Western Digital 使个人存储依赖于云恢复决策

摘要

• Western Digital 表示，于 2023 年 3 月 26 日发现一起网络安全事件，涉及对多个公司系统的未经授权访问，并在调查期间将系统和服务与公共互联网断开。
• 该公司随后表示，一名未经授权方获取了 Western Digital 用于其在线商店的数据库副本，其中包括客户姓名、账单和送货地址、电子邮件地址、电话号码、经过哈希加盐处理的密码，以及加密格式的部分信用卡号。
• My Cloud 用户遭遇服务中断，因为云服务为许多消费者视为个人控制的存储设备中介了重要的访问和账户功能。
• Western Digital 控制了事件遏制、服务关闭、恢复顺序、商店数据库安全、客户通知和产品云设计。客户则控制本地备份实践、固件卫生、凭证更改，以及存储工作流程是否具备离线回退。
• 公开证据支持一项高可信度发现：即使用户的存储设备位于家中或办公室，消费级存储平台也可能产生云问责义务。这并不证明每台 My Cloud 设备都发生统一的数据丢失，或每个产品线都有相同的恢复路径。

官方通知将存储事件转变为云依赖事件

Western Digital 于 2023 年 4 月 2 日发布的声明，Western Digital 提供关于网络安全事件的信息，称该公司于 3 月 26 日发现一起涉及多个公司系统未经授权访问的网络安全事件。并表示 Western Digital 已实施事件响应措施，并将系统和服务与公共互联网断开。

对于一家当时尚不清楚事件全貌的公司而言，这一断开操作是负责任的遏制措施。这也是事件被普通用户察觉的时刻。个人存储客户在访问文件、管理账户或使用移动应用时，可能不会想到 Western Digital 的内部网络。此次中断使这种依赖关系显而易见。设备体验所需的某些服务并非纯粹本地化。

BleepingComputer 关于 Western Digital 在入侵后关闭系统的报道，Western Digital 在入侵后关闭系统，以及 The Register 的报道，Western Digital 确认黑客入侵系统，记录了因 My Cloud 和相关服务受影响而导致的公开中断情况。这些报道并非公司声明的主要来源，但对于了解用户影响的时间线很有帮助。

问责问题不在于 Western Digital 断开了服务。在积极调查过程中，断开连接可能保护客户。问题在于，客户访问、设备管理、账户信任、商店运营和事件沟通都取决于公司如何执行此次关闭和恢复。

个人存储并非纯粹的个人基础设施

Western Digital 销售位于家庭、办公室、工作室和小型企业中的存储产品。许多用户购买这些设备是因为他们希望文件靠近自己，而不是完全置于他人的云中。但产品体验通常包括账户服务、远程访问、固件更新路径、移动应用、设备注册、支持系统和在线商店账户。这就产生了一种混合依赖。

该公司的 My Cloud 产品支持页面，包括My Cloud Home 支持，表明该产品类别是一个生态系统，而不仅仅是一个裸盘。客户购买的不仅仅是一个驱动器。客户进入了一个包含支持、账户、软件和服务的模型。如果云服务不可用，本地设备可能仍包含数据，但预期的访问路径可能会失败。

这一区别对问责至关重要。客户可能认为本地拥有意味着操作独立。而厂商可能知道实际可用性取决于云身份、中继、同步、移动访问或恢复服务。如果厂商的内部事件导致这些服务不可用，客户会在最糟糕的时刻了解到这种依赖。

正确的设计响应不是承诺云服务永远不会失败，而是让依赖边界可见。用户应了解哪些功能在本地工作，哪些需要 Western Digital 云服务，哪些需要 WD 账户，哪些需要互联网可达性，以及在厂商中断期间存在哪些备用模式。清晰的边界让客户可以选择与真实风险匹配的备份和访问计划。

