Кратко

  • DoorDash объяснила доступ, произошедший в сентябре 2019 года, действиями одного из своих подрядчиков; затронуто около 4,9 млн клиентов, курьеров Dashers и торговых партнёров.
  • Сохранившаяся запись говорит, где лежали данные, но ни разу не указывает, на чьей стороне был ответственнй контроль, и не содержит ни одной санкции, привязанной к этому случаю.
  • Единственное найденное в Калифорнии разбирательство касается другого поведения: продажи персональных данных без уведомления и без возможности отказа, в феврале 2024 года.
  • Проверяемое исправление требует очерченного объёма данных и доступов, названного владельца контроля, реально проведённого аудита, независимой перепроверки и работающего выхода.

В сентябре 2019 года DoorDash сообщила: посторонняя сторона получила доступ к сведениям, которые хранились у одного из её подрядчиков. Пострадали около 4,9 млн человек — клиенты платформы, курьеры, зарегистрированные как Dashers, и торговые партнёры. Обычно речь шла об именах, адресах электронной почты, адресах доставки, истории заказов и паролях в виде хешей, а в отдельных случаях — о последних четырёх цифрах платёжных карт (краткая запись о происшествии).

Главная фраза стоит в начале, а не в конце: сведения находились у подрядчика. Уведомление сообщает место, где лежали данные, и не сообщает, кому принадлежал контроль над ними. Оно не называет систему, которая не выдержала, не распределяет ответственность за неё, не даёт дату начала доступа и срок, в течение которого он оставался открытым, и не говорит, участвовал ли субподрядчик. Читатель выходит из этого текста с пониманием, что потеряны данные, хранившиеся вне компании, — и без понимания, кого спрашивать о причине.

Этот перекос и есть дело. Платформа доставки привозит еду к дверям миллионов домов, а данные, которые уходят, движутся через цепочку подрядчиков, которую клиент не выбирал, не видел и не может оценить. Подрядчик ведёт среду: сервер, конфигурацию, доступ, учётные данные. DoorDash сохраняет публичную связь с клиентами, курьерами и партнёрами — а значит, сохраняет и обязанность объяснять. Эксплуатация и обеспечение — разные функции, и уведомление 2019 года описывает только первую.

Версия самой компании о реакции звучала так: системы защищены, протоколы безопасности усилены, затронутые люди уведомлены. Это утверждение о мерах, а не результат проверки. Разница не в стилистике. Защитить систему после происшествия — обычная часть реагирования; доказать, что граница с подрядчиком стала проверяемой, — совсем другое, и для этого нужны документ, ответственный и дата. Сохранившаяся запись даёт утверждение, что что-то было сделано. Как утверждение оно верно. Оно не доказывает, что слабость на границе устранена, и тем более не доказывает, что она осталась устранённой на следующий год.

У превращения утверждения в доказательство есть известный порядок. Отчёт о первопричине, где названы отказавший контроль и сторона, отвечавшая за него. Окно доступа с датой обнаружения и датой локализации. Разбивка общей цифры по группам, потому что 4,9 млн клиентов, курьеров и партнёров — не одинаковое подвергание риску. И результат перепроверки, выполненной тем, кто не подписывает договор с подрядчиком. Ничего из этого в материале, сохранившемся для этой работы, не появляется.

Внутри этого материала — изложение происшествия и два текста о калифорнийском урегулировании 2024 года — нет ни штрафа, ни предписания, ни судебного решения, ни договорного взыскания, ни закрытого регуляторного итога, связанного со случаем 2019 года. Пробел ограничен тем, что было прочитано и найдено, и читать его нужно именно так: не как доказательство, что нигде ничего не произошло, а как изображение дела, которое породило уведомление и не породило публичной записи об ответственности.

Спустя четыре с половиной года, в феврале 2024-го, генеральный прокурор Калифорнии объявил об урегулировании с DoorDash, которое закрывало претензии по калифорнийскому закону о приватности потребителей и калифорнийскому закону о защите приватности в интернете: продажа персональных данных потребителей без уведомления и без возможности отказа, вместе с предписывающими условиями о практике работы с данными (объявление генерального прокурора, освещение разбирательства).

Это разбирательство касается поведения самой DoorDash: что компания продавала, о чём предупреждала и какой выбор предлагала. Это не доступ 2019 года, не подрядчик 2019 года и не тот контроль, который тогда отказал. Принять одно за наказание за другое — значит приписать процедуре эффект, которого у неё не было. И объявленная сумма здесь не воспроизводится: сохранившиеся для этой работы документы не содержат дословного текста объявления, а цифра без такого подтверждения — догадка в одежде данных.

Остаётся неприятное и полезное одновременно. Компания может пережить потерю, опосредованную подрядчиком, уведомить миллионы людей, объявить об усилении протоколов и продолжать работать — а у публики так и не появится документ, по которому можно судить, стала ли граница надёжнее. Уведомление выполняет функцию предупреждения. Функцию доказательства оно не выполняет.

У проверяемой границы есть конкретные составные части: очерченный объём — какие данные и какие доступы подрядчик может трогать; названный владелец каждого контроля, со стороны заказчика и со стороны исполнителя; корректирующие меры, привязанные к установленной первопричине, а не к общей формулировке; измеримые права на уведомление и аудит, со сроком и последствием; свидетельства, которые оператор видит сам, не полагаясь на рассказ подрядчика; независимая перепроверка после исправления; и настоящий выход с переносимостью данных и сроком перехода. Без последнего пункта первые шесть — обещания.

Выход — самое трудное испытание, потому что на него нельзя ответить бумагами. Договор, который разрешает аудит и ни разу его не пережил, — это пункт, а не контроль. Право расторжения, требующее перенести целую систему за недели, — эффектная фраза. Практический вопрос, который любой совет директоров должен задать подрядчику критических данных, прост и неприятен: если бы нам пришлось заменить вас в следующем квартале, что именно встало бы намертво?

DoorDash присутствует в справочнике BTW как случай риска и ответственности, и это действительно так: история о расстоянии между объявлением слабости и любой записью, позволяющей её измерить. Случай 2019 года закончился сообщением. Случай 2024-го закончился урегулированием по другому предмету. Между ними лежит не литературная пустота, а отсутствие документа, который превратил бы отношения с подрядчиком в нечто, что клиент, консультант или регулятор может открыть, проверить и при необходимости прекратить.

Компания, координирующая миллионы доставок в день, умеет работать с логистикой под давлением. Способность, которой требует это дело, другая: провести границу с подрядчиком так, чтобы она выдержала отказ, смену подрядчика и проверку. Пока эта граница существует только как подписанный пункт и отправленное сообщение, следующее предупреждение будет устроено так же, как в 2019-м, — место, но не ответственный.