Desjardins: инсайдерский доступ как тест подотчётности данных

Краткое резюме

Desjardins важен, потому что публичные материалы описывают финансовое учреждение, в котором конфиденциальная информация о членах копировалась по рабочим путям, которые выглядели легитимными, но были небезопасны по своей конструкции.
Управление комиссара по вопросам конфиденциальности Канады сообщило, что утечка в итоге затронула почти 9,7 миллиона человек в Канаде и за рубежом, а в первом публичном заявлении Desjardins говорилось, что первоначально выявленный инцидент касался более 2,9 миллиона членов, чья информация была передана за пределы организации.
Вопрос подотчётности состоит в том, кто фактически контролировал права доступа сотрудников, рабочие процессы на общих дисках, границы минимизации данных, мониторинг, подверженность съёмным носителям, уведомление членов, стоимость устранения последствий и доказательства того, что такое копирование не повторится.
Desjardins отреагировал кредитным мониторингом, защитой личных данных, обязательствами перед регулятором, публичными финансовыми резервами и процессом урегулирования коллективного иска; эти меры были необходимы, но они не заменили доказательств того, что условия управления доступом изменились.
В статье рассматриваются уведомления Desjardins, выводы канадского комиссара по вопросам конфиденциальности, финансовая отчётность Desjardins, документы об урегулировании, закон о защите персональных данных, рекомендации OSFI и стандартные подходы к управлению безопасностью как публичные доказательства. Статья не утверждает, что у неё есть доступ к закрытым полицейским материалам, полным журналам действий сотрудников, записям об убытках отдельных членов или ко всем последующим документам внутреннего аудита.

Почему это дело относится к досье о рисках и подотчётности

Desjardins относится к досье о рисках и подотчётности, потому что утечка не была обычной историей о внешнем вторжении. Публичные доказательства описывают связанное с сотрудником извлечение финансовых идентификационных записей из учреждения, члены которого не имели практической возможности проверить, как спроектирован доступ и как хранятся данные. В публичном заявлении Desjardins от 20 июня 2019 года наисточник: newswire.caговорилось, что полиция Лаваля связалась с Desjardins и подтвердила: персональная информация более 2,9 миллиона членов была передана за пределы организации, включая 2,7 миллиона индивидуальных членов и 173 000 бизнес-членов.

В заявлении ситуация объяснялась несанкционированным и незаконным использованием внутренних данных сотрудником, который был уволен.

Это первое раскрытие уже было серьёзным. Последующие материалы регулятора сделали его более масштабным и структурно значимым. В выводах Управления комиссара по вопросам конфиденциальности Канады наисточник: priv.gc.caговорилось, что Desjardins уведомил федеральный орган по защите персональных данных 27 мая 2019 года о нарушении защитных мер, которое в итоге затронуло почти 9,7 миллиона человек в Канаде и за рубежом. Среди скомпрометированной информации были имена, даты рождения, номера социального страхования, домашние адреса, номера телефонов, адреса электронной почты и истории транзакций.

В том же отчёте говорилось, что Desjardins пришёл к выводу: один сотрудник выводил персональную информацию на протяжении как минимум 26 месяцев.

Дело относится к этому досье, потому что такие доказательства меняют постановку проблемы: вместо «сотрудник сделал что-то неправильно» возникает вопрос «организация создала такую среду данных, в которой один сотрудник мог создать массовый риск для идентичности». Финансовое учреждение не может рассматривать инсайдерскую утечку как неожиданное исключение, когда чувствительная информация перемещается через хранилища данных, маркетинговые папки, рабочие станции и съёмные носители.

Если учреждение создаёт рабочий процесс, в котором роли сотрудников позволяют видеть, копировать, агрегировать или экспортировать большие объёмы идентификационных данных членов, то управление доступом становится мерой защиты членов, а не административным предпочтением.

Вопрос подотчётности прямой: кто фактически контролировал права доступа сотрудников, границы минимизации данных, мониторинг, обнаружение эксфильтрации, уведомление членов, стоимость устранения последствий и доказательства того, что финансовые идентификационные данные нельзя скопировать вне одобренных рабочих процессов? Руководство Desjardins контролировало управление, инвестиции и приоритет мер защиты персональных данных. Бизнес-подразделения определяли, требовали ли маркетинговые и аналитические процессы широкие наборы идентификационных данных.