在线商店数据库扩大了事件

Western Digital 于 2023 年 5 月 5 日发布的更新，Western Digital 提供关于网络安全事件的最新信息，称一名未经授权方获取了 Western Digital 用于其在线商店的数据库副本。该公司表示，该数据库包含客户姓名、账单和送货地址、电子邮件地址、电话号码、经过哈希和加盐处理的密码，以及加密格式的部分信用卡号。

这一披露将事件从服务中断和网络遏制转变为客户数据问责。存储客户可能没有丢失文件，但仍可能因商店信息暴露而面临网络钓鱼、密码重用、发票欺诈、支持诈骗或账户盗用企图。数据敏感性不能仅凭是否存在完整的支付卡号来判断。

BleepingComputer 的报道，Western Digital 确认 3 月网络攻击中客户数据被盗，涵盖了 5 月的更新和客户数据类别。SecurityWeek 的Western Digital 披露网络安全事件涵盖了最初的披露和公共安全框架。这些报道来源有助于追踪公开叙述，但核心数据类别来自 Western Digital 自己的更新。

问责问题在于客户可以如何处理该通知。如果密码经过哈希和加盐处理，用户仍需更改重复使用的密码。如果联系信息暴露，用户需要防范欺诈和钓鱼。如果部分信用卡数据经过加密，用户需要理解残余的支付风险。通知越清晰，客户就越容易采取相称的措施。

商店数据和设备数据是独立但相连的信任面

Western Digital 的更新涉及用于在线商店的数据库。这与声称每个 My Cloud 设备上存储的文件被盗并不是一回事。这一区别很重要，因为夸大其词会损害准确性。但在客户心目中，这两个信任面仍然是相连的。销售存储设备的同一品牌也持有账户和购买数据。

商店数据可能被滥用以针对设备所有者。知道客户购买了存储硬件、拥有配送地址、电子邮件地址、电话号码和部分订单背景的犯罪分子，可能编造逼真的支持诈骗。他们可能冒充 Western Digital，发送虚假的固件更新，迫使客户提供账户凭证，或利用对服务中断的担忧。

这就是为什么中低敏感度的数据仍可能带来高实际风险。姓名和联系方式不像健康记录或完整支付卡那样是秘密。但结合产品背景和活跃的安全事件，它们就成为了定向攻击的材料。担心失去访问权限的客户可能更容易点击虚假的恢复链接。

因此，负责任的响应包括反钓鱼指导、凭证建议和清晰的沟通渠道。客户需要知道官方更新出现在哪里，Western Digital 不会要求什么，如何安全重置密码，以及如何验证支持消息。沉默为攻击者冒充支持创造了空间。

恢复必须同时回应可用性和信任

当公司在事件期间断开服务时，恢复不仅仅是技术上的正常运行时间目标。它是一个信任决策。Western Digital 必须决定何时可以让面向公众的系统恢复，哪些服务应首先返回，有哪些证据表明已遏制，以及如何在不让敏感调查细节暴露的情况下让客户知情。

在线商店有一条恢复路径。My Cloud 服务有另一条。支持渠道、产品安全页面和账户服务有其自身的依赖关系。Western Digital 的产品安全页面是客户获取漏洞和安全信息所需的永久性场所，但事件也需要非技术用户能够理解的简明操作更新。

BleepingComputer 对 My Cloud 服务恢复的报道，Western Digital My Cloud 在中断 10 天后恢复上线，说明了服务可用性与客户信心之间的差距。服务重新上线并不会自动告诉用户：他们的本地数据是否安全，他们的账户是否需要更改密码，应用令牌是否仍然有效，或者商店数据是否已暴露。

可问责的恢复记录应定义层次：服务可达性、账户安全、数据暴露、凭证操作、客户通知、产品更新以及长期设计变更。如果用户可以再次登录但不知道哪些风险仍然存在，恢复就是不完整的。

