Incydent w Rideau Hall uznany za „wyrafinowany cyberincydent” według wewnętrznych e-maili

W zeszłym roku wyszło na jaw nowe odkrycie dotyczące naruszenia bezpieczeństwa w Rideau Hall. Wyższym urzędnikom państwowym powiedziano, że był to „ wyrafinowany incydent cybernetyczny " na kilka dni przed ogłoszeniem go opinii publicznej.

Kanadyjska prasa dostała w swoje ręce wewnętrzne e-maile rządowe dzięki ustawie o dostępie do informacji. Według urzędników „[oni] nie byli w stanie potwierdzić pełnego zakresu dostępnych informacji”.

Z tego właśnie powodu Biuro Sekretarza Generalnego Gubernatora szukało możliwości udostępnienia pracownikom usług monitorowania kredytów, ponieważ pracownicy byli bardzo zaniepokojeni, że niektóre poufne informacje mogły zostać skradzione.

Zgodnie z projektem z 17 listopada 2021 r., który został udostępniony pracownikom Rideau Hall, wszyscy menedżerowie zostali zachęceni do „zastanowienia się nad zbiorami informacji, którymi zarządzają w swoich jednostkach” i do uwzględnienia ich obaw, jeśli takie mają.

Najwyraźniej wspomniane oświadczenie zostało podobno przekazane wyższym urzędnikom na prawie dwa tygodnie przed ujawnieniem informacji o wycieku.

Na podstawie komunikatu prasowego z 2 grudnia Biuro Sekretarza Generalnego Gubernatora stwierdziło, że „dostał się nieautoryzowany dostęp do jego sieci wewnętrznej”. Naruszenie było również badane przez Kanadyjskie Centrum Cyberbezpieczeństwa. Poinformowali, że będą podejmowane wysiłki w celu poprawy bezpieczeństwa sieci komputerowej, w tym konsultacje z federalnym biurem komisarza ds. prywatności.

Ciara Trudeau, rzeczniczka Biura Sekretarza, powiedziała, że ​​wiadomość o naruszeniu została przekazana pracownikom Rideau Hall, a także „partnerom zewnętrznym, którzy mogli zostać dotknięci incydentem”.

Nie zdradziła jednak szczegółów związanych z naruszeniem, takich jak sposób i przyczyna naruszenia, a tym bardziej, do jakiego rodzaju informacji uzyskano dostęp. Odmówiła również komentarza w sprawie pozyskania usług monitoringu kredytowego dla pracowników.

Na podstawie treści wewnętrznych e-maili sprawdzających, które otrzymała The Canadian Press, wskazano, że wielu wyższych urzędników Biura Tajnej Rady wiedziało o naruszeniu dwa tygodnie przed tym, jak opinia publiczna się o tym dowiedziała. Rzecznik Biura Tajnej Rady odmówił skomentowania incydentu.

Evan Koronewski, rzecznik Communications Security Establishment, powiedział, że CSE i centrum cybernetyczne nie mogą omawiać poszczególnych szczegółów naruszenia. Chociaż powiedział: „Mogę wam powiedzieć, że nadal pilnie pracujemy z (Biuro Sekretarza Generalnego Gubernatora), aby zapewnić, że mają solidne systemy i narzędzia do monitorowania, wykrywania i badania wszelkich potencjalnych nowych zagrożeń „

Dodał również, że CSE będzie aktywnie świadczyć usługi cyberobronne na rzecz Biura Sekretarza wraz z Shared Services Canada jako partnerami.

Chantal Bernier, były tymczasowy komisarz ds. prywatności w Kanadzie, podzieliła się swoimi spostrzeżeniami, że cyberprzestępcy uznali włamanie do banków danych za niezwykle kuszące. „Jest wolny od ryzyka, bardzo tani i wysoce opłacalny” – powiedziała. „Niestety istnieje również wiele działań hakerskich wspieranych przez państwo”.

Bernier docenił sposób, w jaki Rideau Hall poradził sobie z całą sytuacją. Uważała, że ​​wykonali właściwy telefon, niezwłocznie informując CSE o naruszeniu, szukając sposobów ochrony pracowników, a nawet kontaktując się z biurem komisarza ds. prywatności, mimo że Biuro Sekretarza nie jest odpowiedzialne za ustawę o prywatności.

Według niej uważa, że ​​to naruszenie podkreśla, w jaki sposób komisarz powinien uzyskać więcej praw, aby złagodzić nierównowagę sił między organizacjami przechowującymi dane osobowe osób i samych osób. Sprawdź także różnicę między proaktywnym a reaktywnym cyberbezpieczeństwem.

Powiedziała też: „Teraz jest to takie skomplikowane. I nie możemy, każdy z nas z osobna, pociągać organizacji do odpowiedzialności — to jest poza nami”.

Obecnie Bernier zajmuje się sprawą prywatności i cyberbezpieczeństwa podczas pożaru sądowego Dentos i stwierdza: „Wielkość naruszeń i konsekwencji jest tak duża, że ​​potrzebujemy organu regulacyjnego, który jest wystarczająco silny, aby pociągnąć wszystkie organizacje, które przechowują nasze dane do odpowiedzialności”.