Equifax と 76 日間のパッチウィンドウ: Struts アドバイザリから取締役会の説明責任へ

概要

• Apache は 2017 年 3 月 7 日に重大な Struts 脆弱性を公表し、修正バージョンを提供した。Equifax は 48 時間以内のパッチ適用指示を回覧したが、同社のオンライン紛争ポータルは脆弱なままだった。なぜならば、信頼できるインベントリがなく、適切なアプリケーション所有者に届かず結びつかなかったためであり、範囲が不十分なスキャン結果を脆弱性が存在しない証拠として扱ったからである。
• 攻撃者がポータルから侵入すると、弱いセグメンテーション、広範囲に使用可能な認証情報、不十分なデータガバナンスが事象を拡大させた。暗号化トラフィック検査経路での証明書障害により、検知は 7 月末まで遅れた。そのため、この侵害はインシデント対応の試練となる前に、経営陣の説明責任の試練となった。
• 法的記録はステータスごとに区別されなければならない。議会および GAO の報告書は管理の失敗を記述し、FTC の訴状は申し立てを述べ、2018 年の州および 2019 年の連邦命令は同意義務を課し、刑事起訴状は攻撃者の行為を申し立て、消費者和解はすべての争点を解決する裁判所の認定なしに承認された。
• 取締役会にとって永続的な教訓は証拠に基づくということである。ポリシーの期限、一斉メール、スキャナー結果、ダッシュボードの色は、完了を意味しない。取締役は、重要な資産が把握され、指名された所有者が作業を受け入れ、修復が独立して検証され、例外に期限が設定され、機密データへの残留経路が制約されているという証拠を必要とする。

侵害は 1 つのパッチ漏れではなく、管理の連鎖であった

Equifax 侵害の最も短い説明は正確だが不完全である。同社はインターネットに接する Apache Struts の脆弱性にパッチを当てず、攻撃者がそれを悪用し、約 1 億 4700 万人の個人情報が持ち出された。この説明は侵入経路を特定している。しかし、公開されたアドバイザリ、ベンダーの修正、社内の緊急警告、明示された 48 時間の期限があったにもかかわらず、大手消費者信用情報機関が何ヶ月も露出したままだった理由を説明していない。

より完全な記録は一連の流れを示す。Apache は重大なリモートコード実行の問題を公表し、修正済み Struts リリースを推奨した。Equifax は警告を受け取り、社内指示を送付した。その指示は閉ループの所有権を確立しなかった。同社は影響を受けるソフトウェアがどこで動作しているかについて信頼できるインベントリを持っていなかった。スキャンは脆弱なコンポーネントを見つけられるほど深くまで検索しなかった。発見がないことは露出がないこととして扱われた。インターネットに接する紛争アプリケーションの手動レビューを強制する補償的制御はなかった。その後攻撃者が侵入すると、そのアプリケーションは機能に必要な範囲を超えたシステムに到達できた。アクセス可能なファイル共有にある認証情報がより広範な移動を可能にした。機密データは十分に制約されていなかった。監視経路の証明書が期限切れになっていたため、暗号化トラフィックは検査されていなかった。発見はその証明書が交換された後に初めて続いた。

この侵害が、単なるパッチ管理の事例ではなく、依然として取締役会の説明責任の事例である理由がここにある。パッチはソフトウェア成果物である。パッチ保証は管理システムである。それは、インベントリ、所有権、エスカレーション、変更実行、検証、例外処理、監視、アーキテクチャ、証拠に依存する。これらの機能のいくつかが同じ方向で失敗すると、組織は自らのプロセスの見える部分に準拠しながら、実質的に露出したままになる可能性がある。

公開記録は強力だが均一ではない。下院監視・政府改革委員会多数派スタッフ報告書および上院常設調査小委員会スタッフ報告書は司法意見ではなく立法調査であった。連邦政府説明責任局 (GAO) のレビューは、Equifax とフォレンジック資料、ならびに連邦顧客機関に依拠した。FTC 訴状には訴訟で提起された申し立てが含まれている。会社の SEC 提出書類には経営陣の説明と財務開示が含まれている。同意命令は定義された法的立場を保持しつつ義務を定めている。本稿は各情報源を確立できることに使用し、これらのカテゴリを単一の評決に統合しない。

アドバイザリから侵害までのタイムライン

シーケンスが重要である。説明責任は時間とともに変化する。企業が影響を受けるシステムを特定し、修正をテストし、デプロイするために短い期間を必要とすることは合理的であり得る。その防御は、重大な問題がリモートで悪用可能であることが知られ、ベンダー修正が利用可能であり、システムがインターネットに晒されており、企業自体が 48 時間の対応期限を課している場合に弱まる。

件数は記録によって異なる。影響を受けた人口が時間とともに精緻化され、一部の文書が合計を丸めているためである。Equifax の9 月 7 日の SEC 提出発表では、約 1 億 4300 万人の米国消費者とし、5 月中旬から 7 月までの不正アクセスがあったと述べている。後の記録は一般に約 1 億 4700 万人を使用している。下院報告書は 1 億 4800 万人に丸めている。責任ある結論は、ある数字が他を無効にするということではない。開示時の範囲は暫定的であり、分析が続くにつれて拡大したということである。

3 月 7 日: 修正可能なベンダーからの重要な通知

脆弱性自体は不明瞭でも修正なしに提示されたわけでもなかった。Apache S2-045 速報は、Jakarta Multipart パーサーを通じたファイルアップロード中のリモートコード実行の可能性を説明し、最大の「重大」評価を割り当て、影響を受ける Struts ブランチを特定し、2.3.32 または 2.5.10.1 へのアップグレードを推奨した。また回避策の選択肢も提供した。CVE-2017-5638 の National Vulnerability Database エントリでは、攻撃者制御の HTTP ヘッダーが欠陥のある例外およびエラーメッセージ処理に到達することを説明し、CVSS 3.1 基本スコア 9.8 の「重大」を記録している。