Технологические команды и команды безопасности контролировали выдачу прав доступа, архитектуру общих дисков, мониторинг конечных точек, журналирование и контроль съёмных носителей.

Команды по защите персональных данных и управлению рисками контролировали политики хранения, обучение, реагирование на утечки и доказательства для регулятора. Члены почти ничего из этого не контролировали. Они предоставляли идентификационную информацию, потому что этого требовала финансовая жизнь.

Дело также относится к темам суверенитета и локализации данных, поскольку записи касались канадцев и других лиц и хранились в кооперативном финансовом учреждении из Квебека под федеральным и провинциальным надзором за защитой персональных данных. Оно относится к автоматизации безопасности, потому что сбой контроля был отчасти связан с мониторингом, автоматизированным перемещением данных и тем, можно ли было обнаружить и остановить аномальное копирование до того, как оно стало событием масштаба всей популяции.

Оно относится к непрерывности работы государственного сектора, потому что финансовые идентификационные записи связывают обычных членов с налоговыми системами, кредитными системами, пособиями, полицейскими отчётами и доверием к публичному регулированию.

Утечка в частном кооперативе может стать проблемой гражданского риска для идентичности, когда в неё вовлечены номера социального страхования, адреса и истории транзакций.

Видимым триггером стал сотрудник, но система контроля была шире

Легко описать утечку Desjardins как историю об инсайдере и на этом остановиться. Это упустило бы главный вопрос подотчётности. В выводах канадского регулятора по защите персональных данных действительно был установлен злонамеренный сотрудник и описано копирование персональной информации с общих дисков на рабочий компьютер, а затем на USB-накопители. Но в том же отчёте описывались бизнес-процессы, которые изначально помещали чувствительную персональную информацию в общие папки.

В нём говорилось, что сотрудники выполняли автоматизированную передачу персональной информации из кредитного хранилища данных в пользовательские папки на общем диске маркетингового отдела, а другие сотрудники копировали конфиденциальную персональную информацию из банковского хранилища данных на общий диск. Злонамеренный сотрудник затем копировал информацию из этих общих расположений, включая сведения, к которым он обычно не имел бы доступа в банковском хранилище данных.

Это важно, потому что сотруднику не нужно было преодолевать неприступную систему. Он использовал систему, которая уже перенесла чувствительные записи в доступные рабочие места. В терминах подотчётности организация должна была объяснить, почему данные, достаточно чувствительные для создания долгосрочного риска для идентичности, были размещены в широких или недостаточно защищённых операционных расположениях. Ей также нужно было объяснить, почему средства обнаружения и предотвращения не прервали копирование в течение длительного периода.

Фраза «несанкционированное и незаконное использование» точна как триггер, но управление не может заканчиваться этой фразой. Инсайдер может нарушить доверие в любом учреждении. Вопрос подотчётности в том, спроектировало ли учреждение привилегированные рабочие процессы так, будто неправомерное использование инсайдером было предсказуемым. Финансовые учреждения обрабатывают номера социального страхования, имена, адреса, даты рождения, информацию о счетах и истории транзакций именно потому, что они поддерживают регулируемые кредитные и банковские отношения.

Такая чувствительность создаёт обязанность ограничивать, кто может видеть данные, где их можно временно размещать, как долго они там остаются, можно ли их копировать на конечные точки, заблокированы ли съёмные накопители и создаёт ли необычное перемещение сигналы тревоги.

Публичное заявление Desjardins и выводы комиссара по вопросам конфиденциальности поэтому следует читать вместе. Публичное заявление в самом начале дало членам триггер и немедленный путь к заверениям. Материалы регулятора показали анатомию контроля. Член, прочитавший только первое заявление, может представить сотрудника-одиночку с необычным доступом. Читатель материалов регулятора видит более широкую проблему управления: права доступа, проектирование общих дисков, практику передачи данных, хранение, обучение сотрудников, мониторинг и меры по снижению последствий после утечки.

