Cathay Pacific a fait des données passagers un dossier de gouvernance-responsabilité

Résumé

• Cathay Pacific a révélé en octobre 2018 qu'un accès non autorisé avait affecté les données passagers d'environ 9,4 millions de personnes, y compris les champs d'identité, de contact, d'historique de voyage, de fidélité et de documents de voyage, tout en précisant que les systèmes concernés étaient séparés des opérations de vol et qu'elle n'avait aucune preuve d'utilisation abusive.
• La question de responsabilité est la suivante: qui avait le contrôle pratique sur l'inventaire des données passagers, le durcissement des bases de données, la protection des identifiants, la détection tardive, la notification transfrontière, les preuves réglementaires et la preuve que les documents de voyage et les enregistrements de fidélité étaient délimités?
• Les dossiers des régulateurs de Hong Kong et du Royaume-Uni ont transformé l'incident d'un simple avis de violation en un dossier de gouvernance, avec des constats sur la gestion des vulnérabilités, l'exposition sur Internet, l'authentification multifacteur, la gestion des sauvegardes de bases de données, l'inventaire des données, la conservation et le calendrier de notification des passagers.
• Les passagers, les membres de programmes de fidélité, les partenaires de voyage, les régulateurs, les équipes de lutte contre l'usurpation d'identité et les administrateurs de compagnies aériennes ont dû évaluer les risques d'identité et d'hameçonnage dans le cadre d'une relation de voyage à long terme.
• Le dossier public étaye une conclusion de responsabilité à haute confiance concernant les devoirs de gouvernance et les lacunes probantes. Il ne permet pas d'inventer des faits privés sur chaque action d'attaquant, chaque système affecté ou chaque résultat spécifique à un passager.

Registre des preuves et comment il est utilisé

Cet article traite le registre public comme une preuve stratifiée plutôt que comme un récit unique. Les annonces de l'entreprise et les divulgations au marché sont utilisées pour ce que Cathay Pacific a déclaré publiquement. Les documents des régulateurs de Hong Kong et du Royaume-Uni sont utilisés pour les constats, le contexte d'application et les attentes en matière de gouvernance. Les avis de sécurité, les rapports, les textes juridiques et les cadres de contrôle sont utilisés pour encadrer le risque passager, les obligations de confidentialité, la gouvernance transfrontière des données et les implications pour les parties concernées.

Le cadre de responsabilité est plus étroit que le blâme et plus large qu'un simple décompte de violation

L'incident des données passagers de Cathay Pacific en 2018 est souvent retenu pour son chiffre: environ 9,4 millions de personnes concernées. Le chiffre compte, mais il ne constitue pas l'ensemble du cadre de responsabilité. La question plus durable est que les données passagers d'une compagnie aérienne ne sont pas une simple liste de contacts. Elles peuvent combiner nom, nationalité, date de naissance, numéro de téléphone, adresse e-mail, adresse physique, numéro de passeport, numéro de carte d'identité, numéro d'adhérent au programme de fidélité, remarques de service, informations historiques de voyage et fragments de cartes de paiement.

Ces champs s'inscrivent dans une relation de voyage à long terme qui peut traverser pays, régulateurs, compagnies aériennes, partenaires de fidélité, centres d'appels et systèmes de réservation numériques.

C'est pourquoi cette affaire appartient à un dossier de gouvernance plutôt qu'à un simple avis de violation. La question publique n'est pas seulement de savoir si des données ont été consultées. Cathay Pacific elle-même a déclaré que certaines données personnelles avaient été consultées, que la combinaison variait selon les passagers, qu'aucun profil de voyage ou de fidélité n'avait été consulté en totalité, qu'aucun mot de passe n'avait été compromis et que les systèmes concernés étaient séparés des opérations de vol. Ces déclarations sont significatives. Elles créent également des obligations de preuve.

Un passager, un régulateur ou un gestionnaire de voyages d'affaires a besoin de savoir comment l'entreprise a prouvé ces limites et pourquoi il lui a fallu le temps qu'elle a mis pour informer les personnes concernées.

Le blâme est trop grossier pour cette question. La responsabilité demande qui avait le contrôle pratique à chaque étape. Qui savait où résidaient les données passagers? Qui contrôlait les systèmes exposés à Internet et l'accès à distance? Qui contrôlait les sauvegardes de bases de données créées lors des travaux de migration? Qui était responsable de la conservation des numéros de carte d'identité après l'expiration de leur objectif initial? Qui a décidé quand les passagers avaient suffisamment d'informations pour être avertis?

Qui a pu montrer aux régulateurs que l'exposition des documents de voyage et des enregistrements de fidélité avait été délimitée? Ce sont des questions de gouvernance car elles concernent la propriété, la preuve et la reproductibilité, et non seulement la réponse d'urgence.

Les dossiers du PCPD de Hong Kong et de l'ICO du Royaume-Uni ont rendu ce point explicite. Le régulateur hongkongais a constaté des contraventions liées à la sécurité et à la conservation, notamment des problèmes de gestion des vulnérabilités, d'exposition des administrateurs sur Internet, d'authentification multifacteur, de fichiers de sauvegarde de bases de données non cryptés, d'inventaire des données personnelles et de conservation des numéros de carte d'identité hongkongais. Le dossier d'amende britannique a ajouté une autre couche de responsabilité transfrontalière.

La leçon publique finale n'est pas que tout fait inconnu doit être traité comme un préjudice confirmé. Elle est qu'une entreprise détenant des données de voyage doit pouvoir prouver le contrôle du patrimoine de données avant, pendant et après une intrusion.

Ce que le dossier public établit

Le dossier public établit la chronologie centrale. La divulgation de Cathay Pacific à la bourse de Hong Kong a indiqué qu'une activité suspecte avait été découverte en mars 2018, qu'un accès non autorisé à certaines données personnelles avait été confirmé début mai 2018 et que l'analyse se poursuivait pour identifier les personnes concernées et déterminer si les données pouvaient être reconstituées. En octobre 2018, l'entreprise a publiquement annoncé un accès non autorisé concernant les données passagers d'environ 9,4 millions de personnes.

Elle a déclaré avoir pris des mesures immédiates pour enquêter et contenir l'événement, avoir travaillé avec une société de cybersécurité, avoir informé la police et les autorités compétentes et avoir commencé à contacter les passagers concernés par plusieurs canaux.

