Resumo

Por que este caso pertence a um arquivo de risco e responsabilização

A Neiman Marcus pertence a um arquivo de risco e responsabilização porque o caso não se trata apenas de números de cartão roubados. Trata-se de quem controla o ambiente de pagamento no varejo no momento em que um comprador não tem meios significativos de avaliar a condição do terminal, a rede da loja, a conexão do processador, o sistema de monitoramento ou a trilha de evidências forenses. O cliente vê uma venda. O emissor vê autorização e posteriormente sinais de fraude. O varejista vê sistemas, fornecedores, logs, lojas e relacionamentos com marcas de cartão. Essa assimetria é o problema central de responsabilização.

O registro público é forte o suficiente para identificar a superfície de controle. O anúncio de 2019 do procurador-geral do Distrito de Colúmbia emhttps://oag.dc.gov/release/ag-racine-announces-neiman-marcus-pay-15-millionafirma que a Neiman Marcus pagou 1,5 milhão de dólares e concordou com políticas de segurança para resolver uma investigação multiestadual. A mesma página diz que a violação afetou dados de cartão de pagamento em 77 lojas de varejo nos EUA e que aproximadamente 370.000 cartões de pagamento foram comprometidos, com pelo menos 9.200 usados fraudulentamente. O anúncio do procurador-geral de Nova York emhttps://ag.ny.gov/press-release/2019/attorney-general-james-announces-15m-settlement-retailer-neiman-marcus-over-datarepete a estrutura multiestadual e lista disposições injuntivas, incluindo conformidade com PCI DSS, monitoramento de rede, manutenção de software, acordos com investigadores forenses, revisão de tecnologias de segurança de pagamento e desvalorização de dados por meio de criptografia ou tokenização.

Essas não são promessas abstratas. Elas identificam as coisas práticas que importam após uma violação de pagamento em loja: se o ambiente de dados do titular do cartão é delimitado, se os logs são coletados e revisados em tempo quase real, se o software que protege informações pessoais é mantido, se respondedores forenses externos podem ser engajados rapidamente, se os dados do cartão de pagamento são desvalorizados e se a avaliação independente produz evidências. A Garantia de Conformidade Voluntária emhttps://oag.dc.gov/sites/default/files/2019-01/Neiman-Marcus-AVC.PDFé, portanto, o documento central de responsabilização porque converte o evento em um arquivo de reparo.

A questão para este artigo é a questão manifesta: Quem tinha controle prático sobre a segmentação do ambiente de pagamento, detecção de malware, escalação de alertas, notificação ao cliente, coordenação com redes de cartões e a prova de que o varejista reduziu a exposição repetida a pagamentos? A resposta não pode ser que a fraude aparece nos bancos ou nos extratos dos titulares de cartão. O varejista controlava o ambiente de pagamento da loja. As marcas de cartão e processadores controlavam partes do ecossistema de pagamento. Os emissores controlavam a reemissão e o reembolso.

Os clientes controlavam muito pouco além de monitorar extratos posteriormente. A responsabilização deve seguir esse mapa de controle.

O caso também é importante porque estava inserido em uma onda mais ampla de violações no varejo. O Krebs on Security relatou o reconhecimento inicial emhttps://krebsonsecurity.com/2014/01/hackers-steal-card-data-from-neiman-marcus/enquanto a violação da Target ainda era um ponto de referência público. A reportagem da Wired de janeiro de 2014 emhttps://www.wired.com/2014/01/neiman-marcus-hack/descreveu a declaração da empresa de que o malware tentou coletar dados de pagamento de 16 de julho a 30 de outubro de 2013 e que cerca de 1,1 milhão de cartões poderiam ter ficado visíveis ao malware. A reportagem da KERA emhttps://www.keranews.org/business/2014-02-04/up-to-1-1-million-credit-cards-exposed-during-neiman-marcus-breachtrouxe a mesma explicação da empresa. O acordo estadual posterior usou um número mais estreito de cartões comprometidos. A lacuna entre cartões potencialmente visíveis, comprometidos e usados fraudulentamente é exatamente o motivo pelo qual os limites da evidência são importantes.

O problema do denominador é um problema de responsabilização

As discussões sobre violações no varejo frequentemente transitam entre vários números: cartões potencialmente visíveis ao malware, cartões considerados comprometidos após análise forense, cartões confirmados como usados fraudulentamente, pessoas notificadas e pessoas que gastaram tempo substituindo cartões ou monitorando contas. A Neiman Marcus mostra por que esses números não devem ser mesclados. Cada denominador responde a uma pergunta de controle diferente. A população potencialmente visível testa a segmentação e o alcance do malware. A população comprometida testa a confiança forense.

A população com uso fraudulento testa a monetização criminal e o impacto no emissor. A população notificada testa a completeza da comunicação. A população do acordo testa a reparação legal.

