Los Angeles Superior Court превратил восстановление после атаки вымогателей в проверку непрерывности цифрового правосудия и подотчётности

Краткое содержание

• Инцидент с программой-вымогателем в Los Angeles Superior Court относится в досье рисков и подотчётности, потому что подтверждённые публичные данные связывают атаку вымогателей с отключением сетевых систем, закрытием всех 36 зданий суда на один день, экстренными распоряжениями о переносе сроков и заседаний, возобновлением работы с ограниченной функциональностью, восстановлением более 15 публичных сервисов, контролем за соблюдением прав на защиту и продолжающимся криминалистическим расследованием масштабов, охвата и возможной компрометации данных.
• Кто на практике контролировал отключение сетей суда, закрытие зданий, перенос сроков подачи документов, восстановление удалённых заседаний, доступ к системе ведения дел, работу с присяжными, сервисы оплаты штрафов и подачи документов, публичные уведомления и доказательства того, что доступ к правосудию был сохранён, пока системы восстанавливались?
• В пресс-релизе суда от 19 июля 2024 года (https://www.lacourt.org/newsmedia/uploads/1420247309641NR07-19-2024SUPERIORCOURTOFLOSANGELESCOUNTYEXPERIENCESRANSOMWAREATTACK-2.pdf) сообщалось, что отдел Court Technology Services выявил серьёзный инцидент безопасности во внутренних системах, который был квалифицирован как атака вымогателей; атака началась рано утром того дня; суд отключил сетевые системы для предотвращения дальнейшего ущерба; предварительное расследование на тот момент не выявило признаков компрометации данных пользователей суда.
• В уведомлении о закрытии от 21 июля (https://www.lacourt.org/newsmedia/uploads/14202487134043NR7212024-COURTCLOSEDTOMORROW.pdf) говорилось, что 22 июля будут закрыты все 36 зданий суда, поскольку были отключены почти все сетевые системы, многие критически важные системы оставались недоступными, а сбои затронули внешние порталы, сайт и внутреннюю систему управления делами.
• В уведомлении о восстановлении от 29 июля (https://www.lacourt.org/newsmedia/uploads/142024729163959NR07-29-2024-COURTSYSTEMSRETURNTOFULLFUNCTIONALITY%281%29.pdf) сообщалось, что все основные системы полностью работоспособны, восстановлено более 15 публичных сервисов, базовый функционал вернулся через пять дней, полная работа — через 11 дней, а правоохранительные органы продолжают расследовать масштабы и факт возможной компрометации данных.
• Эта статья рассматривает пресс-релизы суда, экстренные распоряжения, материалы округа и офиса общественного защитника, материалы Judicial Council of California, NIST, CISA и источники по планированию судебных технологий как наиболее сильную публичную доказательную базу. Новостные сообщения используются только для публичной хронологии и контекста последствий, а не как частное криминалистическое доказательство.

Почему этот случай относится в досье рисков и подотчётности

Los Angeles Superior Court относится в досье рисков и подотчётности, потому что суды — это институты непрерывности. Суд не может просто приостановить публичные обязанности, когда отказывают его технологии. Людям нужны защитные предписания, предъявление обвинений, решения об опеке, подача документов, инструкции присяжным, оплата штрафов за нарушения ПДД, удалённые заседания, гражданские сроки, решения по семейным делам, доступ к наследственным делам и информация по уголовным делам. Адвокатам нужен доступ к системе ведения дел и каналы подачи документов. Судьям и сотрудникам нужны надёжные системы для рассмотрения дел и сохранения записей.

Когда атака вымогателей отключает сетевые системы суда, проблема становится проблемой непрерывности правосудия.

Пресс-релиз суда от 19 июля 2024 года — ключевая публичная запись о безопасности. В нём сказано, что отдел Court Technology Services выявил серьёзный инцидент безопасности во внутренних системах, который был определён как атака вымогателей. Сказано, что атака началась рано утром 19 июля и, как полагают, не связана с проблемой CrowdStrike, затронувшей технологические платформы по всему миру. Сказано, что суд отключил сетевые системы, чтобы предотвратить дальнейший ущерб, и оставит их отключёнными на выходные для устранения последствий.

В релизе также сказано, что суд получил поддержку от California Governor's Office of Emergency Services, а также от местных, штатных и федеральных правоохранительных органов. И что предварительное расследование на тот момент не выявило признаков компрометации данных пользователей суда.

