影響
高
「影響」の観点における 高 の影響度分析は、想定される影響度、運用上の影響、意思決定上の重要性が同等な記事を取り上げます。このページを使えば、日常的な市場情報と、計画・調達・政策・顧客への影響を及ぼし得る、より影響度の高いガバナンス、インフラ、セキュリティ、投資のシグナルを切り分けられます。また、このページは影響度の区分を、公開された証拠、関連組織、地域事情、運用上の依存関係、サービスの継続性、競争環境、投資のタイミング、法令順守、顧客リスクと結び付け、どの動きをより深く注視すべきか、どの主体が最も影響を受けやすいか、シグナルが運用や市場計画にどう影響するかを判断する助けとなります。
グローバルのクラウドサービス
Retool、MFA サポートワークフローをソーシャルエンジニアリングの説明責任テストに
2023年、Retool が受けたソーシャルエンジニアリング攻撃は、エンタープライズ自動化の説明責任事例となった。被害は1人のフィッシング従業員で止まらず、SMS フィッシング、音声通話、偽 ID ポータル、ワンタイムコード、クラウド同期された認証シークレット、VPN アクセス、内部サポート用 Retool インスタンスが連鎖し、27のクラウド顧客アカウントが乗っ取られた。問われるのは、サポートワークフローや ID 復旧経路が、顧客が信じる MFA の保証を無効化できるかどうかだ。
グローバルのクラウドサービス
OneLogin の AWS キー暴露がアイデンティティプロバイダーのアカウンタビリティテストとなった
OneLogin はリスクとアカウンタビリティの事例である。2017年5月の AWS キーインシデントは、クラウドアイデンティティプロバイダーが1つのインフラクレデンシャル暴露を顧客全体の信頼連鎖リセット問題に変える方法を示した。公開記録は、プロバイダーが顧客にクレデンシャル、トークン証明書のローテーションを警告した後、アイデンティティプロバイダーの爆発半径が制限され、修復され、検証されるという証拠を必要とするエンタープライズ顧客、従業員、SaaS 管理者、ダウンストリームアプリケーションオーナー、セキュリティチーム、監査人、規制当局にとって重要である。
グローバルの機関
British Library はランサムウェア復旧を文化的公共サービスの継続性テストとした
British Library はリスクと説明責任の事例である。2023年10月のランサムウェア攻撃は、文化施設が現在、重要なデジタル公共サービスを運営しており、その継続性はサーバーの復旧だけではなく、コレクションへのアクセス、研究ワークフロー、公的コミュニケーション、データ管理、そして復元力のある再構築の証拠によって判断されなければならないことを示した。この公的記録は、復旧が公共サービスの継続性を改善したという証拠を必要とする研究者、読者、職員、出版社、公的資金提供者、文化パートナー、データ主体、デジタル保存チームにとって重要である。
北米の機関
アトランタ市は SamSam 復旧を市政サービスの説明責任テストにした
アトランタ市はリスクと説明責任の事例である。2018年3月の SamSam ランサムウェア事件は、地方政府の技術債務が公共サービスの遅延、緊急調達、住民負担、納税者コストに変わることを示した。公開記録は、復旧支出が測定可能な継続性の改善をもたらしたという証拠を必要とした住民、市職員、裁判所、公共安全チーム、選出当局、ベンダー、保険会社、納税者にとって重要である。
北米の機関
ボルチモアのランサムウェア復旧、市民コスト移転の説明責任テスト
ボルチモア市の2019年ランサムウェア障害は、市民取引の遅延や緊急復旧費用としてサイバー被害が転嫁されることを示したリスク・説明責任のケースである。復旧後のシステムが同じ公共サービスの失敗を繰り返さない証拠が関係者に必要とされた。
グローバルのクラウドサービス
VFEmail はバックアップ独立性をメールサービスの説明責任テストとした
VFEmail は、2019年の破壊的攻撃によって、小規模なホスト型メールプロバイダーが、メールボックスデータ、バックアップ独立性、復旧証拠、顧客コミュニケーションを一つの運用境界内に持つ場合に、ユーザーや中小企業などの継続性インフラとなり得ることを示したリスクと説明責任の事例です。
北米の機関
