Xerox a fait de la divulgation d'un rançongiciel un test de responsabilité pour l'infrastructure documentaire

Résumé

• Xerox est un cas de responsabilité car les preuves publiques concernant les signalements en 2020 sur Maze sont inégales: les rapports publics décrivaient des allégations de rançongiciel et une publication présumée de données, tandis que les informations disponibles de l'entreprise ne fournissaient pas d'analyse post-incident détaillée.
• La question centrale est de savoir qui contrôlait la segmentation, la surveillance, la continuité des services documentaires, la portée des données, l'avis aux clients et la preuve que la récupération correspondait au risque affirmé ou implicite dans les rapports publics.
• Cet article traite les allégations provenant des sites de fuite et la couverture médiatique comme des preuves rapportées, et non comme une conclusion médico-légale complète sur les systèmes de Xerox.
• Les documents publics de Xerox en matière de sécurité, de confidentialité, de produits et d'investisseurs sont utilisés comme preuves des engagements envers les clients et du cadre de risque, et non comme la preuve que tous les contrôles de 2020 ont fonctionné comme prévu.
• La leçon durable est que la divulgation d'un rançongiciel pour une infrastructure documentaire doit séparer les faits confirmés, l'exposition opérationnelle probable, les allégations des attaquants et les détails médico-légaux inconnus.

Pourquoi ce cas appartient à un dossier de risque et de responsabilité

Xerox a fait de la preuve de divulgation de rançongiciel un test de responsabilité pour l'infrastructure documentaire car le déclencheur public n'était pas un rapport d'entreprise soigné. C'était un mélange de reportages publics, d'allégations attribuées à l'opération de rançongiciel Maze, et de preuves limitées du côté des clients sur ce qui s'était exactement passé chez Xerox. Des rapports tels quehttps://www.bleepingcomputer.com/news/security/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/ethttps://databreaches.net/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/sont donc utiles comme chronologie et preuves de déclarations publiques, mais ils ne permettent pas à eux seuls d'établir la voie d'intrusion, la portée des données, l'interruption d'activité, l'exposition des clients ou la responsabilité juridique. La première discipline dans ce dossier est d'éviter de transformer l'existence d'une allégation de fuite rapportée en un récit complet de violation.

Le contexte de l'entreprise compte. Xerox n'est pas seulement une marque d'imprimantes. Elle a vendu des services d'impression gérés, des services de bureau, des flux de travail documentaires, des parcs de dispositifs, des logiciels, du support, des fournitures, des relations de financement et des contrats de service. Une allégation de rançongiciel impliquant une telle entreprise peut être importante pour les petites et moyennes clientes car l'infrastructure documentaire est souvent proche des factures, des fichiers RH, des contrats, des documents d'expédition, des pièces d'identité scannées, des tickets de service, des communications clients, des dossiers juridiques et des opérations internes. Les pages publiques de Xerox telles quehttps://www.xerox.com/en-us/about/security-solutions,https://security.business.xerox.com/en-us/,https://www.xerox.com/en-us/about/privacy-policy, ethttps://www.xerox.com/en-us/information-securityfournissent le contexte de confiance et de sécurité présenté par l'entreprise dans lequel les clients évalueraient le dossier d'incident.

La question de responsabilité n'est pas de savoir si un gang de rançongiciel doit être cru. Il ne doit pas être traité comme un auditeur neutre. Le problème est que les gangs de rançongiciel peuvent créer une pression publique en revendiquant un accès ou en publiant des échantillons, tandis que les entreprises peuvent répondre par des déclarations éparses ou juridiques. Les clients se retrouvent alors entre deux récits incomplets: un récit d'attaquant intéressé et un récit d'entreprise qui peut être contraint par l'enquête, l'examen juridique, les assurances, les contrats, les forces de l'ordre et la gestion de la réputation.

Le public doit plutôt poser une question pratique de contrôle: qui avait la capacité de prévenir, détecter, limiter, divulguer et prouver la réparation?

La réponse commence au sein de l'entreprise, mais elle ne s'arrête pas là. Xerox contrôlait son architecture réseau, la gestion des identités et des accès, la surveillance des points finaux, les plans de continuité des services documentaires, les canaux de communication avec les clients et les preuves de réponse aux incidents. Les clients contrôlaient leurs propres flux de travail documentaires, configurations de dispositifs, serveurs d'impression, choix d'authentification, exigences contractuelles et données envoyées via les services gérés par Xerox.

Les fournisseurs et partenaires de sécurité peuvent avoir contrôlé des éléments de détection, de réponse, de sauvegarde ou d'infrastructure gérée. Les régulateurs et les investisseurs contrôlaient certaines incitations à la divulgation. Un dossier de responsabilité crédible nomme ces limites sans prétendre que les sources publiques révèlent chaque journal privé.

