Der Cyber-Vorfall in Rideau Hall wurde laut internen E-Mails als „ausgefeilter Cyber-Vorfall“ eingestuft
Letztes Jahr kam eine neue Enthüllung über die Sicherheitsverletzung in Rideau Hall ans Licht. Hochrangigen Regierungsbeamten wurde nur wenige Tage vor der Bekanntgabe an die Öffentlichkeit gesagt, es handele sich um einen „ ausgeklügelten Cybervorfall ” .
Die kanadische Presse hat die internen Regierungs-E-Mails durch das Access of Information Act in die Finger bekommen. Nach Angaben der Beamten „konnten sie den vollen Umfang der abgerufenen Informationen nicht bestätigen.”
Aus genau diesem Grund hat das Büro des Sekretärs des Generalgouverneurs versucht, den Mitarbeitern Kreditüberwachungsdienste zugänglich zu machen, da die Mitarbeiter sehr besorgt waren, dass bestimmte vertrauliche Informationen gestohlen worden sein könnten.
Laut einem Entwurf vom 17 November 2021, der den Mitarbeitern von Rideau Hall vorgelegt wurde, wurden alle Manager ermutigt , „über die Informationsbestände nachzudenken, die sie in ihren jeweiligen Einheiten verwalten” und ihre Bedenken ansprechen zu lassen, falls sie welche haben.
Anscheinend wurde die besagte Ankündigung fast zwei Wochen, bevor die Nachricht von dem Leck der Öffentlichkeit bekannt wurde, an hochrangige Beamte gerichtet.
Basierend auf der Pressemitteilung vom 2. Dezember sagte das Büro des Sekretärs des Generalgouverneurs, es habe „einen nicht autorisierten Zugriff auf sein internes Netzwerk” gegeben. Der Verstoß wurde auch vom kanadischen Zentrum für Cybersicherheit untersucht. Sie berichteten, dass es Bemühungen geben werde, die Sicherheit des Computernetzwerks zu verbessern, einschließlich Konsultationen mit dem Büro des Bundesdatenschutzbeauftragten.
Ciara Trudeau, eine Sprecherin des Büros des Sekretärs, sagte, die Nachricht über den Verstoß sei den Mitarbeitern von Rideau Hall sowie „externen Partnern, die möglicherweise von dem Vorfall betroffen waren”, mitgeteilt worden.
Sie äußerte sich jedoch nicht zu den Details im Zusammenhang mit dem Verstoß, z. B. wie und warum der Verstoß stattfand oder geschweige denn, auf welche Art von Informationen zugegriffen wurde. Sie weigerte sich auch, sich zum Erwerb der Kreditüberwachungsdienste für Mitarbeiter zu äußern.
Basierend auf dem Inhalt der internen E-Mail-Prüfung, die The Canadian Press erhalten hat, wurde darauf hingewiesen, dass viele hochrangige Beamte des Geheimratsbüros zwei Wochen, bevor die Öffentlichkeit davon erfuhr, von dem Verstoß wussten. Der Sprecher des Privy Council Office weigerte sich, sich zu dem Vorfall zu äußern.
Evan Koronewski, ein Sprecher des Communications Security Establishment, sagte, dass es dem CSE und dem Cyber Center nicht frei stehe, die Einzelheiten des Verstoßes zu erörtern. Obwohl er sagte: „Was ich Ihnen sagen kann, ist, dass wir weiterhin gewissenhaft mit (dem Büro des Sekretärs des Generalgouverneurs) zusammenarbeiten, um sicherzustellen, dass sie über robuste Systeme und Werkzeuge verfügen, um potenzielle neue Bedrohungen zu überwachen, zu erkennen und zu untersuchen “
Er fügte hinzu, dass die CSE zusammen mit Shared Services Canada als Partnern aktiv Cyber-Defensive-Dienste für das Büro des Sekretärs bereitstellen werde.
Chantal Bernier, die ehemalige Interims-Datenschutzbeauftragte Kanadas, teilte ihre Beobachtungen mit, dass Cyberkriminelle das Hacken von Datenbanken als äußerst verlockend empfinden. „Es ist risikofrei, sehr billig und hochprofitabel”, sagte sie. „Leider gibt es auch viel staatlich unterstütztes Hacking.”
Bernier schätzte, wie Rideau Hall mit der ganzen Situation umgegangen ist. Sie glaubte, dass sie die richtige Entscheidung getroffen hatten, indem sie die CSE unverzüglich über den Verstoß informierten, nach Möglichkeiten suchten, Mitarbeiter zu schützen, und sogar das Büro des Datenschutzbeauftragten kontaktierten, obwohl das Büro des Sekretärs nicht für das Datenschutzgesetz verantwortlich ist.
Ihrer Meinung nach unterstreicht dieser Verstoß, dass der Kommissar mehr Rechte erhalten sollte, um das Machtungleichgewicht zwischen Organisationen, die personenbezogene Daten von Einzelpersonen beherbergen, und den Einzelpersonen selbst auszugleichen. Überprüfen Sie auch den Unterschied zwischen proaktiver und reaktiver Cybersicherheit.
Sie sagte auch: „Es ist jetzt so komplex. Und wir können nicht, jeder von uns einzeln, die Organisationen zur Rechenschaft ziehen – das geht über uns hinaus.”
Derzeit bearbeitet Bernier den Datenschutz- und Cybersicherheitsfall bei einem Law Fire Dentos und erklärt: „Das Ausmaß der Verstöße und Folgen ist so groß, dass wir eine Regulierungsbehörde brauchen, die stark genug ist, um alle Organisationen, die unsere Daten aufbewahren, zur Rechenschaft zu ziehen.”