Capital One のメタデータ侵害：クラウド設定が生んだ責任の連鎖

概要

• Capital One は、2019年3月22日と23日に外部の人物が設定の脆弱性を悪用したと発表した。刑事・規制記録は、より長い管理の連鎖を示している。つまり、誤設定されたウェブアプリケーションファイアウォール（WAF）によりコマンドがクラウド環境に到達し、あるロールの認証情報が取得され、その認証情報でストレージオブジェクトを列挙・コピーでき、監視が不審な活動からタイムリーな封じ込めに至らなかった。
• OCC（通貨監督庁）は、本事案を単一の技術的ミスとは位置づけなかった。同意に基づく調査結果は、同行の2015年のクラウド移行にまで遡り、非効果的なリスク評価、ネットワークセキュリティとデータ損失防止策の不足、不十分なアラート対処、内部監査の欠陥、経営陣の説明責任を問う取締役会の行動が不十分だったことを指摘した。
• 法的責任は複数の層にわたって存在していたが、互換性はない。連邦陪審は Paige Thompson に刑事責任を認めた。Capital One は、OCC の調査結果を認否せずに8,000万ドルの制裁金を受け入れた。Capital One と Amazon に対する消費者からの民事訴訟は、一部が訴答段階で生き残り、後に和解したため、裁判所による過失割合の判断には至らなかった。
• 主権に関する教訓は、国内クラウドリージョンを選択すればデータ保護が解決するというものではない。カナダの約600万人が影響を受け、うち約100万人の社会保険番号が流出した。所在地、データ保持、アイデンティティ権限、メタデータへのアクセス、暗号化権限、ログ取得、規制当局の証拠へのアクセスは、一つのシステムとして統治されなければならない。

あまりにも狭く捉えられていた侵害

Capital One 侵害のよく知られた説明は簡潔だ。ファイアウォールの設定ミスにより、攻撃者が Amazon Web Services 上のデータにアクセスし、1億人以上に関連する情報が盗まれた、というものだ。この文のどの部分も正しい方向を指している。しかし、説明責任の観点からは、これではあまりにも狭い。あたかも、それ以外は管理された環境の末端に、たった一つの悪い設定があったかのように聞こえてしまう。

公式記録は、より構造的な問題を描写している。Capital One がSEC に提出した2019年7月29日の発表では、特定の設定脆弱性を悪用され、外部の人物が個人情報を取得したと7月19日に判断したと述べられている。実質的な不正アクセスは3月22日と23日に起こり、責任ある開示の報告が7月17日に到着し、同社は設定を修正し、連邦捜査当局と協力した。また、クラウド運用モデルにより、問題が把握されると迅速に診断し修正できたと付け加えた。

この最後の点は重要である。Capital One は、クラウド自体を原因としては提示しなかった。同社は、該当するインフラ要素はクラウドにもオンプレミスにも存在しうると強調した。この立場は技術的には擁護可能だ。リバースプロキシやウェブアプリケーションファイアウォールは、どちらの環境でも意図しない中継点になり得るし、サービスの認証情報が過剰な権限を持つこともあり得る。正当なアイデンティティが暗号化データを読み取れるのも同様だ。しかし、クラウドはこれらの条件が組み合わさる速度、抽象度、規模を変える。アプリケーション境界を越えたコマンドは、インスタンスメタデータサービスに到達しうる。一時的な認証情報は、API を通じて別の場所から行使できる。ストレージロールは、1台のサーバーディスクをはるかに超えるデータレイクを列挙できる。クラウド運用を効率的にするのと同じ自動化が、侵入者にとって権限エラーを効率的にしてしまう。

Capital One の現在のインシデント情報ページによると、米国で約1億人、カナダで約600万人が影響を受けた。最大のデータカテゴリは、2005年から2019年初頭にかけてクレジットカード商品の申し込み時に消費者や中小企業が提供した情報で、氏名、住所、郵便番号、電話番号、メールアドレス、生年月日、自己申告収入が含まれる。クレジット顧客データの一部には、スコア、限度額、残高、支払履歴、連絡先データ、2016年、2017年、2018年にわたる23日分の取引データの断片が含まれていた。同社は、侵害されたデータの中に、米国の社会保障番号約14万件、リンクされた銀行口座番号約8万件、カナダの社会保険番号約100万件が含まれていたと報告した。クレジットカードのアカウント番号とログイン認証情報は流出しなかったとしている。

これらの区別は誇張を防ぐが、管理上の問題を単なる数字に矮小化するものではない。アプリケーションデータは、与信判断後も長期間にわたり個人識別性を保持しうる。収入、住所履歴、生年月日、信用状態、政府発行識別子は、システム間で結合される可能性がある。したがって、この事案は単にバケットがプライベートかどうかの問題ではなかった。アプリケーション向けのロールが保管データ群にアクセスできた理由、ローカルメタデータ境界の認証経路が外部データ経路になり得た理由、監視がギャップを埋められなかった理由、約14年にわたり収集されたデータが依然としてアクセス可能な集合に残っていた理由が問われているのである。

時系列と変化する説明責任のかたち

日付は、組織が合理的に知って対応すべきことがらを変える。主要な時系列は、企業開示、後の起訴と有罪判決、規制当局の命令、裁判所記録から導き出せるが、それぞれの情報源を同種の証拠として扱うべきではない。

3月12日と3月22日の見かけ上の不一致は、無理に単一の日付にまとめるべき矛盾ではない。2021年の修正起訴状は、3月12日頃から始まるより広範な不正コンピュータアクセス期間を訴追した。Capital One の発表は、インシデント説明の中核として3月22日と23日のデータアクセスを用いた。時系列では、起訴された行為経過と、同社によるデータ流出の説明との間のこの差異を保持すべきである。

同様の規律は、影響人数にも適用される。当初の会社発表では、米国で約1億人、カナダで600万人が影響を受けたとしていた。米国の和解管理人は後に、和解クラスの米国消費者を約9,800万人と表現した。いずれの数字も、暗黙のうちに正確な全体数に変換してはならない。それらは異なる記録、異なる段階、異なる定義に属するものだからである。