Уведомление о закрытии от 21 июля превращает киберинцидент в событие с нарушением публичных услуг. В нём сказано, что суд будет закрыт в понедельник, 22 июля 2024 года, пока продолжается ремонт и перезагрузка сетевых систем, серьёзно пострадавших от атаки вымогателей. Закрытие охватывает все 36 зданий суда по округу Лос-Анджелес. Председательствующий судья цитируется так: почти все сетевые системы пришлось отключить, чтобы сдержать ущерб, защитить целостность и конфиденциальность и обеспечить будущую стабильность и безопасность.

В уведомлении указаны системы, охватывающие всю работу суда: от внешних систем, таких как MyJuryDuty Portal и сайт суда, до внутренних, таких как системы управления делами.

Приложенное общее распоряжение — доказательство подотчётности, потому что оно показывает механизмы правовой непрерывности, а не только техническое восстановление. В нём сказано, что каждая электронная платформа с данными суда стала недоступной, как и любое устройство, подключённое к интернету, включая телефонные системы. Сказано, что сотрудники суда и эксперты по информационной безопасности перенастраивали и восстанавливали серверы, базы данных, приложения и интеграции.

Также сказано, что суд получил экстренные полномочия в соответствии с разделом 68115 Government Code, признал 22 июля нерабочим днём суда для расчёта сроков подачи документов и продлил отдельные установленные законом сроки на один судебный день.

При отключении суда такая защита сроков не менее важна, чем восстановление серверов.

Уведомление о восстановлении от 29 июля фиксирует процесс восстановления. В нём сказано, что все публичные и внутренние сетевые системы восстановлены, все основные системы полностью работоспособны, восстановлено более 15 публичных сервисов, и пользователи суда могут участвовать удалённо, получать доступ к доступным документам по всем категориям дел, регистрироваться для исполнения обязанностей присяжного, оплачивать штрафы за нарушения ПДД и подавать документы онлайн. Базовый функционал вернулся за пять дней, полная работа — за 11 дней с момента первоначальной атаки.

Правоохранительные органы продолжали расследовать масштабы и охват инцидента и возможную компрометацию данных.

Рамка подотчётности ясна. Преступники совершили атаку, но суд контролировал отключение сети, публичные сообщения, решения о закрытии, приоритеты восстановления, экстренные распоряжения и данные о возвращённых сервисах. Пользователи суда не контролировали ничего из этого. Подотчётность должна оценивать, сохранил ли суд доступ к правосудию, защитил ли сроки и интересы свободы, точно ли информировал, безопасно ли восстанавливал системы и задокументировал ли впоследствии достаточно уроков для снижения повторения.

У судов иная нагрузка при отключениях, чем у обычных ведомств

Инцидент с программой-вымогателем в суде отличается от аналогичного инцидента в обычном административном офисе, потому что суды распределяют права и обязанности в условиях дефицита времени. Пропущенный срок может изменить положение стороны. Перенесённое заседание может повлиять на опеку, освобождение, жильё, безопасность или контакты с семьёй. Отключённая система подачи документов может помешать адвокату отправить бумаги. Сбой удалённого доступа может обременить тех, кто не может приехать. Сбой портала присяжных может запутать жителей, получивших повестку.

Сбой системы управления делами может помешать сотрудникам подтвердить, что произошло по делу.

Правовые последствия не всегда видны в статусе обновления технологий.

Los Angeles Superior Court также крупный. В уведомлении от 21 июля сказано, что закрытие охватывает все 36 зданий суда по округу Лос-Анджелес. Страница California Courts (источник: courts.ca.gov) описывает лос-анджелесский суд как часть судебной системы штата и предоставляет точки доступа для пользователей суда. Масштаб повышает сложность восстановления, потому что существует много категорий дел, объектов, пользователей, устройств, интеграций и публичных сервисов. Он также увеличивает общественные последствия отказа сетевых систем.

Публичная риторика суда признала это бремя. В уведомлении от 21 июля сказано, что суд понимает значимость закрытия для сообществ, которым он служит, и миссии, которой он следует, но судьям и сотрудникам нужна безопасная и защищённая среда и информация, необходимая для выполнения миссии суда. Эта фраза передаёт ключевой компромисс. Держать суд открытым без надёжной информации может навредить правосудию. Закрывать суд тоже может навредить правосудию.

