23ANDME

23ANDME はリスクと説明責任のケースです。なぜなら、説明責任の問題は、あるユーザーのアカウント設定が親族の情報を露出させる可能性があるため、同意とセキュリティ対策は孤立したアカウント所有者ではなく、ネットワーク化された遺伝的アイデンティティを考慮しなければならないからです。公開記録は、顧客、親族、規制当局、遺伝子プライバシー擁護者、研究者、個人情報窃取者、買収者、プラットフォーム運営者にとって重要であり、顧客の選択、侵害対応、データ管理が遺伝的・社会的情報の機密性に合致していることを示す証拠が必要です。

23andMe のクレデンシャルスタッフィングインシデントは、単なるアカウント乗っ取りの事例ではなかった。これは、関係機能によって、侵害された1つのアカウントが、そのアカウントのパスワードを再利用しておらず、悪意のあるセッションを承認しておらず、抽出が行われているのを見ることができなかった多くの人々にとって、共通モードの露出経路となる可能性があることを示していた。したがって、説明責任のある管理問題はログイン衛生よりも広い。共有グラフ、デフォルトの保証レベル、抽出コスト、そして遺伝的および家族情報のその後の所有権を誰が統治していたのか。

2023年の23andMe インシデントの中心的な事実は、一部の顧客がパスワードを使い回したことではない。1回のログイン成功により、そのパスワードを使い回しておらず、アクセスされたアカウントを管理しておらず、自分を露出させたセッションを確認できなかった多くの遺伝的親族の情報が明らかになる可能性があったことである。この共有プロファイル構造は、説明責任のテストを変える。認証のデフォルト、関係の可視性、スクレイピング制御、通知の境界、国境を越えたデータガバナンスは、単に乗っ取られたアカウントの数ではなく、アカウントの到達範囲に照らして判断されなければならない。