Это разница между рассказом об ответственности и рассказом о контроле. Рассказ об ответственности ищет человека, нарушившего политику. Рассказ о контроле спрашивает, почему политика и технологическая среда позволили нарушению приобрести такой масштаб. Важно и то и другое. Поведение сотрудника было центральным для инцидента, но членам нужны были доказательства того, что Desjardins изменил условия, которые позволили этому поведению иметь значение в таком масштабе.

Минимизация данных не была абстрактным принципом конфиденциальности

Минимизацию данных часто воспринимают как юридический язык. В этом деле она была практической границей безопасности. Финансовое учреждение может потерять или раскрыть только то, что оно собирает, хранит, копирует, временно размещает и делает доступным. В выводах канадского регулятора говорилось, что возраст части скомпрометированной информации заставил OPC проверить практики уничтожения данных в Desjardins. В отчёте были обнаружены нарушения, связанные с подотчётностью, сроками хранения и защитными мерами.

Там также говорилось, что у Desjardins не было процедур для уничтожения персональной информации по окончании её жизненного цикла, и что компания спустя месяцы после инцидента всё ещё не могла определить срок хранения скомпрометированных неактивных счетов.

Это решающий момент для подотчётности. Политика хранения не является второстепенным вопросом управления записями, когда записи включают идентификационную информацию, которую можно использовать для мошенничества годы спустя. Номера социального страхования и даты рождения не становятся безвредными из-за того, что счёт неактивен. Адреса, номера телефонов, адреса электронной почты и истории транзакций можно использовать для убедительных попыток выдать себя за другого человека. Чем дольше информация остаётся в доступных системах после завершения её цели, тем больше становится поверхность утечки.

Федеральный закон о защите персональной информации и электронных документов наисточник: laws-lois.justice.gc.caзадаёт федеральные рамки для обработки персональной информации в частном секторе Канады. В выводах по делу Desjardins принципы подотчётности, защитных мер и хранения из этого закона были применены к утечке. Важный практический урок: закон о защите персональных данных и инженерия безопасности встречаются внутри контроля жизненного цикла. Если данные больше не нужны, они не должны оставаться доступными для копирования из общего расположения.

Если маркетинговому процессу нужен агрегированный анализ, он не должен автоматически получать полные идентификационные записи, если только этого не требует конкретный сценарий и защитные меры не соответствуют риску. Если в пользовательской папке хранятся чувствительные выгрузки, такая папка — не удобный кэш, а регулируемое хранилище данных.

Минимизация данных меняет и модель затрат. После утечки учреждение может платить за кредитный мониторинг, защиту личных данных, коммуникации, юридические процессы, внешний аудит и операционное восстановление. Финансовый отчёт Desjardins за второй квартал 2019 года наисточник: desjardins.comпризнавал значительные расходы и резервы на защитные меры после утечки персональных данных. В годовом отчёте Desjardins за 2019 год наисточник: desjardins.comи соответствующей финансовой отчётности наисточник: desjardins.comреагирование на утечку связывалось с существенными финансовыми затратами. Эти затраты показывают, почему минимизация — не просто предпочтение в области комплаенса.

Избыточно хранящиеся данные становятся финансируемым обязательством, когда средства контроля отказывают.

Проверка подотчётного исправления поэтому не в том, «написало ли учреждение политику хранения?», а в том, «может ли учреждение доказать, что старые и ненужные чувствительные данные больше не доступны обычным сотрудникам, общим папкам, ноутбукам, аналитическим процессам или съёмным носителям?» Политика без доказательств уничтожения — это обещание. Процедура удаления без мониторинга — это надежда. Членам нужны были доказательства того, что минимизация данных стала операционной практикой.

Управление доступом дало сбой там, где удобство бизнес-процессов встретилось с чувствительными записями

Управление доступом — суть дела. Во многих финансовых организациях бизнес-команды на законных основаниях нуждаются в данных для управления продуктами, маркетинга, моделирования рисков, предотвращения мошенничества, операций, отчётности и улучшения сервиса. Эти потребности могут быть реальными. Но легитимность использования не означает, что каждая запись должна копироваться в широкие рабочие области.

В выводах регулятора описывалось, как чувствительная информация перемещалась из хранилищ данных на общие диски и в пользовательские папки, где злонамеренный сотрудник мог её скопировать, даже если обычно у него не было доступа к исходному банковскому хранилищу.