O registro de divulgação contemporânea indica que o malware tentou raspar dados de cartão de 16 de julho a 30 de outubro de 2013, com aproximadamente 1,1 milhão de cartões de pagamento de clientes potencialmente visíveis ao malware. O registro multiestadual posterior diz que aproximadamente 370.000 cartões de pagamento foram comprometidos e pelo menos 9.200 foram usados fraudulentamente. Essas declarações não são necessariamente inconsistentes. Elas estão em diferentes estágios de maturidade da evidência.

Mas um artigo responsável tem que nomear a distinção porque as pessoas afetadas e os emissores não experimentam "potencialmente visível" da mesma forma que uma equipe forense.

A decisão Remijas do Sétimo Circuito é importante porque trata o dano pós-violação como mais do que uma questão contábil. A cópia do Justia emhttps://law.justia.com/cases/federal/appellate-courts/ca7/14-3122/14-3122-2015-07-20.htmlresume que o tribunal reverteu a rejeição por falta de legitimidade após os autores alegarem danos particularizados ligados à violação de dados. O PDF oficial do tribunal emhttps://media.ca7.uscourts.gov/cgi-bin/rssExec.pl?Path=Y2015%2FD07-20%2FC%3A14-3122%3AJ%3AWood%3Aaut%3AT%3AfnOp%3AN%3A1590360%3AS%3A0&Submit=Displayé útil porque o registro recursal reconheceu que os clientes não deveriam ter que esperar pelo uso indevido para incorrer em custos de mitigação. Esse raciocínio é importante para violações de pagamento porque o reembolso do emissor não elimina o tempo, a ansiedade, o inconveniente, a perda de continuidade do cartão, as falhas em pagamentos recorrentes ou o esforço necessário para interpretar avisos de violação.

O problema do denominador também afeta os emissores. Um emissor precisa decidir se reemite cartões, monitora contas, absorve perdas por fraude, gerencia o volume do call center e ajusta as regras de autorização. Esses custos podem ocorrer mesmo quando a declaração pública imediata do varejista é cuidadosa e incompleta. Se um varejista não pode fornecer aos emissores listas de cartões e janelas de exposição oportunas e precisas, o emissor deve decidir sob incerteza. Isso é transferência de custos. O proprietário do controle pode não pagar todos os custos downstream diretamente, mas as partes downstream realizam o trabalho.

É por isso que um arquivo de violação de pagamento forte deve preservar uma linha do tempo desde o sinal de fraude até a notificação do processador, investigação do varejista, confirmação forense, contenção de malware, aviso ao cliente, coordenação com o emissor, acordo legal e remediação de controle. O registro público fornece partes dessa linha do tempo. Ele não fornece todos os alertas privados, todas as revisões de log, todas as decisões de segmentação em nível de loja ou todas as comunicações com marcas de cartão. Os artefatos ausentes não são motivo para ignorar a responsabilização.

Eles são as lacunas de evidência que definem o que a responsabilização exigiria.

O controle do ambiente de pagamento não é o mesmo que o controle da marca de varejo

A Neiman Marcus era um varejista de luxo, mas a questão do controle de pagamento não é sobre o prestígio da marca. É sobre o ambiente que armazena, processa ou transmite dados de cartão. O PCI Security Standards Council descreve o PCI DSS emhttps://www.pcisecuritystandards.org/standards/pci-dss/como uma linha de base de requisitos técnicos e operacionais para proteger dados de conta de pagamento. A página de padrões mais ampla emhttps://www.pcisecuritystandards.org/standards/coloca o PCI DSS ao lado de outros padrões de segurança de pagamento, incluindo criptografia ponto a ponto e segurança de dispositivos. Esses materiais não são relatórios forenses da Neiman Marcus. Eles são úteis porque definem o vocabulário de controle que os documentos de acordo estaduais usaram.

A definição da AVC do ambiente de dados do titular do cartão é central. Ela cobre tecnologias que armazenam, processam ou transmitem dados de autenticação de cartão de pagamento em conformidade com o PCI DSS. Essa definição move a conversa para longe de "cybersegurança" genérica e em direção a uma superfície de pagamento delimitada. Um varejista não pode proteger dados de pagamento se não souber quais sistemas, redes, dispositivos, logs, provedores de serviços, fluxos de trabalho da loja, componentes de software e contas administrativas tocam em dados de cartão ou podem afetar a segurança de sistemas que o fazem.

A segmentação é importante porque as redes de varejo são operacionalmente confusas. As lojas precisam de terminais de ponto de venda, sistemas de inventário, sistemas de fidelidade, dispositivos da equipe, suporte remoto, conectividade com processadores de pagamento, sistemas internos da loja e relatórios corporativos. Se essas zonas não forem separadas e monitoradas, um comprometimento em uma área pode se tornar acesso a dados de cartão ou a sistemas que afetam dados de cartão. O registro público não divulga o projeto completo da rede da Neiman Marcus.

