Miesiąc: wrzesień 2021

Ta sekcja koncentruje się na kluczowych aspektach zapobiegania przypadkom z wykorzystaniem informacji poufnych, w szczególności na sprawdzaniu kandydatów do zatrudnienia oraz edukacji przełożonych i współpracowników w zakresie oznak ryzyka. Jednak wiele wcześniejszych badań dotyczących kontroli pracowników, wykorzystywania informacji poufnych i szpiegostwa wskazuje, że wielu pracowników odczuwało niezadowolenie po satysfakcjonujących okresach zatrudnienia. wcześniejsze niewłaściwe użycie komputera lub inne naruszenia. Niemniej jednak skuteczne zarządzanie zagrożeniem wewnętrznym zaczyna się od podstawowych środków zapobiegawczych.

Screening i jego słabości

Claude Carpenter wypełnił wniosek o formalne sprawdzenie przeszłości przed podjęciem pracy w IRS. Ale zapotrzebowanie na personel IT było tak pilne, że pozwolono mu rozpocząć pracę przed zakończeniem kontroli. Do czasu, gdy recenzja wróciła do rekomendacji przeciwko zatrudnianiu, Carpenter podjął już próbę sabotowania serwerów i został rozwiązany. Rekomendacja przeciwko zatrudnianiu wynikała z wcześniejszych wyroków skazujących związanych z używaniem i sprzedażą narkotyków. Dopiero po dochodzeniu w sprawie jego sabotażu w IRS odkryto, że podobno został zwolniony z poprzedniego zatrudnienia w Patmos International Corporation za używanie i sprzedaż narkotyków, a także nadużywanie systemu komputerowego. Według badacza Carpenter wprowadził wiele tylnych drzwi do systemu Patmos po swoim przybyciu. Kiedy podobno pojawiły się problemy z personelem i dowiedział się, że zostanie zwolniony, zamknął system i szantażował firmę, aby zapłaciła mu za powrót i przywrócenie działania systemu. Ponadto śledczy poinformował, że Carpenter próbował podobnych naruszeń u jeszcze wcześniejszego pracodawcy, Comcast Cable. Jego przełożony dowiedział się również, że w czasie, gdy był zatrudniony do pracy dla wykonawcy IRS, FBI prowadziło aktywne dochodzenie w sprawie jego działalności na Patmos. Warto zauważyć, że Patomos podobno zbankrutował częściowo z powodu działalności Carpentera. Chociaż kontrola pracowników może być główną zaporą ogniową przeciwko zatrudnianiu krytycznych pracowników z historią czynników ryzyka, nie jest to panaceum. W przypadku Carpentera opóźnienie między podjęciem pracy a zakończeniem badań przesiewowych zapewniło mu mnóstwo czasu na niebezpieczną degenerację zatrudnienia. Ponadto standardowa kontrola może ujawnić naruszenia prawa, skargi cywilne i długi, ale rzadko ujawni naruszenia hakerskie, które nie były ścigane, a tym bardziej aktywne zaangażowanie w społeczność hakerów. Niepowodzenie w sprawdzaniu pod kątem powiązań hakerów lub nie ściganych przestępstw hakerów stanowiło również problem w dwóch innych przypadkach, które szczegółowo zbadaliśmy dla Centrum Badań nad Bezpieczeństwem Personalnym Departamentu Obrony (DoD). Na przykład Jesus Oquendo został zwolniony ze swojego poprzedniego stanowiska za próbę wyłudzenia opłat za ochronę ze stron internetowych po zaatakowaniu ich w celu ujawnienia ich luk. Prowadził w sieci znaną witrynę hakerów, w której wymieniano informacje o technikach hakerskich. Był także głośnym krytykiem przepisów dotyczących przeciwdziałania włamaniom na tej stronie. Przeanalizowaliśmy atak po tym, jak został zwolniony przez swojego następnego pracodawcę, w którym wykorzystał ten dostęp do zaatakowania spółki zależnej, aby przekonać potencjalnego klienta o potrzebie usług bezpieczeństwa swojej grupy. Ten pracodawca nie sprawdził przeszłości Oquendo przed jego zatrudniony. Taka kontrola mogłaby ujawnić wcześniejszy krach narkotyków, ale nie ujawniłaby tego niezgłoszonego wymuszenia hakerów. Pracownik działu pomocy technicznej, który pracował w Globix Corporation, którego badaliśmy, również został zatrudniony bez sprawdzania przeszłości, po części ze względu na zatrudnienie tam jego brata. „Rick” był aktywnym uczestnikiem 2600 osób i był dumny ze swoich osiągnięć w hakowaniu, zwłaszcza biorąc pod uwagę jego względny brak szkolenie formalne. Jednak to dzięki zachętom, aktywnym radom i współuczestnictwu przyjaciół ze społeczności hakerów, przeniósł autorskie plany inżynieryjne Globix do przyjaciela siedzącego przy komputerze osobistym w lobby Globix. Ten „przyjaciel” był również zatrudniony przez Globixa konkurenta i był zadowolony z otrzymania i opublikowania specyfikacji w Internecie. Globix nie dowiedział się o naruszeniu, dopóki inny haker z kręgu Ricka nie dostarczył informacji, próbując znaleźć pracę. Rick poinformował, że częściowo motywowało go rzekome wyolbrzymianie przez Globix jego możliwości w reklamach. W swoim wywiadzie opisał to jako „oszustwo przeciwko mojemu przyjacielowi, klientom Globix i całej planecie”. Zgodnie z ogólną filozofią hakera, on i jego przyjaciel zdecydowali, że te informacje muszą zostać udostępnione, więc pliki inżynieryjne Globix zostały wysłane przez FTP do witryny kontrolowanej przez jego kolegę o nazwie „users.informationwave.net/missinglink/ Globix / stash /”. Pracownicy Globix zgłosili, że przesłane dokumenty zawierają schematy projektów inżynieryjnych i specyfikacje techniczne, korespondencję, arkusze kalkulacyjne, umowy, wykresy cenowe, informacje marketingowe i inne dane, które mogą dać konkurentom znaczną przewagę w konkurowaniu o biznes. Pracownicy Globix oszacowali wartość informacji na około 500 000 USD. Po tym, jak treść stała się znana innym, przedstawiciele firmy poinformowali, że Globix był również narażony na tygodnie ataków ze strony społeczności hakerskiej i ostatecznie wszczął wewnętrzne dochodzenie i powiadomił FBI. Z 10 przypadków, które niedawno zbadaliśmy dogłębnie, żaden ze sprawców nie został sprawdzony przed wejściem do pracy. Stolarz był jedynym podmiotem, dla którego podobno sprawdzano czek. 3 z 10 badanych było również zatrudnionych, częściowo ze względu na więzy rodzinne – mylącą gwarancję braku ryzyka. W rzeczywistości w wielu przypadkach członkowie rodziny i osoby z rówieśników mogą tworzyć niebezpieczne koalicje przeciwko kierownictwu, tak było w przypadku odcinka z Abdelkaderem Smiresem, który zaatakował swojego pracodawcę po zwolnieniu swojego mentora. Smires dołączył do Internet Trading Technologies, Inc. (ITTI) w styczniu 2000 roku i wdał się w narastającą kontrowersję, która postawiła jego brata i przełożonego (i byłego profesora / mentora) przeciwko zarządzaniu. Wszyscy trzej ostatecznie opuścili firmę, a Smires podobno zaatakował i wyłączył system handlowy, gdy zepsuły się delikatne negocjacje. Chociaż zdecydowanie lepiej jest przeprowadzić standardowe sprawdzenie przeszłości niż nie, pracodawcy muszą być świadomi czynników ryzyka – takich jak historia niebezpiecznych włamań – które mogą nie zostać uwzględnione w tych środkach. Należy skorzystać z innych form odprawy, takich jak korzystanie z agencji mającej dostęp do sieci hakerów lub sprawdzanie online, które badają nieoczywiste skojarzenia z nietradycyjnych obszarów, zwłaszcza w przypadku krytycznych pracowników. Nawet jeśli te wysiłki nie przynoszą rezultatów, przydatne może być również przeprowadzenie audytu wykorzystania IT przez nowego pracownika w bardzo wczesnym okresie próbnym. Carpenter, „Rick” i inni hakerzy mieli tendencję do wyłączania środków bezpieczeństwa i konstruowania różnych backdoorów wcześnie po przybyciu do nowych pracodawców.