本地回退是一个产品设计问题

位于家庭或办公室内部的存储产品应具有清晰记录的本地访问说明。在厂商中断期间，用户能否从本地网络访问文件？他们能否在不使用云账户的情况下管理设备？他们能否导出或备份数据？他们能否安全地更新固件？他们能否区分厂商中断与本地设备问题？

这些问题是产品设计问责，而不仅仅是用户教育。技术熟练的用户可能会找到本地变通方法。普通家庭、摄影师、非营利组织或小型企业可能依赖移动应用和云身份路径。如果回退存在但在压力下不可发现，它可能无法发挥真正的连续性作用。

设计标准应与产品承诺相称。如果产品被宣传为个人存储，用户应获得一份明确的解释，说明在厂商云系统宕机时哪些仍在其控制之下。如果产品被宣传为支持云的存储，云依赖应明确说明。两种模式都可以是合理的。混淆才是风险。

这对小型办公室和创作者尤为重要。摄影师、当地企业或学校团体可能将 My Cloud 设备用作实际存档或协作工具。即使数据仍在驱动器上，丢失数天的远程访问也可能中断工作。仅存在于理论上的备份计划在截止日期前毫无帮助。

客户责任仍然重要

Western Digital 控制了公司网络的事件响应和服务生态系统。客户仍有责任。将重要数据的唯一副本保存在一个联网设备上的用户，面临设备故障、账户锁定、勒索软件、意外删除和厂商中断的风险。个人存储并不消除备份需求。

CISA 的StopRansomware 指南强调了备份、恢复规划和身份卫生。该指南并非专门针对 Western Digital，但操作原则适用。用户和小型组织需要多份副本、可用的离线或不可变备份、密码卫生、可用的多因素认证以及经过测试的恢复程序。

公平的分配是：客户不应假设一条厂商管理的路径足以保护不可替代的文件，而厂商不应在本地存储的语言背后隐藏云依赖。用户拥有备份决定权。厂商拥有清晰性、安全性、服务弹性和通知义务。

凭证响应也是共享的。Western Digital 披露了哈希和加盐密码，仍使密码更改成为谨慎之举，尤其是对那些重复使用凭证的用户。客户需要轮换重复使用的密码并警惕钓鱼。Western Digital 需要使官方重置路径清晰且安全。

数据最小化本可减少下游风险

在线商店需要一些客户数据来处理和支持订单。它不需要永远保留每个数据元素。数据最小化问的是，商店是否只保留了必要的数据，是否对其进行了强有力的保护，并将其与可能导致大量客户数据集暴露的系统分离。

公开通知描述了姓名、地址、电子邮件、电话号码、哈希加盐密码和部分加密支付卡数据。本文并未声称 Western Digital 保留了不必要的字段。它说的是，事件表明了保留和分割为何重要。商店在一个可访问的数据库中保留的历史订单数据越多，事件对诈骗者就越有用。

FTC 的数据泄露响应指南在此很有用，因为它从实际角度构建了通知和客户保护。公司应知道哪些数据受到影响，通知谁，客户可以采取哪些步骤，以及如何减少进一步的伤害。对于拥有支持生态系统的产品公司，这包括与产品所有权相关的欺诈和冒充风险。

数据最小化也影响恢复。一个更小、分割良好、清单清晰的数据集更容易界定范围。一个保留期长且集成繁多的庞大商店数据库更难。当公司能够快速解释确切的边界时，客户受益。

云服务依赖应纳入风险标签

Western Digital 的事件是一个更大模式的一部分：感觉上本地的设备往往依赖云服务。摄像头、路由器、存储盒、打印机、门锁、恒温器和办公设备都可能依赖账户、API、中继服务、证书、更新渠道和移动应用后端。当厂商发生事件时，客户家中或办公室里的设备可能会失去预期行为。

CISA 的安全云业务应用项目是为云服务编写的，但它指出了一个与混合设备相关的控制逻辑：身份、配置、日志和租户数据需要结构化治理。消费级设备生态系统不应仅仅因为设备是物理的就获得豁免。