A inferência responsável é mais restrita: as obrigações do acordo em torno de PCI DSS, monitoramento, manutenção de software e desvalorização de dados de pagamento mostram que os reguladores trataram o ambiente do titular do cartão como o objeto de reparo.

A detecção é tão importante quanto a segmentação. Uma rede de pagamento pode ser segmentada no papel e ainda falhar se o malware atingir o caminho onde os dados do cartão aparecem na memória, se os logs não forem coletados, se os alertas não forem revisados ou se o comportamento anômalo não levar à escalação. A AVC do DC afirma que a Neiman Marcus manteria um sistema apropriado para coletar e monitorar a atividade da rede e garantir que os logs sejam regularmente revisados e monitorados em tempo quase real.

Essa linguagem deve ser lida como uma lição de responsabilização: o teste não é se uma ferramenta de registro existe, mas se a atividade suspeita é revisada rapidamente o suficiente para reduzir a exposição.

A manutenção de software é outro controle, não um detalho de limpeza. A AVC exige software atual associado à proteção de informações pessoais no ambiente ou controles compensatórios onde a substituição é impraticável. Isso é importante porque software antigo, sistemas não suportados e controles compensatórios mal documentados podem se tornar multiplicadores de risco de pagamento. Um parque de pontos de venda é frequentemente distribuído por muitas lojas.

Se a disciplina do ciclo de vida do software não incluir inventário, aplicação de patches, planejamento de substituição e documentação de risco, os sistemas de pagamento se tornam vulneráveis através da complexidade comum do varejo.

O acordo multiestadual é um mapa de reparo prático

A característica mais útil do acordo multiestadual é que ele não depende de uma correção heroica. Ele mapeia o reparo em várias camadas. O comunicado de imprensa do DC lista protocolos de segurança de cartão de pagamento, monitoramento de rede de TI, atualizações de software, ofuscação de informações de cartão de pagamento, avaliação profissional independente e acordos permanentes com investigadores forenses PCI. O anúncio do procurador-geral do Texas emhttps://www.texasattorneygeneral.gov/news/releases/ag-paxton-announces-15-million-settlement-neiman-marcus-over-data-breachacrescenta que a violação afetou 65.644 texanos e expôs dados de cartão de crédito de clientes em 77 lojas em todo o país. O Texas também vinculou o acordo a salvaguardas razoáveis contra ataques cibernéticos.

A AVC emhttps://www.texasattorneygeneral.gov/sites/default/files/images/admin/2019/Press/NMarcusAVC%201%208%202019.pdfé útil porque é outra cópia oficial da mesma estrutura de acordo. O valor da AVC não é apenas a penalidade. Um pagamento de 1,5 milhão de dólares é visível, mas os requisitos operacionais são mais instrutivos. Eles dizem a outros varejistas o que os reguladores consideravam ausente ou necessário o suficiente para vincular em um acordo público: conformidade com PCI DSS para sistemas relevantes, monitoramento e revisão de logs, acordos de resposta forense, manutenção de software, revisão de tecnologias de pagamento, desvalorização de dados e avaliação por terceiros.

Esse tipo de acordo também mostra os limites da responsabilização pós-violação. Pode exigir controles futuros, mas não pode devolver aos clientes o tempo gasto substituindo cartões ou analisando extratos. Pode exigir avaliação, mas não publica necessariamente os detalhes sensíveis da avaliação. Pode criar um registro legal, mas geralmente chega anos após a violação. A responsabilização duradoura depende, portanto, de a organização usar o acordo como disciplina de evidência, em vez de um ponto final legal.

O requisito de avaliação independente é importante. Um varejista pode dizer ao público que a segurança foi aprimorada, mas um relatório de terceiros pergunta se existem salvaguardas administrativas, técnicas e físicas, se elas se adequam ao tamanho e complexidade da empresa e se ações corretivas foram tomadas ou planejadas. O público pode não ver o relatório completo porque ele pode conter informações sensíveis de rede. No entanto, os reguladores podem exigir evidências. Isso é importante porque a segurança de pagamento não pode ser medida apenas por comunicados de imprensa.

O requisito de manter acordos com pelo menos dois investigadores forenses PCI qualificados também é mais importante do que parece. A resposta a incidentes muitas vezes perde tempo no estágio de aquisição e acesso. Se um varejista tem que negociar termos, esclarecer conflitos, estabelecer canais privilegiados e organizar acesso a dados apenas após sinais de fraude, a janela de exposição pode continuar enquanto o processo se atualiza. Um acordo forense permanente não impede malware por si só, mas encurta o caminho do sinal à evidência.

A notificação ao cliente é um controle, não apenas uma cortesia

A notificação ao cliente é frequentemente tratada como uma função legal e de comunicação. Em uma violação de cartão de pagamento, é também um controle. Um titular de cartão que recebe um aviso oportuno e específico pode monitorar contas, substituir cartões, atualizar pagamentos recorrentes e contestar cobranças fraudulentas. Um titular de cartão que recebe um aviso vago ou atrasado pode continuar usando um cartão comprometido e pode atribuir problemas posteriores a causas não relacionadas. A notificação, portanto, altera a curva de dano.