Stosowanie tej umiejętności oznacza przypominanie sobie, dokąd chcesz się udać, a następnie znajdowanie sposobu, w jaki możesz zacząć od niewielkiego ryzyka, na małą skalę. Przykłady dobrych projektów początkowych obejmują projekty takie jak pilotaż, prototyp o niskiej wierności, seria forum, strona internetowa, wizyty w terenie lub wycieczki terenowe, wywiady z klientami lub biznesplan (lub płótno modelu biznesowego). Pamiętaj, że eksperymentujesz: może się okazać, że Twój pierwszy projekt nie pójdzie po Twojej myśli. To nie znaczy, że to nie jest właściwy projekt. Zwinni liderzy rozumieją, że zwłaszcza w złożonym środowisku z wyzwaniem adaptacyjnym dążenie do dużego celu wymaga eksperymentowania i małych kroków. Aby jechać szybko, trzeba zacząć od powolnej jazdy. Dotarcie do jasno określonego projektu początkowego jest ekscytującym momentem dla grupy: są szanse, że nikt nie przebył dokładnie takiej ścieżki, jaką wytyczył zespół. Szybko i pewnie nakreślając projekt z kilkoma drogowskazami, zespół zaprasza innych do współpracy. Oczekiwanie stworzone przez dobry projekt początkowy jest zaraźliwe. Gdy zwinny lider wprowadzi projekt do działania, podekscytowanie będzie tylko rosło

To, o co proszą klienci, jest ograniczone przez to, co już wiedzą , często nie jest najlepszym rozwiązaniem. Mogą nawet czuć się zawstydzeni, wspominając o pomysłach, których w pełni nie rozumieją. To niesamowicie ograniczająca perspektywa. Pytanie, które pomaga im otworzyć umysły, to pytanie dotyczące magicznej różdżki: jeśli mógłbyś machnąć magiczną różdżką i zmienić cokolwiek – nieważne, czy jest to możliwe, czy nie – w [problematycznym obszarze], co by to było? To trochę głupie i celowe. Wzmianka o magicznej różdżce jest nieoczekiwana w rozmowie między dorosłymi – wywołuje uśmiech i rozluźnienie. Magiczne różdżki nie znają przepisów, schematów organizacyjnych ani ograniczeń technologicznych – po prostu wykonują swoją pracę. W kontekście konsumenckim magiczne różdżki odnoszą się do bardziej podstawowych ludzkich ograniczeń. Podobnie jak wróżki chrzestne, magiczne różdżki nie są ograniczone czasem ani pieniędzmi. Uwalniając ludzi, pytanie o magiczną różdżkę pozwala ludziom mówić o większych, bardziej skomplikowanych punktach bólu. (Nierzadko zdarza się, że potencjalny klient prosi o coś niemożliwego, co wcale nie jest). To daje Ci bardziej atrakcyjne problemy do rozwiązania. Nabierz nawyku zadawania tego pytania. Będziesz go często używać. Ludzie są zachęcani do zgłaszania sugestii i proszenia o konkretne rozwiązania, a nie do opisywania swoich problemów. Ten styl zadawania pytań nie spowoduje, że klient wymyśli Model T, ale spowoduje, że zacznie myśleć w kategoriach podstawowego problemu. Kiedy już zadasz pytanie o magiczną różdżkę, możesz trochę wyjaśnić, co próbujesz zrobić: w przeszłości pracowaliśmy nad produktami, które miały zrobić coś konkretnego, ale nie rozwiązały problemu prawdziwy problem. Staramy się tego uniknąć i upewnić się, że stworzymy coś, co pomoże w Twojej sytuacji i rozwiąże problemy, które utrudniają Ci życie. To przesłanie, które zrozumie prawie każdy klient – wszyscy kupiliśmy produkty, które nie spełniały obietnic.