Le dossier public établit également le type de données en cause. L'annonce et la divulgation en bourse de Cathay Pacific énuméraient les noms des passagers, les nationalités, les dates de naissance, les numéros de téléphone, les adresses e-mail, les adresses physiques, les numéros de passeport, les numéros de carte d'identité, les numéros d'adhérent au programme de fidélité, les remarques de service client et les informations historiques de voyage. L'entreprise a également révélé l'accès à 403 numéros de cartes de crédit expirées et 27 numéros de cartes de crédit sans CVV. La combinaison des champs variait selon les passagers.

L'entreprise a déclaré n'avoir aucune preuve que les informations personnelles aient été utilisées abusivement et que les systèmes concernés étaient séparés des systèmes d'exploitation des vols, sans impact sur la sécurité des vols.

Les dossiers réglementaires ont ajouté des constats que la seule déclaration de l'entreprise ne fournissait pas. Le PCPD de Hong Kong a décrit des défaillances dans la sécurité et la conservation des données personnelles, y compris des faiblesses dans l'inventaire des données et les contrôles techniques. Il a indiqué que les personnes concernées comprenaient des passagers, des membres d'Asia Miles et du Marco Polo Club, ainsi que des utilisateurs enregistrés de plus de 260 pays, juridictions ou localités. L'ICO du Royaume-Uni a ensuite infligé une amende dans le cadre du régime pré-RGPD.

Le rapport annuel 2019 de Cathay Pacific a déclaré que les enquêtes des régulateurs de la vie privée dans plusieurs juridictions étaient closes, tandis qu'elle continuait à répondre aux enquêtes et demandes d'autres.

Le dossier public n'établit pas tous les faits médico-légaux privés. Il ne publie pas chaque schéma de système, chaque détail de vulnérabilité exploitée, chaque entrée de journal, chaque fichier consulté, chaque échange avec un régulateur ou chaque risque spécifique à un passager. C'est normal et en partie nécessaire. L'entreprise ne peut pas publier des détails qui mettraient en danger les systèmes ou exposeraient davantage de données personnelles.

Mais l'absence de détails privés signifie que la responsabilité publique doit se concentrer sur des limites vérifiables: quelles catégories de données étaient impliquées, quels systèmes étaient séparés, quels contrôles ont échoué, quelles décisions de conservation ont été critiquées, et quelles parties concernées ont reçu suffisamment d'informations pour se protéger.

Pourquoi l'objet de confiance est important

L'objet de confiance dans cette affaire était le patrimoine de données passagers. Cette expression compte car les données exposées n'appartenaient pas à une transaction isolée. Les données d'identité et de voyage des passagers s'accumulent au fil des ans. Une seule relation avec une compagnie aérienne peut inclure l'historique des réservations, les identifiants de fidélité, les habitudes de voyage familial, les informations de passeport, les remarques de service client, les coordonnées, les fragments de paiement, les préférences de siège et les liens vers d'autres partenaires de voyage.

Les passagers ne vivent pas ces champs comme des lignes de base de données distinctes. Ils les vivent comme une identité de voyage unique.

Lorsque cet objet de confiance est perturbé, le risque peut se déplacer sans perte financière immédiate. Un numéro de passeport peut faciliter les tentatives d'usurpation d'identité ou l'ingénierie sociale. Un identifiant de programme de fidélité peut rendre un message d'hameçonnage plus crédible. Les informations historiques de voyage peuvent révéler des schémas professionnels, familiaux, médicaux ou d'exposition politique. Les remarques de service client peuvent divulguer un contexte sensible.

Même si un mot de passe n'est pas compromis et qu'aucun CVV n'est exposé, la combinaison des champs d'identité et de voyage peut créer un fardeau durable pour les passagers concernés.

L'objet de confiance importe également pour la continuité du secteur public. Les compagnies aériennes sont des entreprises privées, mais les données passagers recoupent le contrôle aux frontières, les documents d'identité, les restrictions de voyage, l'historique des contacts de santé publique et les déplacements d'urgence. L'incident n'a pas affecté la sécurité des vols selon les déclarations publiques de Cathay Pacific, et cette distinction doit être préservée.

Néanmoins, la gouvernance des données passagers a une dimension de continuité publique car les compagnies aériennes détiennent des registres sur lesquels les personnes et les autorités s'appuient pour les déplacements transfrontaliers. La qualité, la sécurité, la conservation et la notification des données affectent plus que la personnalisation marketing.

Pour Cathay Pacific, la responsabilité dépendait donc de la capacité de l'entreprise à définir le patrimoine de données passagers. Quels systèmes détenaient des données personnelles? Quelles sauvegardes contenaient quels champs? Quels anciens enregistrements de cartes d'identité étaient encore conservés? Quels profils de voyage étaient complets ou incomplets? Quelles données de fidélité et de service pouvaient être combinées par un attaquant? Une entreprise ne peut délimiter un incident de données passagers que si elle sait déjà où vivent les données passagers et pourquoi elle conserve encore chaque catégorie.

La surface de contrôle avant l'incident

Avant l'incident, les contrôles critiques étaient l'inventaire des données, la gestion des vulnérabilités, la protection de l'accès à distance, l'exposition des administrateurs, la gestion des sauvegardes de bases de données, la surveillance des accès et la gouvernance de la conservation. Ces contrôles semblent ordinaires. Leur nature ordinaire est précisément le sujet. La sécurité des données passagers n'est pas préservée uniquement par une équipe d'intervention d'urgence après la détection.

Elle est préservée par des contrôles de routine qui décident si un attaquant peut trouver des données, si un accès anormal est remarqué, si d'anciens champs restent disponibles et si l'entreprise peut expliquer le périmètre après l'événement.

Les constats du PCPD de Hong Kong ont rendu concrète la surface de contrôle avant l'incident.

Le régulateur a souligné l'incapacité à identifier une vulnérabilité couramment connue et son exploitation, une analyse annuelle des vulnérabilités trop laxiste pour le contexte, l'exposition d'un port de console d'administration sur un serveur exposé à Internet, l'absence d'authentification multifacteur efficace pour tous les utilisateurs d'accès à distance accédant à des systèmes contenant des données personnelles, des fichiers de sauvegarde de bases de données non cryptés créés pour la migration de centres de données sans contrôles de sécurité efficaces, un inventaire inefficace des données personnelles et une faible vigilance après un

incident de sécurité antérieur.

Ce ne sont pas des slogans abstraits de bonnes pratiques. Ce sont les conditions qui rendent un vaste patrimoine de données passagers plus difficile à défendre et à expliquer.