Это классическая инверсия управления доступом: защищённый источник может стать менее защищённым после бизнес-выгрузки.

Проблема подотчётности не в том, что маркетинговые отделы никогда не должны использовать данные членов. Она в том, что доступ должен следовать необходимости, цели, чувствительности и прослеживаемости на каждом этапе. Если выгрузка покидает хранилище, она должна наследовать средства контроля. Если пользовательская папка получает чувствительные данные, её разрешения должны быть узкими, использование — журналироваться, срок хранения — коротким, а пути экспорта — контролируемыми. Если общий диск используется как промежуточное рабочее пространство, он не должен становиться долгоживущим теневым хранилищем данных.

Если идентификационные поля не нужны, их следует удалить или токенизировать до того, как выгрузка покинет контролируемые системы.

Автоматизация безопасности важна, потому что ручная политика не может следить за каждой копией. Зрелая среда искала бы необычные передачи, повторяющийся экспорт чувствительных колонок, копирование с общих дисков на конечные точки, использование съёмных накопителей и паттерны доступа, не соответствующие роли или цели. Она также классифицировала бы файлы по чувствительности, чтобы таблица или выгрузка с номерами социального страхования и историями транзакций обрабатывались иначе, чем обычный деловой контент.

Средства контроля конечных точек должны затруднять копирование регулируемых финансовых идентификационных данных на USB-устройства без одобрения и журналирования.

Инструменты предотвращения потери данных могут быть несовершенны, но отсутствие или слабость такого мониторинга перекладывает бремя на членов, которые не могут защитить себя от внутреннего экспорта.

Руководство OSFI по управлению технологическими и киберрисками наисточник: osfi-bsif.gc.caне является ретроспективным выводом о средствах контроля Desjardins в 2019 году. Оно полезно, потому что выражает современное ожидание финансового сектора: технологические и киберриски должны управляться, контролироваться и делаться устойчивыми пропорционально институциональному риску. Инсайдерское перемещение данных находится прямо в этих рамках. Это не только событие в сфере конфиденциальности. Это событие операционного риска, в котором пересекаются люди, процессы, технологии и управление данными.

У сбоя управления доступом было и институциональное измерение доверия. Desjardins — кооперативная финансовая группа. Члены — не просто держатели розничных счетов в далёкой системе; они часть кооперативных отношений, основанных на доверии, локальности и членской идентичности. Утечка с участием доверенного сотрудника поэтому бьёт по общественному договору учреждения. Исправление нельзя свести к фразе «сотрудник ушёл». Учреждение должно показать, что доверие членов больше не зависит от предположения, что каждый сотрудник с удобным доступом всегда будет действовать правильно.

Задержка обнаружения изменила характер подотчётности

Время обнаружения важно, потому что вред от идентификационных данных растёт незаметно. Украденную платёжную карту можно заменить. Номер социального страхования и дата рождения остаются полезными для будущего мошенничества, выдачи себя за другого человека и социальной инженерии. В выводах регулятора говорилось, что эксфильтрация, связанная с сотрудником, происходила на протяжении как минимум 26 месяцев. Этот длинный период централен для подотчётности, потому что он указывает: система контроля не заметила и не остановила повторяющееся копирование чувствительной информации в течение времени, достаточного для накопления риска.

Публичные материалы не раскрывают каждый журнал мониторинга или внутреннее оповещение, доступное Desjardins, поэтому статья не должна выдумывать детали. Доказательства поддерживают более узкий вывод: итоговые материалы об обнаружении и раскрытии показали, что существовавших защитных мер было недостаточно для предотвращения масштабной утечки. Пресс-релиз OPC наисточник: priv.gc.caописывал сочетание административных и технологических слабостей.

В заявлении комиссара наисточник: priv.gc.caговорилось, что Desjardins не продемонстрировал надлежащего уровня внимания, необходимого для защиты чувствительной персональной информации, при этом отмечалось, что организация отреагировала хорошо после того, как узнала об утечке.