Chociaż poczta e-mail, głos i wiadomości błyskawiczne są często używane w komunikacji indywidualnej, Internet od dawna sprzyja tworzeniu grup w celu omawiania spraw, od codziennych po zagrażające życiu. Najpopularniejszym z tych serwisów był Usenet, niezwykle duże rozproszone forum dyskusyjne. W 2001 roku Google nabył obszerne archiwum grup dyskusyjnych Usenet (ponad 500 milionów pojedynczych wiadomości) i udostępniło je jako część usługi Google Groups (patrz Rysunek 5-3). [55] Grupy dyskusyjne Google okazały się niezwykle popularne i obejmują obecnie ponad 10 000 grup i 800 milionów postów, z których każdą można łatwo przeszukiwać za pomocą technologii wyszukiwania Google. Według Google, jego zbiór Usenetu to „najpełniejszy zbiór artykułów Usenetu, jaki kiedykolwiek zebrano, i fascynująca relacja historyczna z pierwszej ręki. Korzystanie z (i przeszukiwanie) Grup dyskusyjnych Google ma wiele wad. Po pierwsze, użytkownicy potrzebują konta Google, aby utworzyć grupę lub publikować komentarze, co z kolei wymaga adresu e-mail i hasła, zapewniającego unikalny identyfikator dla każdego użytkownika. Po drugie, korzystając z usługi, użytkownicy ujawniają swój adres e-mail w każdym wpisie. Adresy są zaciemniane w samych wiadomościach, ale pełny adres e-mail można odzyskać za pomocą prostego testu identyfikującego użytkowników. Google blokuje adresy e-mail odczytywalne maszynowo, aby zapobiec ich przechwytywaniu przez roboty internetowe. Chociaż jest to dobry pomysł, nie przeszkadza to samym Google w wyszukiwaniu danych pełnych adresów wraz z treścią każdej powiązanej wiadomości. Co więcej, spamerzy z powodzeniem byli w stanie ominąć CAPTCHA Google za pomocą automatycznych botów i pracowników. Gdy użytkownicy tworzą grupę, łączą się z jakimś tematem, podobnie jak każda osoba, która publikuje wiadomość w grupie, a nawet osoby, które wyszukują i przeglądają wiadomości. Poza sieciami społecznościowymi i unikalnymi identyfikatorami ujawnionymi przez korzystanie z Grup dyskusyjnych Google, te „fascynujące historie z pierwszej ręki” mogą zawierać niezwykle poufne informacje o każdym z autorów, na przykład o kimś osobiście zajmującym się rakiem lub wspierającym kogoś, kto go ma. Poniżej znajduje się przykład z grupy dyskusyjnej alt.support.cancer, pobrany za pomocą wyszukiwania w Grupach dyskusyjnych Google.

Uwaga

Witam wszystkich, jestem tutaj bardzo nowy, jestem teraz bardzo zdesperowany. jeśli ktoś może mi zasugerować, czy są jakieś zasoby, placówka, badania kliniczne lub cokolwiek można dla niej zrobić. Trzy lata temu zdiagnozowano u niej raka jajnika, wtedy rozwinął się wodobrzusze, tak właściwie wiedzieli o raku. Następnie wykonano całkowitą histerektomię, a następnie chemię. Jest na chemioterapii od zeszłego roku w listopadzie, kiedy zrobiono ostatnią sesję chemioterapii i znowu były tam bardzo ciężkie wodobrzusze. Dr mówi, że komórki rakowe znajdują się w otaczających tkankach, a nie w żadnym narządzie. Pobrali próbkę jej płynu i zrobili test wrażliwości na chemioterapię, okazało się, że te komórki nie są wrażliwe na żaden lek. Nie chcę się poddawać, ona jest moją najlepszą przyjaciółką, ma zaledwie 45 lat, proszę powiedz mi co mam robić ??? Nie chcę się poddawać… proszę cię błagam!

Członkowie Grup dyskusyjnych Google mogą również tworzyć profile publiczne, które ujawniają ich imię i nazwisko, położenie geograficzne i inne informacje. Serwery Google przechowują treść swoich postów i wszelkie pliki przesłane przez użytkownika, takie jak zdjęcia, filmy i programy. Polityka prywatności Grup dyskusyjnych Google stanowi, że Google gromadzi i przechowuje informacje o grupach, do których użytkownicy dołączają lub którymi zarządzają, a także listy innych członków, w tym tylko zaproszonych do dołączenia do

Grupa. Analizując wpływ nowych narzędzi i usług online na bezpieczeństwo, często warto dokładnie ocenić materiały marketingowe narzędzia pod kątem obaw dotyczących bezpieczeństwa.

Przedsiębiorstwa i osoby fizyczne generują duże ilości danych w odpowiednim czasie swojej działalności i mają trudności z zarządzaniem stale rosnącymi potrzebami w zakresie przechowywania danych. Małym i średnim firmom trudno jest stale aktualizować swój sprzęt zgodnie z rosnącą ilością danych. Dlatego uważają, że skuteczne jest przechowywanie danych u osób trzecich, aby czerpać korzyści operacyjne i ekonomiczne. Przetwarzanie w chmurze to doskonała okazja dla takich podmiotów, oferując elastyczność korzystania z usług magazynowania na żądanie, zgodnie ze zmieniającymi się wymaganiami przedsiębiorstw. Jednak przenoszenie danych do pamięci zewnętrznej zasadniczo oznacza, że ​​właściciel danych musi zaufać tej stronie trzeciej w zakresie ochrony danych pod względem dostępności, poufności i integralności. Zakłada się również, że CSP dostarczy dane w stanie nienaruszonym na żądanie właściciela danych. Chociaż koszt, konserwacja i elastyczność to tylko niektóre z wielkich zalet przetwarzania w chmurze, bezpieczeństwo, prywatność i niezawodność są kwestiami, którymi interesuje się klient chmury. Ta sekcja rzuca światło na problem zapewnienia właściciela danych, że dane przechowywane przez niego na serwerze w chmurze nie są modyfikowane ani usuwane bez jego wyraźnej zgody. Takie zapewnienia nazywamy DIPami. Omawia kilka popularnych obecnie DIP-ów i przedstawia porównanie wydajności różnych schematów.

