https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/
https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/

觀點

劫後重生之(四)ChoicePoint案例

2010 / 05 / 10
文/MICHAEL S. MIMOSO 翻譯/夏克
劫後重生之(四)ChoicePoint案例

當然,這一切都順利於1月份時已開始進行,不過,伴隨而來的還有聯邦交易委員會 (FTC, Federal Trade Commission )一封15佰萬元的罰鍰提醒通知單-同樣是資料儲存商,但命運還真是大不同啊!

 

目前「存活」和「復原」對ChoicePoint來講,可說是息息相關。就因為ChoicePoint2005年所發生的不光彩記錄,導致今年收到聯邦交易委員會的罰鍰!不過,諷刺的是,在罰鍰繳交的當天,ChoicePoint也宣佈公司在2005年的收入達到1.1億元,不僅如此,執行長Derek V. Smith反而認為這是ChoicePoint最重要的一年。

 

Smith聽到關於讚美這些數字之前,他的內心飽受煎熬。這次的事件,有超過16萬人的資料被身分竊賊盜走,目前已有800個案例獲得證實,還歷經了一場史無前例的大檢查。

 

在資料外洩事件發生之後,Carol DiBattiste被雇用對整個環境作改善。她是前Transportation Security Administration公司的代理管理人,身兼員工主管,來ChoicePoint的主要目的是負責向董事會呈報消息和進度。DiBattiste的任務是將ChoicePoint憑證客戶的工具,好好梳洗打理一番,並將安全和穩私緊密結合於公司的四道牆中,以及專注執行一連串平穩的檢查,以保證像2005年所引發的資料外洩情事不會再次出現。

 

「我徹夜未眠,一直在想著如何與偷走資料的不法之徒對抗,我還要確保存取資料的傢伙,就真的是他們本人。」DiBattiste說。

 

Olatunji Oluwatosin是一名居住在加州的41歲奈及利亞人,鑽破ChoicePoint的弱點:一開始,他假裝成是合法企業,並虛設50多個假帳戶,之後得以進入ChoicePoint獲取一堆個人資料,裡頭包括有姓名、住址,還有社會安全號碼。Olatunji Oluwatosin20052月遭到逮捕,隨後宣判入監服刑10年,並且還要支付650萬美元作出賠償。

 

DiBattiste的首要任務是撐起鬆散的客戶憑證關係。她和小組投入到各個ChoicePoint的商業部門,並學習各單位是如何處理資安和客戶隱私的過程,並嘗試將二者結合。她也雇了來自Ernst & Young的隱私權保護團隊,期望將最棒的處理程序帶入ChoicePoint,並且可以使它們融合到現有的商業處理模型當中。每一樣設計的活動,都是以新的低風險模型為前提,這個模型是集合內外部50多個事件所融匯而成,也是DiBattiste2005年底前歸納協調出來的結果。

 

「客戶們會覺得高興,因為有企業主會這樣為他們著想。」DiBattiste說。

 

新客戶的驗證過程是加強了,整件事的起始雇用40多個人投入調查用戶的工作,並證實這些客戶就是本人,還有也檢查客戶公司的合法性,了解他們是否為公司真正的代表。此外,已存在的客戶也要重新通過憑證測試, DiBattiste預計這項工程會持續到8月過後。

 

再者,核對清單會透過不同的管道檢查客戶身分,包括參考銀行所提供的資料。若想存取ChoicePoint 機密資訊倉儲的客戶,要得到授權才行。另外,其中還有一個品管檢視的佈告欄,這個可以讓憑證小組確保檢驗過程中,沒有人為疏失,並且還能了解客戶資料的多項驗證工作到底是作了那些?

 

「倘若無法通過清單上所要檢查的事項。那麼,很抱歉,各位就無法加入成為ChoicePoint的一員。」,DiBattiste又說,「我認為目前我們的憑證過程是所有公司裡最好的!除了經過一連串的查核身分之外,還會檢驗客戶是否是在法律的規範下來使用資料。」

 

ChoicePoint的客戶也期待可以對自身的帳戶活動,進行定期稽查,有些檢查是以定期的方式,有些則是不通知的方式檢查。DiBattiste也說了,截至目前為止,有數百個帳戶因為動向相當可疑,而遭到移除。

 

接下來,在2006ChoicePoint會將保護客戶隱私列入首要工作,並且也會強制員工在線上進行隱私權的教育訓練。

 

「我們也想讓客戶了解他們對於自身資料的權利與義務。」DiBattiste說,「不過,這還真是有莫大的鼓舞作用。整個過程的關鍵,就在於我們所發展的低風險模型!再加上有了資料網站的限制機制和精確的客戶檢核清單,我們期望可以避免另一個危險事件再次發生。」