Le cas appartient également ici car l'absence d'un rapport public complet fait elle-même partie du problème de preuve. Les documents sur les rançongiciels de la CISA àhttps://www.cisa.gov/stopransomwareethttps://www.cisa.gov/news-events/news/ransomware-guide, les conseils du FBI sur les rançongiciels àhttps://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-scams-and-crimes/ransomware, et les conseils de réponse aux incidents tels quehttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicsmontrent ce que les organisations devraient pouvoir reconstituer: chronologie, portée, confinement, récupération, catégories de données affectées et action de l'utilisateur. Si le dossier public ne fournit pas ces faits, la conclusion correcte n'est pas de les inventer. La conclusion correcte est que les clients et les équipes de risque manquaient d'un dossier de décision public complet.

La chronologie publique commence par des reportages, pas par un récit complet de l'entreprise

La chronologie publique confirmée est étroite. En 2020, des reportages publics ont lié Xerox à des allégations de rançongiciel Maze et à une publication présumée de données. Maze était largement connu à l'époque comme une opération de rançongiciel combinant la pression du chiffrement ou de la perturbation avec la pression de la fuite de données publiques. Ce modèle général de rançongiciel est décrit dans des sources de contrôle publiques telles que la technique d'impact de chiffrement de données de MITRE ATT&CK àhttps://attack.mitre.org/techniques/T1486/, les références de techniques liées à l'exfiltration telles quehttps://attack.mitre.org/techniques/T1567/, et les conseils de la CISA sur les rançongiciels. Ces sources ne prouvent pas ce qui s'est passé chez Xerox. Elles expliquent pourquoi une allégation sur un site de fuite crée une question de responsabilité distincte de tout événement de chiffrement.

La chronologie manquante est tout aussi importante. Les documents disponibles publiquement ne fournissent pas de séquence détaillée rédigée par Xerox montrant la première intrusion, la première détection, le confinement initial, les environnements affectés, la dégradation des services commerciaux, les catégories de données examinées, les décisions d'avis aux clients, les décisions d'avis aux employés, l'engagement des forces de l'ordre, la récupération des sauvegardes et les critères de clôture. La page de la SEC sur l'entreprise àhttps://www.sec.gov/edgar/browse/?CIK=108772et le formulaire 10-K de Xerox pour 2020 àhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htmsont utiles pour le contexte d'entreprise et de divulgation des risques, mais un facteur de risque dans un formulaire 10-K n'est pas un rapport d'incident médico-légal. Il informe les investisseurs que le risque cyber existe et peut être matériel. Il ne répond généralement pas à la question du client sur ce qui s'est passé lors d'un événement nommé.

Cette distinction compte car le temps du rançongiciel n'est pas un temps unique. Il y a le temps de la compromission, le temps de résidence, le temps de détection, le temps de confinement, le temps de négociation ou de pression publique, le temps de rétablissement du service, le temps de notification et le temps d'utilisation abusive des données à long terme. Une entreprise peut rétablir ses opérations avant d'avoir entièrement déterminé l'étendue de l'exfiltration. Elle peut savoir qu'un système a été accédé avant de savoir si des données client ont été touchées.

Elle peut conclure qu'un service n'a pas été affecté tout en examinant encore un autre environnement. Elle peut dire qu'il n'y a aucune preuve d'une catégorie de préjudice sans encore prouver l'absence. Un bon dossier de divulgation sépare ces étapes.

Pour les clients de Xerox, la question pratique en 2020 n'était pas seulement de savoir si le nom de l'entreprise apparaissait sur un site de fuite de rançongiciel. C'était de savoir si les flux de travail documentaires, les services d'impression gérés, les portails de support, la télémétrie des dispositifs, les contrats clients, les tickets de service, les dossiers des employés ou les documents des fournisseurs se trouvaient dans le périmètre affecté. Si la réponse différait selon l'unité commerciale, la géographie, le service ou le contrat client, le dossier public devrait préciser que cette portée était segmentée.

Si l'entreprise ne pouvait pas encore le dire, le dossier public devrait préserver cette incertitude et expliquer quand les clients en sauraient plus.

La norme de responsabilité commence donc par la chronologie: qu'est-ce qui a été rapporté? Qu'est-ce qui a été confirmé? Qu'est-ce qui a été allégué? Qu'est-ce qui est resté inconnu? Les reportages publics sont la preuve qu'un problème de divulgation de rançongiciel existait. Ils ne sont pas la preuve de chaque allégation de données. L'absence d'un rapport public détaillé laisse un vide que les équipes de risque doivent traiter honnêtement plutôt que de le combler par des hypothèses.

Les preuves provenant des sites de fuite sont des preuves de pression, pas des preuves neutres

Le rançongiciel de l'ère Maze a modifié les incitations à la divulgation des entreprises car les attaquants utilisaient des sites de fuite publics pour rendre le silence plus difficile. Une publication sur un site de fuite pouvait faire pression sur une entreprise, alarmer les clients, attirer la couverture médiatique et créer des questions réglementaires avant que l'entreprise n'ait terminé son évaluation interne. Cela ne rend pas le contenu du site de fuite fiable dans les moindres détails. Les attaquants ont des incitations à exagérer l'accès, à mal étiqueter les fichiers, à recycler du matériel ou à publier des échantillons sélectifs.

Ils peuvent également publier du matériel réel. La responsabilité exige de tenir les deux propositions en même temps.