開示日と NVD 公開日の区別は保持する価値がある。Apache の速報と修正バージョンは 3 月 7 日に利用可能だった。NVD は公開日を 3 月 10 日としている。議会の年表はベンダー開示と Equifax が受信した US-CERT 通信に依拠している。したがって、インシデントをレビューする取締役会は、下流の各データベースが公開サイクルを完了した時ではなく、実行可能なベンダー修正がいつ会社のプロセスに入ったかを問うべきである。

Equifax は実際に対応した。同社のセキュリティチームは 3 月 9 日に、影響を受ける担当者に 48 時間以内にパッチを適用するよう指示する広範な内部メッセージを送信した。この行動は、会社がアドバイザリを完全に無視したという主張に反論する。また、中心的な管理の弱点も明らかにしている。指示を一斉送信することが実行のメカニズムとして扱われたのである。

FTC の申し立てによれば、400 人以上の従業員が重要パッチ配布プロセスに含まれていたが、ポリシーは受信者に指示を確認することや適用を確認することを要求していなかった。議会の調査は、より具体的なルーティングの失敗を追加している。ACIS を担当する開発者は警告リストに含まれておらず、その系統の上級管理職は通知を受け取ったが、開発者やチームに転送しなかった。Equifax は後に、その上級幹部を電子メール転送の失敗を理由に解雇した。この人事措置は一つの失敗に対処したが、重要な管理が一つの転送ステップに依存していた理由には答えなかった。

防御可能な緊急パッチプロセスは、アドバイザリを説明責任のある登録簿に変換するはずだった。影響を受ける製品とバージョン、外部から到達可能なインスタンス、ビジネスオーナー、テクニカルオーナー、リスクレベル、必要完了時間、変更記録、検証方法、例外権限、補償的制御、そして未解決のフィールドがある場合のエスカレーション。Equifax のプロセスには期限があったが、信頼できる完了証拠がなかった。したがって、48 時間ルールはポリシーとして存在したが、信頼できる結果にはならなかった。

資産インベントリが最初の欠けていた制御だった

ACIS が影響を受けるものとして特定されなかったことは、他の点では管理された環境における予見不可能なスキャンの異常ではなかった。Equifax 自身の 2015 年のパッチ管理監査が、後に侵害の中心となる弱点を特定していた。上院報告書によれば、その監査は、会社がパッチスケジュールに従っておらず、事後対応的なパッチプロセスを使用しており、インストールを確実にしない「honor system（自己申告制）」を用いており、包括的な IT 資産インベントリを欠いていることを発見した。また、2017 年 8 月までに正式なフォローアップ監査が完了しておらず、インタビュー対象者は在任中に他のパッチ管理監査を思い出せなかったと述べている。

下院報告書はインベントリギャップの実際的な結果を再現している。資産とネットワーク文書の正確なリストなしでは、システムがパッチ適用され、設定され、スキャンされたことを確認することは困難だった。報告書は、2015 年の改善計画の推定完了日が 2017 年 6 月 30 日だったと述べている。上院調査が発見したところでは、侵害時点においても完全なインベントリは整備されていなかった。

この文脈でのインベントリは、単なるサーバーのリスト以上のものを意味する。CVE-2017-5638 はアプリケーション内部に組み込まれたソフトウェアフレームワークに影響を与えた。有用なインベントリは、インターネットに接するアプリケーションを、そのランタイムコンポーネント、バージョン、所有者、データアクセス、依存関係、デプロイ場所に結びつける必要があった。ハードウェア登録簿は ACIS サーバーが存在することを示すことはできても、その内部に脆弱な Struts ライブラリがあることを明らかにできなかった。制御目標はソフトウェアとサービスの可視性であり、単なる機器の会計ではなかった。

レガシーの複雑さがその作業をより困難にし、より重要にした。下院報告書は ACIS を、1970 年代にルーツを持ち、長年の買収と成長によって形成された複雑な環境で動作するカスタム構築システムと説明している。複雑さは、なぜインベントリが高コストで不完全なのかを説明しうる。しかし、機密性の高い消費者データに接続するインターネットに接するアプリケーション上で何が動いているかを把握しないことの例外として安全に機能することはできない。完全な発見がまだ不可能な場合、補償的対応は、より強力な分離、より厳格な出力制御、手動のコードおよび設定レビュー、または外部アクセスからの一時的な削除であるべきだ。

上院報告書での比較は有用だが誇張すべきでない。同報告書は、TransUnion と Experian も Struts アドバイザリに直面し、インベントリと複数のスキャンまたはレビュー手法を使用し、影響を受けるインスタンスを特定または緩和したと述べている。これは、それらの全体的なセキュリティプログラムが完璧だったことを証明するものではない。Equifax の結果が脆弱性の不可避な特性ではなかったことを示している。同じ公表通知に直面した同業者が、実質的に異なる運用結果に達したのである。

取締役会の目的においては、インベントリ問題はリスク範囲の表明として枠組みされるべきである。「ネットワークをスキャンした」という言葉は分母なしでは意味がない。取締役は、外部から到達可能なサービスの何パーセントがインベントリに表示されているか、何パーセントに指名された所有者がいるか、どの程度のソフトウェア構成が把握されているか、どのレガシーシステムが自動的に評価できないか、例外がどのように分離されているかを知る必要がある。未知の対象へのスキャンは活動を生むが、保証ではない。

