Cathay Pacific: les données passagers, un dossier de gouvernance et de responsabilité

Résumé

• Cathay Pacific a révélé en octobre 2018 qu'un accès non autorisé avait compromis les données personnelles d'environ 9,4 millions de personnes, incluant des champs d'identité, de contact, d'historique de voyage, de fidélisation et de documents de voyage, tout en précisant que les systèmes affectés étaient distincts des opérations aériennes et qu'elle n'avait aucune preuve d'utilisation abusive.
• La question de responsabilité est la suivante: qui détenait le contrôle effectif de l'inventaire des données passagers, du durcissement des bases de données, de la protection des identifiants, de la détection tardive, de la notification transfrontalière, des preuves réglementaires et de la preuve que les documents de voyage et les dossiers de fidélisation étaient circonscrits?
• Les dossiers des régulateurs de Hong Kong et du Royaume-Uni ont transformé l'incident d'un simple avis de violation en un dossier de gouvernance, avec des conclusions sur la gestion des vulnérabilités, l'exposition sur Internet, l'authentification multifacteur, la gestion des sauvegardes de bases de données, l'inventaire des données, la conservation et le moment de la notification aux passagers.
• Les passagers, les membres de programmes de fidélité, les partenaires de voyage, les régulateurs, les équipes de lutte contre la fraude d'identité et les administrateurs des compagnies aériennes ont dû évaluer le risque d'usurpation d'identité et de hameçonnage dans le cadre d'une relation de voyage de longue durée.
• Le dossier public confirme avec un haut degré de confiance une conclusion de responsabilité concernant les obligations de gouvernance et les lacunes de preuves. Il ne permet pas d'inventer des faits privés sur chaque action de l'attaquant, chaque système affecté ou chaque résultat spécifique aux passagers.

Dossier de preuves et son utilisation

Cet article considère le dossier public comme un ensemble de preuves stratifiées plutôt que comme un compte rendu unique et définitif. Les annonces de l'entreprise et les divulgations boursières sont utilisées pour ce que Cathay Pacific a déclaré publiquement. Les documents des régulateurs de Hong Kong et du Royaume-Uni sont utilisés pour les conclusions, le contexte d'application et les attentes en matière de gouvernance.

Les avis de sécurité, les reportages, les textes juridiques et les cadres de contrôle sont utilisés pour encadrer le risque pour les passagers, les obligations de confidentialité, la gouvernance transfrontalière des données et les implications pour les parties concernées.

Le cadre de responsabilité est plus étroit que le blâme et plus large qu'un décompte de violations

L'incident de données passagers de Cathay Pacific en 2018 est souvent retenu pour le chiffre: environ 9,4 millions de personnes affectées. Le chiffre compte, mais il ne constitue pas l'intégralité du cadre de responsabilité. La question plus durable est que les données des passagers aériens ne sont pas une simple liste de contacts. Elles peuvent combiner nom, nationalité, date de naissance, numéro de téléphone, adresse e-mail, adresse postale, numéro de passeport, numéro de carte d'identité, numéro de membre de programme de fidélisation, remarques de service, historique des voyages et fragments de carte de paiement.

Ces champs s'inscrivent dans une relation de voyage de longue durée qui peut traverser des pays, des régulateurs, des compagnies aériennes, des partenaires de fidélité, des centres d'appels et des systèmes de réservation numériques.

C'est pourquoi l'affaire relève d'un dossier de gouvernance plutôt que d'un simple avis de violation. La question publique n'est pas seulement de savoir si des données ont été consultées. Cathay Pacific elle-même a déclaré que certaines données personnelles avaient été consultées, que la combinaison variait selon les passagers, qu'aucun profil de voyage ou de fidélité n'avait été consulté dans son intégralité, qu'aucun mot de passe n'avait été compromis et que les systèmes affectés étaient distincts des opérations aériennes. Ces déclarations sont significatives. Elles créent également des obligations de preuve.

Un passager, un régulateur ou un gestionnaire de voyages d'affaires doit savoir comment l'entreprise a prouvé ces limites et pourquoi il lui a fallu autant de temps pour informer les personnes affectées.

Le blâme est trop grossier pour cette question. La responsabilité demande qui avait le contrôle pratique à chaque étape. Qui savait où se trouvaient les données des passagers? Qui contrôlait les systèmes exposés sur Internet et l'accès à distance? Qui contrôlait les sauvegardes de bases de données créées lors des travaux de migration? Qui était responsable de la conservation des numéros de carte d'identité après l'expiration de leur finalité initiale? Qui a décidé quand les passagers disposaient de suffisamment d'informations pour être avertis?

Qui pouvait démontrer aux régulateurs que l'exposition des documents de voyage et des dossiers de fidélité avait été circonscrite? Ce sont des questions de gouvernance car elles concernent la propriété, les preuves et la répétabilité, et pas seulement la réponse d'urgence.

Les dossiers du PCPD de Hong Kong et de l'ICO britannique ont rendu ce point explicite. Le régulateur de Hong Kong a constaté des contraventions liées à la sécurité et à la conservation, notamment des problèmes de gestion des vulnérabilités, d'exposition des administrateurs sur Internet, d'authentification multifacteur, de fichiers de sauvegarde de bases de données non chiffrés, d'inventaire des données personnelles et de conservation des numéros de carte d'identité de Hong Kong. Le dossier de sanction britannique a ajouté une couche supplémentaire de responsabilité transfrontalière.

La leçon publique finale n'est pas que tout fait inconnu doit être traité comme un préjudice confirmé. C'est qu'une entreprise détenant des données de voyage doit être en mesure de prouver le contrôle de son patrimoine de données avant, pendant et après une intrusion.

Ce que le dossier public établit

Le dossier public établit la chronologie de base. La divulgation boursière de Cathay Pacific à Hong Kong indiquait qu'une activité suspecte avait été découverte pour la première fois en mars 2018, que l'accès non autorisé à certaines données personnelles avait été confirmé début mai 2018 et que l'analyse s'était poursuivie pour identifier les individus affectés et déterminer si les données pouvaient être reconstruites. En octobre 2018, l'entreprise a annoncé publiquement un accès non autorisé impliquant les données de passagers pour environ 9,4 millions de personnes.

Elle a déclaré avoir pris des mesures immédiates pour enquêter et contenir l'événement, avoir travaillé avec une entreprise de cybersécurité, avoir informé la police et les autorités compétentes, et avoir commencé à contacter les passagers affectés par plusieurs canaux.