メタデータ境界がいかにして認証情報境界となったか

技術的な連鎖は、一般に SSRF（Server-Side Request Forgery）と略されるサーバサイドリクエストフォージェリから始まる。SSRF 状況では、外部の呼び出し元が、サーバ側のコンポーネントに、その呼び出し元が選択または影響を与えたリクエストを実行させる。リクエストはサーバのネットワーク位置から発せられるため、公共インターネットからは直接到達できない宛先に届く可能性がある。セキュリティ上の問題は、単に URL が受け入れられたことではない。アプリケーションが、外部者の意図をより信頼されたネットワークコンテキストへ運ぶ代理人となってしまうことである。

司法省のCapital One 事件ページは、この侵入が、設定ミスのあるウェブアプリケーションファイアウォールを通じて行われたと説明している。公判前に提出された修正起訴状は、Thompson がスキャナーを作成・使用して、ウェブアプリケーションファイアウォールの設定により外部コマンドが自社サーバーに到達し実行されるクラウド顧客を特定したと主張した。それらのコマンドが顧客アカウントまたはロールのセキュリティ認証情報を取得し、その認証情報を用いて、権限のあるストレージバケットを列挙しオブジェクトをコピーしたとされる。起訴状は中立的な「クラウドコンピューティング企業」という表現を用いたが、公開された民事記録と Capital One 自身の提出書類は、環境が AWS であると特定している。

EC2 インスタンスメタデータサービスは、仮想マシン上のソフトウェアが自身の実行環境に関する情報を取得し、アタッチされたアイデンティティロールに関連する一時的な認証情報を得るために存在する。これは、長期間有効なアクセスキーをファイルに保存する代わりとして有用である。しかし、この設計は、インスタンスからのアクセスに意味があることを前提としている。ウェブ向けのコンポーネントが、任意の内部リクエストを送信させられる場合、「インスタンスに対してローカル」であることは、「許可されたワークロードコード」と等価ではなくなる。

AWS の2019年の IMDSv2 の説明では、メタデータアドレスがリンクローカルのエンドポイントであることを示し、メタデータにはインスタンスにアタッチされたロールの一時的な認証情報が含まれ得ると説明している。バージョン2では、ソフトウェアはまず HTTP PUT リクエストを行ってセッションを確立しシークレットトークンを受け取り、その後のメタデータリクエストでそのトークンを提示する必要がある。AWS は、このプロトコルを、一般的なオープンウェブアプリケーションファイアウォール、オープンリバースプロキシ、SSRF 脆弱性、特定のレイヤー3ファイアウォールやネットワークアドレス変換エラーに対する耐性を追加するように設計した。顧客はバージョン2を要求したり、メタデータアクセスを完全に無効化することができた。

分析上の重要なポイントは、プロトコルの改訂が遡及的に欠陥を証明するわけではなく、また顧客側の設定がプラットフォーム設計者をあらゆる設計責任から解放するわけでもない、ということだ。ローカルな信頼の前提は、複数の層で強化し得る、ということである。Capital One は、WAF を制約し、メタデータエンドポイントへの外向き通信を制限し、ロールを絞り込み、到達可能なストレージを限定し、異常な API 利用を検知し、保持データを削減することができた。AWS は、透過プロキシや SSRF 経路を介したメタデータプロトコルの再利用をより困難にすることができた。多層防御は、アプリケーションのエラーが自動的にアイデンティティ認証情報へと成熟すべきではなく、アイデンティティ認証情報が自動的に大規模なデータ流出へと成熟すべきではないと認識する。

WAF だけが侵害の全容ではなかった

このインシデントをファイアウォールの設定ミスと呼ぶことは、三つの別個の問題を覆い隠す恐れがある。第一に、なぜ信頼できないリクエストが、ファイアウォールまたはその背後にあるコンポーネントに内部の宛先へ到達させることができたのか？第二に、その際にどのアイデンティティが露出したのか？第三に、そのアイデンティティが何をできたのか？

第一は、アプリケーションとネットワーク経路の問題である。ウェブアプリケーションファイアウォールは通常、アプリケーションに到達する前に有害な入力をフィルタリングする制御機構と理解されている。このインシデントでは、関連する設定が、それを内部リソースへの経路の一部にしていた。この逆転は、クラウドチームがエッジ制御をテストする方法を変えるべきである。WAF は、単にパブリック境界にあるルールセットではない。それは、実行コンテキスト、外向き到達性、ヘッダ、メソッド、そしてアタッチされたアイデンティティを持つコードである。セキュリティレビューは、その制御自体が混乱させられたときに、何に到達し何になりすますことができるかを問わなければならない。

第二の問いは、メタデータ認証情報に関するものである。一時的な認証情報は、埋め込まれた長期有効キーよりも重要な点で安全だ。つまり、それらはローテーションされ、有効期限があり、一元的にロールに関連付けられる。しかし、「一時的」というのは持続時間を表すものであり、権限を表すものではない。攻撃者が現在の認証情報を繰り返し取得できたり、有効期間中に認証情報を用いて大規模なデータセットをコピーできたりするならば、ローテーションは害を防げない。したがって、認証情報の衛生管理には、その認証情報が発行される経路と、それが持つ許可を含めなければならない。

第三の問いは、最小権限である。起訴状は、取得されたアカウントが、標的のストレージを列挙しコピーするのに必要な許可を有していたと主張した。民事裁判所の2020年9月の却下動議命令は、その手続段階で受け入れられた申立てとして、アプリケーション層ファイアウォールの設定ミスに、おそらく意図よりも広範な許可が重なったという Amazon の説明を記録している。同命令はまた、ストレージおよびデータレイクへのアクセスに関する原告側の申立ても記録している。これらの箇所は事実審理の認定ではない。それでも有益なのは、裁判所の判断が、刑事上の侵入が、法的問題として、セキュリティ上の決定と消費者被害との間の因果関係の連鎖を必ずしも切断しないことを示しているからである。