Ответственное решение — не просто «открыто» или «закрыто»; важно, узаконено ли закрытие, ограничено ли по времени, объяснено ли публично и сопровождается ли защитой сроков.

Уведомление о возобновлении работы от 22 июля (источник: lacourt.org) важно, потому что восстановление не означало мгновенной нормальности. Суд возобновил работу с ограниченной функциональностью. Возобновление с ограниченной функциональностью требует сортировки. Какие дела можно рассматривать? Какие документы принимаются? Какие удалённые заседания работают? В каких залах достаточно системного доступа? Какие категории дел могут безопасно продолжаться? Какие публичные окна могут отвечать на вопросы? Публичная информация показывает, что фаза возобновления существовала; она не публикует каждое внутреннее решение по сортировке.

Операционное обновление от 23 июля (источник: lacourt.org) добавляет ещё одну переходную точку. Операционные обновления — артефакты подотчётности, потому что они позволяют пользователям видеть, что изменилось после возобновления. В судебной системе статусная информация — часть предоставления услуг. Сторона, которая полагается на устаревшее сообщение об отключении, может пропустить возможность подать документы или явиться. Адвокат, который слишком рано предположит нормальную работу, может неправильно проконсультировать клиента. Присяжный, который не может получить доступ к инструкциям, может запутаться. Временный информационный центр и публичные обновления суда служили инструментами непрерывности.

Полномочия на закрытие и перенос сроков — ключевые зоны контроля

Важнейший нетекнический элемент контроля в публичной информации — экстренное распоряжение. Суд не просто объявил, что системы не работают. Он запросил и получил экстренные полномочия от председателя Верховного суда и председателя Judicial Council of California в соответствии с разделом 68115 Government Code. Затем общее распоряжение от 21 июля признало 22 июля нерабочим днём суда для расчёта сроков подачи документов и продлило отдельные установленные законом сроки. Это именно тот механизм правовой непрерывности, который нужен суду, когда сбой технологий делает обычную работу невозможной.

Перенос сроков важен, потому что иначе киберущерб превращается в правовой ущерб. Если система электронной подачи не работает, а сроки не скорректированы, отключение переносит институциональный риск на стороны. Если здание суда закрыто, а установленные законом сроки не урегулированы, закрытие может создать несправедливые последствия для людей, которые ни в чём не виноваты. Общее распоряжение не решило все проблемы по конкретным делам, но создало публичный правовой мост через день отключения.

Обоснованный вывод состоит в том, что экстренные полномочия снизили риск системной несправедливости. Это вывод из содержания и назначения распоряжения, а не утверждение, что никто не испытал неудобств или вреда. Человек мог столкнуться с задержкой, путаницей, дополнительными расходами, потерей рабочего времени, проблемами с транспортом или тревогой. Критерий подотчётности — использовал ли суд доступные правовые инструменты, чтобы предотвратить устранимую потерю прав, пока системы восстанавливались.

Распоряжение также показывает, почему судам нужно специальное планирование непрерывности для киберинцидентов. Закрытие из-за стихийного бедствия, отключения электроэнергии или физической чрезвычайной ситуации может требовать аналогичных полномочий, но у кибератаки другие вопросы доказательств и целостности. Если данные дел недоступны, сотрудники суда могут не иметь возможности проверить календари, документы, уведомления сторон или статус дел. Если телефоны не работают, рушится обычная публичная коммуникация.

Если затронуты устройства, подключённые к интернету, сотрудникам, возможно, придётся восстанавливать не только приложения, но и доверие к конечным точкам и базам данных.

Упоминания в распоряжении серверов, баз данных, приложений и интеграций — не технические мелочи. Они объясняют, почему безопасное возобновление требовало валидации.

Публичная информация не говорит, по каким делам позже возникли споры о сроках, просила ли какая-либо сторона дополнительных мер или были ли у отдельных категорий дел особые проблемы. Это неизвестные величины. Но существование публичного распоряжения о закрытии и положений о сроках — сильный факт подотчётности. Он показывает, что суд признал: непрерывность в судебной системе включает процессуальные права, а не только время безотказной работы.

Цифровые системы правосудия одновременно создают доступ и исключение

В уведомлении о восстановлении от 29 июля перечислены более 15 возвращённых публичных сервисов, включая удалённые заседания, доступ к документам, регистрацию присяжных через MyJuryDuty, оплату штрафов за нарушения ПДД и электронную подачу документов. Этот список показывает, насколько цифровым стал обычный опыт взаимодействия с судом. Эти системы облегчают доступ, когда работают. Они также могут становиться точками отказа, когда недоступны.