因此，风险标签应在购买时和文档中清晰显示。哪些功能是本地的？哪些是云中介的？如果厂商账户服务宕机会发生什么？厂商存储了哪些数据？保留多久？存在哪些日志？事件期间哪个支持渠道是权威的？如果依赖关系不可见，客户无法做出明智的风险选择。

对于小型企业，同样的标签成为采购证据。购买网络存储的公司应知道远程访问是否依赖于厂商云，中断期间是否可以进行本地管理，多用户访问是否与外部身份服务绑定，以及日志是否支持事件调查。这些并非仅适用于企业级的问题。

产品安全页面必要但不充分

Western Digital 维护产品安全信息，这很重要。一个持久的安全页面有助于用户和管理员查找公告、报告渠道和产品安全更新。但在影响云服务和客户数据的公司网络事件期间，沟通需求扩大了。

用户需要一个状态记录。哪些服务宕机了？哪些部分恢复了？哪些产品系列受到影响？哪些功能在本地工作？哪些凭证应更改？哪些支持消息是合法的？哪些客户数据被暴露了？现在建议采取哪些行动，哪些将稍后发布？

安全团队常常低估了事件对非技术用户造成的困惑程度。客户可能在家里有一个闪烁的驱动器，一个无法连接的应用程序，一个在线商店密码警告，以及关于数据被盗的媒体报道。如果没有一个清晰的事实来源，客户无法区分产品中断、账户风险、本地设备故障和诈骗消息。

这就是产品公司应提前准备简明事件中心的原因。该页面应具有弹性，必要时可外部托管，并易于查找。它应区分服务状态、客户数据通知、本地访问指南和安全建议。目标不是过度分享取证细节，而是让用户免于猜测。

事件响应应保留服务映射

NIST 的网络安全框架区分了识别、保护、检测、响应和恢复功能。Western Digital 的事件表明了为什么第一个功能在恢复期间（而不仅仅是在恢复之前）很重要。如果公司不知道哪些客户功能依赖于哪些内部系统、数据库、身份验证服务、云路由、支持渠道和产品更新路径，就无法负责任地恢复服务。

对于混合存储生态系统，服务映射应将产品功能连接到后端服务。远程文件访问可能依赖于身份和中继系统。移动应用可能依赖于账户 API。设备设置可能依赖于注册。支持可能依赖于客户数据库。在线商店恢复可能依赖于支付和订单系统。固件更新可能依赖于代码签名和分发渠道。如果事件触及公司系统，公司需要知道哪些面向客户的功能可能受到影响。

NIST 的事件处理指南，SP 800-61 修订版 2，也将响应框架分为准备、检测和分析、遏制、根除和恢复以及事后活动。这一生命周期很有用，因为 Western Digital 的事件需要多个恢复决策。该公司不得不遏制未经授权的访问，调查范围，恢复服务，通知客户数据暴露，并从服务中断中吸取教训。

服务映射应在紧急情况下存续。如果响应团队必须在系统已断开的情况下构建依赖知识，恢复就会减慢，沟通也会削弱。客户随后会看到零散的症状：应用程序失败，商店不可用，支持页面不清晰，密码重置电子邮件随后才到达。公司可能正在内部进行严肃的工作，但用户体验到的是不确定性。

可问责的运营模式是在事件发生前了解依赖映射，并在沟通中使用它。状态页面随后可以说明哪些服务不可用，哪些本地功能保留，哪些账户操作是安全的，以及哪些客户通知与产品访问分开。这种分离防止了一起事件变成一团难以区分的恐惧。

安全设计应包括优雅降级

CISA 的安全设计倡议通常在企业软件术语中讨论，但消费级和小型企业存储生态系统需要同样的纪律。安全产品不仅是抵御入侵的产品。它是一种客户能够理解并在故障中幸存的产品。优雅降级是安全的一部分，因为困惑的用户会做出有风险的决定。

