Capital One Financial Corporation

Утечка в Capital One в 2019 году показала не то, что публичное облако небезопасно по своей природе или что заказчик может переложить ответственность на облачного провайдера. Она показала, как ошибка конфигурации веб-интерфейса, путь через учётные данные метаданных, широкие права доступа к хранилищу, слабая обработка оповещений и годы накопленных данных о заявках могут сложиться в одну юридически значимую цепочку контрольных сбоев.

Утечка 2019 года в облачном приложении Capital One остаётся определяющим примером того, почему формулировки о разделении ответственности не заменяют доказательств операционного контроля. Инцидент свёл в один вопрос конфигурацию межсетевого экрана веб-приложений, доступ к облачным метаданным, права ролей IAM, обнаружение, выводы регуляторов, уведомление клиентов, уголовное преследование и мировое соглашение: кто на самом деле мог предотвратить, обнаружить и устранить путь, которым воспользовались

Утечку данных Capital One в 2019 году, связанную с облачными метаданными, слишком часто сводят к лозунгу об общей ответственности. Более точный вопрос об ответственности звучит резче: когда облачный контракт распределяет категории обязанностей, какие операционные доказательства подтверждают, что реальный контроль сработал именно на той границе, где встретились некорректно настроенное приложение, роль межсетевого экрана приложения, доступ к сервису метаданных, принцип минимальных привилегий и обн