Удалённые заседания — наглядный пример. Они снижают транспортную нагрузку, помогают людям с обязанностями по уходу, поддерживают адвокатов с несколькими заседаниями и улучшают доступ для тех, кто живёт далеко от здания суда. Но если удалённый доступ выходит из строя, та же зависимость порождает путаницу: должен ли человек явиться лично, состоится ли заседание и будет ли неявка оправдана. План восстановления после атаки вымогателей для современного суда должен включать запасную коммуникацию для удалённых заседаний.

Онлайн-доступ к документам — ещё один пример. Публичный и сторонний доступ к записям поддерживает прозрачность, подготовку и доверие. Если доступные документы недоступны, адвокаты не могут готовиться, журналисты не могут изучать документы, а стороны, ведущие дело без адвоката, не знают, что произошло по их делу. В уведомлении от 29 июля сказано, что доступ к доступным документам по всем категориям дел восстановлен. Это веха восстановления. Но оно не говорит, были ли все документы доступны на протяжении всего сбоя, какие документы задержаны и сверялись ли затем вручную какие-либо записи.

Обязанности присяжного и оплата штрафов демонстрируют обычный опыт жителя. Присяжный может никогда не думать о судебных технологиях, пока портал не выйдет из строя. Водитель может взаимодействовать с судом только для оплаты или оспаривания штрафа. Когда такие системы недоступны, доверие общества может пострадать, даже если ни одно заседание не отложено. Временный информационный центр суда помогал, отслеживая индикаторы восстановления, но более глубокий вопрос подотчётности — были ли у суда офлайн-инструкции, альтернативные способы оплаты или явки и понятные публичные уведомления для людей, которые не следят за соцсетями суда.

Цифровое правосудие по-разному влияет на стороны без адвоката. Адвокаты могут иметь профессиональные сети, обновления коллегий, группы по работе с делами и прямые контакты. Люди без адвоката часто сильно полагаются на публичные сайты, телефоны, окна приёма и формы. В распоряжении от 21 июля сказано, что телефонные системы, подключённые к интернету, тоже были недоступны. Эта деталь важна: люди без юридического представительства могли одновременно потерять и доступ к сайту, и телефонную связь. Полное досье подотчётности должно оценить, как стороны без адвоката получали поддержку во время отключения и возобновления работы.

Государственная защита показывает, почему отключения суда затрагивают интересы свободы

Релиз Los Angeles County Public Defender's Office (источник: pubdef.lacounty.gov) важен, потому что переводит информацию с уровня работы суда на уровень прав клиентов. Общественный защитник заявил, что его собственные системы не пострадали, но атака создала серьёзные проблемы для работы суда. Все офисы общественного защитника остаются открытыми и укомплектованными, адвокаты доступны для юридических консультаций и поддержки, а офис сосредоточен на минимизации сбоев и защите прав клиентов. Отдельно упомянуты право на быстрое судебное разбирательство и ускоренная процедура освобождения для подходящих клиентов.

Этот релиз делает инцидент делом о непрерывности правосудия, а не только о судебных технологиях. Уголовные обвиняемые, содержащиеся под стражей люди и лица с неотложными заседаниями могут пострадать от задержки суда качественно иначе, чем от обычного неудобства. День закрытия может быть терпим во многих гражданских делах. В контексте опеки, предъявления обвинения, охранного предписания или освобождения срок может быть ключевым. Информация общественного защитника показывает, что как минимум один партнёр по правосудию рассматривал отключение как событие, требующее защиты прав.

Обоснованный вывод: партнёрам по правосудию пришлось вести параллельную работу по непрерывности, пока суд восстанавливал системы. Общественные защитники, прокуроры, шерифы, секретари суда, судьи, частные адвокаты и окружные ведомства могли корректировать календари, общаться с клиентами и отслеживать неотложные дела. Публичная информация подтверждает реакцию общественного защитника, но не даёт полной карты действий всех партнёров. Это остаётся неизвестным.

Акцент общественного защитника на праве на быстрое судебное разбирательство также помогает определить критерий подотчётности. Недостаточно сказать, что системы вернулись быстрее, чем средний простой после атаки вымогателей. Это может быть правдой и иметь значение. Судебной системе также нужны доказательства, что люди с чувствительными ко времени правовыми правами были выявлены, отслеживались и защищены во время отключения. В уведомлении суда от 29 июля сказано, что после возобновления работы было рассмотрено множество важных дел, включая отбор присяжных и запросы временных судебных запретов.