La conservation était un contrôle distinct mais connexe. Le régulateur a constaté que les numéros de carte d'identité hongkongais étaient conservés plus longtemps que nécessaire pour un objectif de vérification obsolète. Les défaillances de conservation aggravent les violations car des données inutiles restent disponibles pour être exposées. Une entreprise peut être en mesure de défendre pourquoi elle a besoin des numéros de passeport ou des numéros d'identité pour une réservation en cours ou une obligation réglementaire.

Elle a besoin d'une explication différente lorsqu'un ancien identifiant reste dans les systèmes après la fin de la raison de sa collecte. La minimisation des données est un contrôle de sécurité car les données qui n'existent plus ne peuvent pas être volées.

La surface de contrôle incluait également la gouvernance entre filiales et marques. Le dossier public faisait référence à Cathay Pacific et Hong Kong Dragon Airlines, aux programmes de fidélité, aux membres Asia Miles et Marco Polo Club, et aux utilisateurs répartis dans de nombreuses juridictions. Cette distribution rend l'inventaire et la propriété plus difficiles. Elle rend également la gouvernance plus nécessaire. Un patrimoine fragmenté ne peut être défendu par une seule déclaration d'incident après coup. Il a besoin de propriétaires responsables avant les faits.

Détection, confinement et l'horloge

Le temps est une preuve. La chronologie publique montre une activité suspecte détectée en mars 2018, une confirmation d'accès non autorisé à certaines données personnelles début mai 2018, et un avis public en octobre 2018. L'explication de Cathay Pacific était que l'analyse se poursuivait afin d'identifier les personnes concernées et de déterminer si les données en cause pouvaient être reconstituées. C'est un défi opérationnel réel. De grands patrimoines de données peuvent nécessiter une analyse minutieuse avant qu'une entreprise puisse dire aux personnes exactement quels champs étaient impliqués.

Mais l'horloge compte toujours car les passagers couraient un risque d'identité et d'hameçonnage pendant que l'entreprise analysait le périmètre.

Le PCPD de Hong Kong n'a pas constaté de contravention à la notification obligatoire de violation en vertu de la loi hongkongaise alors applicable, car il n'y avait pas d'exigence légale de notification dans un délai particulier. Mais le régulateur a tout de même déclaré que Cathay aurait pu notifier les passagers concernés dès la détection de l'activité suspecte et les conseiller plus tôt sur les mesures appropriées. Cette distinction est importante. Les minima légaux et les attentes en matière de responsabilité ne sont pas toujours identiques.

Une entreprise peut éviter une violation formelle et faire face à une critique de gouvernance selon laquelle un avertissement plus précoce aurait mieux respecté les intérêts des passagers.

Le confinement avait également des couches. Cathay Pacific a déclaré avoir pris des mesures immédiates pour contenir l'événement, entamé une enquête approfondie avec l'aide de la cybersécurité et renforcé les mesures de sécurité. Les passagers concernés avaient besoin de plus que des mots sur le confinement.

Ils avaient besoin de savoir si les passeports, les numéros de carte d'identité, les numéros de fidélité et l'historique des voyages étaient concernés; si les mots de passe étaient affectés; si les profils de voyage ou de fidélité complets avaient été consultés; si les détails des cartes de paiement étaient utilisables; et si les opérations de vol étaient séparées. L'avis public de l'entreprise a répondu à plusieurs de ces questions, et les dossiers réglementaires ont ensuite abordé les faiblesses de contrôle qui les sous-tendaient.

L'horloge compte également pour les régulateurs. Un régulateur examinant une notification tardive doit regarder ce que l'entreprise savait à chaque étape, quelle incertitude subsistait, quelle action des passagers aurait pu réduire le préjudice, et quelle divulgation aurait risqué de compromettre la sécurité. Le dossier public ne permet pas aux observateurs externes de rejouer chaque décision interne. Il montre que la détection tardive et la notification tardive sont devenues des preuves de gouvernance.

Un patrimoine de données de cette ampleur doit pouvoir passer de la détection aux conseils aux personnes concernées sans traiter la certitude comme une raison de se taire.

Charge de travail des passagers après la divulgation

La divulgation transfère du travail aux passagers. Après l'annonce de Cathay Pacific, les passagers concernés ont dû décider de surveiller leurs comptes, de se méfier de l'hameçonnage, de vérifier l'activité de paiement, d'envisager des services de surveillance d'identité, de mettre à jour leurs attentes de contact et de traiter avec suspicion les futurs messages utilisant des détails de voyage. Cette charge peut être faible pour un passager et importante pour un autre, selon les champs exposés. Le fardeau ne se limite pas à une perte financière.

Il inclut l'attention, l'anxiété et la nécessité de se méfier de détails qui rendraient autrement un message légitime.

La combinaison des données rend la charge difficile. Un e-mail d'hameçonnage incluant un nom, un numéro de programme de fidélité, un historique de voyage ou une remarque de service peut être plus convaincant qu'un spam générique. Un appel téléphonique utilisant de vrais détails de voyage peut sembler plus crédible. Les numéros de passeport et de carte d'identité peuvent créer une inquiétude plus durable car ils ne sont pas aussi faciles à changer qu'un mot de passe. Même les numéros de cartes de crédit expirés peuvent nécessiter une explication lorsque les passagers les voient listés dans un avis de violation.

L'entreprise a déclaré qu'aucun mot de passe n'avait été compromis et qu'aucun profil de voyage ou de fidélité complet n'avait été consulté, et ces limites réduisent certains risques. Elles n'effacent pas la charge pratique créée par l'exposition des champs d'identité et de voyage.

L'avis public du HKCERT a capturé cette réalité côté passager en mettant en garde contre les escroqueries et les messages d'hameçonnage pouvant utiliser le nom de l'entreprise ou des informations personnelles. Il conseillait aux passagers de prêter attention aux communications officielles et d'être prudents même lorsqu'un expéditeur ou un interlocuteur pouvait décrire correctement des informations personnelles. Ces conseils ne sont pas une preuve d'utilisation abusive. Ils sont une réponse pratique au risque créé lorsque des données personnelles et de voyage peuvent être disponibles en dehors de l'entreprise.

Une bonne notification destinée aux passagers devrait aider les personnes à évaluer leur charge de travail. Elle devrait décrire les catégories concernées, ce qui n'a pas été affecté, comment l'entreprise contactera les personnes, quels canaux sont légitimes, quelle action est utile et quelle action est inutile. L'avis de Cathay Pacific incluait les catégories de données, un site web dédié, un centre d'appels et un contact par e-mail. La question de responsabilité est de savoir si le calendrier et la spécificité étaient suffisants compte tenu de ce que l'entreprise savait depuis mars et mai 2018.