Czy istnieje tajny spisek największych światowych firm technologicznych w celu ograniczenia globalnej wolności wypowiedzi? Prawdopodobnie nie. Sama ilość treści przesyłanych na wszystkie te strony uniemożliwia administrowanie nimi bez popełniania błędów. Granica między filmem promującym przemoc a filmem dokumentującym naruszenia praw człowieka jest raczej niewyraźna i często niemożliwa do ustalenia bez dogłębnej znajomości kontekstu, w którym powstał film. Na przykład Google został oskarżony o usunięcie z YouTube serii filmów z Egiptu, które przedstawiały brutalność policji ze względu na to, że była zbyt brutalna. (Google przyznał później, że zrobił to przez pomyłkę). Jednak wiedza, że ​​film przedstawia akt brutalności policji, a nie scenę z horroru, wymaga znajomości kontekstu, a to nie jest takie łatwe, biorąc pod uwagę, że dwadzieścia cztery godziny wideo jest przesyłane do YouTube co minutę. Jedynym sposobem na całkowite uniknięcie popełnienia błędów na tym froncie jest zatrudnienie zespołów prawników zajmujących się prawami człowieka i połączenie ich z regionalnymi ekspertami w celu przejrzenia każdej kontrowersyjnej treści znalezionej na stronach takich jak YouTube i Facebook. Trzeba przyznać, że YouTube jest znacznie bardziej otwarty na temat swoich strategii usuwania treści niż Facebook; można nie zgadzać się z zasadami, które stosuje – a zwłaszcza ze sposobem, w jaki technologia analizy wideo „poleca” filmy, które wymagają szczególnej uwagi ze strony ludzi – ale firma przynajmniej jest o tym przejrzysta, co ułatwia aktywistom zgadywanie poparte wiedzą. Niektóre firmy próbowały rozwiązać ten problem, wprowadzając sposoby, w jakie sami użytkownicy mogą zgłaszać filmy wideo, które uważają za obraźliwe, w jakiś sposób zmniejszając obciążenie własnej wewnętrznej policji. Jak dotąd jednak takie cechy wywołały niepokojący wzrost cyber-czujności. Na przykład dobrze skoordynowana grupa dwustu konserwatywnych kulturowo użytkowników w Arabii Saudyjskiej, znanych jako „Saudi Flagger”, regularnie monitoruje wszystkie filmy związane z Arabią Saudyjską przesłane do YouTube. Masowo narzekają na filmy, których nie lubią – większość z nich krytykuje islam lub władców Arabii Saudyjskiej – „zgłaszając” je administratorom YouTube jako nieodpowiednie i wprowadzające w błąd. (Członkowie grupy mają bardziej filozoficzne podejście do swojej pracy: „Wszystko, co robimy, to wypełniać nasz obowiązek wobec naszej religii i ojczyzny”, powiedział Mazen Al Ali, jeden z wolontariuszy grupy, w rozmowie z saudyjskim dziennikiem Al Riyadh w 2009 r.) Dobrze osąd, jak się okazuje, nie może podlegać crowdsourcingowi, choćby dlatego, że szczególne interesy zawsze kierują procesem tak, aby odpowiadał ich własnym celom. Być może jest to naturalne, że w dążeniu do większej liczby lepszych gałek ocznych aktywizm cyfrowy rodzi kulturę zależności od dużych pośredników, w których osoby o odmiennym punkcie widzenia muszą przeczytać strony napisane drobnym drukiem, zanim podzielą się swoimi wywrotowymi przemyśleniami w Internecie. Co gorsza, drobny druk jest często niejednoznaczny i niejednoznaczny. (Kto by pomyślał, że Facebook marszczy brwi na sutkach lalek?) Nawet ci, którzy w pełni go opanują, nigdy nie mogą być pewni, że nie naruszają jakiejś tajemnej zasady. Chociaż aktywiści mogą zminimalizować kontakt z pośrednikami, zakładając własne, niezależne witryny, są szanse, że ich wysiłki mogą nie zyskać takiego globalnego zainteresowania, jak na Facebooku lub YouTube. W obliczu bolesnego wyboru między skalą a kontrolą aktywiści zwykle wybierają to pierwsze, rezygnując z pełnej kontroli nad wybraną przez siebie platformą. Żadna z popularnych witryn Web 2.0 nie rozwiązała tego problemu w spójny sposób. Niektóre treści wyraźnie działające są uważane za obraźliwe i usuwane; niektóre pozostają aktywne i przyciągają miliony wyświetleń. Wynikająca z tego niepewność działa przeciwko cyfrowym aktywistom. Kto chce zainwestować czas, pieniądze i wysiłek w zbudowanie antyrządowej grupy na Facebooku tylko po to, aby administratorzy witryny ją usunęli? W rezultacie struktury wspierające, które mogłyby stanowić żyzne podstawy do budowania kapitału społecznego w sieci, nigdy w pełni się nie utrwalają. Nie ma prostych środków na takie problemy. To nie jest walkaprzeciwko wszechmocnym chińskim cenzorom; to walka z typami technologii o dobrych intencjach w Bay Area, którzy nie chcą przekształcać swoich witryn w place zabaw dla terrorystów, sadystów lub niektórych niebezpiecznych ruchów marginalnych, mają tendencję do nadmiernego cenzurowania lub przyjmowania jednakowych polityk Nie staram się zbytnio badać tego, co cenzurują. Oczywiście nikt nie oczekuje, że Facebook przestanie zarabiać i zmieni swoją witrynę w kolonię komórek rewolucyjnych, ale przynajmniej mogą zrobić, aby usunąć wszelkie niejasności z procesu cenzury, ponieważ to niejasność dezorientuje tak wielu aktywistów

Ostatecznie szybko rośnie rola zachodnich pośredników ,to kolejny dowód na to, że walka o wolność w Internecie, jakkolwiek by nie była źle pomyślana, powinna być toczona także w przestronnych salach konferencyjnych Doliny Krzemowej. Zwycięstwo w bitwach w Moskwie, Pekinie czy Teheranie nie zmieni automatycznie Facebooków i Googlów tego świata w odpowiedzialnych obywateli świata. Niestety, w przełomowym przemówieniu Hillary Clinton na ten temat w niewielkim stopniu potwierdzono ten fakt, nawet myśląc, że jest to dziedzina, w której zachodni decydenci mogliby osiągnąć najłatwiej za pomocą prawodawstwa. Powstające ogólnobranżowe inicjatywy, takie jak Global Network Initiative – do której Facebook nie przyłączył się, twierdząc, że jako młoda firma nie ma środków na opłacenie składki członkowskiej w wysokości 250 000 USD – które dążą do tego, aby firmy technologiczne zobowiązały się do zbiór wartości to w zasadzie wartościowe przedsięwzięcie. Jednak zapewnienie zgodności z tymi samymi zasadami, które firmy zobowiązują się przestrzegać, może wymagać silnego nacisku ze strony rządów w Ameryce Północnej i Europie. Na przykład Microsoft jest członkiem DNB, a jednak sposób, w jaki jego wyszukiwarka Bing działa na Bliskim Wschodzie, nie jest w pełni zgodny z duchem inicjatywy. O ile firmy technologiczne nie zostaną w jakiś sposób zmuszone do wywiązywania się z własnych zobowiązań, inicjatywy takie jak DNB będą jedynie chwytami reklamowymi, mającymi na celu zapewnienie decydentów, że dołączające do nich firmy są odpowiedzialnymi obywatelami świata. Niestety, wydaje się, że stosunkowo krótkotrwałe dążenie do wolności w Internecie zostało już zepsute przez stary problem z Waszyngtonu: ścisłe uściski między decydentami a przemysłem. Dwóch wybitnych przedstawicieli Departamentu Stanu, którzy przewodzili większości prac nad wolnością w Internecie, w tym nawiązaniu bliskiej współpracy z firmami z Doliny Krzemowej, opuściło Waszyngton, aby pracować dla tych firm. Jedna, Katie Jacobs Stanton, doradczyni Urzędu ds. Innowacji, wyjechała do Twittera jako szefowa strategii międzynarodowej; drugi, Jared Cohen, przeszedł do Google, aby stanąć na czele nowego think tanku. Oczywiście taki obrót nie jest niczym nowym dla Waszyngtonu, ale nie zapewnia skutecznej podstawy do promowania wolności w Internecie lub krytycznego spojrzenia na praktyki firm technologicznych, które również rozpaczliwie potrzebują uprzejmych menedżerów z doświadczeniem rządowym.