Le dossier public établit également le type de données en cause. L'annonce et la divulgation boursière de Cathay Pacific énuméraient les noms des passagers, les nationalités, les dates de naissance, les numéros de téléphone, les adresses e-mail, les adresses postales, les numéros de passeport, les numéros de carte d'identité, les numéros de membre de programme de fidélisation, les remarques du service client et l'historique des voyages. L'entreprise a également divulgué l'accès à 403 numéros de carte de crédit expirés et à 27 numéros de carte de crédit sans cryptogramme visuel. La combinaison des champs variait selon les passagers.

L'entreprise a déclaré n'avoir aucune preuve que les informations personnelles aient été utilisées de manière abusive et que les systèmes affectés étaient distincts des systèmes d'opérations aériennes, sans impact sur la sécurité des vols.

Les dossiers des régulateurs ont ajouté des conclusions que la déclaration de l'entreprise seule ne fournissait pas. Le PCPD de Hong Kong a décrit des défaillances dans la sécurité et la conservation des données personnelles, notamment des faiblesses dans l'inventaire des données et les contrôles techniques. Il a indiqué que les personnes concernées comprenaient des passagers, des membres d'Asia Miles et du Marco Polo Club, et des utilisateurs enregistrés provenant de plus de 260 pays, juridictions ou territoires. L'ICO britannique a ensuite infligé une sanction pécuniaire en vertu du cadre britannique antérieur au RGPD.

Le rapport annuel 2019 de Cathay Pacific indiquait que les enquêtes des autorités de protection de la vie privée dans plusieurs juridictions étaient closes, tandis qu'elle continuait de répondre aux enquêtes et demandes d'autres autorités.

Le dossier public n'établit pas tous les faits privés de l'enquête judiciaire. Il ne publie pas chaque diagramme de système, chaque détail de vulnérabilité exploitée, chaque entrée de journal, chaque fichier consulté, chaque échange avec les régulateurs ou chaque risque spécifique aux passagers. C'est normal et en partie nécessaire. L'entreprise ne peut pas publier de détails qui mettraient en danger les systèmes ou exposeraient davantage de données personnelles.

Mais l'absence de détails privés signifie que la responsabilité publique doit se concentrer sur des limites vérifiables: quelles catégories de données étaient impliquées, quels systèmes étaient séparés, quels contrôles ont échoué, quelles décisions de conservation ont été critiquées et quelles parties affectées ont reçu suffisamment d'informations pour se protéger.

Pourquoi l'objet de confiance est important

L'objet de confiance dans cette affaire était le patrimoine de données des passagers. Cette expression est importante car les données exposées n'appartenaient pas à une transaction isolée. Les données d'identité et de voyage des passagers s'accumulent au fil des ans. Une relation unique avec une compagnie aérienne peut inclure l'historique des réservations, les identifiants de fidélité, les habitudes de voyage familiales, les informations de passeport, les remarques du service client, les coordonnées, des fragments de paiement, les préférences de siège et des liens avec d'autres partenaires de voyage.

Les passagers ne perçoivent pas ces champs comme des lignes de base de données distinctes. Ils les perçoivent comme une seule identité de voyage.

Lorsque cet objet de confiance est perturbé, le risque peut se propager sans perte financière immédiate. Un numéro de passeport peut faciliter des tentatives d'usurpation d'identité ou d'ingénierie sociale. Un identifiant de voyageur fréquent peut rendre un message d'hameçonnage plus crédible. L'historique des voyages peut révéler des habitudes concernant le travail, la famille, les déplacements médicaux ou l'exposition politique. Les remarques du service client peuvent divulguer un contexte sensible.

Même si un mot de passe n'est pas compromis et qu'aucun cryptogramme de carte de paiement n'est exposé, la combinaison de champs d'identité et de voyage peut créer un fardeau durable pour les passagers affectés.

L'objet de confiance est également important pour la continuité du secteur public. Les compagnies aériennes sont des entreprises privées, mais les données des passagers recoupent le contrôle aux frontières, les documents d'identité, les restrictions de voyage, l'historique des contacts de santé publique et les déplacements d'urgence. L'incident n'a pas affecté la sécurité aérienne selon les déclarations publiques de Cathay Pacific, et cette distinction doit être préservée.

Néanmoins, la gouvernance des données des passagers a une dimension de continuité publique car les compagnies aériennes détiennent des dossiers sur lesquels les personnes et les autorités s'appuient pour les déplacements transfrontaliers. La qualité, la sécurité, la conservation et la notification des données affectent plus que la personnalisation marketing.

Pour Cathay Pacific, la responsabilité dépendait donc de la capacité de l'entreprise à définir le patrimoine de données des passagers. Quels systèmes contenaient des données personnelles? Quelles sauvegardes contenaient quels champs? Quels anciens enregistrements de carte d'identité étaient encore conservés? Quels profils de voyage étaient complets ou incomplets? Quelles données de fidélité et de service pouvaient être combinées par un attaquant? Une entreprise ne peut circonscrire un incident de données de passagers que si elle sait déjà où se trouvent les données des passagers et pourquoi elle détient encore chaque catégorie.

La surface de contrôle avant l'incident

Avant l'incident, les contrôles critiques étaient l'inventaire des données, la gestion des vulnérabilités, la protection de l'accès à distance, l'exposition des administrateurs, la gestion des sauvegardes de bases de données, la surveillance des accès et la gouvernance de la conservation. Ces contrôles semblent ordinaires. Leur nature ordinaire est précisément l'essentiel. La sécurité des données des passagers n'est pas seulement préservée par une équipe d'intervention d'urgence après la détection.

Elle est préservée par des contrôles de routine qui déterminent si un attaquant peut trouver des données, si un accès anormal est remarqué, si d'anciens champs restent disponibles et si l'entreprise peut expliquer l'étendue après l'événement.

Les conclusions du PCPD de Hong Kong ont rendu concrète la surface de contrôle antérieure à l'incident.

Le régulateur a pointé l'incapacité à identifier une vulnérabilité exploitable couramment connue et son exploitation, une analyse annuelle des vulnérabilités trop laxiste pour le contexte, l'exposition d'un port de console d'administrateur sur un serveur connecté à Internet, l'absence d'authentification multifacteur efficace pour tous les utilisateurs distants accédant à des systèmes contenant des données personnelles, des fichiers de sauvegarde de bases de données non chiffrés créés pour une migration de centre de données sans contrôles de sécurité efficaces, un inventaire des données personnelles inefficace et une faible vigilance après un

incident de sécurité antérieur.

Ce ne sont pas des slogans abstraits de bonnes pratiques. Ce sont les conditions qui rendent un vaste patrimoine de données de passagers plus difficile à défendre et plus difficile à expliquer.