Pour Xerox, les articles publics sur les allégations de Maze doivent être traités comme des reportages tiers d'une allégation publique. L'allégation compte car les clients et les employés ne peuvent pas l'ignorer. Mais une analyse responsable doit séparer "Maze a allégué" de "Xerox a confirmé". La même séparation doit s'appliquer aux échantillons de fichiers, aux captures d'écran, aux listes de répertoires et aux volumes de données allégués. Un échantillon peut montrer que certains matériels existent sans prouver un accès complet. Un volume allégué peut créer des inquiétudes sans prouver une exfiltration complète.

Une absence de confirmation de l'entreprise peut refléter une incertitude, une contrainte juridique ou l'état de l'enquête; elle ne prouve pas que l'allégation est fausse.

C'est pourquoi le traitement des sources est central. Les pages de sécurité de l'entreprise telles quehttps://www.xerox.com/en-us/about/security-solutionsethttps://security.business.xerox.com/en-us/montrent le cadre de sécurité et de service que Xerox présente à ses clients. Les documents sur la confidentialité tels quehttps://www.xerox.com/en-us/about/privacy-policymontrent le contexte de traitement des données personnelles. Les dépôts réglementaires tels quehttps://www.sec.gov/edgar/browse/?CIK=108772montrent le cadre de risque pour les investisseurs. Des conseils indépendants du NIST àhttps://www.nist.gov/cyberframeworket des conseils de réponse aux incidents àhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalmontrent comment les organisations devraient structurer les preuves de réponse. Aucune de ces voies ne doit être réduite à une seule allégation.

Le problème de responsabilité apparaît lorsque les clients doivent prendre des décisions à partir de voies partielles. Une équipe d'approvisionnement peut devoir décider s'il faut suspendre un déploiement d'impression géré. Une équipe de sécurité cliente peut devoir se demander si les systèmes connectés à Xerox doivent être isolés. Un employé peut avoir besoin de savoir si des informations RH ou de paie ont été exposées. Une petite entreprise peut avoir besoin de comprendre si des documents scannés ou des enregistrements de service sont passés par l'environnement affecté.

Chaque décision nécessite plus que le fait qu'un groupe de rançongiciel a fait une allégation.

Le dossier public doit donc répondre à cinq questions de preuve. Premièrement, quelle allégation publique a été faite, et par qui? Deuxièmement, qu'est-ce que Xerox a confirmé ou nié? Troisièmement, quelles catégories de données ont été visiblement alléguées ou confirmées par la suite? Quatrièmement, quels services, zones géographiques ou systèmes étaient dans le périmètre ou hors du périmètre? Cinquièmement, quelles actions les clients ou les employés doivent-ils entreprendre? Si une réponse n'est pas disponible, cela doit être indiqué comme inconnu. Préserver l'incertitude n'est pas une faiblesse.

C'est le seul moyen défendable d'éviter de transformer les allégations des attaquants en faits.

L'infrastructure documentaire transforme un incident d'entreprise en une question de contrôle client

Un rançongiciel chez un fournisseur d'infrastructure documentaire soulève des questions différentes d'un rançongiciel dans un environnement de bureau purement interne. Les clients de Xerox peuvent utiliser des dispositifs, des services d'impression gérés, des outils de flux de travail, des processus de numérisation, une gestion d'impression connectée au cloud et des services de support qui traitent ou touchent des documents professionnels. La sensibilité n'est pas uniforme.

Un travail d'impression pour du matériel marketing est différent d'un scan de passeport, d'un formulaire de santé, d'un contrat juridique, d'un dossier de prêt ou d'un dossier RH. Le fournisseur peut ne pas connaître le contenu de chaque document client, mais il connaît l'architecture par laquelle ces documents transitent.

C'est pourquoi la segmentation réseau est une question centrale de responsabilité. La question publique n'est pas simplement de savoir si un rançongiciel a atteint un système Xerox. C'est de savoir si les environnements documentaires clients, les plateformes de services gérés, les systèmes de support, l'informatique interne de l'entreprise, les environnements de développement, les systèmes de facturation et les systèmes des employés étaient suffisamment séparés pour qu'une compromission dans un domaine n'implique pas une compromission dans tous.

La segmentation, le moindre privilège, la journalisation, le contrôle d'accès privilégié, la séparation des sauvegardes et l'isolation des incidents ne sont pas des meilleures pratiques abstraites. Ce sont les contrôles qui déterminent si un client peut traiter un rapport de rançongiciel comme contenu ou systémique.

NIST SP 800-53 àhttps://csrc.nist.gov/pubs/sp/800/53/r5/upd1/finalet les contrôles CIS àhttps://www.cisecurity.org/controlsfournissent un vocabulaire de contrôle public pour le contrôle d'accès, l'audit, la récupération, la gestion des configurations et la réponse aux incidents. Ce ne sont pas des conclusions spécifiques à Xerox. Ils aident à définir quelles preuves seraient utiles: les limites d'identité, les enregistrements d'accès privilégié, les limites de gestion des dispositifs, les résultats de tests de sauvegarde, la conservation des journaux, la couverture de détection des points finaux et une matrice d'impact service par service. Une entreprise n'a pas besoin de divulguer chaque détail technique sensible pour dire aux clients quelles catégories de contrôle ont été examinées et quel type de limite a été confirmé.