Wprowadzenie: Przygotowanie sceny

Claude Carpenter, lat 20, został zatrudniony przez znanego wykonawcę w dziedzinie obronności 13 marca 2000 r., Aby służyć jako gospodarz sieciowy i administrator systemów w niepełnym wymiarze godzin na trzech serwerach IRS znajdujących się w bezpiecznym obiekcie w centrum komputerowym Departamentu Skarbu znajdującym Nowy budynek federalny Carrollton w Lanham w stanie Maryland. Ten system śledzi zapasy sprzętu i oprogramowania w IRS. W ciągu kilku dni od rozpoczęcia pracy Carpenter miał kłopoty. Częste konflikty z przełożonym i rówieśnikami, późne przyjazdy do pracy i nieodpowiednie komentarze rasowe odstręczyły go od współpracowników. Carpenter nadużył również swoich uprawnień dostępu do systemu, próbując zaimponować pracownikom ochrony komputerów IRS swoją zdolnością do wykrywania i podłączania luk w zabezpieczeniach. Jednak wiele z tych wysiłków przyniosło efekt przeciwny do zamierzonego, ponieważ Carpenter zamknął porty dostępu zaprojektowane tak, aby były otwarte dla użytkowników systemu. Podczas spotkania ze swoim przełożonym 18 kwietnia 2000 r. Dotyczącym jego słabych wyników w pracy, Carpenter podobno stał się wrogi, a jego szef skierował sprawę do kierownika projektu, który poinformował Carpentera, że ​​wszelkie dalsze trudności z jego postawą lub wynikami będą skutkować zwolnieniem. Jednak między 20 kwietnia a 17 maja 2000 roku Carpenter siedem razy spóźniał się do pracy i miał inne osobiste konflikty. W rezultacie kierownictwo zdecydowało się ograniczyć jego pracę i dostęp do systemu. W dniu 18 maja 2000 r., W następstwie sporu między Carpenterem a współpracownikiem, jego przełożony przygotował projekt pisma o zwolnieniu i wysłał go w górę hierarchii służbowej. Nie wydrukował listu, nie dał go Carpenterowi ani nie poinformował Carpentera o jego istnieniu. 18 maja 2000 Carpenter został przydzielony do zmiany od 14:00 do 12:30 na jednym z serwerów. Użył go do zalogowania się na serwerze, z którego został zbanowany, i otwarcia pliku hosta, aby uzyskać dostęp do roota. Następnie uzyskał dostęp do profilu komputera swojego przełożonego i zredagował go tak, aby częściowo brzmiał:

„Czy nie czujesz się jak głupek – kiedy siedzisz tutaj na swoim grubym tyłku, cała twoja sieć jest pieprzona… Ruchanie połączenia zakończone… Pieprzenie się z niewłaściwymi ludźmi donikąd cię nie zaprowadzi. To jest przykład nr 1 ”.

Wstawił także kilka wierszy destrukcyjnego kodu komputerowego, a następnie „zakomentował” kod w profilu swojego przełożonego, aby nie mógł zostać wykonany. Następnie Carpenter umieścił te same wiersze aktywnego kodu destrukcyjnego na kilku innych serwerach i ustawił go na wykonanie, gdy ilość danych osiągnęła wyznaczony poziom. Następnie próbował ukryć swoje działania, wyłączając wszystkie dzienniki systemowe, usuwając pliki historii i starając się nadpisać destrukcyjny kod po wykonaniu, aby uniemożliwić administratorom ustalenie, dlaczego dane zostały usunięte.

„Bill” był 37-letnim technikiem automatyki oraz bezpieczeństwa i sterowania

Oficer w zakładzie przetwórstwa ropy naftowej w południowych Stanach Zjednoczonych. Był odpowiedzialny za konserwację i naprawę wszystkich pneumatycznych, elektronicznych, komputerowych systemów sterowania procesami oraz systemów kriogenicznych online w zakładzie. Ściśle współpracował z zespołami elektrycznymi, pomiarowymi i inżynierskimi zakładu, aby zapewnić optymalne warunki przetwarzania. Nowy przełożony Billa, obawiając się, że zakład może zostać zamknięty, jeśli nie nastąpi poprawa wydajności, szukał ściślejszej kontroli nad godzinami pracy i nadgodzinami Billa i zmusił go do delegowania odpowiedzialności na innych. Bill stawiał opór tym staraniom, odmawiając umawiania się na spotkania z przełożonym i poprawiania swojej współpracy z pracownikami. Pod koniec stycznia 1995 roku Bill zaatakował ustnie lidera zespołu za zachowanie się jak dyktator i wypadł z zebrania. Następnego dnia słownie znęcał się nad dwoma współpracownikami pracującymi przy naprawie zakładu zatwierdzonej przez lidera zespołu, z którym się nie zgadzał. Na spotkaniu zespołu, o które poprosił Bill następnego dnia, ponownie zaatakował lidera zespołu za nieodpowiednie procedury techniczne i stwierdził, że „nie potrzebujemy trenera piłki nożnej do trenowania drużyny piłkarskiej”. W dniu 14 lutego 1995 roku Bill został poddany postępującej dyscyplinie i otrzymał pisemne ostrzeżenie o niezadowalających wynikach. Raport zarzucił mu, co następuje:

* Ukrywanie istotnych informacji przed innymi członkami zespołu

* Przejmowanie odpowiedzialności innych, zamiast trenowania ich w procesie rozwiązywania problemów

* Składanie negatywnych oświadczeń dotyczących wyników innych członków zespołu

* Wyskakiwanie ze spotkań

* Nękanie i zastraszanie członków zespołu oraz używanie wulgarnego i obraźliwego języka

* Brak poprawy umiejętności komunikacji, pracy zespołowej i słuchania pomimo wcześniejszych ostrzeżeń

Bill został zawieszony z wynagrodzeniem na cztery dni i polecono mu opracować plan poprawy wyników i zmierzyć postępy w tych kwestiach. Kiedy jego wyniki nie uległy poprawie i pojawiły się dalsze problemy, Bill otrzymał końcowe pisemne ostrzeżenie o niezadowalającej wydajności pracy w dniu 27 kwietnia 1995 r. Został zawieszony bez wynagrodzenia na tydzień i poinstruowany, aby powstrzymać się od jakichkolwiek kontaktów z personelem zakładu lub czynnościami związanymi z pracą.