Knight Capital はデプロイメントロールバックを市場管理の説明責任テストとした
Knight Capital Group はリスクと説明責任の事例です。2012年8月の取引インシデントは、リリース管理、休眠コードの削除、事前取引リスク制限、リアルタイム監視、キルスイッチ権限が自動取引の速度に十分でない場合、ソフトウェアデプロイメントの失敗が市場管理の失敗に変わりうることを示しました。公開記録は、リリースの欠陥が存続の危機となる前に自動市場システムを停止できるという証拠を必要としていた投資家、カウンターパーティ、取引所、規制当局、エンジニア、リスク管理者、取引顧客にとって重要です。
グローバルのデータセンター
Equinix はランサムウェア開示をコロケーション継続性の説明責任テストにした
Equinix は2020年のランサムウェア開示により、グローバルコロケーション事業者が企業システムの侵害と顧客向け継続性面の分離を証明できるかどうかが問われたリスク・説明責任事例である。公開記録は、コロケーション顧客、クラウド・ネットワークパートナー、投資家、調達担当者、インシデント対応者、中小企業にとって重要である。
グローバルの機関
Deloitte がメールシステム侵害でクライアントデータ通知の説明責任を問うた事例
Deloitte はリスクと説明責任の事例です。2017年の公開報道によると、攻撃者はクライアントの通信や添付ファイルを含むメールプラットフォームにアクセスし、内部の特権アクセス障害を、専門サービスの機密性、クライアントデータの範囲特定、通知の証拠、クラウドメール管理、そしてリスクアドバイスを販売する企業が自らの共有通信システムを統治できることの証明を問うテストに変えました。影響を受けたとされる少数のユーザーが特定されたという安心感以上のものを必要としたクライアント、監査人、規制当局、パートナー、調達チーム、従業員、セキュリティレビュー担当者にとって、公…
北米の機関
Desjardins、内部者アクセスを金融データガバナンスの説明責任テストにした事例
Desjardins はリスクと説明責任の事例である。2019年の従業員関連のデータ漏洩は、金融 ID データが通常のアクセス経路、共有ドライブ、マーケティングワークフロー、保持期間のギャップ、脆弱な外部持ち出し管理を通じてどのように露出しうるかを示した。問題は一人の従業員が許可なく行動したことだけでなく、アクセス設計、監視、データ最小化、会員通知、是正費用、そして承認された業務外への機密の協同組合金融記録のコピーができないことの証明を誰が管理していたかである。
グローバルの機関
Experian South Africa、依頼者確認を信用データ説明責任の試金石に
Experian South Africa は、2020年の不正な依頼者インシデントが信用情報機関のセキュリティはファイアウォールだけの問題ではないことを示したリスクと説明責任のケースである。顧客確認プロセスが主要なセキュリティ管理になり得る。問題は、誰が依頼者認証、データリリース承認、不正検出、ダウンストリーム配信制限、消費者通知、規制当局の証拠、虚偽の権限の再発防止を管理したかである。
グローバルのクラウドサービス
PageUp が採用データを SaaS の説明責任テストに変えた
PageUp はリスクと説明責任の事例です。2018年の採用プラットフォームの侵害は、人事ソフトウェアプロバイダーが応募者、雇用主、大学、公共団体、採用担当者に対して同時に証拠の門番となる方法を示しました。問題は攻撃者がデータをコピーしたかどうかだけではありません。問題は、SaaS 採用プラットフォームがベンダーを選んでいない人々に、データ管理、テナント境界、通知タイミング、ワークフローの継続性、修復力について明確な証拠を提供できるかどうかです。
北米の機関
Wawa の支払いカードマルウェア事件が示す小売業のセグメンテーション説明責任
Wawa はリスクと説明責任のケースである。2019年の支払いカードマルウェア事件は、コンビニエンスストアチェーンがガソリンポンプ、店内チェックアウト、決済処理業者、カード発行会社、顧客を一つの共有された是正システムに変えることを示した。問題はマルウェアが支払いカード情報に影響を与えたことだけではない。問題は、小売業者がセグメンテーション、検出、封じ込め、通知、クリーンアップを十分に証明し、顧客や発行会社が説明のつかないリスクを負わなくて済むかどうかである。