La conservation constituait un contrôle distinct mais lié. Le régulateur a constaté que les numéros de carte d'identité de Hong Kong étaient conservés plus longtemps que nécessaire pour une finalité de vérification devenue obsolète. Les défaillances de conservation aggravent les violations car des données inutiles restent disponibles pour être exposées. Une entreprise peut éventuellement justifier la nécessité des numéros de passeport ou d'identité pour une réservation en cours ou une finalité réglementaire. Elle a besoin d'une explication différente lorsqu'un ancien identifiant reste dans les systèmes après la fin du motif de collecte.

La minimisation des données est un contrôle de sécurité car des données qui n'existent plus ne peuvent pas être volées.

La surface de contrôle incluait également la gouvernance entre les filiales et les marques. Le dossier public faisait référence à Cathay Pacific et Hong Kong Dragon Airlines, aux programmes de fidélisation, aux membres d'Asia Miles et du Marco Polo Club, et aux utilisateurs répartis dans de nombreuses juridictions. Cette répartition rend l'inventaire et la propriété plus difficiles. Elle rend également la gouvernance plus nécessaire. Un patrimoine fragmenté ne peut pas être défendu par une seule déclaration d'incident après les faits. Il a besoin de responsables identifiés avant les faits.

Détection, confinement et le facteur temps

Le temps est un élément de preuve. La chronologie publique montre une activité suspecte détectée en mars 2018, la confirmation de l'accès non autorisé à certaines données personnelles début mai 2018 et l'avis public en octobre 2018. L'explication de Cathay Pacific était que l'analyse s'était poursuivie afin de pouvoir identifier les individus affectés et déterminer si les données en cause pouvaient être reconstruites. Il s'agit d'un véritable défi opérationnel. Les grands patrimoines de données peuvent nécessiter une analyse minutieuse avant qu'une entreprise puisse dire aux gens exactement quels champs étaient impliqués.

Mais le temps compte car les passagers portaient le risque d'identité et d'hameçonnage pendant que l'entreprise analysait l'étendue.

Le PCPD de Hong Kong n'a pas constaté de contravention à l'obligation légale de notification en vertu de la loi applicable à Hong Kong à l'époque, car il n'y avait pas d'exigence légale de notification dans un délai particulier. Mais le régulateur a tout de même déclaré que Cathay Pacific aurait pu informer les passagers affectés de l'activité suspecte une fois détectée et les conseiller plus tôt sur les mesures appropriées. Cette distinction est importante. Les minimums légaux et les attentes en matière de responsabilité ne sont pas toujours identiques.

Une entreprise peut éviter une violation formelle et néanmoins faire face à une critique de gouvernance selon laquelle un avertissement plus précoce aurait mieux respecté les intérêts des passagers.

Le confinement avait également plusieurs couches. Cathay Pacific a déclaré avoir pris des mesures immédiates pour contenir l'événement, avoir lancé une enquête approfondie avec l'aide de la cybersécurité et avoir renforcé les mesures de sécurité. Les passagers affectés avaient besoin de plus qu'un langage de confinement.

Ils avaient besoin de savoir si les passeports, les numéros de carte d'identité, les numéros de fidélité et l'historique des voyages étaient concernés; si les mots de passe étaient affectés; si des profils complets de voyage ou de fidélité avaient été consultés; si les détails de carte de paiement étaient utilisables; et si les opérations aériennes étaient distinctes. L'avis public de l'entreprise a répondu à plusieurs de ces questions, et les dossiers des régulateurs ont par la suite abordé les faiblesses de contrôle sous-jacentes.

Le temps compte également pour les régulateurs. Un régulateur examinant un retard de notification doit examiner ce que l'entreprise savait à chaque étape, quelle incertitude demeurait, quelle action des passagers aurait pu réduire le préjudice et quelle divulgation aurait risqué de compromettre la sécurité. Le dossier public ne permet pas aux observateurs extérieurs de rejouer chaque décision interne. Il montre que la détection tardive et la notification tardive sont devenues des preuves de gouvernance.

Un patrimoine de données de cette envergure doit pouvoir passer de la détection à l'orientation des personnes affectées sans traiter la certitude comme un motif de silence.

Charge de travail des passagers après la divulgation

La divulgation transfère du travail aux passagers. Après l'annonce de Cathay Pacific, les passagers affectés ont dû décider s'ils surveillaient leurs comptes, se méfiaient du hameçonnage, examinaient l'activité de paiement, envisageaient des services de surveillance d'identité, mettaient à jour leurs attentes en matière de contact et traitaient avec suspicion les futurs messages utilisant des détails de voyage. Cette charge pouvait être faible pour un passager et importante pour un autre, selon les champs exposés. Le fardeau ne se limite pas aux pertes financières.

Il inclut l'attention, l'anxiété et la nécessité de se méfier de détails qui autrement rendraient un message légitime.

La combinaison de données est ce qui rend la charge difficile. Un e-mail d'hameçonnage incluant un nom, un numéro de voyageur fréquent, un historique de voyage ou une remarque de service peut être plus convaincant qu'un spam générique. Un appel téléphonique utilisant de véritables détails de voyage peut sembler plus crédible. Les numéros de passeport et de carte d'identité peuvent créer une préoccupation plus durable car ils ne sont pas aussi faciles à changer qu'un mot de passe. Même les numéros de carte de paiement expirés peuvent nécessiter une explication lorsque les passagers les voient répertoriés dans un avis de violation.

L'entreprise a déclaré qu'aucun mot de passe n'avait été compromis et qu'aucun profil complet de voyage ou de fidélité n'avait été consulté, et ces limites réduisent certains risques. Elles n'effacent pas la charge de travail pratique créée par des champs d'identité et de voyage exposés.

L'avis public du HKCERT a saisi cette réalité du côté des passagers en mettant en garde contre les escroqueries et les messages d'hameçonnage qui pourraient utiliser le nom de l'entreprise ou des informations personnelles. Il a conseillé aux passagers de prêter attention aux communications officielles et d'être prudents même lorsqu'un expéditeur ou un appelant pouvait décrire correctement des informations personnelles. Ce conseil n'est pas une preuve d'utilisation abusive. C'est une réponse pratique au risque créé lorsque des données personnelles et de voyage peuvent être disponibles en dehors de l'entreprise.

Une bonne notification aux passagers devrait aider les gens à dimensionner leur travail. Elle devrait décrire les catégories affectées, ce qui n'a pas été affecté, comment l'entreprise contactera les gens, quels canaux sont légitimes, quelles actions sont utiles et quelles actions sont inutiles. L'avis de Cathay Pacific incluait des catégories de données, un site Web dédié, un centre d'appels et un contact par e-mail. La question de responsabilité est de savoir si le moment et la spécificité étaient suffisants compte tenu de ce que l'entreprise savait depuis mars et mai 2018.

