アイデンティティを盗むって言葉が嫌いなんだよね。被害者が何かミスをしたせいでそうなったみたいに聞こえるから。でも実際は、企業が取引先の身元を確認するのを怠っただけなんだよね。責任はその企業にあるべきだと思う。これを楽しめるかもよ： https://www.youtube.com/watch?v=CS9ptA3Ya9E

この終わりのないデータ漏洩は、インセンティブを改善すれば減らせるかもしれないけど、それは難しいね。正直、データ漏洩の被害がそれを排除するコストを上回るかは不明だよ。国家安全保障に関しては、そこがはっきりしてると思うけど。

解決策はすでにあるんだよ：MFAとIdP連携。知っている要素（データ）と、持っている要素、または自分自身（生体認証）を組み合わせる感じ。IdPが両方の要素を発行して、身分確認が連携されるんだ。運転免許証を提出する必要があるときに似たようなことが起こるけど、技術的には自分のもので、政府のシステムで確認されれば連携されたIDになる。でも、知識要素だけで簡単に偽造できるんだよね。残念ながら、ここでは銀行や政府が第二の要素に顔認証を使っていて、プライバシーの問題が大きい。おそらく連邦政府が唯一のIdPになる傾向があると思う。非生体要素はスケールで実用的な難しさがあるかもしれないけど、指紋の方が顔よりは良いと思う。ほとんどの国で既に導入されていて、簡単に連携できるはず。完璧ではないけど、代替案よりはマシだと思う。

身分盗用って言葉は、自分が何か悪いことをしたせいでそうなったとは思わないな。何かを盗まれたからって、それが自分のせいだとは限らないよ。誰かが銀行の金庫に侵入してお金を盗んだら、それはあなたの責任とは見なされないよね。サイバーセキュリティの課題は、あなたの身分を盗もうとしている人が世界の反対側にいる可能性があることなんだ。それが理由で、エンドユーザーができるだけ安全でいることに焦点が当たるんだ。でも、何かを盗まれたら、あなたはやっぱり被害者なんだよ。

故意の過失（証明が非常に難しい）や悪意のある行動がない限り、人を刑務所に入れてもあまり効果がないと思う。ほとんどのことは意図的じゃなくて、偶然起こるからね。企業にとっての金銭的な影響が抑止力になるかもしれないけど、そうなると、ファイアウォールのどこかのミスや、従業員がソーシャルエンジニアリングのトリックに引っかかって企業が破産することで、何百人、何千人が失業する可能性がある。私は、クラウドやSaaS、他のインターネット接続された情報システムは安全にできないと認めて、その使用を大幅に制限するのが道だと思う。あるいは、こういう情報が漏れても大した問題じゃないと認めること。私の名前やSSN、生年月日、住所、母親の旧姓などを知っても、何の意味もない世界を想像してみて。

ハハ、GDPRが大きなハンマーになるって信じさせようとしてたのを今でも鮮明に覚えてるよ。経営者が漏洩に責任を持つようになるってね。あの時は静かに笑ってたけど、今でも笑ってる。多分、はっきりさせておくべきことがあるね。当時それを主張してた人たちは二種類いた。私たちをガスライティングしようとしてた人たちと、そのガスライティングを本気で信じてたナイーブな人たち。重大な過失を証明するのは難しいし、裁判ではかなりの余地がある。経営者が自分の任期中にやったことに責任を持つなんて、絶対に来ないよ、残念だけど。

限定責任をなくそう。株主が被害者の経済的コストを全て負担するようにしよう。利益を得たいなら、自分の財産全てをリスクにさらすべきだ。

CRMによっては、これはHIPAA違反じゃないの？

それって重要なの？彼らのシステムの技術的な違反じゃなくて、ソーシャルエンジニアリングだったんだよね。

別の記事でSalesforceがデータ所有者側でセキュリティが甘いって言われてた。ここに詳細がある別の返信もあるけど、設定ミスのSalesforceテナントがネット中にあふれてるって言っておけば十分だね。

数週間前にGoogleがSalesforceについてこれを発表したよ。 https://cloud.google.com/blog/topics/threat-intelligence/voi...