Это полезное доказательство, но полное досье объяснило бы, как приоритизировались неотложные уголовные, семейные, гражданские дела о притеснениях, наследственные, ювенальные и дела о защите детей.

Этот анализ не следует читать как утверждение, что суд нарушил права или что конкретному обвиняемому был причинён вред. Публичная информация этого не устанавливает. Смысл уже и более защитим: специфика судебной работы означает, что восстановление после кибератаки должно включать сортировку прав, а не только восстановление приложений.

Формулировки о компрометации данных должны оставаться точными

Формулировки суда о компрометации данных аккуратны и должны оставаться аккуратными. В пресс-релизе от 19 июля сказано, что на тот момент предварительное расследование не выявило признаков компрометации данных пользователей суда. В уведомлении от 29 июля сказано, что местные, штатные и федеральные правоохранительные органы продолжали расследовать масштабы и охват инцидента, а также возможную компрометацию данных, и что криминалистическое расследование продолжается. Эти заявления не равнозначны окончательному выводу, что данные не были скомпрометированы. Они также не являются доказательством кражи данных.

Публично безопасная статья должна сохранять это различие. Не следует утверждать, что данные пользователей суда были выведены, если суд или другой авторитетный источник позже это не подтвердит. Не следует утверждать как окончательный факт, что данные не были скомпрометированы, если публичная информация говорит лишь о том, что предварительное расследование в один момент не выявило признаков, а позже расследование продолжалось. Подтверждённый факт — заявление суда о предварительных данных и продолжающемся расследовании.

Данные суда могут быть крайне чувствительными, даже если частично публичны. Материалы дел могут включать адреса, обвинения, финансовую информацию, медицинские записи, информацию о детях, закрытые материалы, криминальную историю, детали охранных предписаний, чувствительные иммиграционные сведения и документы, удостоверяющие личность. Вопрос о компрометации в суде — не только вопрос приватности. Это вопрос безопасности, справедливости и доверия. Если данные были скомпрометированы, проблемы уведомления и смягчения различались бы в зависимости от категории дела и типа данных.

Материалы Judicial Council of California о приватности (источник: courts.ca.gov) и материалы California Courts о планировании технологий (источник: courts.ca.gov) помогают обозначить эту проблему. Это не конкретные криминалистические источники. Они показывают, что суды действуют в более широкой среде управления, где приватность, технологии, доступ и доверие общества должны балансироваться.

Обоснованный вывод: суду нужно было проверить и доступность, и целостность до возвращения сервисов. В распоряжении и уведомлениях от 21 июля говорится о восстановлении баз данных, приложений, интеграций, сетевых систем и безопасной работы. В инциденте с вымогателями система не восстановлена безопасно только потому, что загружается. Ей должны доверять настолько, чтобы использовать для судебных записей, документов, календарей и публичных сервисов. Это вопрос целостности восстановления, а не только вывода данных.

Автоматизация безопасности и киберинвестиции — часть публичной информации

В пресс-релизе от 19 июля сказано, что суд за последние несколько лет вложил значительные средства в кибербезопасность, модернизировал инфраструктуру кибербезопасности и сделал стратегические инвестиции в персонал в отделе кибербезопасности внутри Court Technology Services. Сказано, что эти инвестиции позволили суду быстро обнаружить вторжение и немедленно с ним справиться. Это важное публичное заявление, потому что превращает предыдущие киберинвестиции в часть информации о подотчётности.

Это заявление следует читать аккуратно. Оно является доказательством того, что суд, по его словам, инвестировал и связывает быстрое обнаружение и реакцию с этими инвестициями. Это не полный независимый аудит. Оно не раскрывает инструменты обнаружения, уровень укомплектованности, сегментацию, тестирование резервных копий, покрытие конечных устройств, контроль идентификации или учения по инцидентам. Ответственная статья не должна считать это заявление доказательством достаточности всех мер. Она должна рассматривать его как публичное заявление, которое можно оценивать по результатам реагирования.