Эти два момента следует держать вместе. Сильная реакция после обнаружения важна. Она может снизить вред для членов, поддержать регуляторов, профинансировать исправление и улучшить средства контроля. Но сильная реакция после внешнего обнаружения не стирает слабую позицию обнаружения до выявления. Для членов релевантным риском было не только то, действовал ли Desjardins после поступления информации от полиции. Важно, мог ли Desjardins обнаружить аномальное копирование, не дожидаясь внешних сигналов.

Обнаружение — это не одно средство контроля. Оно включает проверки доступа, классификацию данных, сканирование общих папок, телеметрию конечных точек, мониторинг съёмных носителей, аналитику привилегированных пользователей, ролевые исключения, маршрутизацию оповещений и правила эскалации. Оно также включает полномочия останавливать слишком широкие бизнес-процессы. Если отдел построил повторяющиеся выгрузки, размещающие чувствительные данные на общих дисках, обнаружение должно спрашивать, почему этот паттерн существует, одобрен ли он, всё ещё нужен ли и можно ли подавить чувствительные поля.

Мониторинг, который лишь записывает события без управленческой проверки, — слабое доказательство.

Длинный период меняет и уведомление членов. Если данные могли покидать учреждение в течение многих месяцев, члены не могут знать точный будущий риск мошенничества. Учреждение должно честно сообщать о неопределённости. Оно должно определить классы затронутой информации, кто может пострадать, какие защитные услуги доступны, какие процессы идут в правоохранительных органах и у регуляторов и что учреждение сделает, если позже проявится кража личных данных. Уведомление — не просто юридический шаг. Это передача практических знаний людям, которые не контролировали утечку.

Стоимость устранения последствий показала, что риск для идентичности переживает сам инцидент

Материалы Desjardins об устранении последствий — полезная часть доказательной базы, потому что они показывают, что учреждение отнеслось к риску для идентичности как к долгосрочному. Desjardins Identity Protection наисточник: desjardins.comописывает защиту от мошенничества, поддержку при краже личных данных, возмещение расходов на восстановление идентичности и функции кредитного мониторинга. Финансовая отчётность Desjardins признавала расходы и резервы, связанные с защитными мерами после утечки, а годовой отчёт федерации за 2019 год наисточник: desjardins.comобсуждал расходы на внедрение Desjardins Identity Protection после утечки персональных данных.

Такая реакция важна, потому что идентификационные данные долговечны. Кредитный мониторинг на короткий период может помочь, но скомпрометированные идентификаторы могут быть использованы позже. Член может столкнуться с попытками мошенничества спустя годы после события, особенно если данные будут объединены с другими источниками. Предложение Desjardins более широкой защиты личных данных и возмещения признавало, что модель вреда может пережить новостной цикл.

Материалы об урегулировании коллективного иска добавляют ещё одно измерение. В объявлении Desjardins от февраля 2022 года наисточник: desjardins.comговорилось, что было заключено соглашение об урегулировании с истцами по коллективным искам, связанным с утечкой персональных данных. В объявлении от июня 2022 года наисточник: desjardins.comсообщалось, что Верховный суд Квебека утвердил урегулирование, позволяющее выплатить максимум 200 852 500 долларов в качестве индивидуальной компенсации правомочным лицам, подавшим требования. Сайт урегулирования наисточник: desjardinssettlement.comи материалы адвокатов истцов наисточник: siskinds.comстали частью публичной карты устранения последствий.

Урегулирование — не технический вывод. Desjardins не должен был признавать все обвинения, чтобы заключить соглашение. Но урегулирование — доказательство подотчётности, потому что оно показывает, как стоимость утечки перешла от сбоя контроля к компенсации членам, администрированию требований, юридическому освобождению и институциональным расходам. Оно также показывает пределы денег после утечки. Член, получивший компенсацию, всё равно должен жить с тем, что идентификационные данные не отозвать. Самое сильное исправление — предотвращение и проверяемое улучшение средств контроля, а не только возмещение после раскрытия.

В досье об устранении последствий поэтому следует спрашивать, были ли деньги и услуги подкреплены доказательствами изменения средств контроля. Были ли сужены права доступа? Перепроектированы ли процессы на общих дисках? Классифицированы ли чувствительные выгрузки и ограничены ли они по времени? Усилен ли контроль USB? Улучшены ли оповещения мониторинга? Внедрены ли процедуры хранения и уничтожения? Попросили ли внешних аудиторов подтвердить нужные вещи? Были ли отчёты о прогрессе перед регулятором достаточно содержательными, чтобы доказать изменения?