Les flux de travail d'impression et documentaires créent également une limite partagée avec le client. Les clients peuvent configurer des serveurs d'impression, des pilotes, l'authentification, le stockage des dispositifs, les carnets d'adresses, les fonctions de numérisation vers e-mail, les référentiels cloud, les files d'attente d'impression par tirage et l'accès de maintenance. Xerox peut fournir des dispositifs, des services, des logiciels, du support ou une gestion à distance. La question pratique de contrôle demande donc aux deux parties de cartographier le flux de données.

Si un rapport de rançongiciel affecte le fournisseur, un client doit savoir si sa propre infrastructure d'impression locale était connectée à l'environnement affecté. Si un système client est compromis, le fournisseur doit savoir si son canal de support à distance pourrait devenir un point d'entrée ou un chemin de données.

Le dossier public de 2020 n'a pas donné au lecteur externe cette carte complète. Cette lacune doit façonner la conclusion. Il serait trop fort de dire que l'allégation rapportée de Maze a prouvé une exposition des documents clients. Il serait trop faible de dire qu'en l'absence d'une confirmation publique détaillée, les clients n'avaient aucune raison de poser des questions difficiles. L'infrastructure documentaire est proche de la mémoire opérationnelle. Un rapport de rançongiciel impliquant son fournisseur mérite donc une réponse structurée sur les limites de service.

La continuité de service est plus que le fait que les imprimantes fonctionnaient encore

L'expression "continuité de service documentaire" peut sembler banale jusqu'à ce qu'une entreprise perde l'accès à l'impression, à la numérisation, au flux de travail, au support de service, aux fournitures, à la gestion des dispositifs ou au routage des documents en période de crise. Les petites et moyennes organisations utilisent souvent des services d'impression et documentaires gérés précisément parce qu'elles ne veulent pas maintenir une capacité de support interne importante. Cette dépendance crée une responsabilité lorsque le fournisseur fait face à une allégation de rançongiciel.

L'impact sur l'utilisateur peut ne pas être une seule panne mondiale. Il peut s'agir d'appels de service retardés, d'un accès au support suspendu, de pratiques de gestion à distance modifiées, de perturbations de la facturation ou de l'approvisionnement, de retards dans l'application de correctifs aux dispositifs ou de l'isolation temporaire des systèmes connectés.

Les reportages publics autour de l'affaire Maze chez Xerox n'ont pas établi un relevé mesuré des pannes clients. Cette incertitude compte. Une absence de preuves de panne publique ne doit pas être réécrite en une perturbation opérationnelle majeure. Mais elle ne doit pas non plus être réécrite en preuve que le risque de continuité était nul. Un bon rapport d'incident distinguerait les services clients essentiels, les systèmes internes de l'entreprise, le support de service, les opérations de la chaîne d'approvisionnement, les référentiels de données et les portails clients.

Il dirait ce qui a été affecté, ce qui n'a pas été affecté, ce qui était encore en cours d'examen et comment les clients devraient confirmer leur propre exposition.

La norme de continuité devrait être pratique. Les clients avaient besoin de savoir si des identifiants connectés à Xerox devaient être révoqués, si l'accès au service à distance avait changé, si le micrologiciel des dispositifs ou les consoles de gestion nécessitaient un examen, si les tickets de support ou les pièces jointes étaient impliqués et si les contrôles de continuité avaient été testés. Les bases de la réponse aux incidents de la CISA àhttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicssont utiles ici car la question n'est pas seulement la remédiation technique. C'est la coordination, la communication, les rôles et le calendrier des décisions.

Les conseils d'administration et les équipes d'approvisionnement avaient également besoin de preuves. Une entreprise achetant des services documentaires peut se demander si les sauvegardes du fournisseur étaient isolées, si le confinement du rançongiciel a nécessité la désactivation de services clients, si les obligations de niveau de service ont été respectées et si des intervenants externes ont confirmé la portée. Si le fournisseur ne peut pas publier des détails médico-légaux privés, il peut toujours fournir des réponses spécifiques aux clients par des canaux contractuels. La responsabilité publique n'exige pas de révéler un schéma réseau.

Elle exige suffisamment d'informations pour que les clients puissent décider s'ils doivent prendre des mesures de protection.

Le risque pour les petits clients est le transfert de coûts. Un grand fournisseur peut absorber les coûts d'enquête et de récupération en interne. Un petit client peut absorber l'incertitude: temps du personnel, examen d'urgence des fournisseurs, questions d'assurance, examen juridique, modifications temporaires des flux de travail et réassurance des clients. Si le fournisseur dit peu, le coût en aval est multiplié entre les clients. La divulgation de la continuité de service n'est donc pas une question de relations publiques. C'est un moyen de réduire le travail défensif inutile en donnant aux clients des faits qu'ils peuvent utiliser.

La détermination de la portée des données doit distinguer employés, clients, contrats et documents

La divulgation d'un rançongiciel devient souvent confuse car le mot "données" est utilisé pour de nombreuses catégories. Dans un environnement de type Xerox, les catégories possibles pourraient inclure les dossiers des employés, les coordonnées des clients, les contrats de service, les factures, les dossiers de service des dispositifs, les tickets de support technique, les dossiers d'approvisionnement, les documents des fournisseurs, les fichiers de source ou de configuration, les e-mails internes, les documents clients scannés ou les métadonnées système.