Gouvernance transfrontière et localisation des données

Cet incident est un cas de souveraineté et de localisation des données car les passagers, les régulateurs et les dossiers ont traversé les frontières. Cathay Pacific est basée à Hong Kong, mais les personnes concernées viennent de nombreuses juridictions. Certains champs de données concernaient des documents d'identité gouvernementaux. Les régulateurs de Hong Kong, du Royaume-Uni, de Singapour, de Turquie, de Taïwan et d'autres juridictions avaient des intérêts potentiels selon le dossier public. Le même événement pouvait donc être examiné sous différents régimes juridiques, pouvoirs d'exécution et attentes.

La gouvernance transfrontière ne concerne pas seulement l'emplacement d'un serveur. Elle concerne qui peut exiger des preuves, qui doit être notifié, quelles normes s'appliquent et comment les passagers dans différents endroits reçoivent une clarté équivalente. Le dossier public de Cathay Pacific montre que les régulateurs n'ont pas tous joué le même rôle. Le PCPD de Hong Kong a émis un avis d'exécution et souligné l'absence de pouvoir d'amende administrative en vertu de la loi en vigueur à l'époque. L'ICO du Royaume-Uni a infligé une amende dans le cadre de la loi de 1998 sur la protection des données.

Le rapport annuel de Cathay Pacific a décrit plusieurs enquêtes réglementaires comme closes tandis que d'autres se poursuivaient. Un seul incident de données peut donc créer un dossier de responsabilité stratifié.

La question de localisation apparaît également dans les données elles-mêmes. Les numéros de passeport et les numéros de carte d'identité ne sont pas des champs génériques. Ils sont liés aux autorités émettrices, aux processus frontaliers et aux systèmes d'identité locaux. Les informations historiques de voyage peuvent révéler des mouvements transfrontaliers. L'adhésion à un programme de fidélité peut connecter les passagers à des partenaires et services. Lorsque ces données sont détenues par une compagnie aérienne mondiale, la gouvernance doit tenir compte à la fois des systèmes d'entreprise et des attentes juridictionnelles.

Une seule équipe de confidentialité ne peut pas traiter tous les champs comme également sensibles ou tous les passagers comme vivant sous un seul régime juridique.

La leçon transfrontalière est que les entreprises doivent disposer de preuves prêtes pour les régulateurs avant un incident. Elles ont besoin de cartes de données, de calendriers de conservation, de registres de contrôles de sécurité, de chronologies d'incidents, de critères de notification des passagers et de preuves que les conclusions juridiques correspondent aux faits techniques. Attendre après un accès non autorisé pour constituer ce dossier crée des retards et des incohérences. L'affaire Cathay Pacific montre comment un incident peut devenir plusieurs conversations de gouvernance, chacune avec ses propres questions et pouvoirs.

La dépendance aux services cloud derrière les données de voyage

Le thème manifeste de la dépendance aux services cloud s'applique à cette affaire même si le dossier public ne décrit pas l'événement comme une simple violation de plateforme cloud. Les données passagers des compagnies aériennes sont traitées via des systèmes distribués: canaux de réservation, systèmes de fidélité, outils de service client, travaux de migration de centres de données, accès à distance, interfaces partenaires, analytique et surveillance de sécurité. Certains peuvent être hébergés, d'autres internes, certains soutenus par des fournisseurs, et d'autres hybrides.

Le passager les vit comme une seule relation avec la compagnie aérienne.

Cette dépendance compte car les architectures de type service cloud peuvent rendre les données plus utiles et plus difficiles à inventorier en même temps. Un champ collecté pour une réservation peut être copié dans les systèmes de support, de fidélité, les sauvegardes de migration, les rapports ou les systèmes de fraude. Un utilisateur distant peut avoir besoin d'accès pour un support légitime. Une sauvegarde de base de données peut exister pour un projet technique. Chaque copie peut être défendable isolément.

Le problème de responsabilité apparaît lorsque l'entreprise ne peut pas maintenir un inventaire actuel des données personnelles sur l'ensemble du patrimoine.

Le constat du PCPD de Hong Kong sur l'inefficacité de l'inventaire des données personnelles est donc central. L'inventaire n'est pas de la paperasse. C'est le contrôle qui permet à une entreprise de répondre aux questions après un accès non autorisé. Quels systèmes contiennent des numéros de passeport? Quels anciens numéros de carte d'identité auraient dû être supprimés? Quelles sauvegardes sont cryptées? Quels utilisateurs d'accès à distance peuvent atteindre des données personnelles? Quels systèmes exposés à Internet peuvent toucher le patrimoine de données? Sans inventaire, l'analyse de la violation devient de l'archéologie.

La leçon de dépendance au cloud pour les compagnies aériennes et les entreprises similaires est de traiter le mouvement des données comme une surface de risque. Chaque migration, sauvegarde, flux partenaire et workflow de support doit avoir un propriétaire, une règle de conservation, une règle d'accès et une attente de surveillance. Sinon, les données copiées par commodité peuvent devenir des données exposées lors d'un incident. Le dossier de Cathay Pacific est utile car il relie les contrôles techniques à la preuve de gouvernance dans un secteur où le mouvement des données est constant.

La conservation des données comme multiplicateur de violation

La conservation est l'une des leçons de responsabilité les plus claires du dossier Cathay Pacific. Le régulateur hongkongais a constaté que certains numéros de carte d'identité hongkongais avaient été conservés plus longtemps que nécessaire pour un objectif de vérification obsolète. Ce constat transforme l'incident d'une histoire de contrôle d'accès en une histoire de cycle de vie des données. Une entreprise peut avoir un pare-feu solide et créer néanmoins une exposition évitable en conservant des données dont elle n'a plus besoin.

Les défaillances de conservation multiplient l'impact de la violation de trois manières. Premièrement, elles augmentent le nombre de personnes concernées car les anciens enregistrements restent dans le périmètre. Deuxièmement, elles augmentent la sensibilité car les identifiants gouvernementaux peuvent survivre à l'objectif commercial qui les a créés. Troisièmement, elles affaiblissent l'explication de l'entreprise car les personnes concernées peuvent raisonnablement demander pourquoi ces données existaient encore. Un avis de violation qui dit « ce champ a été exposé » est plus troublant lorsque le champ aurait déjà dû être supprimé.

Une bonne gouvernance de la conservation nécessite plus qu'une politique. Elle nécessite une classification des données, une propriété des systèmes, des workflows de suppression, des tests, des preuves d'audit et des exceptions qui expirent. La politique doit atteindre les sauvegardes, les fichiers de migration, les systèmes hérités, les programmes de fidélité, les plateformes de service client et les flux partenaires. Si les règles de conservation ne s'appliquent qu'au système de production principal, l'organisation peut préserver des données sensibles dans des endroits moins protégés.