Публичные материалы о конфиденциальности говорят, что Desjardins согласился с рекомендациями и внешней аудиторской отчётностью. Членам всё равно нужно было практическое подтверждение того, что старые пути закрыты.

Границы доказательств должны оставаться заметными

Публичные материалы поддерживают сильные выводы, но у них есть пределы. Они подтверждают, что Desjardins раскрыл связанную с сотрудником передачу информации о членах за пределы организации, что утечка по выводам федерального регулятора в итоге затронула почти 9,7 миллиона человек, что чувствительные классы данных включали имена, даты рождения, номера социального страхования, адреса, контактную информацию и истории транзакций и что OPC обнаружил недостатки, связанные с подотчётностью, хранением и защитными мерами.

Они подтверждают, что Desjardins профинансировал меры защиты личных данных и позже вошёл в утверждённый судом процесс урегулирования.

Публичные материалы не позволяют утверждать, что каждый затронутый человек пострадал от кражи личных данных. Они не доказывают точное последующее использование каждой записи. Они не раскрывают все полицейские доказательства, все журналы рабочих станций сотрудников, все события с USB, все внутренние проверки доступа, все материалы для регулятора и каждый артефакт внешнего аудита. Они не поддерживают спекуляции о каждом сотруднике или отделе Desjardins. Серьёзное досье о подотчётности должно сохранять эти границы заметными, потому что преувеличение ослабляет анализ.

Правильный вывод уже и сильнее: финансовое учреждение, хранящее долговечные идентификационные данные, не должно позволять обычным рабочим путям становиться путями массового экспорта. Неправомерное использование инсайдером предсказуемо. Общие диски предсказуемы. Съёмные носители предсказуемы. Выгрузки данных для маркетинга или анализа предсказуемы. Дрейф сроков хранения предсказуем. Стандарт подотчётности — не совершенное знание о каждом будущем сотруднике.

Это доказательства того, что система ограничивает, что может скопировать одна роль, обнаруживает необычное перемещение, хранит только необходимое и даёт затронутым людям осмысленную защиту, когда средства контроля отказывают.

Дело также не следует использовать для утверждения, что финансовые учреждения могут устранить весь инсайдерский риск. Это невозможно. Банкам, кредитным союзам, страховщикам и платёжным компаниям нужны сотрудники и подрядчики, обрабатывающие чувствительную информацию по законным причинам. Реалистичный стандарт — пропорциональный контроль. Высокочувствительные данные должны требовать более строгих разрешений, более узких полей, привязки к цели, аудиторских следов, сегментации, защиты конечных точек и дисциплины хранения. Чем долговечнее идентификатор, тем меньше терпимости должно быть к случайным копиям.

Это различие важно для справедливости. Публичная реакция Desjardins включала защиту членов и сотрудничество с регуляторами. Эта реакция заслуживает места в материалах. Она не отменяет сбои контроля. Досье о подотчётности должно оценивать и то и другое: восстановление после обнаружения и условия до обнаружения, которые позволили утечке приобрести масштаб.

Что потребовалось бы для проверяемого исправления

Проверка долговечного исправления для Desjardins начинается с прав доступа. Каждая повторяющаяся передача чувствительной персональной информации из контролируемого хранилища в пользовательскую папку, общий диск, аналитическое рабочее пространство или на конечную точку должна иметь указанную бизнес-цель, одобрение владельца данных, минимизацию полей, срок хранения, журналирование и дату пересмотра. Если цель может быть достигнута агрегированными или токенизированными данными, идентификационные поля не должны перемещаться.

Если идентификационные поля должны перемещаться, принимающее расположение следует рассматривать как хранилище данных высокого риска, а не обычную папку отдела.

Вторая проверка — контроль жизненного цикла. Desjardins нужно было знать, какую персональную информацию он хранит, зачем, где она расположена, как долго должна оставаться и как будет уничтожена или деидентифицирована, когда перестанет быть нужной. Это непросто в крупной кооперативной финансовой группе с унаследованными системами, хранилищами данных, продуктами для членов, страховой деятельностью, картами, бизнес-клиентами и аналитическими функциями. Сложность — именно причина, по которой контроль должен управляться. Графика хранения, которую нельзя сопоставить с реальными репозиториями, недостаточно.