对于 My Cloud 风格的产品，优雅降级意味着清晰的本地访问说明、离线备份指导、账户重置安全、支持消息验证，以及区分厂商中断与本地设备入侵的产品行为。产品不应让用户猜测是驱动器故障、云服务宕机、账户被盗还是文件丢失。

优雅降级还意味着限制功能之间的影响范围。涉及在线商店数据的入侵不应要求用户默认不信任每个本地文件。云服务中断不应暗示商店账户暴露，除非证据表明如此。产品更新问题不应与客户数据暴露混淆。架构上的分离应在沟通上匹配。

厂商可以为此进行设计。他们可以在设置过程中（而不仅仅是在中断后的支持文章中）记录离线模式。他们可以提供普通用户能够找到的本地网络访问说明。他们可以使应用程序显示服务状态消息，而不是通用错误。他们可以在可能的情况下将产品账户密码与商店凭证分开，并解释区别。他们可以使官方事件页面易于验证。

这不是表面功夫。在安全事件期间，攻击者利用模糊性。如果用户不确定一封电子邮件是否是官方的，是否需要重置，或者本地设备是否安全，欺诈就会更容易。因此，混合硬件的安全设计应包括反混淆设计。

报道来源暴露了实际的中断

Ars Technica 的报道，Western Digital 在网络安全事件后关闭在线服务，描述了服务中断以及用户因 My Cloud 功能不可用而感到的沮丧。此类报道中的技术细节可能与事后取证分析相比有限，但它们捕捉到了一个重要的问责信号：那些试图访问文件的用户对事件的感受。

这种实际中断之所以重要，是因为云依赖风险在断裂之前往往是不可见的。用户可能购买存储硬件，将其放在架子上，并认为它是本地基础设施。然后他们可能使用移动应用、远程共享或账户功能，直到这些服务停止。中断通过失败教会了产品架构。

公开报道还显示了沟通缺口出现的地方。如果客户和记者不得不推断哪些功能宕机、本地访问是否有效或预计何时恢复，那么产品的事件沟通层就太薄弱了。一个强大的事件中心将通过分离已知事实、受影响的服务、客户行动和未解决的问题来减少猜测。

公司无需为此披露敏感的取证信息。它可以说明哪些产品系列有远程访问中断，对于某些配置本地网络访问是否仍然可能，哪些客户数据通知适用于商店数据库，以及用户如何验证官方支持通信。这是实用信息，而不是攻击者的赋能。

对于一个销售存储信任的品牌来说，沟通体验是产品的一部分。文件在情感和操作上都很重要。它们可能是家庭档案、创意作品、税务记录、医疗文件、客户交付物或小型企业数据。当访问失败时，用户需要的不仅仅是公司声明调查正在进行中。

支持和零售生态系统成为欺诈面

在涉及客户联系信息的公开事件后，攻击者可以冒充支持。他们可以发送关于虚假固件更新的电子邮件，声称用户的 My Cloud 设备必须重新授权，提供虚假的数据恢复服务，或索要商店账户凭证。产品所有权、联系方式和中断焦虑的结合创造了一个可信的社会工程设置。

这就是为什么客户通知应包括渠道纪律。Western Digital 客户需要知道官方更新将发布在哪里，密码重置将如何发生，支持人员绝不会要求什么，以及如何报告可疑消息。一家销售联网设备的公司应假设公开事件会触发冒充活动，即使底层数据不包括完整支付卡。

零售和经销商渠道也很重要。客户可能通过 Western Digital 的在线商店、零售合作伙伴、市场或经销商购买了驱动器。不同的购买路径产生不同的账户记录和支持期望。收到可疑电子邮件的客户可能不记得使用了哪个渠道。清晰的官方指导应考虑到这种混淆。

同样的问题适用于保修和设备标识符。如果攻击者知道产品所有权，或可以从订单数据中推断出，他们可能会使用保修语言、序列号声明或支持案例引用来听起来合法。即使没有确切的序列号，针对产品的特定语言也能提高诈骗的转化率。这就是为什么“仅联系信息”在产品公司数据泄露后并非无害类别。