スキャンの失敗が不確実性を誤った確信に変えた

3 月 15 日、Equifax は Struts 問題の影響を受けるシステムを特定することを目的とした自動スキャンを実行した。何も見つからなかった。下院報告書は、スキャナーがルートディレクトリで動作し、Struts がリストされていたサブディレクトリをクロールしなかったと述べている。上院報告書も同様に、ツールの反復使用が適切なネットワークレベルで検索しなかったと述べている。FTC 訴状は、スキャナーが潜在的に脆弱なすべての資産を検索するように設定されておらず、Equifax はスキャナーをどこで実行すべきかを知らせる正確なインベントリを持っていなかったと主張している。

これらの記録はいずれも、脆弱性スキャナーが本質的に非効果的であることを示すものではない。それらはより狭く、より重要な点を示している。否定的な結果は、テスト対象範囲とツールの能力との関連においてのみ価値がある。影響を受けるコンポーネントがスキャナーの検索深度よりも下にある場合、「脆弱性は見つからなかった」は「この設定と範囲内では脆弱性は見つからなかった」を意味する。「脆弱性は存在しない」という意味ではない。

この区別は監査の言語では初歩的だが、管理報告ではしばしば失われる。赤い所見は作業を駆動する。緑の結果は作業を閉じる。緑が不完全な範囲によって生成されうるならば、ダッシュボードは無知を報いることになる。未検証の否定的結果の正しい扱いは残留不確実性である。インターネットに接するサービス上の、重大でリモートで悪用可能な問題の場合、その不確実性は二次的な手法をトリガーすべきである。認証付きスキャン、ソフトウェア構成分析、ソースおよびビルドレビュー、プロセス検査、パッケージ検索、証拠に裏付けられた所有者の証明、または制御環境での直接アプリケーションテスト。

二次的手法の不在が重要だった。パッチ指示自体が閉ループではなかったからだ。直接のアプリケーション責任を持つ従業員は指示を受け取っておらず、中央インベントリは不完全であり、スキャナーはネストされたコンポーネントを見逃す可能性があった。これらは独立した保護策ではなかった。それらは同じ盲点を共有する 3 つの制御だった。それぞれが正確なアプリケーション所有権と構成の知識に依存していた。したがって、見かけ上の冗長性は見かけよりも弱かった。

これは取締役会にとって繰り返し生じる問題である。経営陣は、同じ理由で失敗するかどうかをテストせずに、複数の制御を層として提示することがある。資産データベース、電子メール配布リスト、脆弱性スキャナー、パッチダッシュボードはすべて、同じ不完全な所有権記録から派生している可能性がある。その記録がレガシーアプリケーションを省略している場合、4つの制御すべてが一緒に成功を報告できる。取締役会のリスクレビューは、どれだけ多くの制御が存在するかだけでなく、それらのデータソースと故障モードが独立しているかどうかを問うべきである。

5 月 13 日から 7 月 30 日: 侵入経路がデータアクセス経路となった

議会報告書は、攻撃者の ACIS への実効的な侵入を 5 月 13 日としている。後の司法省の起訴発表では、中国人民解放軍の 4 人の隊員が侵入で起訴された。起訴状は、被告らが Struts を悪用し、偵察を行い、認証情報を取得し、データベースにクエリを実行し、盗んだファイルを圧縮・分割し、複数国にまたがるインフラを通じてトラフィックをルーティングし、痕跡を消そうとしたと主張している。これらは刑事起訴文書における申し立てであり、被告人は有罪が証明されるまで無罪と推定される。起訴状は、申し立てを裁定された事実に変換することとは関係なく、帰属される攻撃者の行為に関連する。

下院報告書は、攻撃者が Web シェルをインストールし、侵害されたシステムを制御する永続的な Web ベースの手段を手に入れたと述べている。その後、彼らは暗号化されていないユーザー名とパスワードを含むファイルを見つけた。ACIS はビジネス目的のために 3 つのデータベースへのアクセスを必要としていたが、無関係のデータベースからはセグメント化されていなかった。認証情報を用いて、攻撃者は 48 のデータベースに到達し、約 9,000 件のクエリを送信し、暗号化されていない個人情報を数百回発見した。

FTC 訴状も同じアーキテクチャ上のポイントを申し立ての形で述べている。それによれば、不十分なセグメンテーションのために攻撃者は数十の無関係なデータベースを横断することができ、ACIS に接続された保護されていないファイル共有には平文の管理者認証情報が含まれていた。攻撃者はネットワークを横断するために複雑なツールを必要としなかったと申し立てている。このことは、侵入脆弱性の重大性が、一部は侵害後に侵害されたアプリケーションが何に到達できるかの関数であるため、重要である。

セグメンテーションはしばしば技術的な詳細として説明されるが、それは爆発半径に関する経営判断を表している。インターネットに接する紛争ポータルは、紛争を処理するために必要なネットワーク経路、データベース許可、ファイルアクセスのみを持つべきである。3 つのデータベースが必要な場合、そこで取得された認証情報がさらに数十のデータベースを開くことを許すいかなる設計にも負担が課されるべきである。制御は、公開アプリケーションが最終的に侵害される可能性があると想定し、その事象が広範な機関アクセスになることを防ぐべきである。

認証情報は同じ境界の一部である。アクセス可能な共有上に再利用可能な管理者認証情報を平文で保存することは、アプリケーションの侵害とデータベース管理の間の分離を崩壊させる。より強力な実践は、サービス ID を分離し、各 ID を定義されたリソースとアクションに制限し、管理されたシークレットストレージを使用し、認証情報をローテーションし、特権使用を監視し、アプリケーションアカウントが無関係なデータストアを列挙することを防ぐことである。記録は、どの最新ツールがすべてのステップを停止させたであろうかをでっち上げることを支持しない。広範な認証情報とフラットな到達可能性がインシデントを増幅させたという結論を支持する。