したがって、効果的なレビューは、「WAF は修正された」で終わらせることを避けるだろう。完全な権限グラフを再構築することになる。すなわち、パブリックリクエストからプロキシへ、プロキシからメタデータエンドポイントへ、メタデータエンドポイントからロールセッションへ、ロールからストレージ一覧へ、ストレージ一覧からオブジェクト読み取りへ、オブジェクト読み取りから復号経路へ、API 呼び出しからネットワーク外向き通信へ。すべてのエッジには、所有者、ビジネス上の正当性、予防的管理、テレメトリが必要である。誤ったルールを一つ削除すれば、既知の経路は塞がれる。それは、アイデンティティとデータアーキテクチャが釣り合っていたことを立証するものではない。

暗号化はメディアを保護したが、許可された不正使用は防げなかった

Capital One は、データを標準的に暗号化し、社会保障番号や口座番号などの一部のフィールドをトークン化していたと述べた。また、アクセスされたデータは復号可能な状況にあったが、トークン化されたデータは異なる方式と鍵を使用していたため保護されたままであったと述べた。これは、「データは暗号化されていた」というよくある主張が管理上の問題を解決するという考えに対する重要な修正である。

保存データの暗号化は、主として、ストレージメディア、スナップショット、または基盤ストレージが許可されたサービス経路外でアクセスされた場合にデータを保護するよう設計されている。アプリケーションは依然としてデータを読み取る必要がある。したがって、クラウドストレージと鍵管理システムは、ポリシーを満たすアイデンティティに対して情報を復号する。攻撃者がワークロードと同じ読み取り権限を持つ認証情報を取得した場合、暗号化は設計通りに動作しながら、許可されたマシンアイデンティティを用いる無許可の人間に平文を提供し得る。

これは暗号化に反対する議論ではない。権限を分離すべきという議論である。公開向け制御に晒されるロールは、広範なデータ読み取りと鍵使用の許可を持つべきではない。高感度フィールドは、一般的なストレージ読み取りアイデンティティが越えられないサービス境界の下でトークン化または暗号化されるべきである。鍵ポリシー、データポリシー、ロールポリシーは、一つの認可決定としてレビューされるべきである。そうでなければ、個別には妥当な三つの設定が交差して、いずれの所有者も意図しなかったアクセスを許してしまう可能性がある。

この事案はまた、なぜ管理報告がカバレッジと結果を区別すべきかを示している。「全オブジェクトが暗号化されている」は、機密性リスクが高いままであっても真であり得る。より有益な取締役会向け指標は、各実行時ロールが機密性の高いオブジェクトのどの割合を読み取れるか、どのアイデンティティが復号を呼び出せるか、それらの経路に公開向けワークロードが現れるか、ロールが本来のプレフィックス、ボリューム、リージョン、時間パターン外でデータを読み取る頻度はどれほどか、を示すであろう。

対応が成功する前に検知は失敗した

Capital One の責任ある開示プログラムは、外部の人物がそれを利用した際に機能した。同社は、7月17日に報告を受け、7月19日に侵害を確認し、問題を修正し、FBI に連絡し、7月29日にインシデントを公表し、迅速な逮捕に協力したと述べた。これらは意味のある対応の事実である。しかし、なぜ内部統制システムが3月の活動を解決に導けなかったのかという問いには答えていない。

OCC の調査結果は、このギャップをより高いレベルで扱っている。民事制裁金同意命令において、監督官は Capital One が適切なクラウドリスク管理（十分なデータ損失防止策と効果的なアラート処理を含む）を確立していなかったと認定した。Capital One はこれらの認定を認否しなかった。「処理（disposition）」とは、単にアラートを生成すること以上のものである。それは、イベントが無害か、エスカレーションすべきか、封じ込めたか、証拠をもってクローズしたかを決定するプロセスである。

クラウド環境は豊富なテレメトリを生成する。ロールの引き受け、メタデータの使用、ストレージ一覧表示、オブジェクト読み取り、API 送信元アドレス、外向き通信量、拒否された呼び出し、ポリシー変更、データ分類イベントなどである。シグナルが増えても、自動的に検知が実現するわけではない。プログラムはあらゆる関連イベントを収集しても、ルールがシーケンスを相関付けない場合、閾値がロールの通常動作に対して鈍感な場合、アラートに説明責任を負う所有者がいない場合、クローズ理由が独立的にレビューされない場合には失敗し得る。

外部報告が発覚につながったという事実は、対応の成功であると同時に保証の失敗として記録されるべきである。成功は、そのチャネルが存在し、監視され、行動を可能にしたことである。失敗は、4ヶ月前のアクセス経路が、同行自身の統制が最終的な封じ込めを生み出す前に、公開活動を通じて発見可能だったことである。責任ある開示は貴重な外部センサーである。それを、認証情報の取得、異常なバケット列挙、大量のオブジェクトコピーを内部で検知する代わりと見なしてはならない。

OCC は侵害を移行ガバナンスの失敗と見なした

最も強力な公開説明責任の記録は、技術的事後分析ではない。それは OCC の2020年の執行パッケージである。同機関の制裁金発表は、同行が重要な技術業務をパブリッククラウドに移行する前に効果的なリスク評価プロセスを確立せず、不備を適時に修正しなかったと述べている。同機関は8,000万ドルの制裁金を課し、同行の通知と改善措置を評価しつつ、責任あるイノベーションは依然として健全なリスク管理と内部統制を必要とすると述べた。

同意に基づく調査結果は異例なほど具体的である。OCC は、2015年頃に同行が移行前に効果的なリスク評価を確立しなかったと認定した。ネットワークセキュリティ管理の設計と実装、データ損失防止、アラート処理に欠陥があったと認定した。内部監査が多数の統制の弱点やギャップを特定せず、特定された弱点を監査委員会に効果的に報告しておらず、取締役会が監査によって提起された特定の懸念について経営陣の説明責任を果たすための効果的な行動を取らなかった、と認定した。Capital One は、手続費用を回避するために本命令に同意し、調査結果を明示的に認否しなかった。

この枠組みは、説明責任の単位を変える。本事案が2019年に作成された単一の悪い WAF ルールだったのなら、改善措置はエンジニア、変更レビュー、および当該コントロールに集中し得た。しかし、関連する失敗が2015年の不十分に評価された運用モデルから始まったのであれば、責任を負うシステムには、移行ガバナンス、クラウド制御設計、第二防衛線のチャレンジ、内部監査、委員会報告、経営陣の改善措置、取締役会へのエスカレーションが含まれる。