W liście tym w szczególności cytowano go za to, że nie wprowadził ulepszeń wymaganych w jego liście z lutego, w tym dalsze wstrzymywanie informacji, przeciwstawianie się nakazom uzyskania zgody na pracę w godzinach nadliczbowych oraz nie wprowadzanie ulepszeń w zakresie bezpieczeństwa zakładu i procedur zarządzania zalecanych przez konsultanta. W piśmie stwierdzono, że wszelkie dalsze problemy skutkowałyby natychmiastowym zwolnieniem. Wkrótce po otrzymaniu tego listu Bill odmówił członkowi zespołu zajmującego się jego zadaniem kluczowym hasłem do systemu bezpieczeństwa zakładu. W miarę upływu czasu bez dostępu zespołu do tego systemu, rzeczywiste zagrożenie dla zakładu wzrosło. Dopiero gdy z Billem skontaktował się w domu starszy pracownik, podał to hasło. W tym okresie zawieszenia Bill był również zamieszany w dwa działania mające na celu ukazanie niezdolności jego nowego przełożonego do pomyślnego kierowania zakładem. Pierwsza z nich dotyczyła manipulacji skomputeryzowanymi mechanizmami bezpieczeństwa i kontroli zakładu z odległego miejsca, aby wywołać kryzys. polegała na współpracy z innym pracownikiem, który podzielał frustrację Billa z nowym menedżerem, aby ponownie wpłynąć na mechanizmy bezpieczeństwa i kontroli, aby wywołać kryzys. Obydwa te działania miały na celu wykazanie niezdolności przełożonego do zarządzania zakładem bez udziału Billa. Jednak te środki zostały rozwiązane bez udziału Billa. Działania Billa podczas zawieszenia spowodowały wspólne zbadanie jego zachowania i jego wpływu na członków zespołu i produktywność zakładu. W porozumieniu z pracownikiem ochrony / zdrowia psychicznego zespół odkrył również, że Bill wykonał następujące czynności:

* Rozpowszechniaj uwłaczające plotki dotyczące jego przełożonego

* Wykorzystywane werbalnie zewnętrzne pracownicy i dostawcy napraw

* Robił niechciane seksualne zaloty i prześladował współpracownika

* Wystawiali słowne groźby wobec współpracowników

* Doszło do wojowniczej konfrontacji ze współpracownikiem na spotkaniu grupowym wymagającym fizycznej interwencji ze strony innych w celu uniknięcia przemocy

* Został zawieszony dwa lata wcześniej za przyniesienie pistoletu na miejsce pracy

* Niedawno kupiłem magazynek na 30 nabojów do karabinu półautomatycznego 

* Został poproszony o opuszczenie majątku współpracownika po strzeleniu z karabinu do wizerunku swojego przełożonego.

Wywiady ze współpracownikami ujawniły ponadto, że:

* Wielu z nich obawiało się o swoje bezpieczeństwo z powodu jego złości.

* Znajomy uznał go za „chorego i potrzebującego pomocy”.

* Inny przyjaciel obawiał się, że jego złość, nadużywanie alkoholu, impulsywność i dostęp do broni mogą doprowadzić do katastrofy.

* Inny kolega opisał go jako „przeglądającego cię”.

* Przyjaciel wyraził zaniepokojenie, że znęcał się słownie i fizycznie wobec swojej żony przechodzącej chemioterapię.

* Znajomy opisał go jako coraz bardziej odizolowanego od kontaktów towarzyskich.

Carpenter i Bill to dwie wybrane spośród kilkudziesięciu przypadków poufnych informacji, które były przedmiotem badań i / lub konsultacji w ciągu ostatnich 10 lat. W tym rozdziale wykorzystano te i inne przypadki, aby zbadać wyzwania związane z zarządzaniem zagrożeniami wewnętrznymi. zapobieganie, wykrywanie i zarządzanie oraz śledzenie przypadków Carpentera, Billa i innych rzeczywistych przypadków wewnętrznych w miarę ich ewolucji. Dla tego cel, prewencja odnosi się do polityk i praktyk wpływających na selekcję i selekcję pracowników oraz ich przydział do zadań. Zapobieganie obejmuje również polityki i praktyki mające na celu powstrzymanie takich zachowań, takie jak edukacja i szkolenia uświadamiające. Wykrywanie odnosi się do zasad lub praktyk, które zwiększają prawdopodobieństwo, że pracownik narażony na takie czyny zostanie zauważony przez personel, który może interweniować. Kierownictwo odnosi się do sposobu, w jaki postępuje się z personelem narażonym na ryzyko w celu zmniejszenia ryzyka ataku wewnętrznego lub zmniejszenia skutków czynu, gdyby miał miejsce. Wnioski i zalecenia zawarte w tym rozdziale są częściowo oparte na przeglądzie 40 spraw wewnętrznych dla Departamentu Obrony przeprowadzonych w latach 1998–2000, a także na dogłębnej analizie 10 dodatkowych przypadków objętych w latach 2001–2003. oparty na 16-letniej praktyce psychologa klinicznego, który pracuje bezpośrednio z pracownikami znajdującymi się w trudnej sytuacji i konsultuje się z firmami odpowiedzialnymi za bezpieczeństwo, personelem i kierownikami operacyjnymi w celu oceny i kierowania ich zarządzaniem i leczeniem, od bezpiecznego zakończenia leczenia po rehabilitację. Doświadczenie to obejmowało również bezpośrednie konsultacje z bezpieczeństwem korporacyjnym i organami ścigania przy ocenie i zarządzaniu zagrożeniami internetowymi ze strony osób z wewnątrz i z zewnątrz. Jednak badania te nie mają na celu przedstawienia profilu poszczególnych osób z informacjami poufnymi. Zjawisko to jest zbyt skomplikowane i interaktywne dla takich „srebrnych kul”. Nasze badania konsekwentnie wykazały, że historia insidera, jego droga do ataku, jest konsekwentnie napędzana przez zwroty akcji, które obejmują interakcje z otaczającym personelem, instytucjami i społeczeństwem. Aby wnieść wkład w zapobieganie, wykrywanie i zarządzanie osobami niejawnymi, skupiliśmy się jednak na prezentacji informacji poufnych w miejscu pracy, zwłaszcza na jego interakcji z rówieśnikami, przełożonymi i stosowaną technologią.