Pour Cathay Pacific, le constat sur la conservation est également un rappel que les obligations de confidentialité et de sécurité se renforcent mutuellement. La confidentialité demande si l'entreprise devrait encore détenir un champ. La sécurité demande si le champ est protégé. Le contrôle le plus fort est souvent la suppression. Lorsque la suppression n'est pas possible en raison de la loi ou d'un besoin opérationnel, l'entreprise a besoin d'un contrôle d'accès, d'un cryptage, d'une surveillance et d'une révision plus stricts.

C'est la logique de gouvernance qui fait de la conservation une partie de la responsabilité plutôt qu'une simple réflexion administrative.

Qualité de la divulgation et incertitude

L'avis public de Cathay Pacific a fait plusieurs choses utiles. Il a identifié la population concernée, listé les catégories de données, séparé les systèmes d'information concernés des opérations de vol, déclaré qu'il n'y avait pas d'impact sur la sécurité des vols, précisé qu'aucun mot de passe n'avait été compromis et qu'il n'y avait aucune preuve d'utilisation abusive. Il a également fourni des canaux pour les passagers concernés. Ces faits comptaient car ils aidaient les passagers à distinguer le risque lié aux données personnelles du risque pour la sécurité opérationnelle.

L'avis a également laissé des questions que les dossiers réglementaires ultérieurs ont aidé à répondre. Pourquoi l'avis public est-il intervenu des mois après la détection de l'activité suspecte et la confirmation de l'accès non autorisé? Quelle était l'exhaustivité de l'inventaire des données personnelles? Quels contrôles techniques étaient manquants ou faibles? Pourquoi certains numéros de carte d'identité étaient-ils encore conservés? Comment les fichiers de sauvegarde étaient-ils protégés? Quels utilisateurs d'accès à distance disposaient d'une authentification multifacteur efficace? Ces questions ne sont pas des critiques rétrospectives.

Ce sont exactement les questions de gouvernance qui permettent aux passagers et aux régulateurs d'évaluer si l'incident reflétait une anomalie contenue ou un problème de contrôle plus large.

L'incertitude devrait être nommée plutôt que cachée. Le dossier public n'expose pas chaque système touché, chaque mouvement d'attaquant ou chaque risque spécifique à un passager. Un article responsable ne devrait pas combler ces lacunes par des spéculations. Mais un dossier d'entreprise responsable devrait également éviter de laisser l'incertitude devenir une réassurance. Si une entreprise dit qu'il n'y a aucune preuve d'utilisation abusive, ce n'est pas la même chose que prouver que l'utilisation abusive n'a pas eu lieu.

Si une entreprise dit qu'aucun mot de passe n'a été compromis, cela ne répond pas à la question de savoir si les champs de documents de voyage peuvent soutenir d'autres préjudices. La précision protège à la fois l'entreprise et les personnes concernées.

Une bonne divulgation a un caractère progressif. Un avis précoce peut dire aux personnes ce qui est suspecté et quelles précautions prendre. Des mises à jour ultérieures peuvent réduire le périmètre et expliquer les preuves. Les dossiers finaux peuvent décrire les leçons et les changements de contrôle. L'affaire Cathay Pacific montre le coût lorsque le public apprend des détails importants après des mois d'analyse et plus tard via les constats des régulateurs. Un dossier public plus solide aurait rendu l'état évolutif des connaissances plus facile à suivre.

Ce que montrerait un dossier public plus solide

Un dossier public plus solide répondrait à plusieurs questions spécifiques à l'incident sans exposer de détails défensifs sensibles. Il expliquerait quelles classes de systèmes étaient concernées, quelles classes ne l'étaient pas, quelle preuve séparait les opérations de vol des systèmes de données passagers, quelles combinaisons de champs étaient exposées par groupe de passagers, quels fichiers de sauvegarde étaient impliqués et quelles décisions de conservation ont permis à d'anciennes données d'identité de rester disponibles.

Il expliquerait également comment l'entreprise a confirmé que les mots de passe et les profils de voyage ou de fidélité complets n'avaient pas été compromis.

Le dossier donnerait également plus de détails sur le calendrier. Que savait l'entreprise en mars 2018? Qu'est-ce qui a changé début mai? Quelle analyse était nécessaire avant la notification des passagers? Quelles mesures de protection des passagers auraient pu être recommandées plus tôt sans identifier à tort des personnes concernées? Quelles communications avec les régulateurs ont eu lieu avant l'avis public? Ces questions comptent car elles aident à distinguer le retard médico-légal nécessaire du retard de gouvernance.

Un dossier solide inclurait les changements de contrôle en termes opérationnels. Les analyses de vulnérabilité sont-elles devenues plus fréquentes? Les ports d'administration ont-ils été retirés de l'exposition Internet? L'authentification multifacteur a-t-elle été appliquée à tous les utilisateurs d'accès à distance touchant les systèmes de données personnelles? Les sauvegardes de bases de données ont-elles été cryptées et gouvernées? L'inventaire des données personnelles a-t-il été reconstruit? Les numéros de carte d'identité inutiles ont-ils été supprimés de tous les systèmes?

L'avis d'exécution de Hong Kong pointait vers plusieurs de ces mesures. La confiance du public augmente lorsque la mesure peut être testée par rapport au contrôle qui a échoué.

Le but d'un dossier plus solide n'est pas la punition publique. C'est l'apprentissage du marché. Les compagnies aériennes, les programmes de fidélité, les plateformes de voyage et autres détenteurs transfrontaliers de données peuvent comparer leurs propres patrimoines au dossier. Les passagers peuvent comprendre leur risque. Les régulateurs peuvent se concentrer sur les preuves plutôt que sur les gros titres. Les conseils d'administration peuvent demander à la direction si l'organisation sait où se trouvent les données de voyage sensibles et si elle peut prouver leur suppression lorsque la conservation prend fin.

Les conseils d'administration devraient traiter les données passagers comme un actif gouverné

Les conseils d'administration devraient traiter les données passagers comme un actif gouverné, et pas seulement comme une ressource commerciale. Les données de voyage aident les compagnies aériennes à servir les passagers, gérer la fidélité, personnaliser les offres et soutenir les opérations. Les mêmes données peuvent créer des risques d'identité, de confidentialité et transfrontaliers si l'inventaire, le contrôle d'accès, la conservation et la surveillance sont faibles. La supervision du conseil devrait donc inclure le cycle de vie des données, et pas seulement les indicateurs d'incidents de cybersécurité.