データガバナンスが最後の倍率を提供した。FTC 訴状は、Equifax が大量の社会保障番号と支払いカード情報を平文で保存し、機密情報をビジネスニーズを超えてアクセス可能な開発およびテスト環境にコピーしていたと主張している。GAO は、Equifax 自身の事後インシデント分析を 4 つの実現要因として要約した。特定、検知、データベースへのアクセスのセグメンテーション、データガバナンスである。この定式化は、イベントをパッチに還元するよりも有用である。特定が露出の持続を許した。検知が活動の継続を許した。セグメンテーションが拡大を許した。データガバナンスが奪取可能なものとその価値を増大させた。

期限切れ証明書は監視制御の失敗だった

暗号化トラフィック検査は、設計上は存在したが運用上は失敗した別の制御だった。ACIS 用の監視デバイスは、関連するトラフィックを復号し検査するために有効な証明書を必要としていた。証明書は期限切れだった。Equifax がより広範な証明書作業の一環として 7 月 29 日にそれを交換したとき、セキュリティチームはほぼ即座に疑わしいアウトバウンドトラフィックを観測した。疑わしい宛先はブロックされ、翌日に関連トラフィックが現れ、ACIS はオフラインにされた。

公開記録は期間について一致しておらず、その不一致は可視のままにすべきである。上院報告書は、ポータル関連の証明書が交換の約 8 ヶ月前の 2016 年 11 月に期限切れになったと述べている。FTC 訴状は、発見の少なくとも 10 ヶ月前に期限切れになっていたと主張している。下院報告書は、監視デバイスが期限切れ証明書のために 19 ヶ月間非アクティブだったと述べている。これらは基礎となる記録における異なるベースライン、デバイス、または説明を反映している可能性がある。健全な結論は、検査が長期間損なわれていたことであり、ある期間が留保なく主張できるということではない。

下院報告書は規模を追加している。300 以上のセキュリティ証明書が期限切れになっており、そのうち 79 はビジネスクリティカルなドメインの監視に関連していた。上院報告書は証明書の責任が個別に管理されており、中央集権的なライフサイクルプログラムがまだ実装中だったと説明している。これは単に一人のオペレーターが見落とした日付ではなかった。組織が対象全体にわたって信頼できる証明書の発見、所有権、更新、および障害警告をまだ持っていなかった証拠だった。

証明書管理はパッチ適用と同じ保証チェーンに属する。両方とも、既知の期限切れまたは脆弱性状態を持つ資産、指名された所有者、期限、可能な場合は自動更新または修復、そしてアクションが完了しない場合のエスカレーションを伴う。両方とも危険なサイレント障害を生み出す可能性がある。公開証明書が期限切れの Web サービスは、ユーザーがエラーを見るため可視的である。監視経路内の期限切れ証明書はさらに悪い可能性がある。サービスが動作しているように見えながら、防御者が可視性を失う。

交換後のほぼ即時の検知は特に重要である。これは、証明書が最新のままであったならば、以前のすべての悪意あるリクエストが検知されたであろうことを証明しない。これは、Equifax が既に保有していた制御が復元され次第、有用な証拠を生成したことを示している。したがって、監視技術への投資だけでは不十分だった。運用保守がその投資が機能するかどうかを決定した。

発見は決定的だった。開示は第二の運用試験だった

疑わしいトラフィックが可視化されると、Equifax は迅速に行動し、宛先をブロックし、調査し、ACIS をオフラインにした。同社は上級技術責任者とセキュリティ責任者に通知し、外部弁護士と Mandiant を雇い、FBI に連絡し、個人情報が持ち出されたかどうかの特定を開始した。記録のこの部分は、以前の失敗によって消されるべきではない。7 月 29 日以降のインシデント封じ込めは、3 月 7 日以降の脆弱性の解決よりも大幅に速く進んだ。

発見から公表までの遅延には文脈が必要である。Equifax は 7 月 29 日に影響を受けた人口を知らなかった。Mandiant の作業は複雑な環境にわたるアクセスを再構築し、データタイプを特定し、影響を受ける個人を特定しなければならなかった。下院タイムラインによれば、調査は 8 月 11 日までに大量の個人情報を含むテーブルを特定し、8 月 24 日までに重要なアクセスを確認し、9 月 4 日までに 1 億 4300 万人の米国消費者の初期リストを完成させた。公表は 9 月 7 日に続いた。

このシーケンスはエスカレーションに関する疑問を排除しない。下院報告書によれば、CEO は 7 月 31 日に通知を受け、取締役会全体は 8 月 24～25 日に通知された。これは、「発見から 6 週間後」というだけでは違法な開示遅延の証拠にはならないことを示している。法的義務は異なり、範囲はまだ確立中だった。公開記録における最も強い批判は、開示のタイミングが特定の開示法規に違反したという司法的認定ではなく、対応態勢に関するものである。

Equifax Form 8-K 添付資料として提出された最初の発表では、犯罪者が米国の Web サイトアプリケーションの脆弱性を悪用したと述べ、影響を受けたデータのカテゴリを説明した。また、Equifax は中核的な消費者または商業信用報告データベースにおける不正活動の証拠を発見していないと述べた。この声明は、攻撃者が ACIS の外にある多数のデータベースに到達したという後の発見と共存しうる。指名された中核システムに関する「証拠なし」は、他のデータベースがアクセスされなかったという主張と同じではない。