付随するOCC の業務停止命令は、その広範な境界を運用可能にした。少なくとも3名の取締役から成るコンプライアンス委員会、書面による是正措置計画、技術リスク評価、クラウド運用リスク管理、独立リスク管理、統制テスト、内部監査の改善を要求した。クラウド計画では、境界セキュリティ、機密情報の特定と保護、不正開示の防止と検知、コンテナ化オブジェクトの構成管理に取り組まなければならなかった。独立したリスク管理では、包括的なリスクと統制の体系を定義し、固有および残余のサイバーリスクに関する第一線評価にチャレンジしなければならなかった。

命令の統制テスト要件は特に重要である。Capital One は、関連するクラウド統制の一覧を作成し、リスクベースのテスト計画をその一覧と整合させ、ギャップを追跡し、改善するか、正式にリスクを受け入れなければならなかった。内部監査は、経営陣による技術資産、設定可能デバイス、ソフトウェアの一覧の完全性と正確性を検証し、監査対象範囲を検査上の懸念事項にマッピングし、侵害根本原因分析からの教訓を組み込み、監査範囲を見直し、スタッフの専門知識を評価し、監査委員会への報告を改善する必要があった。

これらの義務は、繰り返されるクラウドガバナンスの過ちに対する答えである。企業は統制カタログと監査計画を持っていても、それらの間に信頼できる関係が欠けているかもしれない。統制カタログには経営陣が存在すると信じているものが含まれる。資産一覧にはチームが運用していると信じているものが含まれる。監査範囲には監査がレビューを期待しているものが含まれる。これらの集合が調整されていないと、公開向けロール、メタデータ経路、ストレージバケット、または設定エンジンが、所有権モデルの間に介在し得る。OCC 命令は、それらの集合が整合している証拠を要求した。

取締役会の説明責任は証拠であって、会合の頻度ではない

Capital One の2020年委任状説明書によれば、経営陣は7月19日の発覚後、速やかにインシデントを取締役会に報告した。複数の委員会の独立取締役と取締役会全体が、インシデントと対応に関して20回以上会合した。取締役会は外部専門家を関与させ、根本原因と改善措置に関する報告を受け、監督を強化し、リスク委員会に強化されたサイバーガバナンスのレビューにおける主導的役割を割り当てた。経営陣は、企業全体のサイバー問題とエスカレーションのための上級委員会を設置した。

これらは正当なガバナンス対応だが、会合の数は統制が機能していることを証明できない。OCC の調査結果は侵害前の期間に焦点を当てており、監査の弱点が効果的に表面化されず、経営陣が一部の未解決ギャップについて説明責任を問われなかったとされる時期である。したがって有益な比較は「以前は少なく、以後は多い」ではない。取締役に届く情報が、活動報告から統制の証拠へと変化したかどうかである。

OCC 命令は、その証拠が何を裏付けるべきかを定義した。取締役は、適時の是正措置を確保し、措置が有効であることを検証し、十分な人員とシステムを確保し、経営陣の説明責任を果たさせ、適切かつタイムリーな報告を要求し、不遵守に対処することが求められた。取締役会は経営陣、委員会、第三者に依拠することができたが、依拠することは是正措置を確保する義務を免れさせるものではなかった。

クラウドのメタデータとストレージのリスクに関して、取締役会向けの資料は具体的な質問に答えるべきである。インターネットから到達可能なワークロードのうち、いくつがインスタンスメタデータにアクセスできるか？より強力なセッションプロトコルを必要とするものはいくつか？メタデータを完全に無効化できるものはどれか？公開向けロールのうち、機密オブジェクトストアを一覧表示または読み取りできるものはいくつか？各ロールが一つの認証情報の有効期間内に取得できる最大データ量は？どの管理策が、データが承認されたネットワークやリージョンから流出するのを防いでいるか？裏付け証拠なしにクローズされたアラートはいくつあるか？クラウド監査の指摘事項のうち、目標期日を過ぎているものはどれで、どの役員が残余リスクを受け入れたのか？

これらの質問のいずれも、取締役にファイアウォールの設定を求めていない。それらは、経営陣が主張する運用境界を実証できるかどうかを問うている。それが管理と監督の違いである。取締役はすべての API パラメータを知る必要はないが、外部の研究者よりも先に危険な組み合わせを見える化する報告システムを必要とする。

共有責任は統制マップであり、責任放棄ではない

AWS は、クラウドセキュリティがプロバイダーと顧客の間で共有されると説明する。AWS 共有責任モデルの下では、AWS がクラウドサービスを実行するインフラストラクチャを保護し、顧客の責任はサービスの選択によって異なり、一般的に顧客データ、アイデンティティとアクセス、アプリケーションソフトウェア、OS 設定、ファイアウォール設定、暗号化の選択、トラフィック保護が含まれる。EC2 のようなインフラストラクチャサービスでは、完全マネージドサービスに比べ、顧客が運用スタックのより多くの部分を制御する。

このモデルは、カテゴリーエラーを防ぐので有用だ。コンピューティングリソースを借りることが、プロバイダーを顧客のアプリケーション許可の運用者にするわけではない。しかし、図はガバナンスの始まりにすぎない。多くの重要な管理策が境界線を越える。プロバイダーはメタデータサービスを設計し、顧客はそれを使用するかどうか、どのように使用するかを決定する。プロバイダーはアイデンティティポリシーの仕組みを提供し、顧客はロールと許可を定義する。プロバイダーはログを生成し、顧客はそれを有効にし、保持し、ルーティングし、調査する。プロバイダーはリージョンの選択肢を提供し、顧客は法的義務を満たすリージョンとアーキテクチャを選択する。プロバイダーはより安全なデフォルトを可能にし、顧客は既存のワークロードを移行し、それらを強制しなければならない。

FFIEC のクラウドコンピューティング声明は、金融セクターへの影響を明確にしている。経営陣は、システムがクラウド環境で稼働しているというだけの理由で、セキュリティとレジリエンスの管理策が存在すると想定してはならない。声明は、契約で当事者の責任を明確にすべきだが、金融機関は引き続き安全かつ健全な運営とコンプライアンスに責任を負うと述べている。ガバナンス、クラウドアーキテクチャ、アイデンティティ、データ管理、脆弱性管理、モニタリング、インシデント対応、事業継続、監査を、相互に関連する実践として強調している。