Les reportages publics d'une fuite de données présumée n'indiquent pas automatiquement aux lecteurs lesquelles de ces catégories étaient impliquées.

La détermination de la portée des données est un devoir de responsabilité car différentes catégories créent différentes actions. Les données des employés peuvent nécessiter des mesures de protection de l'identité et un avis d'emploi. Les données contractuelles des clients peuvent nécessiter une notification spécifique au client et un examen commercial. Les données de configuration technique peuvent nécessiter une rotation des identifiants ou un examen de l'architecture. Les tickets de support peuvent nécessiter que les clients recherchent des pièces jointes sensibles.

Les documents scannés pourraient créer des obligations de confidentialité dépendant du contenu et de la juridiction. Une déclaration unique selon laquelle "les données ont été ou n'ont pas été affectées" est trop grossière pour cet environnement.

Les documents sur la confidentialité de Xerox àhttps://www.xerox.com/en-us/about/privacy-policyfournissent un cadre public pour le traitement des données personnelles, tandis que les documents de confiance de l'entreprise fournissent la posture de sécurité. Mais un dossier de portée de données spécifique à l'incident nécessiterait plus. Il expliquerait quelle unité commerciale détenait les systèmes affectés, si les données concernaient les employés de Xerox, les clients, les utilisateurs finaux, les dispositifs, les fournisseurs ou les opérations internes, et si les clients devraient examiner quoi que ce soit sous leur propre contrôle. Si la réponse était encore inconnue, l'entreprise devrait dire ce qui était en cours d'investigation.

La distinction entre "aucune preuve" et "preuve d'absence d'accès" est importante. Une entreprise peut dire qu'elle n'a aucune preuve que des documents clients ont été accédés. Cela peut signifier que les journaux ont été examinés et n'ont pas montré d'accès. Cela peut aussi signifier que l'enquête n'a pas encore trouvé une telle preuve, ou que les journaux étaient insuffisants pour prouver l'absence. Les clients ont besoin de connaître la force de la déclaration. La même formulation peut avoir un poids probatoire très différent. La règle de Daniel Kade pour ce dossier est d'éviter de transformer des preuves faibles en une conclusion forte.

C'est également là que la souveraineté et la localisation des données comptent. Xerox opère à l'échelle mondiale et les clients peuvent se trouver dans différentes juridictions avec des exigences et des attentes de notification différentes. Un dossier d'incident mondial ne devrait pas supposer une réponse unique juridique ou opérationnelle. Un client dans une juridiction peut avoir besoin d'une documentation différente d'un client ailleurs. Un bon dossier de divulgation identifie la géographie le cas échéant et explique si la localisation des données a façonné la notification.

Si les preuves publiques ne divulguent pas ce détail, l'article doit le marquer comme inconnu plutôt que d'impliquer une uniformité mondiale.

La divulgation ne doit pas laisser les clients choisir entre le silence et les allégations des attaquants

La communication de crise dans les affaires de rançongiciel a une charge spécifique. Si l'entreprise en dit trop peu, les attaquants comblent le vide. Si l'entreprise en dit trop tôt, elle peut mal évaluer la portée. Si elle n'utilise que des assurances génériques, les clients ne peuvent pas agir. Si elle répète trop directement les allégations des attaquants, elle peut les amplifier. La norme de responsabilité n'est pas la divulgation maximale; c'est une divulgation utile. Les clients ont besoin d'informations confirmées suffisantes pour prendre des mesures proportionnées pendant que l'enquête se poursuit.

Une divulgation utile indiquerait la limite connue de l'événement, l'état des opérations, les catégories sous enquête, les actions requises ou non requises de la part des clients et le calendrier de mise à jour prévu. Elle éviterait de traiter le silence comme une vertu. Une entreprise peut dire qu'un groupe de rançongiciel a fait des allégations, que ces allégations sont sous enquête, que certains services fonctionnent, que certains systèmes ont été isolés, qu'il existe ou non des preuves d'accès à des données spécifiées, et que les clients recevront un avis direct si leurs informations sont confirmées dans le périmètre.

Ce type de déclaration réduit à la fois la panique et la complaisance.

Le dossier public de Xerox disponible depuis 2020 n'a pas fourni de rapport public détaillé avec ces éléments. Cela ne prouve pas que Xerox n'a pas communiqué en privé avec les parties concernées. Des avis privés, des communications avec les régulateurs, les assureurs et les forces de l'ordre peuvent exister en dehors du dossier public. Mais la responsabilité publique est limitée par ce que les lecteurs peuvent vérifier. Un client en dehors de la liste de notification directe doit juger si le dossier public est suffisant pour l'approvisionnement, l'examen de sécurité et la gestion des risques fournisseurs.