因此，数据最小化和沟通在此交汇。最小化减少了可供诈骗者使用的原材料。沟通降低了暴露数据转化为成功欺诈的几率。两者都是问责的一部分，因为损害往往发生在泄露之后，而不仅仅是在数据库被复制的那一刻。

恢复应产生事件后的设计变更

事件后最重要的证据不仅在于服务是否恢复。而在于改变了什么。Western Digital 是否改变了公司网络与面向客户服务之间的分割？是否改变了商店数据保留？是否调整了身份验证、日志、备份或监控？是否改进了本地访问文档？是否使用户更清楚服务依赖关系？是否加强了事件更新渠道？

公众可能不会收到每一个细节，一些安全改进应保持机密。但客户应该看到方向性的学习。公司可以说它改进了分割、加强了访问控制、修订了客户通知流程、扩大了监控，或明确了本地回退，而不暴露敏感图表。信息应足够具体以显示机构学习，而不是模糊到读起来像声誉管理。

事件后的设计变更对冲硬件尤为重要，因为产品周期持续数年。用户不会每月更换存储设备。设计或沟通弱点可能在新闻周期结束很久之后仍存在于已装机基数中。固件、支持文档、应用程序、账户系统和云服务需要将教训传递下去。

客户也需要改变。该事件应推动家庭用户和小型组织测试本地访问，保持独立备份，避免密码重用，记录账户恢复，并决定哪些文件值得拥有离线副本。厂商事件可能揭示用户自身的连续性计划薄弱。这并不原谅厂商，但它给了用户一个减少未来损害的机会。

Western Digital 事件的最好结果将是一个更清晰的社会契约：厂商对云依赖和恢复证据是明确的，而客户对备份和凭证卫生是现实的。没有这一契约，本地硬件将继续被误认为是完全独立的。

本地性可能成为虚假的主权感

该事件也应纳入数据主权分析，因为物理占有可能造成控制的误导感。用户可能确切地知道驱动器在哪里。他们甚至可以拔掉它。但访问、管理、更新、共享或恢复存储体验的实际权限可能仍依赖于家庭或办公室之外的服务。本地性是真实的；主权是部分的。

这一区别应在产品文档中明确。如果客户可以在没有厂商云服务的情况下本地访问文件，应明确说明并解释如何操作。如果远程访问、移动访问、账户恢复、设备链接或支持工作流需要 Western Digital 基础设施，也应说明。当客户理解时，他们可以接受混合模式。他们无法管理一个仅在中中断期间才出现的风险。

对于企业，本地性也可能造成合规混淆。一家小型公司可能认为客户文件是“在本地”的，因为存储箱在本地，而账户元数据、访问凭证、支持记录或产品遥测数据可能通过厂商服务处理。Western Digital 事件提醒人们，数据治理需要涵盖存储的文件和周围的服务层。

对于家庭，问题既是情感上的也是技术上的。家庭照片、创意项目和个人档案在靠近时感觉更安全。云中断随后会产生一种被背叛的感觉，因为对象物理存在，但通常路径实际上无法访问。更好的产品语言将减少这种不匹配。它会说：您的数据可能是本地的，但这些功能取决于云服务，这里是当这些服务不可用时的处理方法。

这种清晰性也将改善事件响应。如果用户在中中断前就理解本地/云边界，他们就不太可能在应用程序失败时认为文件丢失了。他们不太可能点击欺诈性的恢复消息。他们更有可能拥有独立备份。他们更有可能将产品评估为混合依赖，而不是独立设备。

因此，问责的教训不是反云也不是反本地硬件。而是反模糊性。支持云的存储可以是实用的，本地存储可以是弹性的。当客户认为他们购买了一种模式，而事件揭示了另一种模式时，风险就出现了。

