Tanggung Jawab Ganti Rugi CrowdStrike di Prancis Berdasarkan Preseden OVH

 (thehftguy.com)
1 poin oleh GN⁺ 2024-07-26 | 1 komentar | Bagikan ke WhatsApp
  • Gangguan pembaruan CrowdStrike pada 19 Juli 2024 diperkirakan menonaktifkan 8,5 juta komputer dan menyebabkan kerugian lebih dari 5,4 miliar dolar, dan dapat mengarah pada logika tanggung jawab ganti rugi yang mirip dengan kasus OVH di Prancis
  • Dalam kasus OVH, pengadilan menilai bahwa penyedia backup harus mematuhi tingkat yang wajar dan praktik terbaik, dan backup yang ditempatkan di lokasi yang sama atau di pusat data yang berdekatan tidak diakui sebagai operasi yang wajar
  • Karena CrowdStrike adalah perangkat lunak keamanan yang berjalan lebih dulu di level kernel, semakin luas ia diterapkan pada perangkat perusahaan dan industri penting seperti perbankan, perjalanan, dan supermarket, semakin besar beban pengujian dan peluncuran bertahap
  • Pembaruan bermasalah didistribusikan secara serentak ke jutaan perangkat di seluruh dunia dan menyebabkan BSOD; pemulihannya memerlukan akses fisik, hak administrator, masuk ke safe mode atau recovery mode, serta penghapusan driver
  • Pelanggan di industri teregulasi diwajibkan menguji perubahan, melakukan peluncuran bertahap, dan melacaknya, sehingga jika CrowdStrike tidak melakukan atau menolak hal tersebut, ini dapat berujung pada pelanggaran kepatuhan pelanggan dan menjadi dasar pemutusan kontrak

Gangguan CrowdStrike dan struktur tanggung jawab ganti rugi

  • Kasus CrowdStrike adalah contoh ketika satu pembaruan berujung pada gangguan komputer berskala besar
  • Kemungkinan ganti rugi dibandingkan dengan preseden kasus OVH di Prancis
  • Klausul pembebasan tanggung jawab dalam kontrak umum memiliki efektivitas terbatas di banyak yurisdiksi di luar AS, dan tanggung jawab yang terkait dengan kelalaian berat, tindakan pidana, atau pelanggaran hukum biasanya sulit dikecualikan
  • Intinya adalah kemungkinan ganti rugi muncul ketika kerugian yang terjadi berpadu dengan kesengajaan atau kelalaian

Kegagalan operasional yang terungkap dalam kasus OVH

  • OVH adalah penyedia pusat data dan cloud asal Prancis, yang menyediakan server fisik, mesin virtual, dan berbagai layanan cloud
  • Pada 10 Maret 2021, terjadi kebakaran di lokasi SGB milik OVH
    • Pusat data SGB1 dan SGB2 musnah
    • SGB3 dan SGB4 juga sempat tidak dapat beroperasi selama beberapa waktu
  • Sejumlah situs pelanggan hancur, layanan dan data hilang tanpa dapat dipulihkan, dan beberapa pelanggan mengajukan gugatan terhadap OVH serta menang
  • Poin yang dipandang penting oleh pengadilan adalah hilangnya layanan dan hilangnya backup terjadi secara bersamaan
    • Terjadi kehilangan layanan secara total selama dan setelah insiden
    • Setelah insiden, masih ada kehilangan data yang tidak dapat dipulihkan
    • OVH menyediakan layanan backup kepada pelanggan, tetapi backup itu juga hilang sepenuhnya tanpa dapat dipulihkan
  • Meski ada beberapa pusat data, pada praktiknya semuanya berada di lokasi yang sama dan saling berdekatan, dan pengadilan tidak memandangnya sebagai konfigurasi yang dapat diprediksi atau wajar
  • Penyimpanan backup di pusat data yang sama, atau di pusat data lain yang mungkin berada di lokasi yang sama, juga dinilai tidak wajar
  • OVH berargumen bahwa pelanggan seharusnya mengikuti praktik terbaik dengan menempatkan beberapa backup di lokasi berbeda, tetapi pengadilan menilai OVH sebagai penyedia backup harus menyediakan backup sesuai standar yang wajar
  • Akibatnya, layanan backup OVH gagal memenuhi tujuannya dan dinilai sebagai layanan yang tidak dioperasikan pada tingkat yang wajar