記録された顧客に直接支払われる義務的な金額、セント単位のクラスアクション和解金ではなくて、これが権利を奪われた「顧客」に役立つかもしれないね。

会社の端末になるだろう この場合、影響を受けた会社の顧客はどうなるの？これって、実際に影響を受けた人たちに別の問題を押し付けることにならない？

国家経済の端末にもなるだろうね。

まあ、問題は人が物を壊すってことだよね。地域の電力網を責任を持ってハッキングするって、どうやるの？理解してないものに触れて、近所を停電させちゃったらどうするの？プライベート情報がいっぱいのシステムに責任を持ってハッキングしたって証明するにはどうすればいいの？その後、実際にはその情報を見てないって。

インターネットって、ほんと海みたいだよね。手入れされてないものは波や海の生き物に飲み込まれちゃう。なんか救助法みたいなのが必要だよ。

GoogleやFacebook、Microsoftの顧客データベースが侵害されたの見た？問題は、クソみたいな方法でソフトウェアを作ってる会社に対する影響が少なすぎるってこと。データ侵害があったら、その会社はその規模に応じて痛手を受けるべきだよ。Equifaxの侵害は、会社を潰すべきだった。罰金は数百億ドルにすべきだよ。そうすれば、ちゃんとしたソフトウェアが作られるようになって、セキュリティも大事にされるし、内部監査も（ちゃんとしたのが）行われるようになる。今のままじゃ、セキュリティに気を使う理由がゼロだよ。

これをよく言うんだけど、あまり人気のない考え方なんだよね。なんでかは分からないけど。 > セキュリティ研究者やホワイトハットハッカー、さらにはグレーなハッカーも、見つけたセキュリティの脆弱性を報告する限り、強い法的保護を受けるべきだと思う。 > 悪い奴らは常にセキュリティの脆弱性をスキャンしたり探ったりしてるけど、それを止めるシステムはない。でも、善良な人たちが同じことをしようとすると、重罪で起訴されるんだよね。つまり、捕まった時にホワイトハットの意図を主張することで、失敗した悪党に逃げ道を与えたいってこと？

もし企業が、損害を評価して長期的な罰則を科す権限を持つ規制機関からの大きな罰金など、実際の結果に直面したら、株価も影響を受けるだろう。それだけで、セキュリティを真剣に考えるようになるはずなんだけど、残念ながらほとんどの企業はそうじゃない。たいていは軽いお咎めで済んじゃうんだよね。

これをよく言うんだけど、あまり人気のない考え方なんだよね。 > などなど…私もそう思うよ、助けになるなら。

…これらの強力な組織は_____に責任があるけど、都合のいい時には責任がないこともある…このパターンは常に出てきて、すごく士気が下がるよね。

セキュリティ研究は一様じゃないよね。この話にはニュアンスがたくさんあると思う。多くの人が保護すべきだと同意することがあると思う。例えば、偶然見つけた脆弱性を報告する人たちとか。でも一方で、かなり混乱を引き起こす可能性のあるペンテスト活動もあるんだ。もし全世界にこれらの活動を自由に行わせたら、そういう活動が本来安全なシステムでも混乱を引き起こすことがある。技術が何でも解決できる分野も確かにあるけど、例えば暗号アルゴリズムみたいに。でも、技術と社会の接点では、セキュリティは法の支配や高い信頼社会に大きく依存しているんだよね。

もしウェブがもう少し匿名性があれば、セキュリティの問題に偶然気づいたり、普通にウェブサイトを使ったりすることが犯罪にならないから、こんな問題は起きないと思う。あと、データベースに保存されているものが単なる文字列じゃなくて、トークン（非対称暗号の意味で）だったら、サービスがそれを所有していることになるし、漏洩した場合でもユーザーがサービスから補償を受けられるから、この問題は解決するんじゃないかな。でも、どのビジネスもユーザーを安全にすることを証明することには興味がないんだよね。それは自己妨害になるから。結局、いつもセキュリティの見せかけだけなんだ。

面白い指摘だけど、これって悪意のあるハッカーが事前に何でもハッキングできる簡単な防御策を開くことにならない？「隙間を探してただけ」って言えば、法的には安全ってことになるよね。彼らは報告するべき脆弱性を見つけられなかったって主張できるし、気づいたことをメモしておいて、攻撃したい時に攻撃することもできる。あるいは、ずっとホワイトハットのふりをしておいて、実はその手法を誰かに売るってことも。今のシステムでは、そういうことをするのは抑止されてるけどね。

契約で求められてるエンドポイント保護がちゃんと機能しててよかったね。

保険も問題の一部だよね。企業は安全なソフトウェアの研究開発を支援するよりも、自分たちを保険で守る方を選ぶんだ。これが経済的に合理的な限り、何も変わらないよ。