Gouvernance transfrontalière et localisation des données

Cet incident est un cas de souveraineté et de localisation des données car les passagers, les régulateurs et les dossiers ont traversé les frontières. Cathay Pacific est basée à Hong Kong, mais les personnes affectées provenaient de nombreuses juridictions. Certains champs de données concernaient des documents d'identité gouvernementaux. Les régulateurs de Hong Kong, du Royaume-Uni, de Singapour, de Turquie, de Taïwan et d'autres juridictions avaient des intérêts potentiels selon le dossier public. Le même événement pouvait donc être examiné sous différents régimes juridiques, pouvoirs d'exécution et attentes.

La gouvernance transfrontalière ne concerne pas seulement l'emplacement d'un serveur. Elle concerne qui peut exiger des preuves, qui doit être notifié, quelles normes s'appliquent et comment les passagers de différents endroits reçoivent une clarté équivalente. Le dossier public de Cathay Pacific montre que les régulateurs n'ont pas tous joué le même rôle. Le PCPD de Hong Kong a émis un avis d'exécution et a souligné l'absence de pouvoir d'amende administrative en vertu de la loi à l'époque. L'ICO britannique a infligé une sanction pécuniaire en vertu du cadre de la loi sur la protection des données de 1998.

Le rapport annuel de Cathay Pacific décrivait plusieurs enquêtes de régulateurs comme closes tandis que d'autres se poursuivaient. Un seul incident de données peut donc créer un dossier de responsabilité stratifié.

La question de la localisation apparaît également à l'intérieur des données elles-mêmes. Les numéros de passeport et de carte d'identité ne sont pas des champs génériques. Ils sont liés aux autorités émettrices, aux processus frontaliers et aux systèmes d'identité locaux. L'historique des voyages peut révéler des déplacements transfrontaliers. L'adhésion à un programme de fidélité peut relier les passagers à des partenaires et des services. Lorsque de telles données sont détenues par une compagnie aérienne mondiale, la gouvernance doit tenir compte à la fois des systèmes d'entreprise et des attentes juridictionnelles.

Une seule équipe de confidentialité ne peut pas traiter tous les champs comme également sensibles ni tous les passagers comme s'ils vivaient sous un seul régime juridique.

La leçon transfrontalière est que les entreprises ont besoin de preuves prêtes pour les régulateurs avant un incident. Elles ont besoin de cartographies des données, de calendriers de conservation, de dossiers de contrôles de sécurité, de chronologies d'incidents, de critères de notification aux passagers et de preuves que les conclusions juridiques correspondent aux faits techniques. Attendre après un accès non autorisé pour constituer ce dossier crée des retards et des incohérences. Le cas de Cathay Pacific montre comment un incident peut devenir plusieurs conversations de gouvernance, chacune avec ses propres questions et pouvoirs.

La dépendance aux services cloud sous-jacente aux données de voyage

Le thème manifeste de la dépendance aux services cloud s'applique à ce cas même si le dossier public ne décrit pas l'événement comme une simple violation de plateforme cloud. Les données des passagers aériens sont traitées via des systèmes distribués: canaux de réservation, systèmes de fidélisation, outils de service client, travaux de migration de centre de données, accès à distance, interfaces partenaires, analytique et surveillance de la sécurité. Certains peuvent être hébergés, d'autres internes, d'autres pris en charge par des fournisseurs et d'autres hybrides. Le passager les vit comme une seule relation avec la compagnie aérienne.

Cette dépendance est importante car des architectures de type services cloud peuvent rendre les données plus utiles et plus difficiles à inventorier en même temps. Un champ collecté pour une réservation peut être copié dans le support, la fidélisation, les sauvegardes de migration, les rapports ou les systèmes de fraude. Un utilisateur distant peut avoir besoin d'accès pour un support légitime. Une sauvegarde de base de données peut exister pour un projet technique. Chaque copie peut être défendable isolément.

Le problème de responsabilité apparaît lorsque l'entreprise ne peut pas maintenir un inventaire à jour des données personnelles sur l'ensemble du patrimoine.

La conclusion du PCPD de Hong Kong concernant l'inefficacité de l'inventaire des données personnelles est donc centrale. L'inventaire n'est pas de la paperasse. C'est le contrôle qui permet à une entreprise de répondre aux questions après un accès non autorisé. Quels systèmes contiennent des numéros de passeport? Quels anciens numéros de carte d'identité auraient dû être supprimés? Quelles sauvegardes sont chiffrées? Quels utilisateurs distants peuvent accéder aux données personnelles? Quels systèmes exposés sur Internet peuvent toucher le patrimoine de données? Sans inventaire, l'analyse de la violation devient de l'archéologie.

La leçon sur la dépendance au cloud pour les compagnies aériennes et les entreprises similaires est de traiter le mouvement des données comme une surface de risque. Chaque migration, sauvegarde, flux partenaire et flux de travail de support devrait avoir un propriétaire, une règle de conservation, une règle d'accès et une attente de surveillance. Sinon, des données copiées par commodité peuvent devenir des données exposées lors d'un incident. Le dossier de Cathay Pacific est utile car il relie les contrôles techniques aux preuves de gouvernance dans un secteur où le mouvement des données est constant.

La conservation des données comme multiplicateur de violation

La conservation est l'une des leçons de responsabilité les plus claires du dossier Cathay Pacific. Le régulateur de Hong Kong a constaté que certains numéros de carte d'identité de Hong Kong avaient été conservés plus longtemps que nécessaire pour une finalité de vérification devenue obsolète. Cette conclusion transforme l'incident d'une histoire de contrôle d'accès en une histoire de cycle de vie des données. Une entreprise peut avoir un pare-feu solide et néanmoins créer une exposition évitable en conservant des données dont elle n'a plus besoin.

Les défaillances de conservation multiplient l'impact d'une violation de trois manières. Premièrement, elles augmentent le nombre de personnes affectées parce que d'anciens enregistrements restent dans le périmètre. Deuxièmement, elles augmentent la sensibilité car les identifiants gouvernementaux peuvent survivre à la finalité commerciale qui les a créés. Troisièmement, elles affaiblissent l'explication de l'entreprise car les personnes affectées peuvent raisonnablement demander pourquoi les données existaient encore. Un avis de violation qui dit « ce champ a été exposé » est plus troublant lorsque le champ aurait déjà dû être supprimé.