したがって、共有責任は、テストできる程度に正確な統制マトリックスに翻訳されなければならない。各統制について、誰がそれを設計し、誰が設定し、誰が運用し、誰がアラートを受け取り、誰が有効性を検証し、どの証拠が保持され、証拠がない場合に誰が行動するのかをマトリックスで特定すべきである。「顧客の責任」というラベルは統制の所有者ではない。大規模な銀行では、「顧客」はプラットフォームエンジニアリング、アプリケーションチーム、クラウドセキュリティ、データガバナンス、アイデンティティエンジニアリング、エンタープライズリスク、内部監査、法務、あるいはサプライヤーを意味し得る。顧客組織内の曖昧さは、顧客とプロバイダーの間の曖昧さよりも危険であり得る。

共有責任の図が民事責任を決定するわけでもない。契約条件、表明、技術設計、通知義務、因果関係、州法、証明された事実のすべてが重要である。モデルは期待される運用の指針となり得るが、それは過失の司法的な配分ではなく、免責であるかのように取締役会に提示されるべきではない。

刑事責任、規制上の責任、および民事上のエクスポージャー

公開記録は、それぞれ異なる法的地位を持つ複数の説明責任の形態を裏付けている。

刑事責任が最も明確である。司法省の判決発表は、連邦陪審が Thompson に対し、電信詐欺、保護コンピュータへの不正アクセス5件、保護コンピュータの損壊で有罪評決を下したと述べている。検察側は、彼女がクラウドアカウントをスキャンして設定ミスを探し、それらを用いてデータとコンピューティングパワーを取得し、30以上のエンティティにアクセスしたことを立証した。彼女は既服役期と5年間の保護観察を言い渡された。この確定した犯罪行為は、偶発的な発見のように和らげて伝えられるべきではない。

規制上の説明責任は銀行に焦点を当てた。OCC の制裁金命令は最終的な同意命令であるが、Capital One は監督官の調査結果を認否しなかった。連邦準備制度理事会の連携執行発表は、持ち株会社がリスク管理、ガバナンス、サイバーセキュリティ、情報セキュリティ管理を強化しなければならないと述べた。添付のFRB 同意命令は、親会社の取締役会に対し、そのリソースを用いて各銀行が OCC 命令を遵守するようにし、取締役会の監督に関する書面計画を提出することを求めた。

民事上のエクスポージャーはより広範だったが、最終的な過失については確定的ではなかった。消費者は、過失、契約、不当利得、通知義務、消費者保護の法理に基づき、Capital One と Amazon を訴えた。2020年9月、連邦地裁は被告側の却下動議の一部を認め、一部を却下した。大半の過失請求は生き残ったが、ワシントン州法に基づく過失請求と、いくつかの「過失それ自体（negligence per se）」の法理は却下された。裁判所はその段階で、Thompson の犯罪行為が、被告とされる側の過失主張を必ずしも遮断するものではないと結論付けた。却下動議は適切に申し立てられた主張を真実とみなすため、この判断は請求の続行可能性を確立したに過ぎず、Capital One や Amazon が申し立てられた行為を行ったことを確定したわけではない。

この訴訟は本案審理ではなく和解で終結した。最終承認命令は、1億9,000万ドルの非返還型基金、アイデンティティ防御・復旧サービス、および業務慣行の確約を承認した。和解により、Capital One と Amazon に対する請求は解決された。承認は、裁判所が交渉による解決を集団訴訟規則の下で公正、合理的、かつ適切であると判断したことを意味する。それは、銀行、AWS、攻撃者の間で侵害責任の割合を配分するものではなかった。

この区別は重要である。なぜなら「誰に責任があったのか？」という問いは、誤った単一の答えを招きかねないからだ。Thompson は犯罪行為で有罪判決を受けた。Capital One は同意に基づく認定に基づき規制制裁を受け、是正義務を受け入れた。Capital One と Amazon は民事請求に直面し、一部が生き残り、和解された。プロバイダーの後の設計変更は予防に関連するが、法的過失の自認ではない。各記述には、出所と手続上の立場がある。それらを一つの一般化された評決にまとめることは不正確であろう。

IMDSv2 と、より安全なデフォルトのガバナンス

AWS は、Capital One の侵害公表から4か月足らずの2019年11月に IMDSv2 を導入した。AWS のリリース案内は、それを認可されていないメタデータアクセスに対する防御の層と説明した。顧客は、新規または稼働中のインスタンスで強化されたリクエスト方式を要求するか、メタデータアクセスをオフにできた。バージョン1は互換性のために引き続き利用可能とされた。

IMDSv2 のセッショントークンは、いくつかの混乱した代理人経路に対して摩擦を生み出す。単純な GET リクエストを転送するプロキシは、最初の PUT を許可しないかもしれない。転送ヘッダを挿入するリバースプロキシは、トークン作成が拒否される可能性がある。トークンはインスタンスに結び付けられており、任意のマシンから単純にリプレイすることはできない。ホップ制限は、メタデータレスポンスがネットワーク層を越えてどこまで到達するかを制限できる。これらは、アプリケーションやプロキシのミスの結果を軽減するため、貴重なプロトコル制御である。

これらは最小権限の必要性を取り除くものではない。悪意のあるコードが実際にインスタンス上で実行された場合、正当なコードと同様にトークン交換を実行できるかもしれない。脆弱な SSRF が任意のメソッドとヘッダを許可する場合、保護は不完全になり得る。アタッチされたロールが不要なデータレイクを読み取れる場合、残余の結果は高いままである。したがって、メタデータの強化は一連の層のうちの一つであり、ロール設計、出力制御、データ分割、モニタリングの代替ではない。

デフォルトには時間の次元もある。2019年当時、顧客はより強力な方式が利用可能になった後、それを選択し強制しなければならなかった。AWS は後にIMDSv2 をデフォルトとするロードマップを発表し、コンソールのクイックスタートや新リリースのインスタンスタイプをバージョン2へと移行させつつ、互換性オプションを残した。この漸進的変化は、プラットフォームガバナンスのジレンマを示している。即時の強制的変更は既存ソフトウェアを破壊し得る。長期にわたる任意性は、古い前提をそのままにする。プロバイダーは移行を測定可能にし、アカウントレベルの強制を提供し、残存するバージョン1使用を可視化し、明確な方向性を設定すべきである。顧客は、オプションのセキュリティアップグレードを、機能バックログとしてではなく、所有者と期限を伴うリスク判断として扱うべきである。