这种模糊性应成为未来买家的检查清单项目。家庭可以询问照片是否在本地网络上仍可访问。工作室可以询问远程合作者是否需要厂商云。小型企业可以询问如何导出数据、轮换账户，并在厂商停机期间继续工作。这些问题在事件迫使答案之前将产品营销转化为运营规划。

它们也使支持预期更加公平。记录边界的厂商可据之被评判，而理解边界的买家可以决定哪些文件值得额外的离线副本。

这就是当前的实用问责，而非抽象的架构辩论。

它还在危机期间为客户支持提供了一个更清晰的脚本。支持团队无需要求用户等待每一个症状从头调查，而可以根据依赖关系进行路由：本地网络访问、云登录、商店账户、支付记录、固件更新或备份恢复。这种路由减少了恐慌，并降低了用户接受冒充者帮助的机会。

同样的路由方式有助于沟通团队。单一的混合公告可能让每个客户认为每个风险都适用于每个产品。基于依赖的更新可以说，本地设备访问、远程云访问、在线商店记录、支持凭证和固件分发是带有单独证据的单独表面。这种精确性在不淡化事件的情况下降低了恐惧。

哪些证据会改变评估

如果 Western Digital 能够展示公司系统、商店数据库、My Cloud 服务、支持系统和产品更新渠道之间的强分割；快速遏制；有限的数据暴露；有效的客户通知；以及清晰的恢复证据，评估将不那么严厉。公开声明提供了部分画面，但不是完整的技术事后分析。

如果后续证据显示保留了不必要的客户数据、分割薄弱、对营销的存储用例本地回退不足、通知延迟或客户指导不清晰，评估将变得更加严厉。如果客户无法确定本地数据、云账户数据和商店数据是单独的风险表面，评估也将变得更加严厉。

对于客户而言，如果他们保持了独立备份、使用了唯一密码、理解了本地访问，并将厂商云中断视为更广泛恢复计划中的一种情景，评估就会改善。如果不可替代的文件依赖于一个设备、一个账户和一条厂商服务路径，评估就会恶化。

当前的公开证据支持一个平衡的结论。Western Digital 遭遇了未经授权的公司系统访问，在调查期间断开服务，后来确认了在线商店数据库曝光，并随着时间推移恢复了服务。更深层的问责教训是，即使硬件是本地的，个人存储产品也可能承担云责任。

问责测试

Western Digital 事件应通过七项控制来评判。

第一，遏制：公司是否迅速隔离受影响的系统，而不必要地扩大对不相关客户服务的中断影响？

第二，分割：公司系统、在线商店数据、支持系统、My Cloud 服务基础设施和产品更新路径是否足够强地分离以限制影响范围？

第三，本地回退：My Cloud 用户在厂商云中断期间能否访问和保护本地数据，并且这种回退对普通用户是否清晰？

第四，客户数据：Western Digital 是否准确识别了受影响的商店数据，通知客户并提供有用的行动步骤，并在披露后减少了钓鱼和冒充风险？

第五，恢复证据：服务返回是否仅仅意味着可达性，还是也反映了账户安全、数据边界信心和支持渠道准备？

第六，产品透明度：产品材料和支持文档是否在事件前使云依赖、本地模式、更新路径和账户要求变得可见？

第七，客户弹性：用户和小型组织是否保持了与存储数据重要性相称的独立备份、唯一凭证和恢复计划？

最终结论是直截了当的。Western Digital 的事件表明，个人和小型办公室存储可以成为云问责系统。驱动器可能放在桌子下面，但产品体验仍可能依赖于厂商身份、远程访问、商店数据库、支持渠道和恢复决策。Western Digital 拥有遏制、服务恢复、数据通知、产品云清晰度和长期安全改进的职责。客户拥有备份和凭证卫生的职责。持久的教训是，当服务层决定硬件在危机期间是否保持可达、可信和可理解时，本地硬件并不能消除云风险。