Os primeiros relatos públicos mostram por que a notificação era difícil. Krebs relatou a confirmação inicial depois que fontes da indústria financeira rastrearam fraude a cartões usados recentemente em lojas da Neiman Marcus. A declaração da empresa citada lá dizia que a Neiman Marcus foi informada por seu processador de cartão de crédito em meados de dezembro sobre atividade de cartão de pagamento potencialmente não autorizada e que uma empresa forense descobriu evidências de uma intrusão criminal de cybersegurança em 1º de janeiro. A Wired mais tarde relatou o período do malware e a visibilidade potencial de 1,1 milhão de cartões.

Essa sequência mostra que o varejista não era o único observador. Processadores, marcas de pagamento, emissores, equipes de fraude, autoridades policiais e empresas forenses faziam parte da cadeia de sinalização.

Um aviso responsável deve separar o que é conhecido, o que é suspeito, o que não é afetado e quais ações os clientes devem tomar. Os materiais públicos da Neiman Marcus e relatos posteriores enfatizaram que as compras online não foram afetadas e que PINs, números de Seguro Social e datas de nascimento não estavam envolvidos no incidente de cartão de pagamento em loja. Essas distinções são importantes, mas não eliminam o dano. Um número de cartão e data de validade ainda podem apoiar fraude, clonagem, tentativa de uso indevido ou custos de substituição de cartão, dependendo dos dados capturados e do ecossistema de pagamento.

O litígio Remijas mostra a importância legal da mitigação. A análise de legitimidade do tribunal de apelação reconheceu que alguns clientes incorrem em custos para evitar ou reduzir danos. Esse enquadramento é especialmente importante para violações de pagamento no varejo porque a perda financeira imediata pode ser reembolsada pelos emissores, enquanto o inconveniente e o trabalho de gerenciamento de risco são distribuídos entre muitas pessoas. Uma violação pode ser financeiramente "coberta" e ainda impor custos reais.

A notificação ao cliente também afeta parceiros de marca e pequenas dependências de serviço. As lojas de um varejista de luxo estão inseridas em shoppings, ecossistemas de pagamento, redes de cartão, relacionamentos de fidelidade, fluxos de trabalho de atendimento ao cliente e arranjos de credenciamento. Quando o aviso não é claro, cada camada voltada ao cliente absorve incerteza. Associados de loja podem ser questionados sobre o que não podem responder. Emissores de cartão podem receber chamadas. Parceiros de marca podem se preocupar com a associação. Processadores podem precisar explicar o escopo aos bancos.

A função de notificação é, portanto, operacional, não decorativa.

A coordenação com redes de cartão revela transferência oculta de custos

As violações de cartão de pagamento são incomuns porque o sistema lesado não é uma única organização. O varejista pode ter o ambiente de loja comprometido. O credenciador e processador transportam transações. As redes de cartão definem regras e processos de conformidade. Os emissores mantêm relacionamentos com titulares de cartão e frequentemente reembolsam fraudes. Os clientes gastam tempo e aceitam interrupções. Reguladores revisam proteção ao consumidor e segurança de dados. Empresas forenses investigam. Nenhuma das partes possui toda a cadeia, mas o ambiente de pagamento do varejista pode desencadear trabalho em toda ela.

É por isso que a coordenação com redes de cartão faz parte da questão manifesta. Um varejista que descobre malware tem que identificar cartões e janelas afetados, coordenar com marcas de pagamento e processadores, apoiar a mitigação do emissor, preservar evidências e evitar declarações inconsistentes. Se os dados passados para as redes são tardios ou incompletos, os emissores podem reemitir muitos cartões, poucos cartões ou cartões no momento errado. Se sinais de fraude chegam antes do escopo de malware confirmado, o ecossistema de cartão tem que escolher entre cautela operacional e interrupção ao cliente.

O acordo da Neiman Marcus não publicou todas as comunicações com redes de cartão. Mas exigiu acordos permanentes com investigadores forenses PCI e medidas alinhadas ao PCI DSS. Isso é um sinal de que o ecossistema de pagamento espera evidências delimitadas e especializadas após uma violação. Não basta que um varejista diga que está investigando. Precisa de evidências de que os dados do cartão foram expostos, quais sistemas foram afetados, quais datas importam, quais lojas importam e qual remediação ocorreu.

A transferência de custos é visível nos 9.200 cartões usados fraudulentamente referenciados pelos materiais do acordo estadual. Esses usos fraudulentos não eram meramente números em um registro regulatório. Cada um envolvia um titular de cartão, emissor, fluxo de trabalho de fraude, revisão de cobrança, possível cartão de substituição e evento de atendimento ao cliente. Mesmo os cartões não usados fraudulentamente podiam exigir monitoramento e reemissão. Esse trabalho downstream é a razão pela qual a segurança de pagamento não é simplesmente um controle interno do varejista.