Un tableau de bord utile pour le conseil montrerait où vivent les champs passagers à haut risque, quels systèmes détiennent les numéros de passeport ou d'identité, quelles sauvegardes contiennent des données personnelles, à quelle fréquence les systèmes et applications exposés à Internet sont analysés, quels utilisateurs d'accès à distance peuvent atteindre les systèmes de données personnelles, quels champs sont programmés pour être supprimés et quelle preuve prouve la suppression. Il montrerait également les délais de détection et de notification des incidents à partir d'exercices, pas seulement d'incidents réels.

Pour Cathay Pacific, la responsabilité du conseil après l'événement inclurait des questions sur la mesure dans laquelle les mesures correctives ont répondu aux constats spécifiques. Les intervalles de gestion des vulnérabilités ont-ils été modifiés? Les expositions des administrateurs ont-elles été fermées? Une authentification multifacteur efficace a-t-elle été déployée pour les utilisateurs d'accès à distance? Les sauvegardes de migration non cryptées ont-elles été éliminées ou protégées? L'inventaire des données a-t-il été rendu suffisamment complet pour répondre aux questions des régulateurs?

Les numéros de carte d'identité inutiles ont-ils été supprimés comme demandé? Ces questions relient la gouvernance à la preuve.

Les conseils devraient également résister à la fausse consolation d'une séparation opérationnelle seule. La déclaration de Cathay Pacific selon laquelle les systèmes concernés étaient séparés des opérations de vol et que la sécurité des vols n'était pas affectée était importante. Mais la responsabilité en matière de confidentialité ne disparaît pas parce que les opérations de sécurité étaient séparées. Les données passagers sont elles-mêmes un objet de confiance critique.

Elles méritent l'attention du conseil car la perte de confiance dans la gouvernance des données passagers peut endommager la relation avec la compagnie aérienne même lorsque les opérations aériennes se poursuivent en toute sécurité.

Approvisionnement, partenaires et gestionnaires de voyages

Les gestionnaires de voyages et les clients professionnels devraient lire le dossier Cathay Pacific comme un rappel que le risque lié aux données des compagnies aériennes dépasse le prix du billet et le choix de la route. Les voyages d'affaires créent des schémas concernant les cadres, les projets, les négociations et les lieux. Une violation de données passagers dans une compagnie aérienne peut affecter les employés dont l'historique de voyage et les informations d'identité font partie d'un tableau de risque commercial plus large.

Les gestionnaires de voyages ont donc besoin de workflows de notification d'incidents et de questions de minimisation des données pour les relations avec les compagnies aériennes et les agences de voyages.

Les partenaires ont également un intérêt. Les écosystèmes des compagnies aériennes incluent des partenaires de fidélité, des plateformes de réservation, des hôtels, des fournisseurs de paiement, des agences de voyages et des vendeurs de services. Tous les partenaires ne sont pas responsables des contrôles internes de la compagnie aérienne. Mais les partenaires ont besoin de clarté sur la question de savoir si les identifiants partagés, les numéros de fidélité ou les données de service client créent un risque en aval.

Un avis de violation qui ne nomme que la compagnie aérienne peut encore nécessiter une vigilance côté partenaire contre l'hameçonnage ou l'abus de comptes.

Les acheteurs professionnels peuvent poser de meilleures questions après cette affaire. Quels champs passagers sont conservés après le voyage? Combien de temps les documents d'identité sont-ils conservés? Quelles données de fidélité et d'historique de voyage sont partagées avec les partenaires? Comment les anciens identifiants sont-ils supprimés? Quelle notification un gestionnaire de voyages d'affaires reçoit-il lorsque les données de voyage des employés sont concernées? Comment la compagnie aérienne distingue-t-elle la notification aux passagers de la notification aux comptes professionnels?

Ces questions n'exigent pas qu'une compagnie aérienne révèle une architecture de sécurité sensible. Elles exigent que la compagnie aérienne gouverne la relation de données de manière transparente.

Les mêmes questions s'appliquent aux voyages du secteur public. Les employés des gouvernements, de l'éducation, de la santé et des infrastructures voyagent. Leurs enregistrements de voyage peuvent révéler des schémas de déplacement sensibles. Une violation de données passagers a donc un angle de continuité pour le secteur public même lorsque les opérations de vol restent sûres. La réponse à l'incident devrait tenir compte du fait que certains passagers ont une exposition plus élevée en raison de leurs fonctions ou de leurs habitudes de voyage.

L'attention des régulateurs et la valeur de la preuve

Les régulateurs ajoutent de la valeur lorsqu'ils testent les preuves derrière les déclarations des entreprises. Dans l'affaire Cathay Pacific, les dossiers réglementaires ont fait évoluer la compréhension publique au-delà de l'annonce initiale. Le PCPD de Hong Kong a identifié des préoccupations spécifiques en matière de contrôle et de conservation. Le dossier d'amende de l'ICO du Royaume-Uni a ajouté une dimension d'exécution monétaire en vertu du droit britannique. Le rôle du régulateur n'était pas simplement de confirmer qu'une violation avait eu lieu.

Il était de demander si les contrôles et la gouvernance derrière la violation répondaient aux attentes légales.

Les questions réglementaires les plus utiles dans des incidents similaires sont des questions de preuve. L'entreprise savait-elle où résidaient les données personnelles? Les vulnérabilités connues ont-elles été identifiées et corrigées? Les voies d'administration exposées à Internet étaient-elles justifiées et protégées? L'authentification multifacteur a-t-elle été appliquée à l'accès à distance touchant des données personnelles? Les sauvegardes étaient-elles cryptées? Les données personnelles étaient-elles conservées uniquement aussi longtemps que nécessaire?

La notification aux passagers a-t-elle eu lieu assez tôt pour permettre aux personnes de se protéger? Les déclarations publiques correspondaient-elles aux preuves privées?

Les régulateurs devraient également tester les mesures correctives. Un avis d'exécution qui ordonne à une entreprise de réviser ses systèmes, d'appliquer l'authentification multifacteur, de mener des analyses efficaces, d'améliorer les examens de sécurité, d'élaborer des politiques de conservation et de supprimer les identifiants inutiles est plus fort lorsque le suivi confirme la mise en œuvre. Le public n'a peut-être pas besoin de tous les détails techniques. Il a besoin d'avoir confiance que les constats sont devenus des contrôles plutôt que des documents.