Une bonne gouvernance de la conservation nécessite plus qu'une politique. Elle nécessite une classification des données, une propriété des systèmes, des flux de travail de suppression, des tests, des preuves d'audit et des exceptions qui expirent. La politique doit couvrir les sauvegardes, les fichiers de migration, les systèmes hérités, les programmes de fidélisation, les plateformes de service client et les flux partenaires. Si les règles de conservation ne s'appliquent qu'au système de production principal, l'organisation peut conserver des données sensibles dans des endroits moins protégés.

Pour Cathay Pacific, la conclusion sur la conservation est également un rappel que les obligations de confidentialité et de sécurité se renforcent mutuellement. La confidentialité demande si l'entreprise devrait encore détenir un champ. La sécurité demande si le champ est protégé. Le contrôle le plus fort est souvent la suppression. Lorsque la suppression n'est pas possible en raison de la loi ou de besoins opérationnels, l'entreprise a besoin d'un contrôle d'accès, d'un chiffrement, d'une surveillance et d'un examen plus rigoureux.

C'est la logique de gouvernance qui fait de la conservation une partie de la responsabilité plutôt qu'une considération administrative après coup.

Qualité de la divulgation et incertitude

L'avis public de Cathay Pacific a fait plusieurs choses utiles. Il a identifié la population affectée, énuméré les catégories de données, séparé les systèmes d'information affectés des opérations aériennes, déclaré qu'il n'y avait pas d'impact sur la sécurité des vols, affirmé qu'aucun mot de passe n'avait été compromis et déclaré qu'il n'y avait aucune preuve d'utilisation abusive. Il a également fourni des canaux pour les passagers affectés. Ces faits étaient importants car ils aidaient les passagers à distinguer le risque lié aux données personnelles du risque de sécurité opérationnelle.

L'avis a également laissé des questions auxquelles les dossiers ultérieurs des régulateurs ont aidé à répondre. Pourquoi l'avis public est-il intervenu des mois après la détection d'une activité suspecte et la confirmation d'un accès non autorisé? Dans quelle mesure l'inventaire des données personnelles était-il complet? Quels contrôles techniques manquaient ou étaient faibles? Pourquoi certains numéros de carte d'identité étaient-ils encore conservés? Comment les fichiers de sauvegarde étaient-ils protégés? Quels utilisateurs distants disposaient d'une authentification multifacteur efficace?

Ces questions ne sont pas des critiques rétrospectives. Ce sont exactement les questions de gouvernance qui permettent aux passagers et aux régulateurs d'évaluer si l'incident reflétait une anomalie contenue ou un problème de contrôle plus large.

L'incertitude doit être nommée plutôt que cachée. Le dossier public n'expose pas tous les systèmes touchés, chaque mouvement de l'attaquant ou chaque risque spécifique aux passagers. Un article responsable ne devrait pas combler ces lacunes par des spéculations. Mais un dossier d'entreprise responsable devrait également éviter de laisser l'incertitude devenir une réassurance. Si une entreprise dit qu'il n'y a aucune preuve d'utilisation abusive, cela ne revient pas à prouver qu'une utilisation abusive n'a pas eu lieu.

Si une entreprise dit qu'aucun mot de passe n'a été compromis, cela ne répond pas à la question de savoir si les champs de documents de voyage peuvent favoriser d'autres préjudices. La précision protège à la fois l'entreprise et les personnes affectées.

Une bonne divulgation a un caractère échelonné. Un avis précoce peut dire aux gens ce qui est suspecté et quelles précautions prendre. Des mises à jour ultérieures peuvent réduire le périmètre et expliquer les preuves. Les dossiers finaux peuvent décrire les leçons et les changements de contrôle. Le cas de Cathay Pacific montre le coût lorsque le public apprend des détails significatifs après des mois d'analyse et plus tard par le biais des conclusions des régulateurs. Un dossier public plus solide aurait rendu plus facile le suivi de l'évolution de l'état des connaissances.

Ce qu'un dossier de preuves publiques plus solide montrerait

Un dossier de preuves publiques plus solide répondrait à plusieurs questions spécifiques à l'incident sans exposer de détails défensifs sensibles. Il expliquerait quelles classes de systèmes ont été affectées, quelles classes de systèmes n'ont pas été affectées, quelles preuves séparaient les opérations aériennes des systèmes de données passagers, quelles combinaisons de champs ont été exposées par groupe de passagers, quels fichiers de sauvegarde étaient impliqués et quelles décisions de conservation ont permis à d'anciennes données d'identité de rester disponibles.

Il expliquerait également comment l'entreprise a confirmé que les mots de passe et les profils complets de voyage ou de fidélité n'avaient pas été compromis.

Le dossier donnerait également plus de détails sur le calendrier. Que savait l'entreprise en mars 2018? Qu'est-ce qui a changé début mai? Quelle analyse était nécessaire avant la notification aux passagers? Quelles mesures de protection des passagers auraient pu être recommandées plus tôt sans identifier incorrectement les personnes affectées? Quelles communications avec les régulateurs ont eu lieu avant l'avis public? Ces questions sont importantes car elles aident à distinguer le délai d'enquête nécessaire du délai de gouvernance.

Des preuves solides incluraient des changements de contrôle en termes opérationnels. L'analyse des vulnérabilités est-elle devenue plus fréquente? Les ports d'administration ont-ils été retirés de l'exposition sur Internet? L'authentification multifacteur a-t-elle été appliquée à tous les utilisateurs distants touchant les systèmes de données personnelles? Les sauvegardes de bases de données ont-elles été chiffrées et gouvernées? L'inventaire des données personnelles a-t-il été reconstruit? Les numéros de carte d'identité inutiles ont-ils été supprimés de tous les systèmes?

L'avis d'exécution de Hong Kong pointait vers plusieurs de ces remèdes. La confiance du public augmente lorsque le remède peut être testé par rapport au contrôle qui a échoué.

Le but de preuves plus solides n'est pas la punition publique. C'est l'apprentissage du marché. Les compagnies aériennes, les programmes de fidélisation, les plateformes de voyage et les autres détenteurs de données transfrontalières peuvent comparer leurs propres patrimoines avec le dossier. Les passagers peuvent comprendre leur risque. Les régulateurs peuvent se concentrer sur les preuves plutôt que sur les gros titres. Les conseils d'administration peuvent demander à la direction si l'organisation sait où se trouvent les données de voyage sensibles et si elle peut prouver la suppression lorsque la conservation prend fin.