O Registro Global Visa e os processos de conformidade de marcas de cartão são mais explícitos em casos de processadores, mas a mesma lógica de ecossistema se aplica a varejistas. O PCI DSS é uma governança da indústria sobre contratos, avaliações e regras de rede. A página do PCI DSS emhttps://www.pcisecuritystandards.org/standards/pci-dss/diz que o padrão fornece uma linha de base para proteger dados de conta. Uma linha de base não é uma garantia. É uma estrutura mínima para evidências. Quando ocorre uma violação, a questão de responsabilização passa a ser se a organização manteve essa linha de base continuamente, se as exceções foram documentadas e se os controles compensatórios eram reais.

A automação de segurança precisa de responsabilização humana

O tópico manifesto inclui automação de segurança, e a Neiman Marcus demonstra por que a automação é necessária, mas insuficiente. Ambientes de pagamento em lojas produzem telemetria demais para revisão puramente manual. Fluxos de autorização de pagamento, atividade de endpoints, sinais de integridade de arquivos, acesso administrativo, sessões de suporte remoto, alertas de malware e tráfego de saída precisam de coleta e correlação automatizadas. Mas a automação não pode ser responsável por si só. Alguém deve ajustá-la, lê-la, escalá-la e interromper a exposição.

A linguagem de revisão de log em tempo quase real da AVC é importante porque conecta ferramentas a processos humanos. Um sistema de gerenciamento de eventos e informações de segurança mal configurado, ignorado, ruidoso ou desconectado da autoridade de incidentes não reduz o risco o suficiente. Varejistas frequentemente compram ferramentas de monitoramento após violações, mas as perguntas responsáveis são operacionais: Quais logs alimentam o sistema? Quais sistemas de pagamento estão faltando? O que conta como anômalo? Quem revisa os alertas? Com que rapidez os alertas escalam? Que autoridade o respondedor tem? Como a decisão é registrada?

O malware de ponto de venda também testa se as ferramentas de detecção veem a camada certa. O malware pode raspar dados de cartão da memória ou alvejar o estágio específico onde os dados em texto claro existem antes da autorização ou criptografia. O material de criptografia ponto a ponto do PCI SSC emhttps://listings.pcisecuritystandards.org/documents/P2PE_At_a_Glance_v3.pdfexplica o valor de proteger criptograficamente os dados da conta desde o ponto em que um comerciante aceita o cartão até o ambiente de descriptografia seguro. A descrição mais ampla do P2PE emhttps://www.pcisecuritystandards.org/standards/explica que o P2PE protege os dados da conta de pagamento por meio de criptografia desde a captura no dispositivo de pagamento até a descriptografia no ambiente do provedor. Para um varejista, a lição de responsabilização é que reduzir a disponibilidade de dados de cartão em texto claro pode reduzir o valor do malware.

A página do PCI PTS de ponto de interação emhttps://www.pcisecuritystandards.org/standards/pts-point-of-interaction-poi/também é relevante porque os dispositivos no ponto de interação capturam dados de cartão de pagamento e exigem proteções para dados sensíveis. Novamente, isso não é um fato forense da Neiman Marcus. É um contexto de como a segurança de pagamento distribui responsabilidade entre dispositivos, aplicativos, redes e provedores de serviços. Uma violação de pagamento em loja não pode ser reparada apenas em um data center corporativo se o parque de pontos de interação permanecer fraco.

A automação de segurança deve, portanto, estar vinculada a evidências. Um varejista deve ser capaz de mostrar os alertas que dispararam, os alertas que deveriam ter disparado, as alterações de configuração feitas após a violação, as fontes de log adicionadas, os runbooks de escalação atualizados e o tempo entre o primeiro sinal suspeito e a contenção. Sem esse rastro, a automação se torna uma afirmação de compra, não um controle.

Soberania e localidade de dados são práticas, não simbólicas

Os tópicos manifestos incluem soberania e localidade de dados. Neste caso, isso não significa uma disputa de residência em nuvem transfronteiriça. Significa que os dados de pagamento transitam por lojas locais, sistemas de loja, rotas de credenciamento, redes de cartão, relacionamentos com processadores, sistemas de emissor e regimes legais estaduais. Um consumidor compra em uma loja física, mas o caminho dos dados imediatamente se torna um ecossistema de pagamento distribuído. A localidade é importante porque cada estado tem consumidores, autoridade de proteção ao consumidor, expectativas de notificação e interesses de aplicação.

O acordo multiestadual demonstra essa localidade. A página do DC quantificou os clientes do Distrito afetados. A página do Texas quantificou os texanos afetados. A página de Nova York quantificou os cartões associados a consumidores de Nova York. A mesma violação teve, portanto, consequências locais de proteção ao consumidor em muitas jurisdições. Um varejista que opera lojas nacionais não pode tratar a proteção de dados como uma questão única do escritório central quando o dano ao titular do cartão, a notificação e a aplicação são distribuídos por estado.