La règle de divulgation cybernétique de la SEC de 2023 àhttps://www.sec.gov/intelligence team/press-releases/2023-139est pertinente comme contexte réglementaire ultérieur car elle reflète la demande des investisseurs pour une divulgation des incidents cybernétiques et de la gestion des risques plus utile pour la prise de décision. Elle ne doit pas être imposée rétroactivement comme une obligation de Xerox en 2020 dans cet article. Sa valeur est comparative: les marchés et les régulateurs attendent de plus en plus des entreprises qu'elles expliquent le risque cybernétique d'une manière que les décideurs peuvent utiliser. Une divulgation de rançongiciel qui laisse les clients entre les allégations des attaquants et des facteurs de risque génériques est un modèle de responsabilité faible.

La divulgation doit également être durable. Une première déclaration peut être incomplète. Les mises à jour ultérieures doivent clarifier ce qui a changé. Si une hypothèse précoce s'avère erronée, l'entreprise doit la corriger. Si une allégation de fuite publique est examinée et s'avère limitée, l'entreprise doit expliquer la base à un niveau approprié. Si une allégation n'est pas étayée, l'entreprise doit dire quelles preuves soutiennent cette conclusion. La confiance se reconstruit par un rétrécissement documenté, et non en exigeant la confiance en l'absence de preuves.

L'automatisation de la sécurité n'est responsable que si elle produit des preuves vérifiables

La prévention et la détection des rançongiciels dépendent souvent de contrôles automatisés: détection des points finaux, alertes d'identité, détection d'anomalies réseau, filtrage des e-mails, analyse des vulnérabilités, surveillance des sauvegardes et indicateurs de perte de données. Ces outils sont précieux, mais ils ne créent de responsabilité que s'ils produisent des preuves qui peuvent être examinées. Dans un cas de divulgation de rançongiciel, la question n'est pas de savoir si une entreprise possède des outils de sécurité.

C'est de savoir si les outils ont aidé à identifier le chemin d'intrusion, les systèmes affectés, la tentative d'exfiltration, l'utilisation abusive de privilèges, le mouvement latéral et la limite de récupération.

Les techniques MITRE ATT&CK telles quehttps://attack.mitre.org/techniques/T1486/pour les données chiffrées pour impact,https://attack.mitre.org/techniques/T1490/pour l'inhibition de la récupération du système, ethttps://attack.mitre.org/techniques/T1567/pour l'exfiltration via des services web fournissent un vocabulaire public pour ce que les enquêteurs pourraient rechercher dans les cas de rançongiciel. Ils ne prouvent pas les actions de Maze chez Xerox. Ils montrent pourquoi les preuves d'incident devraient couvrir à la fois l'impact sur la disponibilité et le risque d'exposition des données. Le rançongiciel n'est pas seulement une histoire de chiffrement de disque. Il peut s'agir d'une histoire d'identifiants, d'exfiltration, de sauvegarde, de divulgation et d'extorsion.

La question de responsabilité est de savoir si la surveillance était capable de distinguer ces branches. Si le chiffrement a été empêché mais que les données ont quitté l'environnement, le profil de risque est différent d'un simple événement de chiffrement. Si les échantillons de données étaient anciens ou provenaient d'un environnement moins sensible, le risque est différent de celui des documents clients actuels. Si les attaquants ont accédé à l'informatique d'entreprise mais pas aux plateformes de services gérés, les clients ont besoin de cette limite.

Si les journaux étaient insuffisants pour prouver l'un de ces points, l'entreprise doit dire que la conclusion est limitée.

L'automatisation peut également échouer en générant des alertes qui ne sont pas traitées. Le dossier public ne montre pas si cela s'est produit chez Xerox, donc l'article ne doit pas l'affirmer. Mais une divulgation médico-légale devrait quand même répondre si la détection a été opportune, si l'escalade a fonctionné, si des identifiants privilégiés ont été impliqués et si les actions de réponse ont été retardées. Ce sont des questions de gestion, pas seulement des questions techniques. Un outil peut détecter; une organisation décide si l'alerte arrête un processus métier, isole un système ou déclenche un avis client.

Les preuves de réparation les plus solides incluraient des catégories plutôt que des détails sensibles: la couverture de détection des points finaux a été étendue, l'accès privilégié a été examiné, les règles de segmentation ont été modifiées, la restauration des sauvegardes a été testée, la surveillance de l'exfiltration a été améliorée et les dépendances des services clients ont été cartographiées. Sans ces preuves, les clients peuvent raisonnablement se demander si l'incident a été utilisé pour améliorer le système de contrôle ou simplement pour clore le récit public.

Les facteurs de risque pour les investisseurs ne sont pas des rapports d'incident pour les clients

Les dépôts d'investisseurs de Xerox sont pertinents car le risque cybernétique peut affecter les opérations, la réputation, l'exposition juridique et la performance financière. Le formulaire 10-K de 2020 àhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htms'inscrit dans ce système de divulgation d'entreprise. Il aide à montrer comment une entreprise publique présente le risque de cybersécurité aux investisseurs. Mais les facteurs de risque pour les investisseurs sont généralement généraux. Ils avertissent que des incidents peuvent survenir ou peuvent avoir des conséquences. Ils ne disent généralement pas à un client d'impression gérée si un ticket de support spécifique, un flux de travail documentaire ou un système de gestion des dispositifs a été affecté.