消費者対応インフラは需要に対してうまく機能しなかった。下院報告書は、専用 Web サイトとコールセンターが即座に圧倒されたと述べている。消費者は時折、矛盾したまたは不完全な結果を受け取ったり、登録できなかったり、担当者に連絡できなかった。Equifax は別個の Web サイトを約 3 週間で組み立て、約 1,500 人の臨時コールセンターエージェントを急速に追加した。この努力は相当なものだったが、結果は継続性のギャップを露呈させた。通常のモデルが主に B2B である企業は、国のほぼ半分に影響を与える事象のための消費者規模の危機対応能力を事前に構築していなかった。

別個のドメインはまた信頼の摩擦を生み出した。下院報告書は、Equifax のソーシャルメディアアカウントでさえ、従業員がアドレス内の単語を逆にした後、セキュリティ研究者が作成した類似名のサイトに消費者を繰り返し誘導したと述べている。報告書のいかなる証拠もその研究者が提出されたデータを盗んだとは述べていない。このエピソードが重要なのは、侵害通知はフィッシングの曖昧さを減らすべきであり、作り出すべきではないからである。識別情報の提出を求める対応チャネルは、容易に認証でき、異常な負荷でテストされ、中心的な質問に答えられるスタッフによってサポートされなければならない。この人物は影響を受けたのか？

公共部門の継続性は Equifax 自身のネットワークを超えて拡張された

この侵害は、Equifax の中核的信用報告システムの文書化された全国的な停止を引き起こさなかった。それにもかかわらず、公共部門の継続性が中心的なのは、連邦機関が本人確認のために Equifax を使用しており、盗まれた属性が遠隔本人確認の前提を弱めうるためである。

GAO は、Equifax 本人確認サービスの 3 つの主要な連邦顧客である内国歳入庁 (IRS)、社会保障局 (SSA)、米国郵便公社 (USPS) をレビューした。その2018 年報告書は、これらの機関が Equifax の管理を評価し、改善のためのより低いレベルの技術的懸念を特定し、将来の侵害通知要件を含む契約を修正したと述べている。ある IRS 契約は終了された。Equifax の2017 年 Form 10-Kも同様に、精査の強化、ある政府契約の停止、顧客によるセキュリティ監査、一部の契約またはプロジェクトの延期またはキャンセルを開示している。

継続性の問題は認識論的でもあった。機関は人の信用履歴の知識を、その人が主張する人物であることの証拠として扱い続けることができるだろうか？ GAO の連邦オンライン本人確認の 2019 年レビューは、Equifax のような侵害で盗まれたデータが知識ベースの確認質問に答えるために使用されうることを発見した。また、NIST の 2017 年ガイダンスが、連邦機関が機密性の高いアプリケーションに知識ベースの確認を使用することを事実上禁止し、公共向けサービス全体で代替手段を検討したと指摘している。

これは異なる種類のサービス中断である。認証方法が信頼性を失っている間、サーバーは利用可能であり続けることができる。その後、機関は契約を変更し、本人確認を再設計し、文書または対面チェックを追加するか、より高い詐欺リスクを受け入れなければならない。これらの変更は、特に代替手段が前提とするデバイス、書類、接続性、移動能力を欠く人々にとって、給付やサービスへのアクセスに影響を与える。

したがって、データ仲介者の取締役会は、稼働時間を超えて継続性の義務をマッピングすべきである。機密性の障害は顧客に統合の停止を強いる可能性がある。完全性の疑念はデータを意思決定に不適切にする可能性がある。本人確認データの露出は下流の認証実践を無効にする可能性がある。有用な継続性マップは、どの公共サービスが企業のデータに依存しているか、データや検証方法が信頼を失った場合に顧客が何をしなければならないか、そして提供者が契約とリスク判断のための迅速な証拠をどのように提供するかを示すべきである。

SME の継続性はテクノロジーの問題と同様にキャパシティの問題である

中小企業は連邦機関とは異なる形で爆発半径に現れる。公開記録は Equifax 侵害が中小企業サービスの一般的な停止を引き起こしたことを示しておらず、それを示唆するのは不正確である。より支持できるリスクは、より小さな雇用主、家主、貸し手、専門職事務所、サービス提供者が、大規模な機関が利用できる不正対策チーム、法的キャパシティ、または代替オプションなしに、信用、審査、給与計算、本人確認のエコシステムに参加していることである。

Equifax の 2017 年 Form 10-K は、消費者および商業情報、信用スコアリング、不正防止、本人確認、住宅ローン情報、雇用確認、政府関連サービスを説明している。また、Workforce Solutions セグメントが政府、住宅ローン、金融、雇用前審査、通信の用途に提供していたと報告している。これらのサービスは、たとえその小規模な企業が Equifax の直接のエンタープライズ顧客でなくても、小規模組織が毎日行う意思決定の中に含まれている。

継続性の負担はいくつかの場所にかかる。小規模な貸し手や家主は、正規の申請者と露出した本人確認属性を用いる人物とを区別する必要があるかもしれない。小規模な雇用主は審査や収入確認の連鎖に依存するが、支配的なデータプロバイダーに対して詳細な管理証拠を要求する交渉力を持たないかもしれない。地元の金融機関は大規模な侵害の後に顧客サポートや不正レビューの作業を負うかもしれない。専門職事務所は顧客の信用凍結、損失の文書化、記録の訂正を手助けしなければならないかもしれない。これらの影響のいずれも、Equifax のプラットフォームがオフラインであることを必要としない。

和解の記録は、消費者レベルでのこの負担の持続性を反映している。公式 Equifax 侵害和解サイトは、和解が 2022 年 1 月に発効し、初期給付が 2022 年後半に発行され始め、延長請求給付がその後も続いたと述べている。FTC 和解ページは、継続的な支払いと本人確認復元の取り決めを記録している。影響を受ける人々を支援する小規模組織は、この長い尾を、一度の劇的な停止としてではなく、繰り返されるアカウント復旧、文書化、不正処理、従業員支援として経験するかもしれない。