Les conseils d'administration devraient traiter les données des passagers comme un actif gouverné

Les conseils d'administration devraient traiter les données des passagers comme un actif gouverné, et pas seulement comme une ressource commerciale. Les données de voyage aident les compagnies aériennes à servir les passagers, à gérer la fidélité, à personnaliser les offres et à soutenir les opérations. Les mêmes données peuvent créer des risques d'identité, de confidentialité et transfrontaliers si l'inventaire, le contrôle d'accès, la conservation et la surveillance sont faibles. La supervision du conseil devrait donc inclure le cycle de vie des données, et pas seulement les métriques d'incidents de cybersécurité.

Un tableau de bord utile pour le conseil montrerait où se trouvent les champs de données passagers à haut risque, quels systèmes détiennent des numéros de passeport ou d'identité, quelles sauvegardes contiennent des données personnelles, à quelle fréquence les systèmes et applications exposés sur Internet sont analysés, quels utilisateurs distants peuvent accéder aux systèmes de données personnelles, quels champs sont programmés pour suppression et quelles preuves prouvent la suppression. Il montrerait également les délais de détection et de notification des incidents à partir d'exercices, et pas seulement d'incidents réels.

Pour Cathay Pacific, la responsabilité du conseil après l'événement inclurait des questions sur la question de savoir si la remédiation a traité les conclusions spécifiques. Les intervalles de gestion des vulnérabilités ont-ils été modifiés? Les expositions des administrateurs ont-elles été fermées? Une authentification multifacteur efficace a-t-elle été déployée pour les utilisateurs distants? Les sauvegardes de migration non chiffrées ont-elles été éliminées ou protégées? L'inventaire des données a-t-il été rendu suffisamment complet pour répondre aux questions des régulateurs?

Les numéros de carte d'identité inutiles ont-ils été effacés comme ordonné? Ces questions relient la gouvernance aux preuves.

Les conseils devraient également résister à la fausse sécurité tirée de la seule séparation opérationnelle. La déclaration de Cathay Pacific selon laquelle les systèmes affectés étaient distincts des opérations aériennes et que la sécurité des vols n'était pas affectée était importante. Mais la responsabilité en matière de confidentialité ne disparaît pas parce que les opérations de sécurité étaient séparées. Les données des passagers sont elles-mêmes un objet de confiance critique.

Elles méritent l'attention du conseil car la perte de confiance dans la gouvernance des données des passagers peut nuire à la relation avec la compagnie aérienne même lorsque les opérations aériennes continuent en toute sécurité.

Achats, partenaires et gestionnaires de voyages

Les gestionnaires de voyages et les clients professionnels devraient lire le dossier Cathay Pacific comme un rappel que le risque lié aux données des compagnies aériennes s'étend au-delà du prix du billet et du choix de la route. Les voyages d'affaires créent des schémas concernant les cadres, les projets, les négociations et les lieux. Une violation de données de passagers dans une compagnie aérienne peut affecter des employés dont l'historique de voyage et les informations d'identité font partie d'un tableau plus large de risques professionnels.

Les gestionnaires de voyages ont donc besoin de flux de travail de notification d'incident et de questions de minimisation des données pour les relations avec les compagnies aériennes et les agences de voyage.

Les partenaires ont également un intérêt. Les écosystèmes des compagnies aériennes incluent des partenaires de fidélisation, des plateformes de réservation, des hôtels, des prestataires de paiement, des agences de voyage et des fournisseurs de services. Tous les partenaires ne sont pas responsables des contrôles internes de la compagnie aérienne. Mais les partenaires ont besoin de clarté sur la question de savoir si les identifiants partagés, les numéros de fidélité ou les données de service client créent un risque en aval.

Un avis de violation qui ne nomme que la compagnie aérienne peut néanmoins nécessiter une vigilance côté partenaire contre l'hameçonnage ou l'abus de compte.

Les acheteurs professionnels peuvent poser de meilleures questions après cette affaire. Quels champs de données passagers sont conservés après le voyage? Combien de temps les documents d'identité sont-ils conservés? Quels champs de fidélisation et d'historique de voyage sont partagés avec les partenaires? Comment les anciens identifiants sont-ils supprimés? Quel avis un gestionnaire de voyages d'affaires reçoit-il lorsque les données de voyage des employés sont affectées? Comment la compagnie aérienne distingue-t-elle l'avis aux passagers de l'avis au compte entreprise?

Ces questions n'exigent pas qu'une compagnie aérienne révèle une architecture de sécurité sensible. Elles exigent que la compagnie aérienne gouverne la relation de données de manière transparente.

Les mêmes questions s'appliquent aux voyages du secteur public. Les employés du gouvernement, de l'éducation, de la santé et des infrastructures voyagent. Leurs dossiers de voyage peuvent révéler des schémas de déplacement sensibles. Une violation de données de passagers a donc un angle de continuité du secteur public même lorsque les opérations aériennes restent sûres. La réponse à l'incident devrait tenir compte du fait que certains passagers ont une exposition plus élevée en raison de leurs rôles ou de leurs habitudes de voyage.

Priorités des régulateurs et valeur des preuves

Les régulateurs ajoutent de la valeur lorsqu'ils testent les preuves derrière les déclarations des entreprises. Dans le cas de Cathay Pacific, les dossiers des régulateurs ont fait progresser la compréhension publique au-delà de l'annonce initiale. Le PCPD de Hong Kong a identifié des préoccupations spécifiques en matière de contrôle et de conservation. Le dossier de sanction de l'ICO britannique a ajouté une dimension d'exécution pécuniaire en vertu du droit britannique. Le rôle des régulateurs n'était pas simplement de confirmer qu'une violation s'était produite.

Il était de demander si les contrôles et la gouvernance derrière la violation répondaient aux attentes juridiques.

Les questions réglementaires les plus utiles dans des incidents similaires sont des questions de preuve. L'entreprise savait-elle où se trouvaient les données personnelles? Les vulnérabilités connues étaient-elles identifiées et corrigées? Les chemins administratifs exposés sur Internet étaient-ils justifiés et protégés? L'authentification multifacteur était-elle appliquée à l'accès à distance touchant les données personnelles? Les sauvegardes étaient-elles chiffrées? Les données personnelles n'étaient-elles conservées qu'aussi longtemps que nécessaire?

La notification aux passagers est-elle intervenue assez tôt pour permettre aux gens de se protéger? Les déclarations publiques correspondaient-elles aux preuves privées?

Les régulateurs devraient également tester la remédiation. Un avis d'exécution qui ordonne à une entreprise de réviser ses systèmes, d'appliquer l'authentification multifacteur, de mener des analyses efficaces, d'améliorer les examens de sécurité, de concevoir des politiques de conservation et de supprimer les identifiants inutiles est le plus fort lorsque le suivi confirme la mise en œuvre. Le public n'a peut-être pas besoin de chaque détail technique. Il a besoin d'avoir confiance que les conclusions sont devenues des contrôles plutôt que des documents.