Cet écart entre la divulgation aux investisseurs et la divulgation aux clients compte. Une entreprise publique peut satisfaire aux attentes de divulgation des valeurs mobilières tout en laissant les clients avec des questions opérationnelles pratiques. Inversement, une entreprise peut communiquer directement avec les clients affectés d'une manière qui n'est pas visible pour le grand public. Un dossier de responsabilité équitable ne suppose pas que les dépôts d'investisseurs constituent l'intégralité du dossier de divulgation.

Il insiste sur le fait que les déclarations publiques sur le risque et le contrôle devraient être liées à des preuves spécifiques à l'incident lorsqu'une entreprise est publiquement liée à un rançongiciel.

Les documents ultérieurs de la SEC sur la divulgation cybernétique àhttps://www.sec.gov/intelligence team/press-releases/2023-139montrent comment l'environnement réglementaire a évolué vers une gouvernance cybernétique plus structurée et un rapport d'incidents matériels. Là encore, cette règle ultérieure n'est pas la norme pour juger chaque choix de 2020. C'est la preuve de la tendance plus large de la responsabilité: les investisseurs et les clients ont tous besoin d'informations cybernétiques utiles pour la prise de décision. Une allégation de rançongiciel impliquant une entreprise mondiale de services documentaires est exactement le type d'événement qui expose les limites du langage de risque générique.

La responsabilité juridique doit également être traitée avec prudence. Les preuves publiques dans ce dossier n'établissent pas que Xerox a violé une loi spécifique, enfreint un contrat client spécifique ou causé une perte client quantifiée. Elles établissent que le dossier public a créé des questions de divulgation, de confiance et de contrôle. Ces questions sont légitimes même sans conclusion juridique définitive. La responsabilité est plus large que la responsabilité juridique, mais elle ne doit pas prétendre être un jugement de tribunal.

Pour les équipes d'approvisionnement, le dossier d'investisseur est un point de départ, pas un point d'arrivée. Elles devraient demander des attestations spécifiques à l'incident, des résumés d'évaluations indépendantes lorsque disponibles, des déclarations sur les limites de service, des améliorations de sécurité et des mécanismes de notification contractuels. Si un fournisseur ne peut pas fournir de détails publics, il peut être en mesure de fournir des détails confidentiels aux clients. Le point clé est que quelqu'un doit être capable de relier l'événement aux contrôles et au risque client.

Les preuves de récupération doivent correspondre au type de préjudice en question

La récupération après un rançongiciel est souvent décrite comme la restauration des systèmes. C'est nécessaire, mais cela peut ne pas être suffisant. Si le risque public inclut l'exposition des données, la récupération doit également inclure la détermination de la portée des données, la notification, l'examen des identifiants, la surveillance et les points de surveillance des abus. Si le risque public inclut la dépendance aux services clients, la récupération doit inclure la restauration du service et la communication avec les clients.

Si le risque public inclut l'infrastructure documentaire, la récupération doit inclure la certitude que les flux de travail documentaires et les services connectés n'ont pas été silencieusement compromis.

Les preuves de récupération les plus solides pour les services de type Xerox auraient plusieurs parties. Elles identifieraient l'environnement affecté. Elles expliqueraient si les services clients de production ont été affectés, et si oui, comment. Elles décriraient si des catégories de données clients ou employés ont été confirmées dans le périmètre. Elles diraient si le support à distance, la gestion des dispositifs ou les portails clients ont nécessité une rotation des identifiants ou des modifications de configuration. Elles expliqueraient ce que les clients devraient faire et ce que l'entreprise avait déjà fait.

Elles préciseraient quels faits étaient confirmés et lesquels restaient sous enquête.

Les sources de normes publiques aident à définir ce dossier de réparation. Le matériel du cadre de cybersécurité du NIST àhttps://www.nist.gov/cyberframeworkorganise les fonctions d'identification, de protection, de détection, de réponse et de récupération. Les conseils de traitement des incidents du NIST àhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalmettent l'accent sur la préparation, la détection et l'analyse, le confinement, l'éradication et la récupération, et l'activité post-incident. Les contrôles CIS àhttps://www.cisecurity.org/controlsfournissent une liste de contrôle pratique. Ces cadres ne créent pas une conclusion spécifique à Xerox. Ils montrent que la récupération devrait laisser des artefacts: décisions, journaux, portée, confinement, leçons et changements de contrôle.

La confiance de l'article est moyenne car le dossier public n'est pas vide mais est incomplet. Il y a suffisamment de reportages publics pour justifier l'analyse d'un problème de responsabilité de divulgation de rançongiciel. Il n'y a pas suffisamment de preuves publiques pour affirmer une chaîne complète d'événements internes. Ce niveau de confiance doit façonner chaque conclusion. La charge de responsabilité probable incombe à la partie qui contrôlait les systèmes et les communications, mais les conclusions spécifiques concernant le chemin de violation, les types de données et le préjudice client restent limitées par les preuves publiques.

