Le cose importanti a cui rispondere sono:
- Qual è la cosa etica da fare?
- Qual è la cosa moralmente giusta da fare?
- Qual è la cosa legale da fare?
- Devo recitare?
- Che cosa accadrebbe se non recitassi?
Penso che vi sia un accordo generale sul fatto che sia stata una scelta giusta (moralmente ed eticamente) per notificare il personale IT locale, nonché il CERT appropriato.
Ora che è stato esaurito, quali sono le prospettive? Probabilmente dovremmo guardare a cosa succederebbe se ti sedessi sulle tue mani e non facessi altro:
- Hai fatto la cosa moralmente giusta da fare
- Hai fatto un'azione eticamente sana
- Sei coperto legalmente, come hai segnalato il problema
- Qualcun altro potrebbe potenzialmente trovare i documenti sensibili personalmente
Quando invio un problema di sicurezza, I sempre riceve qualcosa per iscritto. Dal mio tempo in forze dell'ordine, ho avuto una strong politica di CYA, meglio conosciuta come "cover your a **". Non è chiaro se lo hai fatto, ma questo porta a "Devo seguire?". Non sei obbligato a costringere le persone a scavare questo backup, ma potresti volerlo. Consiglierei di parlare direttamente con l'individuo, tramite e-mail, invece del CERT. Puoi scrivere l'e-mail in questo modo:
Good afternoon,
It's important that the two of us communicate, as it has come to my attention your personal files are out on the web.
I have notified the local IT team and was hopping they would follow up with you, this doesn't seem to be the case.
I would strongly recommend we talk about this, as the documents (at least from the file names) look to be personal and sensitive. I respect your privacy, and that's why I'm emailing you now, as someone has failed their duty to bring this to your attention.
You can give me a call at XXX XXX XXX ext. XXXX or email at [email protected]
Thanks.
Ho trovato importante non mettere troppe informazioni nell'email , in quanto riguarda informazioni potenzialmente private e non sai chi leggerà l'email. Evita anche di inserire link in email come queste, poiché i sistemi di spam potrebbero lanciare il messaggio nella cartella spam per non vedere più la luce del giorno.
Guardando la situazione, non sei nuovamente obbligato a scavare tutto questo backup. Dal suono di esso, l'applicazione dei problemi di privacy non ti preoccupa, non è compito tuo . Tuttavia, per il rispetto della persona, vorresti considerare l'emailing / telefonandoli, dato che qualcun altro sembra aver fallito il loro lavoro. Le uniche due ripercussioni che possono emergere sono:
- Dicono grazie, e si mettono al lavoro per sistemarlo da soli
- Si arrabbiano, pensando di aver "hackerato" nei loro file e di segnalarlo.
Con l'ultima opzione, se è probabile, allegare una copia delle e-mail che hai inviato in modo che l'utente finale sappia che hai provato a risolverlo.