L'affaire Cathay Pacific montre également les limites des régimes juridiques. Le régulateur hongkongais a noté que la loi en vigueur à l'époque ne lui permettait pas d'imposer une amende administrative comme l'ICO britannique. Différentes autorités ont des outils différents. Cette différence rend la preuve encore plus importante. Lorsqu'un régulateur peut infliger une amende et un autre un avis d'exécution, le langage commun de responsabilité devrait encore être le contrôle, la conservation, la notification et la preuve.

Piste de preuve côté client

Les passagers et les équipes de voyages d'affaires devraient conserver leur propre piste de preuve après un incident de données. Un passager individuel peut conserver l'avis de l'entreprise, enregistrer quels champs ont été signalés comme concernés, surveiller les messages suspects, vérifier l'activité de paiement le cas échéant et vérifier que les futures communications liées à la violation passent par des canaux légitimes.

Une équipe de voyages d'affaires peut identifier les employés qui pourraient être concernés, diffuser des avertissements internes contre l'hameçonnage et se coordonner avec les équipes de sécurité lorsque des habitudes de voyage sensibles sont impliquées.

La piste de preuve devrait également enregistrer l'incertitude. Un passager peut savoir qu'un numéro de passeport ou de carte d'identité a été listé comme catégorie possible, mais ne pas savoir si son numéro de document exact a été exposé à moins que l'entreprise ne donne un avis individualisé. Une équipe d'entreprise peut savoir que la compagnie aérienne a divulgué une violation, mais ne pas savoir si des cadres particuliers ou des voyages étaient concernés. Séparer les faits confirmés des questions ouvertes aide à prévenir à la fois la panique et la complaisance.

Le rôle de l'entreprise est de faciliter cette piste de preuve côté client. Les avis individualisés devraient être clairs sur les champs concernés, la fenêtre temporelle, les canaux de contact légitimes, les actions recommandées et les limites de ce qui est connu. Si des services de surveillance d'identité sont proposés par un tiers, l'avis devrait expliquer quelles données le passager fournirait à ce service et quels sont les compromis. L'avis du HKCERT a fait ce point en avertissant les passagers de considérer le risque avant de soumettre plus d'informations personnelles à un fournisseur de surveillance d'identité.

Une réponse mature maintient également le dossier vivant. Si des constats réglementaires ultérieurs révèlent des faiblesses de contrôle supplémentaires, les passagers et les clients professionnels devraient pouvoir relier ces constats à leur propre réponse. L'incident ne devrait pas disparaître après le premier avis. Il devrait devenir partie intégrante de l'apprentissage du risque de voyage et de confidentialité de l'organisation.

Pourquoi cette affaire reste utile après le cycle médiatique

L'affaire Cathay Pacific reste utile car elle relie la gouvernance de la vie privée, les contrôles de cybersécurité, la conservation, la réglementation transfrontalière et le risque passager dans un seul dossier public. De nombreux incidents ont une leçon dominante. Celui-ci en a plusieurs: connaître le patrimoine de données, sécuriser l'accès à distance, analyser efficacement les systèmes exposés à Internet, protéger les sauvegardes, supprimer les anciens identifiants, notifier les personnes concernées à temps pour les aider et conserver des preuves prêtes pour les régulateurs.

Il montre également pourquoi les données passagers méritent un traitement spécial. Les données de voyage sont pratiques, personnelles et contextuelles. Elles peuvent révéler l'identité, la localisation, les schémas, les relations et le statut. Elles peuvent être utilisées pour la fraude, l'ingénierie sociale, la surveillance ou l'embarras même lorsque l'utilisation abusive de cartes de paiement n'est pas démontrée. Les avis des compagnies aériennes devraient donc éviter de réduire le risque passager au seul risque de carte de crédit. L'avis de Cathay Pacific nommait de nombreux champs autres que de paiement, ce qui était nécessaire.

La question de gouvernance est de savoir si les contrôles autour de ces champs étaient adéquats avant l'incident.

L'affaire récompense également une analyse minutieuse. Il serait faux de prétendre que la sécurité des vols a été affectée alors que Cathay Pacific a publiquement déclaré que les systèmes concernés étaient séparés et qu'il n'y avait aucun impact sur la sécurité des vols. Il serait également faux de traiter cette séparation de sécurité comme la fin de la responsabilité. La gouvernance des données passagers est sa propre relation de confiance.

Le fait que les opérations aériennes se soient poursuivies en toute sécurité ne répond pas à la question de savoir pourquoi les données personnelles étaient accessibles, pourquoi certains anciens numéros d'identité subsistaient ou pourquoi les passagers ont été notifiés quand ils l'ont été.

La leçon durable est que la confiance devrait être fondée sur des preuves. Une entreprise gagne la confiance en montrant qu'elle sait où se trouvent les données sensibles, pourquoi elle les détient, comment elle les protège, comment elle détecte les accès anormaux, comment elle supprime les champs inutiles et comment elle dit aux personnes concernées quoi faire. C'est la norme de gouvernance que le dossier Cathay Pacific rend visible.

Indicateurs opérationnels qui rendraient la récupération vérifiable

Le dossier suivant le plus utile inclurait des indicateurs opérationnels plutôt que des assurances générales. Pour Cathay Pacific, ces indicateurs incluraient le nombre de systèmes contenant des champs passagers à haut risque, l'état d'avancement de l'inventaire des données personnelles, la fréquence et la couverture des analyses de vulnérabilité, le pourcentage d'utilisateurs d'accès à distance couverts par une authentification multifacteur efficace, le nombre d'enregistrements de cartes d'identité inutiles supprimés et l'état du cryptage des sauvegardes et des contrôles de conservation.

Les indicateurs spécifiques à l'incident incluraient le délai de détection à confinement, le délai de confinement à notification, l'achèvement du cadrage au niveau des champs, les dates de notification aux régulateurs, l'achèvement de la notification aux passagers et le nombre de passagers par groupe de catégories de données. Les chiffres publics exacts ne sont pas toujours appropriés, mais les catégories et l'état d'avancement peuvent rendre les affirmations de récupération plus vérifiables sans exposer de nouveau risque.

Les indicateurs devraient également distinguer la récupération technique de la récupération de gouvernance. La récupération technique signifie que la voie immédiate a été contenue et que les systèmes ont été renforcés. La récupération de gouvernance signifie que l'entreprise peut prouver qu'elle dispose désormais de contrôles d'inventaire, de conservation, d'accès et de notification qui empêchent la même classe de défaillance de se reproduire. Une entreprise peut corriger un système et ne pas corriger la conservation. Elle peut supprimer d'anciennes données et laisser l'accès à distance faible.

