Rideau Hall cyberincident visade sig vara en “sofistikerad cyberincident” enligt interna e-postmeddelanden
En ny avslöjande kom fram om säkerhetsintrånget i Rideau Hall förra året. Höga regeringstjänstemän fick höra att det var en " sofistikerad cyberincident " bara några dagar innan de tillkännagav det för allmänheten.
Den kanadensiska pressen fick tag på de interna statliga e-postmeddelandena genom lagen om tillgång till information. Enligt tjänstemännen kunde "[de] inte bekräfta hela omfattningen av den åtkomna informationen."
Just av denna anledning har generalguvernörens kontor undersökt att göra kreditövervakningstjänster tillgängliga för anställda eftersom de anställda var mycket oroliga för att viss konfidentiell information kan ha stulits.
Enligt ett utkast av den 17 november 2021, som delades med Rideau Hall-anställda, uppmuntrades alla chefer "att reflektera över informationsinnehaven de hanterar i sina respektive enheter" och få sina problem åtgärdade om de har några.
Uppenbarligen gjordes det nämnda tillkännagivandet till högre tjänstemän nästan två veckor innan nyheten om läckan avslöjades för allmänheten.
Baserat på pressmeddelandet den 2 december sa generalguvernörens kontor att det fanns "en obehörig åtkomst till dess interna nätverk". Intrånget undersöktes också av Canadian Center for Cyber Security. De rapporterade att det kommer att göras ansträngningar för att förbättra datornätverkssäkerheten, inklusive samråd med den federala integritetskommissionärens kontor.
Ciara Trudeau, taleskvinna för sekreterarens kontor, sa att nyheten om intrånget kommunicerades till Rideau Hall-anställda såväl som "externa partners som kan ha påverkats av incidenten."
Hon var dock inte aktuell om detaljerna relaterade till intrånget, såsom hur och varför intrånget ägde rum eller mycket mindre vilken typ av information som fick tillgång till. Hon vägrade också att kommentera angående köp av kreditövervakningstjänster för anställda.
Baserat på innehållet i de interna e-postmeddelanden som kontrollerar som The Canadian Press fick, har det indikerats att många högre tjänstemän vid Privy Council Office kände till intrånget två veckor innan allmänheten fick veta om det. Talesmannen för Privy Council Office vägrade att kommentera händelsen.
Evan Koronewski, en talesman från Communications Security Establishment, sa att CSE och cybercentret inte var fria att diskutera de särskilda detaljerna kring intrånget. Även om han sa: "Vad jag kan berätta är att vi fortsätter att arbeta flitigt med (Generalguvernörens kontor) för att säkerställa att de har robusta system och verktyg på plats för att övervaka, upptäcka och undersöka eventuella nya hot "
Han tillade vidare att CSE aktivt skulle tillhandahålla cyberförsvarstjänster till sekreterarens kontor tillsammans med Shared Services Canada som partner.
Chantal Bernier, den tidigare tillfälliga integritetskommissionären i Kanada, delade med sig av sina observationer om att cyberbrottslingar har funnit att hacka in i databanker extremt lockande. "Det är riskfritt, mycket billigt och mycket lönsamt," sa hon. "Tråkigt nog finns det också en hel del statsstödd hacking."
Bernier uppskattade hur Rideau Hall hanterade hela situationen. Hon trodde att de ringde rätt genom att omedelbart meddela CSE om intrånget, leta efter sätt att skydda anställda och till och med kontakta sekretesskommissionärens kontor trots att sekreterarens kontor inte är ansvarigt för integritetslagen.
Enligt henne anser hon att detta brott understryker hur kommissionären ska få fler rättigheter för att jämna ut maktobalansen mellan organisationer som hyser personlig information om individer och individerna själva. Kontrollera också skillnaden mellan proaktiv och reaktiv cybersäkerhet.
Hon sa också: "Det är så komplicerat nu. Och vi kan inte, var och en av oss individuellt, hålla organisationerna ansvariga – det är bortom oss."
För närvarande hanterar Bernier integritets- och cybersäkerhetsärendet vid en lagbrand Dentos och säger : "Omfattningen av intrång och konsekvenser är sådan att vi behöver ha en regulator som är stark nog att hålla alla organisationer som håller vår data ansvariga."