主張は侵害ではない
投稿された主張の多くは、過去のインシデントの使い回し、公開情報からの寄せ集め、あるいは組織に支払いを迫るための捏造です。本物のものもあります。課題は、これらを迅速に見分け、確度を明示したうえで伝えることです。
公開されている情報から作業する
主張者は通常、主張の裏付けとして、説明、ファイル一覧、または少量の抜粋を公開します。当社は、通常の訪問者に見える状態で投稿をキャプチャし、そのキャプチャをハッシュ化して、公開されている内容のみに基づいて作業します。完全なデータセットのダウンロード、非公開グループへの参加、主張者への連絡は行いません。
比較するのは構造であり、個人ではない
有用な問いは構造に関するものです。フィールド名、形式、識別子のパターンはお客様のシステムと一致しますか。レコードの日付は、主張されているアクセス時期と整合しますか。投稿された抜粋に、お客様のシステムでは生成されない値が含まれていませんか。これらの確認は、お客様のデータ構造に対して実施され、抜粋に含まれる個人データを誰も取り扱うことはありません。
考えられる3つの回答
検証は、次の3つの記述のいずれかで終わります。お客様のデータと整合する、お客様のデータと整合しない、現時点では評価できない、の3つです。いずれにも、理由、情報源、確認した範囲の限界が添えられます。整合するという結果は侵害を証明するものではなく、整合しないという結果は主張が虚偽であることを証明するものでもありません。
その後の流れ
主張が整合する場合は、通知義務を含め、どう対応するかをお客様のインシデント対応チームと法務チームが判断します。当社は、後から分析を検証できるよう、ハッシュ化したキャプチャを保管します。当社が侵害を公に発表することはありません。調査結果は、まず影響を受けた組織に、必要な場合は当局にも伝えられます。