Recursos tocados y datos afectados

El registro de auditoría de la nube anota los cambios de configuración, y entre ellos hay uno que no tiene vuelta atrás si el destinatario actúa: ceder el permiso de un recurso a otra cuenta. No necesita ninguna descarga para ser una exposición, porque a partir de ese cambio el destinatario puede copiar el recurso por su cuenta.

Busca el evento que cambia permisos de un recurso en la región y fíjate qué recurso es, sin confundirlo con otras instantáneas de la misma región.

Un permiso cedido tiene un destinatario, y ese destinatario es una cuenta que la empresa no controla ni puede inspeccionar. El detalle del evento lo nombra. Es un dato del que depende el mensaje al proveedor, porque solo él puede actuar sobre esa cuenta.

Lee el detalle del evento de la tarea anterior.

El registro de acceso del almacenamiento anota quién lee cada objeto, pero cuando la lectura se hizo con un enlace compartido el nombre que aparece es el del enlace, no el de la persona que lo creó. Para saber quién lo creó hay que cruzar con el registro de auditoría, donde nacen los enlaces con su fecha de vencimiento.

Cruza el registro de acceso con el de auditoría y quédate con el archivo de siniestros.

Las reglas del caso fijan cómo se cuenta: solo lecturas confirmadas, con resultado ok, y cada objeto una sola vez aunque se haya leído más de una. Hay lecturas repetidas, lecturas que no son de datos personales y un intento que no sacó nada. Contar de más infla el aviso, y contar de menos lo deja corto.

Une el registro de acceso con el catálogo de objetos y suma las filas de los objetos con datos personales que salieron con éxito por los enlaces.

Compartir una instantánea con una cuenta ajena es una exposición confirmada, pero no prueba que la cuenta destino haya copiado nada. El proveedor no da visibilidad de las cuentas de sus otros clientes, y el registro de acceso del almacenamiento propio no ve lo que ocurre allá. Entre exagerar y minimizar hay una forma de escribirlo que se sostiene.

Lee las reglas del caso y la tabla de instantáneas antes de elegir.