Te pierwsze niepewne ruchy wiosłem dostarczy Ci ważnych informacji, ale nie zapewnią Ci satysfakcjonującego dnia na oceanie, jeśli się tam zatrzymasz. Najlepiej jest myśleć o naszym początkowym projekcie jako samodzielnym i jednocześnie będącym częścią serii – kiedy jeden jest ukończony (lub bliski ukończenia), zobaczysz, jaki powinien być następny. Dowiesz się, jakie poprawki wprowadzić na podstawie tego, czego się nauczyłeś, i prawdopodobnie zidentyfikowałeś pewne wyzwania, o których nadal musisz się dowiedzieć więcej. I chociaż kajak może być jednostką wyłącznie jednoosobową, jest mnóstwo miejsca dla innych, którzy mogą dołączyć do Ciebie w dążeniu do celu, który sobie wyznaczyłeś. Ten „szum”, który stworzyłeś, oznacza, że ​​masz teraz większy zespół i twój następny projekt może mieć większy zakres. Oto kolejny przykład tej umiejętności w działaniu: zespół liderów HR zebrał się, aby przemyśleć swój program szkoleniowy dla kadry zarządzającej. Obecny program firmy jest skierowany do młodych talentów, którzy „zapowiadają się”. Uczestnicy uczestniczą w serii kursów weekendowych w ciągu dwóch lat; na koniec zdobyli około połowy punktów potrzebnych do uzyskania tytułu MBA na lokalnym uniwersytecie; następnie wielu decyduje się na samodzielne ukończenie tego stopnia. Liczba i jakość kandydatów zmniejszyła się w ciągu ostatnich kilku lat, głównie dlatego, że przełożeni muszą „nominować” uczestników i zgadzać się na opłacenie około połowy kosztów czesnego – a „słowo z ulicy” jest takie, że program nie jest tego wart (a bardziej ogólnie, tytuł MBA nie jest tak pożądany, jak wtedy, gdy program rozpoczął się ponad 20 lat temu). Zespół chciałby stworzyć zestaw kursów opartych na symulacjach i innych, bardziej nowoczesnych metodach uczenia się. Wiedzą, że w końcu „czołowi menedżerowie” firmy będą musieli zatwierdzić nowy program, ale kilka z tych osób przeszło przez obecny, tradycyjny program i ocenia go bardzo przychylnie. Zespół decyduje, że tego rodzaju poważne zmiany w programie nauczania nigdy nie nastąpią bez silnego wsparcia w całej firmie – poza samym działem HR. Zespół postanawia przetestować założenie, że to podparcie może być ocynkowane. Projektują początkowy projekt tworzenia klasy, która używa formatu „pop-up”. Wyskakujące okienka to nieformalne, nierejestrowane zajęcia, które pojawiają się nieformalnie tylko na kilka sesji i są świetnym sposobem na szybkie sprawdzenie zainteresowania uczniów danym tematem. Mają nadzieję, że kilkunastu uczestników przyjdzie na jednosesyjne warsztaty poświęcone tworzeniu budżetów – jest to skromny cel, ponieważ jest zaplanowany na noc w dni powszednie, a oni nie oferują żadnego jedzenia ani napojów. Ku ich radości pojawia się ponad czterdziestu pracowników. Nie tylko wykazali, że jest duże zainteresowanie, ale kilku uczestników pyta, czy mogą wziąć udział w przeprojektowaniu. Ich następny projekt, z powiększonym zespołem, który poradzi sobie z większym wyzwaniem: serią wyskakujących okienek.

Niektórzy ludzie unikną twoich pytań i powiedzą: „Oto, czego chcę”. Zaczną wymieniać funkcje i opcje; Ludzie nawet zaczęli szkicować makiety na spotkaniach w kawiarni! Na pozór brzmi to niesamowicie: potencjalny klient praktycznie pisze za Ciebie wymagania dotyczące produktu. Prawda jest inna: tysiące produktów, które nie powiodły się, są tworzone w oparciu o to, czego chcieli klienci. Prawdopodobnie pracowałeś w przeszłości nad przynajmniej jednym z nich. Nie musisz się uczyć, czego chcą klienci; musisz dowiedzieć się, jak zachowują się klienci i czego potrzebują. Innymi słowy, skup się na ich problemie, a nie na proponowanym rozwiązaniu.

Z dala od funkcji – powrót do problemu

Gdy tylko osoba zacznie mówić o pomysłach na funkcje lub konkretnych rozwiązaniach, szybko przekieruj rozmowę. To wymaga trochę delikatności, ponieważ nie chcesz sugerować, że jej pomysły nie są dobre. Jej pomysły na fabułę mogą być naprawdę świetne; po prostu nie są tym, czego teraz potrzebujesz. Najczęstszym przejściem, którego używam, jest pytanie, jak żądana funkcja lub szkic rozwiązałby jej problemy: Chcesz powiedzieć, że podoba Ci się [funkcja]? Czy możesz mnie przeprowadzić, kiedy i jak będziesz go używać? [Posłuchaj jej odpowiedzi, a następnie przejdź od funkcji do z powrotem do problemu] Wygląda na to, że dzisiaj masz problem z _______. Czy to prawda? Czy możesz mi powiedzieć więcej o tym problemie? Chcę mieć pewność, że w pełni to rozumiem, abyśmy mogli pracować nad jego rozwiązaniem. Problem z sugerowaniem funkcji przez respondentów jest jeszcze większym wyzwaniem, jeśli masz już istniejący produkt i klientów. Osoby, które już zapłaciły Ci pieniądze lub podpisały umowę, uważają, że zasłużyły na prawo do zgłaszania żądań funkcji. (Jeśli zapłacili wystarczająco dużo pieniędzy, oczekują również, że powiesz im, ile czasu upłynie do zbudowania i udostępnienia tej funkcji). Innowatorzy biznesowi często cytują rzekomy cytat Henry’ego Forda: „Gdybym zapytał moich klientów, czego chcą , powiedzieliby, że to szybszy koń ”. Możesz sobie wyobrazić rozmowę kwalifikacyjną z klientem, która mogła wtedy mieć miejsce:

Klient: Potrzebuję szybszego konia. Kiedy zamierzasz go zbudować? Prowadzący: Chcę się upewnić, że wszystko, co budujemy, naprawdę rozwiązuje

Twój problem. Czy możesz mi powiedzieć, gdybyś miał teraz szybszego konia, jak to ułatwiłoby Ci życie? Klient: Oczywiście mógłbym zabrać się do pracy szybciej!