Le cas Cathay Pacific montre également les limites des régimes juridiques. Le régulateur de Hong Kong a noté que la loi à l'époque ne lui permettait pas d'imposer une amende administrative comme l'ICO britannique. Différentes autorités ont différents outils. Cette différence rend les preuves encore plus importantes. Là où un régulateur peut infliger une amende et un autre peut émettre un avis d'exécution, le langage commun de responsabilité devrait toujours être le contrôle, la conservation, la notification et la preuve.

Piste de preuves côté client

Les passagers et les équipes de voyages d'affaires devraient conserver leur propre piste de preuves après un incident de données. Un passager individuel peut conserver l'avis de l'entreprise, noter les champs qui ont été signalés comme affectés, surveiller les messages suspects, vérifier l'activité de paiement le cas échéant et s'assurer que les futures communications liées à la violation passent par des canaux légitimes.

Une équipe de voyages d'affaires peut identifier les employés qui pourraient être affectés, émettre des avertissements internes d'hameçonnage et se coordonner avec les équipes de sécurité lorsque des schémas de voyage sensibles sont impliqués.

La piste de preuves devrait également consigner l'incertitude. Un passager peut savoir qu'un numéro de passeport ou d'identité a été répertorié comme une catégorie possible, mais ne pas savoir si son numéro de document exact a été exposé à moins que l'entreprise ne donne un avis individualisé. Une équipe d'entreprise peut savoir que la compagnie aérienne a divulgué une violation, mais ne pas savoir si des cadres ou des voyages particuliers étaient concernés. Séparer les faits confirmés des questions ouvertes aide à prévenir à la fois la panique et la complaisance.

Le rôle de l'entreprise est de faciliter cette piste de preuves côté client. Les avis individualisés devraient être clairs sur les champs affectés, la fenêtre temporelle, les canaux de contact légitimes, les actions recommandées et les limites de ce qui est connu. Si des services de surveillance d'identité sont offerts par l'intermédiaire d'un tiers, l'avis devrait expliquer quelles données le passager fournirait à ce service et quels sont les compromis. L'avis du HKCERT a fait ce point en avertissant les passagers de considérer le risque avant de soumettre plus d'informations personnelles à un fournisseur de surveillance d'identité.

Une réponse mature maintient également le dossier vivant. Si des conclusions réglementaires ultérieures révèlent des faiblesses de contrôle supplémentaires, les passagers et les clients professionnels devraient pouvoir relier ces conclusions à leur propre réponse. L'incident ne devrait pas disparaître après le premier avis. Il devrait devenir une partie de l'apprentissage des risques de voyage et de confidentialité de l'organisation.

Pourquoi ce cas reste utile après le cycle d'actualités

Le cas Cathay Pacific reste utile parce qu'il relie la gouvernance de la confidentialité, les contrôles de cybersécurité, la conservation, la réglementation transfrontalière et le risque pour les passagers dans un seul dossier public. De nombreux incidents ont une leçon dominante. Celui-ci en a plusieurs: connaître le patrimoine de données, sécuriser l'accès à distance, analyser efficacement les systèmes exposés sur Internet, protéger les sauvegardes, supprimer les anciens identifiants, informer les personnes affectées à temps pour les aider et conserver des preuves prêtes pour les régulateurs.

Il montre également pourquoi les données des passagers méritent un traitement spécial. Les données de voyage sont pratiques, personnelles et contextuelles. Elles peuvent révéler l'identité, la localisation, les habitudes, les relations et le statut. Elles peuvent être utilisées pour la fraude, l'ingénierie sociale, la surveillance ou l'embarras même lorsque l'utilisation abusive de carte de paiement n'est pas démontrée. Les avis des compagnies aériennes devraient donc éviter de réduire le risque pour les passagers au seul risque de carte de crédit.

L'avis de Cathay Pacific a bien nommé de nombreux champs non liés au paiement, ce qui était nécessaire. La question de gouvernance est de savoir si les contrôles autour de ces champs étaient adéquats avant l'incident.

Le cas récompense également une analyse minutieuse. Il serait erroné d'affirmer que la sécurité aérienne a été affectée alors que Cathay Pacific a déclaré publiquement que les systèmes affectés étaient distincts et qu'il n'y avait pas d'impact sur la sécurité des vols. Il serait également erroné de traiter cette séparation de sécurité comme la fin de la responsabilité. La gouvernance des données des passagers est sa propre relation de confiance.

Le fait que les opérations aériennes aient continué en toute sécurité ne répond pas à la question de savoir pourquoi les données personnelles étaient accessibles, pourquoi certains anciens numéros d'identité sont restés ou pourquoi les passagers ont été notifiés quand ils l'ont été.

La leçon durable est que la confiance devrait être fondée sur des preuves. Une entreprise gagne la confiance en montrant qu'elle sait où se trouvent les données sensibles, pourquoi elle les détient, comment elle les protège, comment elle détecte les accès anormaux, comment elle supprime les champs inutiles et comment elle dit aux personnes affectées quoi faire. C'est la norme de gouvernance que le dossier Cathay Pacific rend visible.

Indicateurs opérationnels qui rendraient la récupération testable

Le prochain dossier le plus utile inclurait des indicateurs opérationnels plutôt que de larges assurances. Pour Cathay Pacific, ces indicateurs incluraient le nombre de systèmes contenant des champs de données passagers à haut risque, l'état d'achèvement de l'inventaire des données personnelles, la fréquence et la couverture de l'analyse des vulnérabilités, le pourcentage d'utilisateurs distants couverts par une authentification multifacteur efficace, le nombre d'enregistrements de carte d'identité inutiles supprimés et l'état des contrôles de chiffrement et de conservation des sauvegardes.

Les indicateurs spécifiques à l'incident incluraient le délai de détection au confinement, le délai de confinement à la notification, l'achèvement de la délimitation au niveau des champs, les dates de notification aux régulateurs, l'achèvement de la notification aux passagers et le nombre de passagers par groupe de catégories de données. Des chiffres publics exacts peuvent ne pas toujours être appropriés, mais les catégories et l'état d'achèvement peuvent rendre les affirmations de récupération plus testables sans exposer de nouveaux risques.

Les indicateurs devraient également distinguer la récupération technique de la récupération de gouvernance. La récupération technique signifie que le chemin immédiat a été contenu et que les systèmes ont été renforcés. La récupération de gouvernance signifie que l'entreprise peut prouver qu'elle dispose maintenant de contrôles d'inventaire, de conservation, d'accès et de notification qui empêchent la même classe de défaillance de se reproduire. Une entreprise peut corriger un système et ne toujours pas résoudre la conservation. Elle peut supprimer d'anciennes données et laisser l'accès à distance faible.