北米の機関
Sony Pictures の破壊的攻撃とワークステーション再構築の説明責任
Sony Pictures は、リスクと説明責任のケースである。2014 年の破壊的サイバー攻撃によって、エンドポイントの再構築、特権アクセス、バックアップの分離、従業員への通知、公開属性情報、および事業継続に関する決定が証拠の問題に変わった。問題はマルウェアがシステムを消去し個人データが漏洩したことだけではない。問題は、エンターテインメント企業が、再構築された環境、被害にあった人々、映画配信に関するプロセスが破壊的侵入後により安全であることを証明できるかどうかである。
北米の機関
LifeLabs、検査データ保護を規制当局命令の説明責任テストに
LifeLabs はリスクと説明責任の事例である。2019年のサイバー攻撃により、侵害対応への支払いと、検査データワークフローの修復の証明との違いが明らかになった。問題は個人情報や一部の検査結果が影響を受けたことだけではない。問題は、医療データサービスプロバイダーが、規制当局、患者、医師、公衆衛生関係者に対して、命令されたセキュリティ改善が実施され、機密性の高い診断記録が証拠によって保護され、単なる保証に依存していないことを示せるかどうかである。
北米の機関
Neiman Marcus が小売決済管理を長期インシデント説明責任の試金石に
Neiman Marcus の2013年の決済カード情報漏洩は、店舗決済システムのマルウェアインシデントが、検出、セグメンテーション、フォレンジック対応、顧客通知、カードネットワーク連携、事後対策の長期テストになることを示したリスクと説明責任のケースである。
グローバルの機関
Global Payments はプロセッサ侵害をカードエコシステムの説明責任テストにした
Global Payments は、2012 年の処理システム侵害により、決済プロセッサが侵害された環境を制御しないが依存する当事者間で運用業務と是正作業をどのように移転させるかを示したリスクと説明責任のケースです。この公開記録は、消費者、加盟店、発行会社、アクワイアラ、カードネットワーク、規制当局、決済セキュリティチームにとって、プロセッサ侵害が範囲特定、報告、検証可能な管理による修復が行われたことを示す証拠が必要であるため重要です。
グローバルの機関
TSB の銀行移行障害：顧客アクセスと説明責任の試金石
TSB Bank plc は、2018年にレガシーである Lloyds Banking Group の技術から Sabadell 関連の新プラットフォームへの移行により、社内の変革プログラムが、顧客アクセス、決済継続性、サプライヤー監視、経営陣の管理、支店の回復力、不正対応、苦情処理、規制上の証明の公的な試金石となったため、リスクと説明責任のケースです。この公的記録は、小売顧客、中小企業、脆弱なユーザー、支店スタッフ、規制当局、投資家、中核銀行システムの切り替えが顧客に運用コストを負担させることなく復旧できることを証明する必要があったテクノロジーリーダー…
グローバルの機関
Visa Europe、カード決済障害の復旧を決済説明責任のテストに
Visa Europe Limited はリスクと説明責任のケースです。2018年6月のカード決済障害は認可システムの部分的な故障が消費者、加盟店、発行体、アクワイアラ、プロセッサ等多様な関係者に影響を及ぼしました。公的記録は、障害時の取引処理が中小事業者や消費者に不確実性を負わせなかった証拠を提供します。
グローバルのクラウドサービス
Zoom、認証障害の復旧をリモートワーク継続性の説明責任テストに
Zoom はリスクと説明責任のケースである。2020年8月の会議開始とウェブサイト認証の障害は、業務、学校、裁判所、医療、公共機関のインフラとなったコラボレーションプラットフォームが、サービス復旧を証明できるかどうかを試した。そして、機関の継続性をユーザーの個人的な回避策問題に変えずに済むかも問うた。公的記録は、学生、教師、従業員、中小企業、公共セクターのチーム、エンタープライズ管理者、セキュリティリーダー、規制当局、そしてアクセス障害が単なるサービス可用性イベントなのか、それともユーザーセキュリティ、データリスク、通知規律、フォールバックガバナンスに関…