Komunikacja głosowa od dawna jest podstawą komunikacji interpersonalnej. Wybraną technologią była publiczna komutowana sieć telefoniczna (PSTN) dostarczana przez lokalną firmę telefoniczną. Wraz z pojawieniem się szybkiego Internetu istnieje rosnący trend odchodzenia od sieci PSTN na rzecz przesyłania głosu przez Internet, zwany ogólnie Voice over IP (VoIP).  Popularne usługi VoIP obejmują Skype (www.skype.com/), Vonage (www.vonage.com/), Apple’s iChat (www.apple.com/macosx/features/ichat.html) i Gizmo (http: // gizmo5 .com / pc / products / desktop /). Komunikatory internetowe to kolejna technika komunikacji, która umożliwia użytkownikom wysyłanie i odbieranie wiadomości tekstowych w czasie rzeczywistym przez Internet. Popularne usługi obejmują Instant Messenger AOL (http://dashboard.aim.com/aim), Yahoo! Messenger (http://messenger.yahoo.com/) i MSN Messenger (http://messenger.yahoo.com/). Jednak granice między narzędziami komunikacji głosowej i tekstowej, a także wideo, nie są już jasne. Usługi łączą głos, tekst i wideo w kompleksowe narzędzia komunikacyjne. Google Talk (www.google.com/talk/) to doskonały przykład oferujący zintegrowane komunikatory i połączenia głosowe między komputerami, a także przesyłanie plików i powiadomienia e-mail. Gmail oferuje nie tylko pocztę e-mail, ale także czat za pomocą jednego kliknięcia za pośrednictwem sieci Google Talk.  Podobnie, Google Talk zawiera usługę „czatu zwrotnego”, która umożliwia witrynom internetowym, w tym blogerom, osadzanie „plakietki” ”, Która umożliwia odwiedzającym łatwy kontakt z autorem za pośrednictwem Google Talk. Niestety, źródło strony internetowej używa tagu HTML iframe do dynamicznego pobierania tagu z Google, jak widać w następującym fragmencie:

Ten kod umożliwia Google rejestrowanie każdego odwiedzającego witrynę. Kwestia umieszczania treści stron trzecich na stronach internetowych jako sposobu śledzenia użytkowników stanowi poważne zagrożenie, ponieważ wykracza daleko poza aktywność użytkownika na serwerach Google i obejmuje praktycznie każdą odwiedzaną przez niego witrynę internetową. Rozdział 7, „Reklamy i treści osadzone”, omawia bardziej szczegółowo kwestię wykorzystywania treści stron trzecich do szerokiego śledzenia surfowania przez użytkowników. Pod wieloma względami ryzyko ujawnienia informacji związane z komunikacją głosową, wideo i komunikatorami internetowymi jest odzwierciedleniem ryzyka związanego z pocztą elektroniczną, w tym ujawnieniem wiadomości i kontaktów . Możliwość dołączania plików do wiadomości wychodzących i związane z tym ryzyko wycieku informacji jest również powszechne w wielu systemach. Pliki przychodzące stanowią dodatkowe zagrożenie, ponieważ mogą zawierać poufne informacje ujawnione przez osoby trzecie lub nawet złośliwą zawartość. Powiązane ryzyko to adresy URL zawarte w wiadomościach, które kierują użytkownika do złośliwych witryn internetowych, co jest zagrożeniem często występującym w wiadomościach e-mail. Usługi głosowe, wideo i komunikatory internetowe wykorzystują Internet jako medium komunikacyjne, które wywołuje widmo podsłuchiwania w dowolnym miejscu ścieżki komunikacyjnej. Zaletą Google Talk jest możliwość szyfrowania komunikacji między klientem a Google, ale nie wszystkie takie systemy to robią.  Chociaż takie szyfrowanie może chronić przed podsłuchem, nie maskuje komunikacji od samego Google . Wczesne usługi komunikacji synchronicznej zaczęły funkcjonować jako zamknięte sieci – innymi słowy, tylko członkowie danej sieci komunikatora internetowego mogli komunikować się z podobnymi użytkownikami.  Próbując zwiększyć adopcję i udział w rynku, pozycja ta się zmienia. Większość nowoczesnych usług umożliwia komunikację z sieciami konkurencji. Chociaż ten trend doskonale nadaje się do ulepszonej komunikacji, znacznie zwiększa zakres i zakres ujawnianych informacji. Na przykład Google Talk umożliwia bezpośrednią komunikację między innymi z użytkownikami Earthlink, Gizmo Project, Tiscali i Medai Ring. Korzystanie z Google Talk wymaga zarejestrowanego konta Google, które umożliwia powiązanie innych form działalności Google w sposób bardziej kompleksowy niż pliki cookie czy adresy IP. Polityka prywatności Google Talk stanowi, że Google może rejestrować informacje o użytkowaniu, w tym czas komunikacji, kontakty, z którymi się komunikowano, a także „informacje wyświetlane lub klikane w interfejsie Google Talk”. Ponadto stwierdza, że ​​Google regularnie usuwa informacje o aktywności powiązane z kontami, ale nie określa dokładnie, jakie informacje są usuwane. Polityka zwraca uwagę, że zebrane informacje, w tym przypuszczalnie treść samych komunikatów, „mogą pozostać na nośnikach kopii zapasowych” po zażądaniu usunięcia przez użytkownika. To założenie jest wzmocnione faktem, że firma Google usunęła „Google Talk nie archiwizuje treści wiadomości tekstowych lub głosowych na serwerach Google i nie będziemy archiwizować takich treści na naszych serwerach bez Twojej wyraźnej zgody” z wcześniejszych Informacji o ochronie prywatności w Google Talk . Wiadomości głosowe i wideo ujawniają znacznie więcej informacji niż tradycyjna poczta e-mail, w tym obszerne próbki głosu i obrazu użytkownika, a także szum tła i obrazy środowiska operacyjnego użytkownika. Jednak istnieją wyraźne różnice. Głos, wideo i wiadomości błyskawiczne to usługi synchroniczne, które umożliwiają natychmiastową interakcję między dwoma komunikującymi się stronami. Ta mocna strona może być słabością, ponieważ komunikacja synchroniczna pozwala atakującemu sprawdzić, czy dany odbiorca wiadomości znajduje się fizycznie przy komputerze. Google Talk pogarsza sytuację, informując, czy użytkownik jest obecny na podstawie korzystania ze stacji roboczej – na przykład po dziesięciu minutach bezczynności Google Talk informuje kontakty użytkownika, że ​​komputer jest bezczynny.  Typowym użytkownikom może się to nie podobać funkcja, ponieważ promuje ciągłe przerwy. Dla świadomych bezpieczeństwa informowanie o tym, że jesteś z dala od komputera, jest również złym pomysłem. Pomijając kwestie bezpieczeństwa i prywatności, przyszłość komunikacji głosowej, wideo i wiadomości tekstowych jest jasna i coraz jaśniejsza. Możliwość taniej lub bezpłatnej komunikacji to potężna atrakcja, szczególnie w słabo rozwiniętych regionach, gdzie nie ma narzutu starszej infrastruktury komunikacyjnej, oraz w coraz większej liczbie obszarów oferujących szybkie przewodowe i bezprzewodowe połączenia z Internetem. Niestety, zwiększona baza użytkowników tylko potęguje ryzyko ujawnienia informacji. Praktycznie każda platforma komputerowa oferuje te możliwości – nawet Sony PlayStation Portable.