SME にとっての実際的な管理教訓は、グローバルな信用情報機関のセキュリティプログラムを再現することではない。露出した静的な属性への依存を減らし、代替経路を知ることである。本人確認は、社会保障番号、生年月日、住所、信用ファイルの質問を、単に個人的であるからといって秘密として扱うべきではない。審査、給与計算、信用、本人確認のベンダーとの契約は、インシデント通知チャネル、サービスの代替手段、データ保持制限、訂正手順、サポートコミットメントを特定すべきである。継続性計画は、プロバイダーが利用可能だがその証拠を追加の注意をもって取り扱わなければならない場合に何が起こるかをテストすべきである。

SME にサービスを提供するプロバイダーにとって、取締役会の説明責任には顧客の非対称性が含まれる。大口顧客は監査を委託し通知条項を交渉できるが、小口顧客はしばしば標準条件と公開保証を受け入れる。高価値データを保持するプロバイダーは、安全性を各小口顧客がそれを調査する規模を持つことに依存させるべきではない。独立した評価、強制可能なベースライン管理、明確なインシデント通知、アクセス可能な改善チャネルは、その不均衡を部分的に是正する。

管理の説明責任：ポリシーの所有権は実行から分断されていた

下院報告書の中心的な管理上の発見は、セキュリティポリシーと IT 運用との間の説明責任のギャップだった。侵害以前、最高セキュリティ責任者は最高情報責任者や CEO に直接ではなく、最高法務責任者に報告していた。報告構造は正当に異なり、単一の組織図がセキュリティを保証するわけではない。この事例では、委員会によって収集された証言は、セキュリティと IT がサイロ化しており、コミュニケーションが一貫せず、不完全なインベントリリストが別々に維持され、セキュリティ作業のペースに対する不満があったと述べている。

報告書は、上級 IT およびセキュリティリーダーが 2016 年から毎月の調整会議を開催し、パッチ管理やデジタル証明書の展開を含むイニシアチブを追跡していたと述べている。この証拠は、問題が完全に見えなかったわけではないことを示すため重要である。組織にはフォーラムとイニシアチブがあった。失敗は、注意を完全でテスト済みの実装に変換することにあった。

2015 年の監査はその結論を補強する。事後対応的なパッチ適用、不完全なインベントリ、弱い検証、レガシーシステムのリスクはすでに記録されていた。成熟した説明責任システムは、各所見を経営幹部の所有者に割り当て、測定可能な完了基準を定義し、独立した検証を要求し、遅延した日付をリスク委員会にエスカレーションする。監査問題をクローズすることは、管理が対象範囲の環境全体で機能していることを意味すべきであり、プロジェクトが開始されたとか目標日が記録されたということではない。

Equifax の侵害後の人事措置は重要だった。CIO と最高セキュリティ責任者は 2017 年 9 月に退職した。CEO 兼会長のリチャード・スミスは同月末に退任した。ACIS を含むシステムを担当していた上級幹部は 10 月に解雇された。同社は後に CEO に直接報告する CISO と、同格の最高技術責任者を任命した。これらの行動はリーダーシップと構造を変えた。それら自体では、各人物のすべての管理失敗に対する法的責任を確立するものではない。

同じ抑制がインサイダー取引にも当てはまる。取締役会の特別委員会は、疑わしい活動の発見から公表の間に取引した 4 人の上級役員をレビューし、彼らは取引時点でインシデントを知らなかったと報告した。委員会の報告書はEquifax 取締役会特別委員会の添付資料として SEC に提出された。別途、SEC は元ビジネスユニット CIO の Jun Ying に対して訴訟を起こした。SEC の 2019 年訴訟リリースは、同意に基づく最終判決がそのインサイダー取引の主張を解決し、並行する刑事事件での有罪答弁を記録している。これらは異なる人物であり、異なる事実記録である。それらを組み合わせることは、開示説明責任の証拠を歪めるだろう。

取締役会の説明責任：インシデント前、エスカレーション中、和解後

取締役会の説明責任は 3 つの期間に分割されるべきである。侵害前は、取締役会が重大なサイバーリスクと未解決の管理所見について何を知っており、何を要求すべきだったかという問題である。エスカレーション中は、重要な事実が取締役に十分に早く、決定を支援する形で届いたかどうかである。侵害後は、ガバナンスの変更が一時的な注意ではなく永続的な証拠を生み出したかどうかである。

公開記録は第 3 の期間について第 1 の期間よりも多くの詳細を提供している。下院報告書は管理構造を批判し、CEO がサイバーセキュリティを優先しなかったと述べており、その一部は会議の頻度と誰がセキュリティ情報を提示したかに基づいている。それは取締役に対する受託者義務違反の主張を裁定するものではない。ここでレビューする情報源は、個々の取締役が脆弱な ACIS 設定を知りながら受け入れたことを確立していない。抑制された分析は、そのギャップを推論で埋めるべきではない。

Equifax の2018 年委任状は取締役会の対応を説明している。取締役会は特別委員会を設置し、会長と CEO の役割を分離し、技術と金融サービスの経験を持つ取締役を追加し、技術委員会のサイバーセキュリティに対する責任を拡大し、CISO、CTO、内部監査からの定期的な報告を要求し、経営陣不在の執行セッションを提供した。また、取締役会とその委員会はインシデント報告後に 75 回以上会合したと述べている。