A localidade dos dados também é importante dentro da empresa. Os fluxos de cartão em nível de loja podem diferir por tipo de dispositivo, versão de software, arquitetura de rede, relacionamento com credenciador ou formato de varejo. Um arquivo de incidente significativo deve identificar quais locais foram afetados, quais sistemas estavam no escopo, quais datas importam e quais elementos de dados foram expostos. O registro público diz que 77 lojas estavam envolvidas. Não publica um mapa técnico loja a loja.

Mas o fato de que as lojas físicas importavam, enquanto as compras online foram publicamente distinguidas, mostra por que a localidade faz parte do escopo.

Para os clientes, a localidade é experiencial. Um comprador que usou um cartão em uma loja específica durante um período específico quer saber se essa transação estava na janela do malware. Uma declaração geral sobre uma violação empresarial é menos útil do que uma declaração de escopo vinculada a lojas, datas e elementos de dados. Um arquivo de notificação forte do varejista, portanto, alinharia a localidade forense com a ação do cliente: onde o cartão foi usado, quando os dados podem ter sido expostos, quais informações foram envolvidas e quais medidas são razoáveis.

A soberania de dados também aparece através do controle sobre as evidências. O varejista detém muitos logs internos. Processadores e marcas de cartão detêm outros registros. Emissores veem fraudes. Autoridades policiais e empresas forenses podem deter descobertas de investigação. Clientes detêm extratos. Nenhum ator isolado possui toda a verdade. A responsabilização exige que a parte com controle do ambiente da loja coordene as evidências sem exagerar o que sabe.

O registro da ação coletiva mostra por que o reembolso não é reparo completo

O caso Remijas é frequentemente discutido como uma decisão de legitimidade, mas seu valor de responsabilização é mais amplo. Mostra que violações de pagamento no varejo criam teorias de dano em torno de risco, tempo de mitigação, custos de monitoramento e inconveniência, mesmo quando cobranças fraudulentas são reembolsadas. O digest da Harvard Journal of Law and Technology emhttps://jolt.law.harvard.edu/digest/data-breach-victims-rejoice-seventh-circuit-finds-that-threat-of-injury-is-sufficient-for-article-iii-standing-in-data-breach-class-actionsdiscute a decisão como um desenvolvimento de legitimidade em violações de dados. O registro do litígio também continuou em materiais de acordo, incluindo o PDF de acordo preliminar emhttps://www.classaction.org/media/remijas-et-al-v-the-neiman-marcus-group-llc-preliminary-settlement.pdf.

Materiais de ação coletiva não são o mesmo que descobertas regulatórias. Eles incluem alegações, argumentos de acordo, preocupações do tribunal e reparação negociada. Este artigo não trata toda alegação do autor como fato estabelecido. Mas o litígio é útil porque registra o trabalho humano e legal downstream criado pela violação. Consumidores, advogados, tribunais, administradores de acordo e o varejista passaram anos resolvendo questões que começaram com sistemas de pagamento em lojas.

Essa lacuna de tempo faz parte do teste de responsabilização de longo prazo. O período do malware foi em 2013. A divulgação pública ocorreu em janeiro de 2014. A decisão do Sétimo Circuito veio em 2015. O acordo multiestadual veio em 2019. Materiais de acordo continuaram depois disso. As consequências da violação de pagamento não terminam quando o malware é removido. Elas passam para reemissão, monitoramento, litígio, acordo regulatório, mudança de política e auditoria.

O reembolso também deixa interrupção de pagamentos recorrentes. Um cartão substituído pode quebrar assinaturas, contas automáticas, reservas de viagem ou perfis de pagamento armazenados. A pessoa que absorve esse trabalho pode nunca aparecer em um total de perda por fraude. Os emissores podem tratar a substituição de cartão como rotina. Os varejistas podem descrever a violação como contida. Mas o cliente experimenta a violação através do atrito. Uma boa responsabilização conta o atrito mesmo quando o roubo direto é revertido.

O registro da ação coletiva também destaca os limites da escolha individual. Os clientes não escolheram a arquitetura de pagamento da loja. Não escolheram o processo de revisão de log. Não escolheram a empresa forense. Só podiam escolher se compravam, se usavam um cartão de pagamento e como responder após o aviso. É por isso que o ônus da prova deve recair sobre a organização que projetou e operou o ambiente de pagamento no varejo.

O que um arquivo de controle de pagamento no varejo mais forte deve conter

Um arquivo de controle de pagamento no varejo mais forte após uma violação do tipo Neiman Marcus deve conter pelo menos oito camadas de evidência. Primeiro, deve incluir um inventário do ambiente de pagamento mostrando lojas, terminais, aplicativos de pagamento, segmentos de rede, caminhos de suporte, conexões de processador, contas administrativas e sistemas que podem afetar o ambiente de dados do titular do cartão. Segundo, deve mostrar evidências de segmentação, não apenas diagramas. Regras de firewall, testes de acesso, fluxos de log e registros de exceção são importantes.

