflichten. Ein Xerox-Kunde, der auf verwaltete Dokumentendienste angewiesen war, sollte Bestandsverzeichnisse führen, wissen, welche Geräte und Dienste mit Anbietersystemen verbunden sind, den Fernzugriff einschränken, Druckserver überwachen, Geräteanmeldeinformationen verwalten, eigene Dokumentenflussaufzeichnungen führen und definieren, welche Anbieterbenachrichtigungen interne Maßnahmen auslösen. Die Rechenschaftspflicht des Anbieters hebt die Kunden-Governance nicht auf. Es bedeutet, dass Kunden nicht effektiv regieren können, wenn der Anbieterdatensatz zu vage ist.

Der gleiche Punkt gilt für die Versicherungs- und Vertragsprüfung. Eine Ransomware-Behauptung kann Kunden zwingen zu fragen, ob ihre eigenen Cyberversicherungs-Meldepflichten, Lieferantenrisikoakten, Geschäftskontinuitätspläne und regulatorischen Bewertungen ausgelöst wurden. Diese Fragen erfordern nicht den Beweis, dass jede behauptete Datei authentisch war. Sie erfordern genügend Anbieterbeweise, um eine vertretbare Entscheidung zu treffen. Wenn der Anbieter zu wenig sagt, können Kunden zu viel melden, überreagieren, Dienste unnötig pausieren oder versäumen zu handeln, wo Maßnahmen erforderlich waren.

Wenn der Anbieter eine sorgfältige Grenzbestimmung gibt, können Kunden ihre Reaktion auf das tatsächliche Risiko abstimmen. Deshalb sollten Wiederherstellungsbeweise verhältnismäßig, spezifisch und überprüfbar sein. Der Punkt ist nicht, ein Unternehmen zu bestrafen, weil es ermittelt, bevor es spricht. Der Punkt ist sicherzustellen, dass Kunden nicht Spekulationen durch Betriebstatsachen ersetzen müssen.

Was würde die Bewertung ändern

Mehrere Arten von Beweisen würden diese Bewertung wesentlich ändern. Eine von Xerox verfasste Nachanalyse mit Systemgrenze, Zeitplan, betroffenen Datenkategorien und Abhilfebeweisen würde die Rechenschaftsfeststellung stärken oder eingrenzen. Regulierungsbehörden, Kundenbenachrichtigungsschreiben, Rechtsstreitigkeiten oder bestätigte Datenschutzverletzungen würden konkretere Datengrenzbeweise liefern. Unabhängige forensische Zusammenfassungen würden helfen, Angreiferbehauptungen von bestätigtem Zugriff zu unterscheiden. Kundenberichte über Serviceunterbrechungen oder erforderliche Abhilfemaßnahmen würden die betrieblichen Auswirkungen klären.

Umgekehrt würden starke Beweise dafür, dass behauptete Daten nicht von Xerox-Systemen stammen oder dass die betroffene Grenze Kundendienste ausschloss, den Fall eingrenzen.

Der aktuelle öffentliche Datensatz rechtfertigt keine Behauptungen über genauen Eindringvektor, Verweildauer, Datenvolumen, Anzahl der Kunden, Lösegeldforderung, Zahlung, vollständige Dienstunterbrechung oder endgültige rechtliche Haftung. Diese Fakten sind in der für diesen Artikel verwendeten öffentlichen Akte unbekannt. Es ist möglich, dass private Mitteilungen oder Untersuchungen einige davon beantwortet haben. Es ist auch möglich, dass die öffentliche Berichterstattung nur eine teilweise oder umstrittene Sichtweise erfasst hat. Der Artikel bewahrt daher Unsicherheit, anstatt Lücken zu füllen.

Diese Unsicherheit macht den Fall nicht irrelevant. Ransomware-Offenlegung hat eine Rechenschaftsfunktion, selbst wenn die zugrunde liegenden Fakten unvollständig sind. Der öffentliche Datensatz zeigt Kunden, wie ein Unternehmen mit umstrittenen Beweisen umgeht. Gibt es genügend Informationen, um bestätigte Fakten von Behauptungen zu trennen? Erklärt es Kundenmaßnahmen? Verbindet es die Wiederherstellung mit Service- und Datenrisiken? Erkennt es Unsicherheit an, ohne Unsicherheit zu nutzen, um Kommunikation zu vermeiden? Dies sind Governance-Fragen, nicht nur Vorfallsfakten.

Für die Dokumenteninfrastruktur sollte die Beweishürde höher sein als allgemeine Beruhigung. Xerox-Kunden haben sich möglicherweise auf das Unternehmen für Workflows verlassen, die sensible Betriebsaufzeichnungen enthielten. Sie benötigten keine öffentliche Offenlegung sensibler forensischer Details. Sie benötigten eine vertretbare Aussage über Grenzen, Umfang, Maßnahmen und Reparatur. Wo diese öffentlichen Beweise fehlen, bleibt die Risikoakte offen.

Diese offene Akte hat einen praktischen Nutzen. Sie sagt zukünftigen Lieferantenrisikoprüfungen, welche Beweise vor dem Abschluss oder der Verlängerung von Dokumentendienstverträgen anzufordern sind: Service-Grenzenerklärungen, Fernzugriffskontrollen, Kundendatenhandhabung, Benachrichtigungsauslöser, Ransomware-Wiederherstellungstests und der Nachweis, dass behauptetes Leckmaterial durch einen wiederholbaren Prozess untersucht würde. Die Lehre ist nicht, jeden Anbieter als bereits kompromittiert zu behandeln. Es ist, die nächste Offenlegung weniger abhängig von Angreiferbehauptungen oder Stillschweigen zu machen.

Die endgültige Schlussfolgerung ist daher abgewogen. Die öffentliche Berichterstattung machte Xerox zu einem Ransomware-Offenlegungs-Rechenschaftsfall. Die öffentlichen Beweise belegen nicht jede behauptete Daten- oder Betriebsbehauptung. Die Verantwortungsanalyse folgt praktischer Kontrolle: Xerox kontrollierte die Systeme, Segmentierung, Erkennung, Wiederherstellung und kundenorientierte Erklärung für seine eigene Umgebung; Kunden kontrollierten ihre lokale Nutzung von Dokumentendiensten und sollten die zum Handeln erforderlichen Fakten erhalten haben; Angreifer kontrollierten öffentlichen Druck, aber nicht Vertrauenswürdigkeit.

Ein ausgereiftes Offenlegungssystem würde die Lücke zwischen diesen Konten verringern, indem es überprüften Umfang sichtbar macht, Unsicherheit bewahrt und Reparaturen zeigt, die dem zu prüfenden Schaden entsprechen.