Третья проверка — обнаружение перемещения данных. Современное финансовое учреждение должно создавать доказательства, когда чувствительные данные копируются в объёме, перемещаются в общую папку, загружаются на рабочую станцию, записываются на съёмный носитель, сжимаются, пересылаются по электронной почте вовне или используются вне обычных ролевых паттернов. Оповещения должны направляться людям с полномочиями расследовать. Исключения должны истекать.

Повторяющиеся бизнес-процессы, создающие большие чувствительные выгрузки, должны проверяться специалистами по конфиденциальности, безопасности и владельцем данных, а не нормализоваться просто потому, что существовали всегда.

Четвёртая проверка — контроль конечных точек и съёмных носителей. Публичные выводы описывали копирование с общего диска на рабочий компьютер, а затем на USB-накопители. Подотчётный ответ должен доказать, что персональную информацию высокого риска нельзя случайно экспортировать на съёмный носитель или что любой одобренный экспорт строго контролируется, журналируется, шифруется, ограничен по времени и привязан к легитимной рабочей задаче. Средства контроля также должны охватывать печать, пересылку электронной почты, облачную синхронизацию, личные устройства и другие практические пути эксфильтрации.

Пятая проверка — меры снижения вреда для членов. Услуги защиты личных данных, возмещение, поддержка при мошенничестве, кредитный мониторинг и компенсации могут снизить вред, но они должны быть связаны с ясным объяснением классов данных и будущего риска. Члены не должны разбирать юридические документы, чтобы узнать, что произошло, за чем следить и какая помощь останется доступной, если позже проявится кража личных данных.

Шестая проверка — внешние доказательства. Когда регулятор требует отчётов о прогрессе и внешних аудитов, доказательства должны быть достаточно конкретными, чтобы показать, что управление доступом изменилось. Общее утверждение о том, что политики улучшились, не отвечает на утечку. Доказательства должны показывать прогресс инвентаризации данных, очистку ролей доступа, сокращение общих дисков, внедрение сроков хранения, метрики мониторинга, улучшение реагирования на инциденты и нерешённые остаточные риски. Регуляторы могут не публиковать каждую деталь, но учреждение должно быть способно продемонстрировать суть.

Чему должны научиться другие финансовые организации

У дела Desjardins есть общий урок для финансовых учреждений, кредитных союзов, страховщиков, финтех-компаний и обработчиков данных: инсайдерское раскрытие данных — не редкая категория вне обычного управления. Это естественный режим отказа при широком доступе, неуправляемых выгрузках, долгом хранении, слабом контроле конечных точек и ограниченном мониторинге. Злонамеренный сотрудник может создать риск для идентичности масштаба популяции только если среда даёт ему путь к данным такого масштаба.

Советы директоров должны запрашивать доказательства, а не успокоение. Сколько сотрудников могут получить доступ к сырым идентификационным полям? Сколько повторяющихся выгрузок включают номера социального страхования, даты рождения, адреса или истории транзакций? Куда попадают эти выгрузки? Как долго они остаются? Можно ли их скопировать на ноутбуки или съёмные носители? Какие оповещения сработают, если пользователь скопирует сотни тысяч записей? Кто проверяет права доступа для ролей маркетинга, аналитики, продуктов, борьбы с мошенничеством, поддержки и операций? Как быстро удаляются исключения? Как уничтожаются старые данные членов?

Какой независимый тест подтверждает ответ?

Командам безопасности следует сопротивляться узкой фразе «инсайдерская угроза», если она становится способом свести проблему проектирования к отдельному человеку. Управление инсайдерским риском — это управление доступом, классификация данных, контроль хранения, мониторинг, проектирование конечных точек, обучение, процесс расследования и перепроектирование бизнес-процессов. Это не плакатная кампания с просьбой к сотрудникам быть надёжными. Сотрудников нужно обучать, но обучение не заменяет ограничения объёма чувствительных данных, который может скопировать один человек.