Результаты были неоднозначны обычным для серьёзных инцидентов образом. С одной стороны, суд обнаружил вторжение, отключил системы, получил поддержку, добился экстренных полномочий, возобновил работу с ограниченной функциональностью, вернул базовый функционал за пять дней и полную работу за 11 дней. Это значимые факты восстановления. С другой стороны, были отключены почти все сетевые системы, все 36 зданий суда закрыты на день, затронуты внешние порталы и внутреннее управление делами, а криминалистическое расследование продолжалось. Эти факты показывают, что даже при инвестициях масштаб поражения был значительным.

Cybersecurity Framework NIST (источник: nist.gov) и NIST SP 800-61 Rev. 3 (источник: csrc.nist.gov) дают словарь реагирования: управление, выявление, защита, обнаружение, реагирование и восстановление; подготовка, обнаружение и анализ, локализация, устранение, восстановление и улучшение. Руководство CISA по вымогателям (источник: cisa.gov) и хаб Stop Ransomware (источник: cisa.gov) дают контекст подготовки и реагирования в государственном секторе. Эти источники не аудируют суд. Они определяют, что должно охватывать полное посленинцидентное досье подотчётности.

Автоматизация безопасности актуальна, потому что у судебной системы много конечных устройств, пользователей, приложений, интеграций, публичных порталов и чувствительных записей. Только ручной мониторинг не обеспечивает своевременное обнаружение или уверенное восстановление. Но автоматизация должна сочетаться с управлением. Суду нужны были люди, которые могли решить, когда отключать системы, как сообщать о закрытии, какой экстренной правовой помощи добиваться, как расставить приоритеты восстановления и когда возобновлять работу.

Инцидент показывает, что киберустойчивость социотехнична: инструменты, персонал, судьи, распоряжения, публичные уведомления и ведомства-партнёры — всё имело значение.

Публичная коммуникация была элементом непрерывности

Пресс-релизы суда, указания в соцсетях, временный информационный центр и информационная страница округа были не второстепенными сообщениями, а частью непрерывности. Когда затронуты обычные сайты, порталы, телефонные системы и доступ к управлению делами, публике нужен надёжный канал для статуса и инструкций. Без него люди строят догадки. В правовой системе догадки могут приводить к пропущенным явкам, пропущенным возможностям подачи, ненужным поездкам или панике.

Информационная страница округа Лос-Анджелес о суде (источник: lacounty.gov) и собственные пресс-релизы суда обеспечивали публичный статус. Релиз общественного защитника поручал клиентам поддерживать тесный контакт с назначенными защитниками и указывал на обновления округа и суда. Такая экосистема уведомлений помогала распределять нагрузку между ведомствами и юридическими представителями. Она также вскрывала риск: люди, которые не пользуются соцсетями, не имеют адвокатов, недостаточно владеют английским или не имеют стабильного интернета, могут всё равно пропустить обновления.

Полный анализ коммуникаций спросил бы, были ли уведомления доступны на нескольких языках, были ли понятны указатели в зданиях суда, имели ли колл-центры запасную мощность, были ли у центров самопомощи инструкции, получали ли юридические библиотеки и ведомства-партнёры своевременные обновления, соответствовали ли медиа-релизы статусу на сайте и удалялись ли старые уведомления об отключении так, чтобы не путать пользователей. Публичная коммуникация — элемент контроля, потому что она влияет на способность пользователей суда действовать правильно в условиях ограниченной работы.

В уведомлении от 29 июля сказано, что временный информационный центр отслеживал восстановление в реальном времени и использовал зелёные индикаторы для публичных систем. Это хорошая практика: пользователи получают посе сервисный взгляд, а не смутное заявление о восстановлении. Но зелёный статус тоже создаёт подотчётность. Если сервис отмечен как восстановленный, пользователи на него полагаются. Поэтому у суда должны были быть критерии валидации для каждого индикатора: не просто загрузка веб-страницы, а работа транзакции или пути доступа для пользователей.

Новостные материалы, такие как репортаж Los Angeles Times (источник: latimes.com), и публичные комментарии, например (источник: governing.com), полезны для хронологии и общественного беспокойства, но не заменяют распоряжения и релизы суда. Их ценность в том, чтобы показать, как отключение воспринимали пользователи суда, адвокаты и общественность. Центр доказательств остаётся в собственных уведомлениях и распоряжениях суда.

Как выглядели бы доказательства подотчётности

Полное досье доказательств по инциденту в Los Angeles Superior Court началось бы с технической и операционной хронологии. В нём было бы показано, когда обнаружено вторжение, когда отключены сетевые системы, какие системы были недоступны, когда прибыла экстренная поддержка, когда восстановлены серверы и базы данных, когда приложения и интеграции прошли валидацию и когда публичные сервисы вернулись. Оно различало бы системы, отключённые намеренно для локализации, и системы, недоступные из-за прямого воздействия.