取締役会にとっての教訓は、デフォルト債務について問うことだ。いまだに旧来のメタデータモードに依存しているワークロードはどれだけあるのか？なぜか？それを無効化すると何が壊れるか？より低いホップ制限に耐えられないアプリケーションはどれか？新たな例外を防ぐ組織ポリシーは何か？買収したアカウントや開発環境が設定から逸脱していないことを、どのように把握するのか？利用可能だが未測定のセキュア機能は、インベントリと強制に結び付けられた移行プログラムよりも保証が少ない。

データの所在地は論理的アクセスを封じ込めなかった

この侵害は、米国とカナダの両国に住む人々に影響を及ぼした。Office of the Privacy Commissioner of Canadaは、Capital One が、社会保険番号にアクセスされた人々を含む600万人のカナダ人が影響を受けたと報告したことを受け、調査を開始した。Capital One のカナダ向けインシデントページは、国別の通知とサポートを提供した。国境を越えた影響は、所在地を抽象的なクラウド調達の問題から、説明責任の問題へと転換する。

本稿でレビューした情報源は、影響を受けたすべてのオブジェクトの正確な AWS リージョンを確定しておらず、カナダの記録が別個のカナダリージョンに保持されていたことも示していない。その不在はそのまま維持されるべきである。データ主体の国籍やグローバルなクラウドブランドからストレージの場所を推測するのは無責任であろう。記録が確立しているのは、一つのインシデントが、異なる法制度や規制システムの下にある大規模な人々に影響を及ぼしたということである。

AWS はデータプライバシー資料の中で、顧客が顧客コンテンツを制御し、プロバイダーと顧客の責任は共有責任モデルに従うと述べている。同社の現在のデジタル主権フレームワークは、ワークロードの実行場所、データアクセス、耐障害性、制御に関する顧客の選択を重視する。これらの能力は関連性があるが、リージョンの選択は完全な主権の結果ではない。

所在地は、通常運用の下でサービスがデータを保存または処理するよう設定されている場所を示す。セキュリティはさらに、誰がサービスにその開示をさせることができるか、認証情報はどこで行使され得るか、ログとバックアップはどこに行くか、サポートアクセスがどのように制御されるか、エクスポートされたデータが選択された境界を越え得るか、にも答えなければならない。Capital One の連鎖では、API 認証情報はディスクへの物理的近接性よりも重大だった。一度ロールが許可されたものとして受け入れられると、ストレージはサービスインターフェースを通じてオブジェクトを提供できた。国内リージョンであっても、それ自体ではその論理的経路を防げなかっただろう。

したがって、主権の管理策には少なくとも四つの層が必要だ。第一は配置である。承認されたリージョン、レプリケーション設定、バックアップ、分析、災害復旧、サポートサービス。第二は権限である。アイデンティティ、鍵の使用、メタデータアクセス、ネットワーク・アカウント・組織・リージョンによって呼び出しを制限するポリシー。第三は可観測性だ。独立して管理されるアカウントに保持されたログ、クロスリージョン転送の証拠、異常な送信元位置に対するアラート、関連規制当局が利用可能な記録。第四は、出口と継続性である。データとログを利用可能な形式でエクスポートし、プロバイダーのアクセスを無効化し、鍵をローテーションし、リージョンやプロバイダー、または法的移転メカニズムが利用できなくなった場合に、テスト済みの復旧アレンジを運用する能力だ。

このインシデントはまた、インフラストラクチャの地理が不確かであっても、データ主体の地理が重要になり得ることを示している。Capital One の本社が米国にあるからといって、カナダの規制当局、影響を受けた個人、通知の実務、アイデンティティ修復のニーズが消えるわけではない。多国籍のクラウドプログラムは、エンジニアがデータを見るアカウントやリージョンだけでなく、データセットを、それが表す人々と義務に対応付けるべきである。

データ保持は、アクセス経路を過去の記録集へと変えた

Capital One によれば、最も多くの影響を受けたカテゴリには、2005年から2019年初頭までのアプリケーションデータが含まれていた。その期間がリスク分析を変える。与信申請には、資格審査、法令遵守、不正防止、口座開設という当面の目的がある。時間が経っても、サービシング、法的保持、規制対応義務、モデルガバナンス、紛争解決、不正分析のために一部の情報が必要であり続けるかもしれない。しかし、その必要性はフィールド、目的、期間ごとに証明されなければならない。

データ保持はしばしば、クラウドセキュリティから切り離されたプライバシースケジュールとして扱われる。この侵害は、その分離がいかに人為的であるかを示している。侵害されたロールによって到達可能なデータの量と古さが、影響を決定する。完璧な削除スケジュールは、攻撃者が現在の記録を読むのを止められないが、一つの認証情報イベントが14年分のアプリケーション履歴を露出するのを防ぐことはできる。同様に、あるフィールドを機密と分類しても、その分類によってストレージポリシー、鍵の境界、アクセスロール、削除ジョブが変わらなければ、ほとんど効果がない。

適切な管理策は、単に「古いデータを削除せよ」ではない。それは、防御可能なライフサイクルである。すなわち、収集目的を特定し、保持の法的・ビジネス上の根拠を明示し、アクティブな運用データを制限付きアーカイブから分離し、フィールドを最小限にし、永続的識別子をトークン化し、削除を強制し、文書化された例外の対象となる記録のみを保存し、削除されたデータがレプリカ、派生データセット、キャッシュ、スナップショット、開発用コピーにも残っていないかテストすることである。すべての例外には、所有者と有効期限レビューが必要である。

データアーキテクチャはまた、集約を低減すべきである。単一のロールが、ただ一つの処理ジョブがかつて必要としたという理由で、広範な過去のデータ集合へのアクセスを得るべきではない。目的、機密性、期間、法域によるパーティショニングは、アクセスポリシーに実効性のあるものを与える。そうした境界がなければ、最小権限は非常に大きなバケットやデータレイクのレベルで作用せざるを得ず、「このアプリケーションを実行できる」ことと「この機関の履歴を読める」ことの差が危険なほど小さくなる。