Terceiro, deve incluir evidências de detecção e contenção de malware. Isso significa primeiro sinal suspeito, notificação do processador ou emissor, confirmação forense, família ou comportamento do malware onde a divulgação pública é segura, sistemas afetados, ações de contenção, validação de que o malware foi removido e evidência de que imagens limpas ou builds confiáveis foram restauradas. Quarto, deve incluir evidências de escopo do cartão: elementos de dados, datas, lojas, contagens de cartões, sinais de fraude, listas de notificação ao emissor e intervalos de incerteza.

Quinto, deve incluir a lógica de notificação ao cliente. Quais clientes foram notificados, quando, por qual canal, com qual explicação e quais medidas de ação? Se a empresa notificou todos os clientes que compraram durante um período mais amplo porque a exposição precisa não pôde ser determinada, o arquivo de notificação deve dizer por quê. Sexto, deve incluir a estratégia de desvalorização de dados de pagamento. Criptografia, tokenização, criptografia ponto a ponto, segurança de dispositivos e redução da exposição de cartão em texto claro devem estar vinculados a evidências de implementação.

Sétimo, deve incluir avaliação independente e prontidão forense. A AVC exige avaliação por terceiros e acordos permanentes com PFI. Um arquivo interno forte acrescentaria prontidão de aquisição, procedimentos de preservação de evidências, expectativas de cadeia de custódia, limites de revisão privilegiada, caminhos de relatórios a reguladores e verificações de conflito de retenção. Oitavo, deve incluir responsabilização gerencial: proprietários nomeados, relatórios ao conselho, itens de remediação abertos, aprovação de exceção e datas em que os controles foram verificados.

Os materiais de controle NIST podem ajudar a organizar essas evidências. A Estrutura de Cibersegurança do NIST emhttps://www.nist.gov/cyberframeworkfornece vocabulário de identificar, proteger, detectar, responder e recuperar. O NIST SP 800-53 Rev. 5 emhttps://csrc.nist.gov/publications/detail/sp/800-53/rev-5/finalfornece um catálogo amplo para controle de acesso, auditoria, gerenciamento de configuração, resposta a incidentes, integridade do sistema e planejamento de contingência. Essas fontes não substituem o PCI DSS para ambientes de pagamento. Elas ajudam a traduzir a segurança de pagamento em um arquivo de evidências legível pelo conselho.

O ponto não é exigir que os varejistas publiquem diagramas de rede sensíveis. O ponto é garantir que reguladores, avaliadores, conselhos e líderes de incidentes possam verificar o reparo. Os clientes podem aceitar que alguns detalhes são confidenciais. Não devem ter que aceitar reparo por afirmação.

O contrafactual são dados de pagamento delimitados, não lojas perfeitas

O contrafactual correto não é um ambiente de varejo onde nenhuma tentativa de malware jamais ocorre. É um ambiente de varejo onde os dados de pagamento são difíceis de alcançar, difíceis de monetizar, rapidamente detectados quando tocados e estritamente delimitados quando algo falha. Um sistema de pagamento maduro assume tentativas de ataque e projeta para evidências. Isso é diferente de assumir que o status de conformidade é suficiente.

Um ambiente delimitado minimizaria onde os dados de cartão em texto claro existem. Usaria dispositivos de pagamento e estratégias de criptografia que reduzem a exposição direta do varejista. Segmentaria os sistemas de pagamento das redes de varejo mais amplas. Manteria software suportado. Monitoraria logs com limites vinculados a escalação real. Testaria a resposta a incidentes com o processador, credenciador, marcas de pagamento e respondedores forenses. Preservaria evidências de escopo de cartão de forma que os emissores possam usar.

A AVC da Neiman Marcus aponta para esse contrafactual. Ela nomeia especificamente PCI DSS, monitoramento de rede, manutenção de software, tecnologias de segurança de pagamento, criptografia ou tokenização, avaliação independente e investigadores forenses. Esses compromissos são um modelo para reduzir a cauda longa. Eles não provam que todos os controles foram implementados perfeitamente após o acordo, e este artigo não afirma verificação privada. Eles mostram o que o arquivo de reparo legal público considerava importante.

O contrafactual também inclui uma propriedade executiva mais clara. A segurança de pagamento é frequentemente distribuída entre TI, operações de loja, segurança, jurídico, finanças, conformidade, gerenciamento de processador e comunicações com clientes. A propriedade distribuída se torna frágil durante um incidente. Um modelo de governança mais forte nomeia quem pode tomar decisões de contenção, quem se comunica com marcas de cartão, quem aprova a notificação ao cliente, quem informa reguladores, quem verifica a remediação da loja e quem assina que a exposição de pagamento foi reduzida.

