Capital One Financial Corporation

La filtración de Capital One en 2019 no demostró que la nube pública sea inherentemente insegura, ni que un cliente pueda externalizar la responsabilidad a su proveedor de nube. Mostró cómo un error de configuración orientado a la web, una ruta de credenciales de metadatos, permisos amplios de almacenamiento, resolución débil de alertas y años de datos de aplicaciones retenidos pueden combinarse en un fallo de control con consecuencias legales.

La brecha de aplicación alojada en la nube de Capital One en 2019 sigue siendo un ejemplo definitorio de por qué el lenguaje de responsabilidad compartida no puede sustituir a la evidencia de control operativo. El incidente unió la configuración del firewall de aplicaciones web, el acceso a metadatos de la nube, los permisos de roles IAM, la detección, las conclusiones regulatorias, el aviso al cliente, el enjuiciamiento penal y el acuerdo en una sola pregunta: ¿quién podía realmente prevenir,

La brecha de metadatos en la nube de Capital One en 2019 a menudo se reduce a un eslogan sobre responsabilidad compartida. La pregunta correcta es más precisa: cuando un contrato en la nube asigna responsabilidades, ¿qué evidencia operativa demuestra que un control funcionó en el punto exacto donde se encontraron una aplicación mal configurada, un rol de WAF, acceso a metadatos, privilegio mínimo y detección?