Затем досье отражало бы влияние на правосудие. Было бы показано, какие категории дел отложены, какие вопросы рассматривались, как приоритизировались неотложные дела, как обрабатывались запросы временных судебных запретов, как отслеживались уголовные сроки и вопросы освобождения, как уведомлялись присяжные, как управлялись удалённые заседания, как смягчались перебои с электронной подачей и как поддерживались стороны без адвоката. Такому досье не нужно публиковать детали частных дел. Нужно было показать, что суд измерял влияние на правосудие, а не только время работы систем.

Третий раздел охватывал бы правовую непрерывность. В нём сохранялись бы экстренный запрос, распоряжение председателя Верховного суда, общее распоряжение суда, расчёт сроков, полномочия на перенос и любые более поздние уточнения. Рассматривалось бы, достаточно ли одного дня льготы для затронутых категорий дел, запрашивались ли дополнительные меры по конкретным делам и были ли у сторон понятные инструкции. Правовая непрерывность — судебная версия непрерывности бизнеса.

Четвёртый раздел охватывал бы данные и целостность. В нём объяснялось бы, какие доказательства поддерживали предварительное заявление об отсутствии признаков компрометации, к каким выводам позже пришло продолжающееся криминалистическое расследование, какие категории данных проверялись, какие пороги уведомления рассматривались и как суд проверял целостность записей до того, как пользователи стали полагаться на восстановленные системы. Ему не нужно раскрывать чувствительные криминалистические детали, которые помогают злоумышленникам. Нужно достаточно управленческих доказательств для поддержания доверия общества.

Пятый раздел охватывал бы долговременный ремонт. В нём были бы указаны улучшения контроля после инцидента: сегментация, усиление идентификации, покрытие конечных устройств, проверка резервных копий, процедуры изоляции сети, инструменты публичного статуса, многоязычные шаблоны коммуникаций, каналы уведомления партнёров, командно-штабные учения и специальные сценарии непрерывности суда. Восстановление без извлечённых уроков — это только возврат к работе. Восстановление с проверенным ремонтом — это подотчётность.

Досье доказательств также должно включать обзор влияния на пользователей. Запись о киберавосстановлении, учитывающая только восстановленные серверы, может пропустить людей, которые совершали лишние поездки в суд, ждали на телефонной линии, не могли зайти на портал, нуждались в квитанции о подаче или спрашивали, состоится ли заседание. Суды обычно обслуживают людей, не знакомых с юридическими процедурами, находящихся под давлением времени, без адвоката или сталкивающихся с ограничениями по языку, инвалидности, работе, транспорту или уходу.

Для таких пользователей день закрытия и несколько дней ограниченной работы могут создавать последствия, которые трудно увидеть на технологической панели.

Ответственный обзор изучил бы эти пользовательские пути и спросил, работали ли запасные инструкции.

Такой обзор должен включать работу приёмных и центров самопомощи. Сотрудники самопомощи и секретари часто переводят статус системы в практические следующие шаги для людей, которые не знают, какая форма, отдел, зал суда или канал подачи им нужен. Если внутренние системы дел недоступны, такие сотрудники могут быть ограничены даже в ответах на простые вопросы. Сильный план непрерывности определил бы, какую информацию можно безопасно давать при ограниченной работе, как отслеживается бумажный приём, как сохраняются квитанции или временные метки и как позже аудируется электронное сверение.

Обзор также должен включать партнёров по правосудию за пределами здания суда. Шериф, окружной прокурор, общественный защитник, альтернативный общественный защитник, городские адвокаты, частные защитники, службы пробации, социальные службы, переводчики, группы юридической помощи и СМИ зависят от статусной информации суда. Киберинцидент в суде может создать проблему коммуникационной сети между институтами. Публичные релизы суда и страницы округа были необходимы, но подотчётность спрашивает, были ли каналы для партнёров протестированы, избыточны и достаточно быстры для неотложных вопросов.