委任状はまた報酬措置を開示している。取締役会は上級管理職チームの 2017 年年間インセンティブ支払い約 280 万ドルを排除し、監督能力における財務的および風評被害を含むようにクローバックポリシーを強化し、サイバーセキュリティを経営幹部のパフォーマンス評価指標として追加した。これらの行動は、サイバー結果と経営幹部の説明責任を結びつけようとする努力を示している。その有効性は指標の質に依存する。パッチの量やトレーニング完了に基づく指標は、重大な残留リスクが残っている間に満たされうる。結果指向の指標は、対象範囲、経過時間、独立した検証、繰り返しの所見、例外露出をテストすべきである。

取締役会のインシデント後の会合回数は注意の証拠であり、有効性の証明ではない。75 回の会合は危機対応中に必要であり得る。より強力なガバナンスの変更は構造的だった。直接の CISO アクセス、委員会の範囲、独立した専門知識、監査との調整、定義されたエスカレーションである。それらでさえ信頼できる情報モデルを必要とする。取締役会は、インベントリに不在のアプリケーションを監督したり、対象範囲の限界が隠されているスキャンに挑戦したりすることはできない。

2018 年 6 月の多州同意命令は、いくつかの期待を自主的なガバナンスから強制可能な義務へと移行させた。Equifax は、安全でないまたは不健全な情報セキュリティ慣行の告発を認めることも否定することもなく同意した。この命令は、書面によるリスク評価の取締役会によるレビューと承認、侵害修復プロジェクトのリストと優先順位付け、より強力な監査、改善された IT 資産インベントリ、正式なパッチ特定と管理、レガシーシステム計画、災害復旧と事業継続性への注意を要求した。その重要性は、規制当局が特定のスキャナーを規定したことではない。彼らが管理システムへの追跡可能な取締役会の関与を要求したことである。

和解と規制上の認定：何が決定され、何が決定されなかったか

2019 年 7 月、FTC、CFPB、州司法長官、Equifax は調整された解決を発表した。FTC 発表は、少なくとも 5 億 7500 万ドル、潜在的に最大 7 億ドルと述べた。消費者基金に 3 億ドル、必要に応じてさらに 1 億 2500 万ドル、参加州および準州に 1 億 7500 万ドル、CFPB 民事制裁金 1 億ドルである。ニューヨーク州司法長官の多州発表は、州の要素とセキュリティコミットメントを説明している。Equifax 自身の和解発表は、6 億 7100 万ドルの解決額を使用し、合意と予想される支払いに関する企業の提示を反映している。

これらの合計額は交換可能なものとして扱われるべきではない。一部は偶発的な追加を含み、一部は規制制裁金を集団救済と組み合わせ、集団基金は独自の会計を持ち、監視サービスの価値は利用状況に依存する。正しい慣行は、普遍的な和解総額を探索するのではなく、各数字に付随する範囲を述べることである。

FTC 訴状は、Equifax の合理的なセキュリティを使用しなかったことが不公正な慣行を構成し、保護策に関する表明が欺瞞的であり、同社がグラム・リーチ・ブライリー法のセーフガード規則に違反したと主張した。欠陥のあるパッチ手順、不完全なインベントリ、不適切に設定されたスキャン、不十分なセグメンテーションと侵入検知、平文の認証情報とデータ、弱いアクセス制御を主張した。これらは申し立てであり、たとえそれらが議会の認定や Equifax の報告された改善と大部分で一致していてもである。

署名済み FTC 合意命令およびCFPB 提出の合意命令は、将来の説明責任にとってより重要である。それらは、書面による情報セキュリティプログラム、年次リスク評価、保護策、テスト、サービスプロバイダー管理、脆弱性テスト、侵入テスト、独立した評価を要求した。FTC 命令は、セキュリティプログラムと重要な更新を少なくとも年 1 回、取締役会または関連委員会に提出することを要求している。また、コンプライアンスと未開示の重要な不遵守に関する年次の取締役会または委員会の認証を 20 年間要求している。

この認証は取締役会の証拠上の負担を変える。取締役は経営陣の主張のみに基づいて責任を持って認証することはできない。命令は独立した評価を要求し、評価者が結論を支持する証拠を特定することを指定し、所見は Equifax 経営陣の証明書のみに依拠することはできないと述べている。また、Equifax が評価者にネットワーク全体と IT 資産に関する情報を提供し、評価者が範囲を決定できるようにすることも要求している。これらの条項は、2017 年に露呈したパターン、すなわち未知の資産、自己報告による完了、信頼できる対象範囲のない否定的なスキャンに直接対処するものである。

消費者訴訟は別の層を生み出した。SEC に提出された和解契約書は、ビジネス慣行のコミットメントと消費者救済を確立した。2021 年、第 11 巡回区控訴裁判所は、巡回区の判例に基づきクラス代表者へのインセンティブ報酬を取り消しつつ、和解承認を大部分で維持した。意見は、初期の 3 億 8050 万ドルのクラス基金、可能な追加額、信用監視と本人確認復元給付、5 年間で最低 10 億ドルのデータセキュリティ支出、独立評価、地方裁判所による執行を記録している。

クラス和解はすべての申し立てについて裁判の評決を生み出したわけではない。公式和解サイトは、Equifax が不正を否定し、その和解では不正の判決や認定は行われなかったと明示的に述べている。これは命令、支払い、企業開示、議会の認定、SEC 提出のコミットメントを消し去るものではない。それらの法的立場を定義するものである。和解された説明責任は依然として説明責任であるが、裁判後の裁定された責任と同じではない。

取締役会が重要なパッチウィンドウに要求すべきこと

Equifax の記録は、将来の取締役会のための具体的な証拠パッケージを支持している。それは重要なアドバイザリが到着したときに開始し、露出が修復されるか、制約された条件下で正式に受け入れられるまで開かれたままでいるべきである。