クラウド依存には証拠依存が含まれる

Capital One は単に遠隔のディスクを借りていただけではなかった。他の大規模クラウド顧客と同様に、プロバイダーが定義するアイデンティティのセマンティクス、メタデータの動作、API ログ取得、リージョン構造、ストレージ管理、サービス可用性、文書、そしてプロバイダーの証拠保存・説明能力に依存していた。これは、稼働時間よりも広範な依存である。

2019年のインシデントは、Capital One の中核銀行サービスの長期にわたる公開停止を引き起こさなかった。継続性の問題は、機密性と信頼だった。同社は、大規模なクラウド環境を調査し、影響を受けた記録を特定し、二つの国の人々に通知し、法執行機関や規制当局と連携し、監視を提供し、訴訟に対応し、管理策を改善しつつ業務を継続しなければならなかった。これは証拠が損なわれた状況下での継続性である。サービスは利用可能なままであり得るが、その機関は、自身の記録、アイデンティティプロセス、顧客とのコミュニケーションが依然として信頼できるかどうかを判断しなければならない。

Capital One の2019年 Form 10-Kは、2019年のインシデント対応及び改善費用として7,200万ドルの増加費用を報告し、3,400万ドルの保険回収で一部相殺された。同社は、以前発表したインシデント関連総費用1億ドルから1億5,000万ドルの下限になると見込んでいたが、一部の費用は2019年を超えて発生した。規制介入、訴訟、改善費用、風評被害、信頼喪失について警告した。これらの数字は、8,000万ドルの OCC 制裁金や後の1億9,000万ドルの集団訴訟和解基金より前のものであり、保険、時期、和解範囲、会計処理が異なるため、安易に合算すべきではない。

証拠依存は、契約上および技術的に計画されるべきである。規制対象の顧客は、十分なフィールドと保持期間を備えたログ、プロバイダーのイベントに関する迅速な通知、フォレンジック収集への協力、保存義務、リージョンおよびサブプロセッサー情報、統制報告書へのアクセス、脆弱性に関するコミュニケーション、政府・規制当局からの要請への対応プロセスを必要とする。また、侵害されたワークロードが変更できないセキュリティアカウントに、重要なログの独自コピーを保持する必要がある。サービスが正常に動作したと示すプロバイダーのダッシュボードは、顧客のアイデンティティが適切に範囲設定されていたことを立証するものではない。

出口計画も同じパッケージに含まれるべきである。データとアイデンティティポリシーを単一のプロバイダーに集中させることは、標準化と可視性を向上させ得るが、移行を困難にもし得る。出口テストは、データのインベントリ作成、アクセスポリシーの再現、鍵のエクスポートまたは再暗号化、ログの転送、検知の再構築、所在地制約の充足、旧プロバイダーでの削除証明に要する時間を測定すべきだ。マルチクラウド展開が自動的により安全なわけではない。未成熟な管理策を複製することは不確実性を倍増させ得る。目標は、信頼できるデータと証拠のポータビリティであり、装飾的なプロバイダー数ではない。

和解が解決したこと、そして残された課題

消費者和解は大規模だが、その意味は慎重に述べられるべきである。和解は、適格な自己負担損失、逸失時間、アイデンティティ防御サービス、復旧サービス、通知・管理費用、裁判所が承認した弁護士費用のために1億9,000万ドルの基金を創設した。また、業務慣行の確約も含まれていた。最終承認命令は、この和解を公正、合理的かつ適切であると認め、解放された消費者請求を棄却（再訴禁止）とした。

和解は、修正訴状のすべての申立てが真実であることを立証したわけではない。却下動議の背景を証拠に基づく認定に変えたわけでもない。AWS のメタデータ設計が一定割合の損害を引き起こしたとか、Capital One の設定が残りを引き起こしたと判断したわけでもない。Thompson の刑事責任を消し去ったわけでも、OCC の別個の規制上の調査結果や命令に取って代わるものでもない。

この未解決の配分自体が、ガバナンスの教訓である。企業は、裁判所がきれいな割合を割り当てるのを待ってから共有の統制を改善するわけにはいかない。プラットフォームプロバイダーは、法的責任が認定されていなくても、より安全なプロトコルを追加し得る。顧客は、規制当局の認定に異議を唱えつつも、命令を受け入れて統制を全面的に見直し得る。取締役会は、法的防御を留保しつつ、運用上の事実を緊急のものとして扱うことができる。法的な姿勢と改善の姿勢は、矛盾なく異なり得る。

OCC は後に、2020年の業務停止命令を解除したと発表した（発効日：2022年8月31日）。解除は、その特定の命令にとって重要な終了点である。しかし、制裁金を取り消すものでも、過去の認定を書き換えるものでも、クラウドリスクが静的になったと証明するものでもない。正式な命令がもはや未解決でなくなったことを示すに過ぎない。成熟した取締役会は、命令に基づく統制一覧、テスト、監査、報告の規律を、規制監督の終了と共に失効させるのではなく、通常のガバナンスに転換すべきである。

メタデータ、アイデンティティ、所在地リスクのためのエビデンスパッケージ

Capital One の記録は、パブリッククラウドで高機密ワークロードを運用する組織向けの実用的なエビデンスパッケージを支持する。

パブリック経路と内部権限をマッピングする。インターネットから到達可能なすべてのプロキシ、ロードバランサー、WAF、API ゲートウェイ、アプリケーションを一覧化する。それぞれについて、外向きの宛先、メタデータ到達可能性、アタッチされたアイデンティティ、許可されたメソッドとヘッダ、そのアイデンティティを通じて到達可能な最大データ権限を示す。意図したアーキテクチャ図に対してだけでなく、攻撃者の視点から経路をテストする。

メタデータの態勢を測定可能にする。メタデータが必要かどうか、無効化できるかどうか、必要なプロトコルバージョン、ホップ制限、ローカルファイアウォール制限、コンテナへの影響、観測された旧来の呼び出しを記録する。組織レベルまたはアカウントレベルで望ましい状態を強制する。例外には、依存ソフトウェア、リスク所有者、補償的管理策、解除予定日を特定する。