Наконец, ответственный ремонт должен быть достаточно устойчивым, чтобы пережить ещё одно частичное отключение. Урок должен состоять не в том, что героическая работа вернула суд за 11 дней и поэтому история закончена. Урок должен быть преобразован в отработанные полномочия на закрытие, заранее подготовленные публичные сообщения, альтернативный приём документов, запасные варианты удалённых заседаний, сортировку дел по приоритету, ручные процедуры ведения календаря и проверки целостности восстановленных записей. Цифровое правосудие заслуживает доверия только тогда, когда публика может доверять и обычной, и запасной системе.

Подтверждённые факты, обоснованные выводы и неизвестные величины

Подтверждённые публичные факты включают то, что 19 июля 2024 года отдел Court Technology Services выявил серьёзный инцидент безопасности во внутренних системах, который был определён как атака вымогателей. Подтверждённые публичные факты включают заявление суда о том, что атака началась рано утром 19 июля и, как полагают, не связана с отключением CrowdStrike. Подтверждённые факты включают отключение судом сетевых систем для предотвращения дальнейшего ущерба и получение поддержки от Cal OES и местных, штатных и федеральных правоохранительных органов.

Подтверждённые публичные факты включают заявление суда от 21 июля о том, что 22 июля 2024 года будут закрыты все 36 зданий суда, поскольку были отключены почти все сетевые системы и многие критически важные системы оставались недоступными. Подтверждённые факты включают положение общего распоряжения о том, что каждая электронная платформа с данными суда стала недоступной и что устройства, подключённые к интернету, включая телефонные системы, были недоступны.

Подтверждённые факты включают экстренные полномочия по разделу 68115 Government Code, перенос сроков и установленных законом периодов и возобновление работы с ограниченной функциональностью 23 июля.

Подтверждённые факты восстановления включают заявление суда от 29 июля о том, что все публичные и внутренние сетевые системы восстановлены, все основные системы полностью работоспособны, восстановлено более 15 публичных сервисов, базовый функционал вернулся за пять дней, а полная работа — за 11 дней с момента первоначальной атаки. Подтверждённые факты включают восстановление удалённых заседаний, доступа к документам, регистрации присяжных, оплаты штрафов за нарушения ПДД и сервисов электронной подачи документов.

Подтверждённые факты включают заявление общественного защитника о том, что его офисы оставались открытыми и укомплектованными и что он отслеживал права клиентов, вопросы быстрого судебного разбирательства и ускоренные процедуры освобождения.

Подтверждённые данные о данных уже. 19 июля суд сообщил, что предварительное расследование на тот момент не выявило признаков компрометации данных пользователей суда. 29 июля он сообщил, что правоохранительные органы продолжали расследовать масштабы и охват инцидента и возможную компрометацию данных, и что криминалистическое расследование продолжается. Эта статья рассматривает эти заявления как подтверждённую публичную информацию о данных и не делает окончательного вывода о компрометации данных помимо них.

Обоснованный вывод: инцидент стал событием о непрерывности цифрового правосудия, потому что подтверждённая информация связывает программу-вымогатель с отключением сетевых систем, закрытием зданий суда, недоступностью платформ с данными суда, переносом сроков подачи документов, возобновлением с ограниченной функциональностью, восстановлением публичных сервисов и контролем за правами на защиту. Обоснованный вывод: полное досье подотчётности должно включать влияние по категориям дел, сортировку неотложных вопросов, поддержку сторон без адвоката, проверку целостности данных, эффективность коммуникаций и долговременный ремонт киберустойчивости.

Остаются неизвестные величины. Публичная информация не содержит первоначального вектора доступа, полного пути атакующих, штамма программы-вымогателя, полного реестра систем, всего охвата конечных устройств, архитектуры резервного копирования, всех критериев валидации восстановления, полного воздействия по делам, всех споров о сроках, полной аналитики коммуникаций, окончательных выводов правоохранителей, окончательного криминалистического заключения о компрометации данных, полного плана устранения последствий или независимого аудита инвестиций суда в кибербезопасность. Эта статья не заполняет эти пробелы домыслами.

Вывод о подотчётности практичен. Суд, судя по публичной информации, действовал быстро: отключил системы, добился экстренных полномочий, закрылся на один день, возобновил работу с ограниченной функциональностью и восстановил полную работу за 11 дней. Но скорость — не единственный критерий. Мера подотчётности суда — были ли защищены доступ к правосудию, правовые сроки, неотложные права, целостность судебных записей и доверие общества, пока технологии восстанавливались. Публично безопасная запись должна оценивать инцидент по доказательствам непрерывности правосудия, а также по доказательствам восстановления систем.