La récupération doit couvrir toute la classe de contrôle.

Pour les passagers et les régulateurs, ces indicateurs transforment la réassurance en quelque chose de vérifiable. Ils permettent aux gens de voir si l'organisation passe de la réponse à l'incident à l'apprentissage institutionnel. Ils permettent également aux conseils de demander si les contrôles qui ont échoué ont des propriétaires nommés, des calendriers et des preuves.

Le langage contractuel et politique devrait suivre la surface exposée

Le langage contractuel et politique devrait suivre la surface exposée. Si la surface exposée est constituée de données de documents de voyage, les politiques devraient définir les finalités de collecte, les périodes de conservation, les limites d'accès, le chiffrement et les tests de suppression. Si la surface exposée est constituée d'informations de fidélisation, les politiques devraient définir le partage avec les partenaires, la protection des comptes et les obligations de notification.

Si la surface exposée est constituée de sauvegardes, les politiques devraient couvrir le chiffrement des sauvegardes, les contrôles de migration, les journaux d'accès et la suppression après la fin de la finalité du projet.

Les avis de confidentialité destinés aux passagers devraient également devenir plus opérationnels. Les gens devraient pouvoir comprendre quels champs d'identité sont collectés, pourquoi ils sont conservés, qui peut y accéder, combien de temps ils restent et ce qui se passe lorsque la finalité expire. Un avis de confidentialité juridiquement complet mais opérationnellement vague peut ne pas aider les passagers à comprendre la relation de risque. La responsabilité de gouvernance exige une clarté qui peut être testée.

Les contrats de voyages d'affaires et les conditions de protection des données devraient aborder la notification d'incident, la délimitation au niveau des champs, la coopération avec les régulateurs, la notification aux partenaires et le soutien au risque d'identité. Les gestionnaires de voyages ne devraient pas découvrir lors d'une violation qu'ils ne peuvent pas obtenir d'informations utiles pour les employés dont les données de voyage ont été affectées. Le contrat ne peut pas empêcher chaque incident, mais il peut décider à quelle vitesse les faits passent de la compagnie aérienne au client.

Le dossier Cathay Pacific est donc un modèle politique en forme négative. Il montre les types de surfaces qui devraient être gouvernées avant un incident: inventaire, accès à distance, gestion des vulnérabilités, sauvegardes, conservation, notification et preuves pour les régulateurs. Une bonne politique transforme ces surfaces en propriétaires, contrôles et dates de révision.

La question de la récurrence

La question de la récurrence n'est pas de savoir si l'incident identique de Cathay Pacific se reproduira. Les systèmes, les lois, les fournisseurs et les acteurs de la menace changent. La question de la récurrence est de savoir si la même faiblesse de gouvernance pourrait réapparaître sous une autre étiquette. Un ancien champ d'identité pourrait rester dans une plateforme de fidélisation. Une sauvegarde de migration pourrait être exposée dans un emplacement de stockage cloud. Un compte d'accès à distance pourrait manquer d'authentification forte. Un service exposé sur Internet pourrait manquer une vulnérabilité connue.

Un inventaire des données pourrait omettre un système hérité.

Pour les compagnies aériennes et les plateformes de voyage, la prévention de la récurrence devrait se concentrer sur l'inventaire des données, la suppression, le contrôle d'accès à distance, la gestion des vulnérabilités, la protection des sauvegardes, la segmentation, la surveillance et les répétitions de notification. Pour les régulateurs, la prévention de la récurrence signifie demander des preuves que ces contrôles fonctionnent en continu. Pour les passagers et les clients professionnels, la prévention de la récurrence signifie demander quelles données sont vraiment nécessaires et combien de temps elles restent.

L'apprentissage est plus fort que la clôture. La clôture dit que la réponse à l'incident est terminée. L'apprentissage dit que l'organisation a changé la façon dont elle gouverne les données des passagers. Les lecteurs devraient rechercher des preuves d'apprentissage: moins d'identifiants inutiles, un accès à distance plus fort, de meilleures cartographies des données, un examen plus fréquent des vulnérabilités, des avis aux passagers plus clairs et un suivi des régulateurs. Ces signes comptent plus qu'une déclaration générale selon laquelle la sécurité a été renforcée.

Le cas Cathay Pacific devrait rester dans les examens de confidentialité, les dossiers des conseils d'administration des compagnies aériennes, les audits de conservation des données, les exercices de réponse aux incidents et les fichiers d'achat de voyages. Ce n'est pas seulement une violation passée. C'est un exemple durable de la façon dont la gouvernance des données de voyage devient publique lorsque l'inventaire, la sécurité, la conservation et la notification sont testés à grande échelle.

L'essentiel pour la responsabilité

L'essentiel est que Cathay Pacific a fait des données des passagers un dossier de gouvernance-responsabilité. L'incident est important parce que les passagers, les membres de programmes de fidélité, les partenaires de voyage, les régulateurs, les équipes de lutte contre la fraude d'identité et les administrateurs de compagnies aériennes ont dû évaluer le risque d'identité et d'hameçonnage dans le cadre d'une relation de voyage de longue durée. La norme de responsabilité n'était pas la prévention parfaite.

C'était le contrôle pratique: connaître le patrimoine de données, sécuriser l'accès, minimiser la conservation, détecter l'activité anormale, informer les personnes à temps pour les aider et conserver des preuves qui peuvent être testées après coup.

Le dossier conforte une conclusion de haute confiance concernant les obligations liées à l'inventaire des données des passagers, au durcissement des bases de données, à la protection des identifiants, à la détection tardive, à la notification transfrontalière, aux preuves réglementaires et à la preuve que les documents de voyage et les dossiers de fidélisation étaient circonscrits. Il ne permet pas de prétendre que tous les faits privés sont connus. Cette distinction est l'essence de l'analyse responsable.

La responsabilité doit incomber à la partie qui détient le contrôle et les preuves, tandis que l'incertitude doit rester visible jusqu'à ce que de meilleures preuves la comblent.

Pour les conseils d'administration, les acheteurs, les régulateurs et les passagers, le message à retenir est direct. Ne demandez pas seulement combien de personnes ont été affectées. Demandez quel objet de confiance a été perturbé, qui le contrôlait avant l'événement, qui a porté la charge de travail après la divulgation et quelles preuves démontrent que le patrimoine de données de voyage est maintenant plus sûr. Dans une relation aérienne mondiale, les données des passagers ne sont pas accessoires. C'est un actif gouverné, et la gouvernance doit être visible lorsque la confiance est perdue.