Командам по конфиденциальности следует рассматривать минимизацию данных как архитектуру безопасности. Когда данные о конфиденциальности хранятся слишком долго или копируются слишком широко, команда безопасности получает больший радиус поражения. Когда мониторинг безопасности игнорирует бизнес-выгрузки, потому что они формально одобрены, команда по конфиденциальности получает неконтролируемый жизненный цикл. Две дисциплины встречаются в вопросе, существуют ли чувствительные данные там, где следует, столько, сколько следует, и под контролем, соответствующим их будущему вреду.

Членам и клиентам следует спрашивать учреждения, как идентификационные данные защищаются после выхода из исходного приложения. Многие организации имеют строгий контроль доступа к базе данных на источнике, но более слабый контроль вокруг выгрузок, отчётов, общих дисков, таблиц и аналитических песочниц. Опасная копия может быть не записью в основной системе. Ею может быть экспорт, созданный для удобства и забытый.

Финальный урок подотчётности практический. Desjardins сделал инсайдерский доступ проверкой управления не потому, что сотрудник повёл себя плохо. Это произошло потому, что публичные материалы показали: финансовые идентификационные данные могли перемещаться через обычные рабочие системы так, что создавался массовый риск. В финансовом учреждении идентичность члена — это инфраструктура. Ею нужно управлять с той же серьёзностью, что и движением денег, потому что после выхода идентификационных данных за пределы учреждения риск годами несёт сам член.

Кооперативное доверие повысило бремя доказывания

Кооперативная структура Desjardins делает бремя доказывания выше, а не ниже. Кооперативная финансовая группа может говорить языком членства, локального обслуживания, совместной собственности и приверженности сообществу. Эти ценности значимы только если они подкреплены доказательствами того, что данные членов защищены внутри учреждения. Член не может осмысленно участвовать в управлении данными, если соответствующие средства контроля скрыты в хранилищах, общих дисках, инструментах конечных точек и системах хранения. Кооперативные отношения поэтому зависят от институциональных доказательств, а не от предположений членов.

Эти доказательства должны быть читаемы на нескольких уровнях. Совету директоров нужны доказательства контроля: инвентаризация данных, проверки доступа, метрики мониторинга, прогресс уничтожения, выводы аудита и остаточные риски. Регуляторам нужно достаточно деталей, чтобы проверить, были ли рекомендации внедрены, а не поглощены общим языком политик. Членам нужны понятные уведомления о том, какие данные были затронуты, какие меры защиты продолжаются и как получить помощь. Сотрудникам нужны практические ограждения, которые делают одобренный путь проще небезопасного.

Каждой аудитории нужна своя поверхность, но всем нужен один и тот же базовый факт: чувствительные идентификационные данные больше не могут перемещаться по слабо управляемым рабочим путям в массовом масштабе.

Здесь общественное доверие становится вопросом непрерывности. Финансовые учреждения — часть повседневной жизни. Зарплаты, кредиты, карты, налоговые записи, пенсионные накопления, финансы малого бизнеса, страхование и взаимодействие с государством зависят от стабильной идентичности и надёжных записей. Когда утечка включает номера социального страхования и контактную информацию, бремя восстановления выходит за пределы баланса одного учреждения. Банки, кредитные бюро, полицейские службы, налоговые органы, работодатели и службы поддержки потребителей становятся частью среды управления вредом.

Поэтому статья рассматривает непрерывность государственного сектора как контролируемую тему, хотя Desjardins не государственное агентство. Утечка затронула идентификационную инфраструктуру, на которую опираются и публичные, и частные субъекты.

Самый полезный вывод о подотчётности поэтому не карательная риторика. Это правило доказательств. Если учреждение собирает долговечную идентификационную информацию, оно должно быть способно доказать, где эта информация находится, кто может её использовать, почему, как долго она там остаётся, что происходит при её перемещении и какой сигнал появляется при аномальном движении. Если учреждение не может ответить на эти вопросы до инцидента, оно ответит на них после — через уведомления, резервы, коллективные иски, выводы регуляторов и тревогу членов. Desjardins сделал этот тайминг видимым.

Desjardins сделал инсайдерский доступ проверкой подотчётности в управлении финансовыми данными

Почему это важно