Para pequenas e médias empresas que dependem de ecossistemas de pagamento no varejo, a lição é indireta, mas real. Muitos comerciantes menores não têm a escala ou os recursos legais da Neiman Marcus. Eles usam processadores, gateways, terminais e provedores de serviços porque não podem construir tudo sozinhos. Uma violação de varejo de alto perfil mostra por que dependências de serviço, padrões de pagamento e prontidão forense são importantes mesmo para operações menores. A continuidade não é apenas se a loja permanece aberta. É se os clientes podem continuar confiando nos pagamentos após uma violação.

Os limites da evidência devem ser explícitos

O registro público não mostra todos os fatos privados. Não fornece o relatório forense completo, análise completa da amostra de malware, revisão completa de log, todos os diagramas de rede de loja, todas as comunicações com processadores, todos os alertas de marcas de cartão, todas as decisões de emissor, todas as listas de correspondência de notificação ao cliente ou todos os artefatos de avaliação pós-acordo. Uma análise de responsabilização responsável tem que nomear esses limites.

Fatos públicos confirmados incluem os anúncios de acordo estadual, a AVC, a descrição de 77 lojas, o número de 370.000 cartões comprometidos usado pelas investigações estaduais, o número de pelo menos 9.200 cartões usados fraudulentamente, a divulgação pública inicial, a decisão de recurso Remijas e as reportagens contemporâneas sobre o período do malware e os 1,1 milhão de cartões potencialmente visíveis. Contexto de controle confirmado inclui materiais PCI DSS, PCI P2PE, PCI PTS POI, NIST CSF e NIST SP 800-53.

Inferência apoiada inclui a conclusão de que segmentação, detecção, revisão de log, ciclo de vida de software, desvalorização de dados de pagamento, prontidão forense, notificação ao cliente e coordenação com redes de cartão eram as superfícies práticas de responsabilização. Essa inferência segue as obrigações do acordo e a natureza do malware de cartão de pagamento em loja. Não requer reivindicar acesso a artefatos privados do incidente.

Desconhecidos permanecem. O público não pode determinar o momento exato em que o malware entrou no ambiente, todas as razões pelas quais a detecção levou o tempo que levou, todas as decisões internas de escalação, a relação completa entre alertas de fraude do processador e a investigação do varejista, a sequência final de remediação loja a loja ou a qualidade da implementação pós-acordo. Esses desconhecidos não apagam a questão da responsabilização. Eles mostram por que as evidências devem ser retidas e disponibilizadas a revisores apropriados.

Essa disciplina de limite também é importante porque as violações de pagamento atraem narrativas simplificadas. Uma narrativa diz que o varejista foi totalmente culpado porque o malware existia. Outra diz que o dano foi limitado porque os emissores reembolsaram a fraude. Ambas são muito superficiais. A narrativa mais forte segue o controle: o que o varejista controlava, o que os parceiros de pagamento controlavam, o que os emissores controlavam, o que os clientes não podiam controlar e que evidências provam o reparo.

A responsabilização segue o controle sobre o ambiente de checkout

A alocação final de responsabilização deve seguir o controle prático. A Neiman Marcus controlava o ambiente de pagamento no varejo que aceitava cartões nas lojas. Processadores de pagamento e marcas de cartão controlavam partes da transação e do ecossistema de conformidade. Emissores controlavam relacionamentos com cartões de clientes, reembolso de fraude e reemissão. Reguladores controlavam a aplicação. Os clientes controlavam o mínimo, embora enfrentassem a violação diretamente.

Essa alocação significa que o varejista tem o maior ônus de provar que seus sistemas de pagamento em loja foram segmentados, monitorados, mantidos e reparados. Não significa que processadores, marcas de cartão ou emissores não tenham responsabilidades. Significa que a parte que colocou o sistema de checkout na frente dos clientes deve produzir a evidência de que o checkout não permaneceu uma superfície de exposição silenciosa.

O acordo multiestadual é útil porque nomeia como essa prova deve ser: conformidade com PCI DSS, monitoramento e revisão de logs, prontidão forense qualificada, manutenção de software, revisão de tecnologia de segurança de pagamento, desvalorização de dados de pagamento e avaliação independente. A decisão Remijas é útil porque explica por que os custos de mitigação dos consumidores e o risco futuro são importantes. As reportagens contemporâneas são úteis porque capturam a incerteza inicial e a diferença entre visibilidade potencial e comprometimento confirmado.

A Neiman Marcus continua sendo um teste de responsabilização de violação de cauda longa porque a transação de pagamento foi breve, mas o registro de consequências durou anos. Essa é a natureza dos dados de pagamento. O cartão sai da carteira do cliente por um momento, mas a exposição pode transitar por emissores, sistemas de fraude, tempo do cliente, reguladores, tribunais e registros de governança. Um varejista que aceita cartões de pagamento aceita essa cauda longa.

O varejista responsável é aquele que pode mostrar, antes e depois de uma violação, que os dados do cartão são delimitados, monitorados, desvalorizados e reparados com evidências.