認証情報の影響範囲を算出する。各実行時ロールについて、アクセス可能なストレージプレフィックス、データベース、キュー、シークレット、鍵操作、管理アクションを列挙する。一つの認証情報の有効期間内に、どのネットワークロケーションから、どれだけの機密データが読み取られ得るかを見積もる。アイデンティティ、リソース、鍵、エンドポイント、組織ポリシーの交差点を含め、実効許可をテストする。

ストレージアクセスと復号権限を分離する。暗号化は、アプリケーション経路で露出されるロールと同じロールに統合されるべきではない。永続的アイデンティティフィールドにはトークン化や別個のサービスを用いる。公開向けアイデンティティが鍵操作を呼び出したり、その狭い目的外のデータカテゴリを読み取った場合にアラートを発する。

目的と法域に基づいてデータを制御する。機密性、目的、保持期間、影響を受ける集団に応じてデータにタグを付け、パーティションを切る。一次ストレージ、レプリカ、分析、バックアップ、リカバリについて承認されたリージョンを強制する。必然的にコンテンツやサポートデータを移動させるサービスを記録する。設定された場所だけでなく、クロスリージョンやクロスアカウントの拒否をテストする。

監査証跡を保有する。アイデンティティ、メタデータ、ストレージ、鍵、ネットワーク、データ損失のイベントを、独立して管理されるログ環境にルーティングする。ワークロードロールからログを保護する。認証情報の取得、一覧操作、オブジェクト読み取り、復号、外向き通信を相関付ける。アラートが生成されたかどうかだけでなく、証拠に基づく結論まで調査されたかを測定する。

統制の範囲を調整する。経営陣のクラウド統制カタログ、資産一覧、設定一覧、データカタログ、リスク登録簿、監査範囲は、共通の識別子を持つべきである。内部監査は、経営陣のリストからのみサンプリングするのではなく、完全性をテストすべきである。一致しない資産や統制は、カバレッジ不明として報告されるべきである。

繰り返される、期限超過の指摘事項をエスカレーションする。改善期限を過ぎた設定ギャップは、それがさらけ出したままのアイデンティティやデータ経路と並べて表示されるべきである。取締役会報告書では、責任を負う役員、補償的管理策、検証方法、期限を明示すべきである。クローズには、リスク状況が変化したことの独立した証拠が必要とされるべきである。

国境を越えた対応を訓練する。侵害対応演習では、どの集団や規制当局が関与するか、どの記録が場所とアクセスを示すか、国別の通知がどのように配信されるか、異なる政府発行識別子や信用システムに対してアイデンティティ復旧がどのように機能するかを特定すべきである。組織は、危機の最中に答えを再構築することなく、影響を受けたデータがどこに保持されていたかを説明できるべきである。

プロバイダーの協力と出口権を確保する。契約と運用手順は、タイムリーなログアクセス、フォレンジック支援、インシデント通知、証拠保全、リージョンの確約、サブプロセッサーの透明性、削除証明を確保すべきである。チームは定期的に、データ、ポリシー、鍵、監査証跡を利用可能な復旧環境へエクスポートするテストを行うべきである。

このパッケージが厳格なのは、リスクが組み合わせによって生じるからだ。WAF はベースラインを満たしているかもしれない。メタデータサービスは文書化された通りに動作しているかもしれない。ロールにはビジネス上の理由があるかもしれない。バケットはプライベートかもしれない。オブジェクトは暗号化されているかもしれない。ログは存在するかもしれない。しかし、その交差点が依然として、パブリックリクエストを許可されたエクスポートへと変えることを許し得る。説明責任は、まさにその交差点に属する。

永続的な試金石

Capital One の侵害は、二つの安易な説明を拒むため、有用なクラウド説明責任の事例であり続けている。一つ目の説明は、パブリッククラウドが侵害を引き起こしたとするものだ。これは、顧客が管理する設定、許可、データアーキテクチャ、監視、そして同行のクラウドリスクプログラムに関する OCC の直接の認定を無視している。二つ目の説明は、共有責任が問題を完全に顧客側に帰属させたとするものだ。これは、プロバイダーの図を設計分析の終着点と扱い、より強力なメタデータサービス防御、より安全なデフォルト、プロバイダーのテレメトリ、契約上の証拠の価値を見落としている。

より優れた説明は、連鎖を追う。公開向けの制御が意図しないリクエストを中継できた。そのリクエストはメタデータの信頼境界に到達した。結果として得られた一時的なアイデンティティは、保存された情報を一覧表示しコピーするのに十分な権限を持っていた。暗号化は、許可されたものとして受け入れられた認証情報がデータを読み取るのを妨げなかった。内部監視はタイムリーな封じ込めを生み出さなかった。長い保持期間が露出したデータ群を拡大した。同じ事象が、米国とカナダのプライバシー制度の下にある人々に及んだ。監査と取締役会への報告は、規制当局が特定したより広範なクラウド統制ギャップの解決を強制していなかった。

その後、責任は場によって分かれた。攻撃者は有罪判決を受けた。銀行規制当局は Capital One に同意義務と制裁金を課した。消費者は Capital One と Amazon の双方を追及し、請求の一部が生き残り、裁判による過失割合の判断なく和解した。AWS はより防御的なメタデータプロトコルを導入した。Capital One は改善措置を説明し、取締役会の監督を強化し、多額の対応・執行・和解費用を負担した。

将来の取締役会にとって決定的な問いは、クラウドプロバイダーが認定を受けているか、バケットが暗号化されているか、ファイアウォールルールが修正されたかではない。その機関が、不釣り合いな権限を持つワークロードアイデンティティを信頼できない経路が取得できないこと、そのアイデンティティの異常な使用が検知され解決されること、到達可能なデータが目的・時間・法域によって制限されていること、そしてプロバイダーと顧客の証拠がリスクを統治するのに十分迅速に統合できることを証明できるかどうかである。

その証明こそが、共有責任の実践的な意味である。それがなければ、責任は単に書類上で分割されているに過ぎず、リスクは本番環境でつながったままである。