Les clients ont également leurs propres devoirs de récupération. Un client de Xerox qui utilisait des services documentaires gérés devrait maintenir des inventaires d'actifs, savoir quels dispositifs et services se connectent aux systèmes du fournisseur, restreindre l'accès à distance, surveiller les serveurs d'impression, gérer les identifiants des dispositifs, conserver ses propres enregistrements de flux de documents et définir quels avis du fournisseur déclenchent une action interne. La responsabilité du fournisseur ne supprime pas la gouvernance du client.

Elle signifie que les clients ne peuvent pas gouverner efficacement si le dossier du fournisseur est trop vague.

Le même point s'applique à l'examen des assurances et des contrats. Une allégation de rançongiciel peut forcer les clients à se demander si leurs propres obligations de notification d'assurance cybernétique, dossiers de risque fournisseur, plans de continuité d'activité et évaluations réglementaires ont été déclenchées. Ces questions ne nécessitent pas la preuve que chaque fichier allégué était authentique. Elles nécessitent suffisamment de preuves du fournisseur pour prendre une décision défendable.

Si le fournisseur en dit trop peu, les clients peuvent sur-notifier, sur-réagir, suspendre des services inutilement, ou ne pas agir là où une action était nécessaire. Si le fournisseur donne une déclaration de limite minutieuse, les clients peuvent aligner leur réponse sur le risque réel. C'est pourquoi les preuves de récupération doivent être proportionnées, spécifiques et révisables. Le but n'est pas de punir une entreprise pour avoir enquêté avant de parler. Le but est de s'assurer que les clients n'ont pas à substituer la spéculation aux faits opérationnels.

Ce qui changerait l'évaluation

Plusieurs types de preuves modifieraient matériellement cette évaluation. Un rapport post-incident rédigé par Xerox avec une limite de système, une chronologie, des catégories de données affectées et des preuves de remédiation renforcerait ou restreindrait la conclusion de responsabilité. Des avis réglementaires, des lettres de notification aux clients, des documents de litige ou des dépôts de violation de données confirmés fourniraient des preuves plus concrètes de la portée des données. Des résumés médico-légaux indépendants aideraient à distinguer les allégations des attaquants de l'accès confirmé.

Des rapports clients d'interruption de service ou de remédiation requise clarifieraient l'impact opérationnel. Inversement, des preuves solides que les données alléguées ne provenaient pas des systèmes de Xerox, ou que la limite affectée excluait les services clients, restreindraient le cas.

Le dossier public actuel ne justifie pas des affirmations sur le vecteur d'intrusion exact, le temps de résidence, le volume de données, le nombre de clients, la demande de rançon, le paiement, la perturbation complète du service ou la responsabilité juridique finale. Ces faits sont inconnus dans le dossier public utilisé pour cet article. Il est possible que des avis privés ou des enquêtes aient répondu à certains d'entre eux. Il est également possible que les reportages publics n'aient capturé qu'une vue partielle ou contestée. L'article préserve donc l'incertitude plutôt que de combler les lacunes.

Cette incertitude ne rend pas le cas hors de propos. La divulgation d'un rançongiciel a une fonction de responsabilité même lorsque les faits sous-jacents sont incomplets. Le dossier public indique aux clients comment une entreprise gère les preuves contestées. Donne-t-elle suffisamment d'informations pour séparer les faits confirmés des allégations? Explique-t-elle l'action du client? Relie-t-elle la récupération au risque de service et de données? Reconnaît-elle l'incertitude sans utiliser l'incertitude pour éviter la communication? Ce sont des questions de gouvernance, et pas seulement des faits d'incident.

Pour l'infrastructure documentaire, la barre de preuve devrait être plus élevée que les assurances génériques. Les clients de Xerox peuvent avoir dépendu de l'entreprise pour des flux de travail qui transportaient des documents opérationnels sensibles. Ils n'avaient pas besoin d'une publication publique de détails médico-légaux sensibles. Ils avaient besoin d'une déclaration défendable de limite, de portée, d'action et de réparation. Là où cette preuve publique est absente, le dossier de risque reste ouvert.

Ce dossier ouvert a une utilité pratique. Il indique aux futurs examens de risque fournisseur quelles preuves demander avant de signer ou de renouveler des contrats de services documentaires: déclarations de limites de service, contrôles d'accès à distance, traitement des données clients, déclencheurs de notification, tests de récupération après rançongiciel et preuve que le matériel de fuite allégué serait examiné selon un processus reproductible. La leçon n'est pas de traiter chaque fournisseur comme déjà compromis. C'est de rendre la prochaine divulgation moins dépendante des allégations des attaquants ou du silence.

La conclusion finale est donc mesurée. Les reportages publics ont fait de Xerox un cas de responsabilité de divulgation de rançongiciel. Les preuves publiques ne prouvent pas chaque allégation de données ou opérationnelle. L'analyse de responsabilité suit le contrôle pratique: Xerox contrôlait les systèmes, la segmentation, la détection, la récupération et l'explication destinée aux clients pour son propre environnement; les clients contrôlaient leur utilisation locale des services documentaires et auraient dû recevoir les faits nécessaires pour agir; les attaquants contrôlaient la pression publique mais pas la fiabilité.

Un système de divulgation mature réduirait l'écart entre ces comptes en rendant visible la portée vérifiée, en préservant l'incertitude et en montrant une réparation correspondant au préjudice examiné.