La récupération doit couvrir toute la classe de contrôle.

Pour les passagers et les régulateurs, ces indicateurs transforment la réassurance en quelque chose de vérifiable. Ils permettent aux personnes de voir si l'organisation passe de la réponse à l'incident à l'apprentissage institutionnel. Ils permettent également aux conseils de demander si les contrôles qui ont échoué ont des propriétaires désignés, des calendriers et des preuves.

Les clauses contractuelles et politiques devraient suivre la surface exposée

Les clauses contractuelles et les politiques devraient suivre la surface exposée. Si la surface exposée est constituée de données de documents de voyage, les politiques devraient définir les objectifs de collecte, les délais de conservation, les limites d'accès, le cryptage et les tests de suppression. Si la surface exposée est constituée d'informations de fidélité, les politiques devraient définir le partage avec les partenaires, la protection des comptes et les obligations de notification.

Si la surface exposée est constituée de sauvegardes, les politiques devraient couvrir le cryptage des sauvegardes, les contrôles de migration, les journaux d'accès et la suppression après la fin de l'objectif du projet.

Les avis de confidentialité destinés aux passagers devraient également devenir plus opérationnels. Les personnes devraient pouvoir comprendre quels champs d'identité sont collectés, pourquoi ils sont conservés, qui peut y accéder, combien de temps ils restent et ce qui se passe lorsque l'objectif expire. Un avis de confidentialité juridiquement complet mais opérationnellement vague peut ne pas aider les passagers à comprendre la relation de risque. La responsabilité de gouvernance exige une clarté qui peut être testée.

Les contrats de voyages d'affaires et les clauses de protection des données devraient aborder la notification d'incident, le cadrage au niveau des champs, la coopération avec les régulateurs, la notification aux partenaires et le soutien en cas de risque d'identité. Les gestionnaires de voyages ne devraient pas découvrir lors d'une violation qu'ils ne peuvent pas obtenir d'informations utiles pour les employés dont les données de voyage ont été affectées. Le contrat ne peut pas empêcher tous les incidents, mais il peut décider à quelle vitesse les faits passent de la compagnie aérienne au client.

Le dossier Cathay Pacific est donc un modèle de politique sous forme négative. Il montre les types de surfaces qui devraient être gouvernées avant un incident: inventaire, accès à distance, gestion des vulnérabilités, sauvegardes, conservation, notification et preuve réglementaire. Une bonne politique transforme ces surfaces en propriétaires, contrôles et dates de révision.

La question de la récurrence

La question de la récurrence n'est pas de savoir si l'incident identique de Cathay Pacific se reproduira. Les systèmes, les lois, les fournisseurs et les acteurs de la menace changent. La question de la récurrence est de savoir si la même faiblesse de gouvernance pourrait réapparaître sous une autre étiquette. Un ancien champ d'identité pourrait rester dans une plateforme de fidélité. Une sauvegarde de migration pourrait être exposée dans un emplacement de stockage cloud. Un compte d'accès à distance pourrait manquer d'authentification forte. Un service exposé à Internet pourrait manquer une vulnérabilité connue.

Un inventaire de données pourrait omettre un système hérité.

Pour les compagnies aériennes et les plateformes de voyage, la prévention de la récurrence devrait se concentrer sur l'inventaire des données, la suppression, le contrôle de l'accès à distance, la gestion des vulnérabilités, la protection des sauvegardes, la segmentation, la surveillance et les exercices de notification. Pour les régulateurs, la prévention de la récurrence signifie demander des preuves que ces contrôles fonctionnent en continu. Pour les passagers et les clients professionnels, la prévention de la récurrence signifie demander quelles données sont vraiment nécessaires et combien de temps elles restent.

L'apprentissage est plus fort que la clôture. La clôture dit que la réponse à l'incident est terminée. L'apprentissage dit que l'organisation a changé la façon dont elle gouverne les données passagers. Les lecteurs devraient rechercher des preuves d'apprentissage: moins d'identifiants inutiles, un accès à distance plus fort, de meilleures cartes de données, une révision plus fréquente des vulnérabilités, des avis aux passagers plus clairs et un suivi réglementaire. Ces signes comptent plus qu'une déclaration générale selon laquelle la sécurité a été renforcée.

L'affaire Cathay Pacific devrait rester dans les examens de confidentialité, les dossiers des conseils d'administration des compagnies aériennes, les audits de conservation des données, les exercices de réponse aux incidents et les dossiers d'approvisionnement en voyages. Ce n'est pas seulement une violation passée. C'est un exemple durable de la façon dont la gouvernance des données de voyage devient publique lorsque l'inventaire, la sécurité, la conservation et la notification sont testés à grande échelle.

Le résultat final en matière de responsabilité

Le résultat final est que Cathay Pacific a fait des données passagers un dossier de responsabilité de gouvernance. L'incident compte car les passagers, les membres de programmes de fidélité, les partenaires de voyage, les régulateurs, les équipes de lutte contre l'usurpation d'identité et les administrateurs de compagnies aériennes ont dû évaluer les risques d'identité et d'hameçonnage dans le cadre d'une relation de voyage à long terme. La norme de responsabilité n'était pas une prévention parfaite.

C'était un contrôle pratique: connaître le patrimoine de données, sécuriser l'accès, minimiser la conservation, détecter les activités anormales, notifier les personnes à temps pour les aider et conserver des preuves pouvant être testées ultérieurement.

Le dossier étaye une conclusion à haute confiance concernant les devoirs autour de l'inventaire des données passagers, du durcissement des bases de données, de la protection des identifiants, de la détection tardive, de la notification transfrontière, des preuves réglementaires et de la preuve que les documents de voyage et les enregistrements de fidélité étaient délimités. Il ne permet pas de prétendre que tous les faits privés sont connus. Cette distinction est l'essence de l'analyse responsable.

La responsabilité devrait suivre la partie ayant le contrôle et les preuves, tandis que l'incertitude devrait rester visible jusqu'à ce que de meilleures preuves la comblent.

Pour les conseils d'administration, les acheteurs, les régulateurs et les passagers, le message est direct. Ne demandez pas seulement combien de personnes ont été concernées. Demandez quel objet de confiance a été perturbé, qui le contrôlait avant l'événement, qui a porté le travail après la divulgation et quelle preuve prouve que le patrimoine de données de voyage est désormais plus sûr. Dans une relation mondiale avec une compagnie aérienne, les données passagers ne sont pas accessoires. C'est un actif gouverné, et la gouvernance doit être visible lorsque la confiance est perdue.