Capital One Financial Corporation

A violação da Capital One em 2019 não mostrou que a nuvem pública é insegura ou que um cliente pode terceirizar a responsabilidade. Mostrou como erro de configuração, credencial de metadados, permissões amplas e dados retidos se combinam em uma falha de controle legalmente consequente.

A violação de aplicativo hospedado em nuvem da Capital One em 2019 continua sendo um exemplo definitivo de por que a linguagem de responsabilidade compartilhada não pode substituir evidências de controle operacional. O incidente uniu configuração de firewall de aplicativo web, acesso a metadados de nuvem, permissões de função IAM, detecção, conclusões regulatórias, notificação ao cliente, ação penal e acordo em uma pergunta: quem poderia realmente prevenir, detectar e reparar o caminho usado

A violação de metadados em nuvem da Capital One em 2019 é muitas vezes reduzida a um slogan sobre responsabilidade compartilhada. A questão de responsabilidade mais adequada é mais incisiva: quando um contrato de nuvem atribui categorias de responsabilidade, que evidência operacional prova que um controle real funcionou no exato limite onde um aplicativo mal configurado, uma função de firewall de aplicativo web, acesso a serviço de metadados, privilégio mínimo e detecção se encontraram?