第一に、経営陣は分母を確立すべきである。報告は、インターネットに接するサービス、影響を受けるソフトウェアコンポーネントとバージョン、所有者、データ分類、ネットワーク経路、インベントリ対象範囲の信頼性を特定すべきである。未知の領域はクリーンとして数えられるのではなく、未知として報告されるべきである。

第二に、所有権は積極的であるべきである。指名された技術的およびビジネス上の所有者がタスクを受け入れるべきである。配布リストは通知メカニズムであり、説明責任ではない。所有者が不在である、役割が変わった、または指示を確認しない場合、パッチ期限が切れる前にエスカレーションが行われるべきである。

第三に、検証は変更から独立しているべきである。パッチをインストールするチームはデプロイメントの証拠を提供できるが、別の制御が脆弱性の不在を検証すべきである。組み込みフレームワークの場合、認証付きスキャン、ソフトウェア構成証拠、ビルドマニフェスト、または直接検査が必要になるかもしれない。スキャナーの制限は結果の横に表示されるべきである。

第四に、例外はアーキテクチャを変更すべきである。重要なシステムが必要な期間内にパッチ適用できない場合、例外は理由、誰がリスクを受け入れたか、いつ期限切れになるか、どの補償的制御が露出を減らすかを特定すべきである。インターネットアクセスを削除する、脆弱な機能を無効にする、リクエストを制限する、サービスを隔離する、出力を厳格化する、データベース到達範囲を制限することは、テストが続く間のリスクを減らすかもしれない。補償的変更のない例外は先送りされた決定である。

第五に、取締役会は爆発半径を見るべきである。すべての重要な外部から到達可能なアプリケーションについて、経営陣は侵害後にどのデータベース、ファイル共有、認証情報、管理機能が到達可能であるかを示すべきである。最小特権とセグメンテーションはアプリケーション ID からテストされるべきであり、ネットワーク図から想定されるべきではない。

第六に、検知管理は健全性の証拠を必要とする。証明書の有効性、センサー対象範囲、ログフロー、復号能力、アラート遅延、保持は、それ自体が制御として監視されるべきである。トラフィックを検査できないセキュリティアプライアンスは、可視的な障害を報告しエスカレーションを生み出すべきであり、対象範囲として静かに表現されたままでいるべきではない。

第七に、古い監査所見は現在のインシデントに結合されるべきである。重大な脆弱性が以前の監査で特定されたのと同じ状態を露出させた場合、取締役会はその関係を即座に見るべきである。繰り返される所見は日常的なバックログではない。それらは以前の改善が運用環境を変えなかった証拠である。

第八に、継続性計画は信頼の失敗を含むべきである。計画は、データが露出した場合、本人確認方法がもはや信頼できない場合、またはコアプラットフォームがオンラインのままサービスを隔離しなければならない場合の、顧客および政府の行動をカバーすべきである。消費者規模の通知、認証された応答ドメイン、通話容量、契約通知、小規模顧客向けのサポートは、侵害前にテストされるべきである。

これらの要件は、取締役がパッチを管理するための議論ではない。それらは、取締役がパッチが管理下にあると主張するシステムを統治するための議論である。取締役会の役割は、リスク許容度を設定し、信頼できる報告を要求し、共有された盲点に挑戦し、経営幹部の説明責任を割り当て、重大な例外が運用の複雑さの中に消えないようにすることである。

永続的な説明責任のテスト

Equifax 侵害は、利用可能だったが適用されなかったパッチとしてしばしば記憶される。より永続的な教訓は、あらゆる見かけ上の保護策が、同社が確実に保有していなかった証拠に依存していたことである。アドバイザリは組織に届いたが、責任あるアプリケーションチームには届かなかった。48 時間ルールは存在したが、確認とクロージャを欠いていた。スキャンは実行されたが、コンポーネントをカバーしなかった。監視技術は存在したが、トラフィックを検査できなかった。ポータルには定義された機能があったが、その機能が必要とするよりもはるかに多くのデータに到達できた。監査所見は存在したが、独立して解決されたことが示されなかった。

侵害後の記録は説明責任を上方に移動させた。経営陣の役割が変わった。取締役会の委員会の責任が拡大した。インセンティブ決定にサイバー結果が組み込まれた。州規制当局は取締役会が承認したリスクと改善作業を要求した。連邦命令は長期のセキュリティプログラム、独立評価、年次認証を要求した。消費者和解は、改善を中心に相当の支出と裁判所で強制可能なコミットメントを置いた。

これらのいずれも、取締役会の会合や認証を追加することで大規模な侵害を排除できることを証明するものではない。これは、ガバナンスが何を観測可能にしなければならないかを示している。取締役会は、重要なアドバイザリから、すべての影響を受ける資産、すべての説明責任のある所有者、すべての実行された変更、すべての独立した検証、すべての一時的な例外、そして機密データへのすべての残留経路までを追跡できるべきである。その連鎖が不完全な場合、正しいステータスはグリーンではない。それは未解決のリスクである。

公的機関と SME にとって、この事例は継続性を可用性を超えて拡張する。データ仲介者はオンラインのままでありながら、顧客が本人確認証拠への信頼を失い、契約を停止し、不正管理を追加し、スタッフを改善に振り向けることができる。最も小さな下流の組織と個々の消費者は、しばしばその作業を吸収する最小のキャパシティしか持たない。彼らの依存は、プロバイダーのアップタイム指標に見えなくても、プロバイダーのリスクフットプリントの一部である。

したがって、Equifax 侵害は、開始欠陥が普通であり、結果が異常だったために、取締役会の説明責任のベンチマークであり続ける。脆弱性は公開されていた。修正は利用可能だった。内部期限は短かった。失敗したのは、機関が自らの指示が重要なシステムを変えたことを証明する能力だった。