アイデンティティを盗むって言葉が嫌いなんだよね。被害者が何かミスをしたせいでそうなったみたいに聞こえるから。でも実際は、企業が取引先の身元を確認するのを怠っただけなんだよね。責任はその企業にあるべきだと思う。これを楽しめるかもよ： https://www.youtube.com/watch?v=CS9ptA3Ya9E

この終わりのないデータ漏洩は、インセンティブを改善すれば減らせるかもしれないけど、それは難しいね。正直、データ漏洩の被害がそれを排除するコストを上回るかは不明だよ。国家安全保障に関しては、そこがはっきりしてると思うけど。

解決策はすでにあるんだよ：MFAとIdP連携。知っている要素（データ）と、持っている要素、または自分自身（生体認証）を組み合わせる感じ。IdPが両方の要素を発行して、身分確認が連携されるんだ。運転免許証を提出する必要があるときに似たようなことが起こるけど、技術的には自分のもので、政府のシステムで確認されれば連携されたIDになる。でも、知識要素だけで簡単に偽造できるんだよね。残念ながら、ここでは銀行や政府が第二の要素に顔認証を使っていて、プライバシーの問題が大きい。おそらく連邦政府が唯一のIdPになる傾向があると思う。非生体要素はスケールで実用的な難しさがあるかもしれないけど、指紋の方が顔よりは良いと思う。ほとんどの国で既に導入されていて、簡単に連携できるはず。完璧ではないけど、代替案よりはマシだと思う。

身分盗用って言葉は、自分が何か悪いことをしたせいでそうなったとは思わないな。何かを盗まれたからって、それが自分のせいだとは限らないよ。誰かが銀行の金庫に侵入してお金を盗んだら、それはあなたの責任とは見なされないよね。サイバーセキュリティの課題は、あなたの身分を盗もうとしている人が世界の反対側にいる可能性があることなんだ。それが理由で、エンドユーザーができるだけ安全でいることに焦点が当たるんだ。でも、何かを盗まれたら、あなたはやっぱり被害者なんだよ。

故意の過失（証明が非常に難しい）や悪意のある行動がない限り、人を刑務所に入れてもあまり効果がないと思う。ほとんどのことは意図的じゃなくて、偶然起こるからね。企業にとっての金銭的な影響が抑止力になるかもしれないけど、そうなると、ファイアウォールのどこかのミスや、従業員がソーシャルエンジニアリングのトリックに引っかかって企業が破産することで、何百人、何千人が失業する可能性がある。私は、クラウドやSaaS、他のインターネット接続された情報システムは安全にできないと認めて、その使用を大幅に制限するのが道だと思う。あるいは、こういう情報が漏れても大した問題じゃないと認めること。私の名前やSSN、生年月日、住所、母親の旧姓などを知っても、何の意味もない世界を想像してみて。

ハハ、GDPRが大きなハンマーになるって信じさせようとしてたのを今でも鮮明に覚えてるよ。経営者が漏洩に責任を持つようになるってね。あの時は静かに笑ってたけど、今でも笑ってる。多分、はっきりさせておくべきことがあるね。当時それを主張してた人たちは二種類いた。私たちをガスライティングしようとしてた人たちと、そのガスライティングを本気で信じてたナイーブな人たち。重大な過失を証明するのは難しいし、裁判ではかなりの余地がある。経営者が自分の任期中にやったことに責任を持つなんて、絶対に来ないよ、残念だけど。

限定責任をなくそう。株主が被害者の経済的コストを全て負担するようにしよう。利益を得たいなら、自分の財産全てをリスクにさらすべきだ。

CRMによっては、これはHIPAA違反じゃないの？

それって重要なの？彼らのシステムの技術的な違反じゃなくて、ソーシャルエンジニアリングだったんだよね。