Karakteristik teknis gangguan CrowdStrike

  • CrowdStrike adalah perangkat lunak antivirus atau EDR (Endpoint Detection and Response) yang dipasang pada perangkat perusahaan
  • Perangkat lunak ini berjalan saat komputer dinyalakan dan terintegrasi secara mendalam dengan sistem operasi Windows atau Linux pada level kernel
    • Berjalan secepat mungkin, sebelum komponen lain
    • Dapat memantau item yang dijalankan serta memblokir atau melaporkan item yang mencurigakan
  • Pada 19 Juli 2024, CrowdStrike mendistribusikan pembaruan perangkat lunak, dan pembaruan tersebut membuat komputer yang menerimanya crash
  • Jutaan komputer di seluruh dunia menerima pembaruan secara bersamaan dan masuk ke kondisi berperilaku tidak normal
  • Karena strukturnya berjalan lebih dulu dengan hak istimewa tinggi, bug atau salah penilaian di CrowdStrike dapat menghalangi jalannya perangkat lunak lain atau bahkan sistem itu sendiri

Isu peluncuran, pengujian, dan pemantauan

  • CrowdStrike banyak diterapkan pada perangkat perusahaan besar seperti bank, perjalanan, dan supermarket, serta terutama menargetkan industri penting dan perangkat penting yang menangani informasi rahasia
  • Karena merupakan aplikasi inti yang berjalan di lingkungan sensitif, pengembangan dan pengujiannya membutuhkan perhatian ekstra
  • Pada hari insiden, pembaruan didistribusikan sekaligus ke jutaan perangkat penting, padahal praktik yang baik adalah mendistribusikan upgrade perangkat lunak secara bertahap
  • Isu utamanya berfokus pada bagaimana pembaruan yang rusak bisa menyebar ke jutaan perangkat dalam hitungan menit, serta apakah ada pengujian atau peluncuran bertahap
  • Dalam diskusi online, ada laporan bahwa pelanggan rumah sakit sebelumnya juga mengalami masalah ini dan meminta kendali pembaruan kepada CrowdStrike
    • Seorang pelanggan mengklaim CrowdStrike mengirim memo 50 halaman yang menolak peluncuran bertahap
  • Jika CrowdStrike tidak memiliki fitur peluncuran bertahap atau menolaknya, hal itu dapat bertentangan dengan persyaratan industri teregulasi yang menjadi target penjualannya
  • Pembaruan bermasalah menyebabkan BSOD pada komputer yang menerimanya, dan fakta bahwa pembaruan yang jelas rusak tidak terdeteksi sebelum distribusi eksternal digunakan sebagai dasar untuk menyatakan tidak adanya pengujian
  • Ada laporan bahwa masalah serupa juga terjadi beberapa minggu sebelumnya pada agen CrowdStrike untuk Linux, sehingga muncul argumen bahwa ini sulit dipandang sebagai insiden tunggal semata
  • Setelah pembaruan keliru didistribusikan, CrowdStrike membutuhkan hampir 2 jam untuk menyadari masalah dan menghentikan pembaruan
  • Pengembang perangkat lunak penting harus memantau apakah perangkat lunak berjalan sesuai harapan setelah distribusi dan tidak menimbulkan masalah

Kesulitan pemulihan dan kerugian pelanggan

  • Komputer terdampak menjadi tidak dapat boot, dan pengguna tidak dapat mengakses komputer untuk membuat tiket atau mendiagnosis masalah
  • Di perusahaan terdampak, karyawan menerima komputer yang tidak berfungsi sehingga tidak dapat bekerja
  • Salah satu metode pemulihan adalah tim IT menerima komputer lalu melakukan instal ulang penuh atau reimage
  • Metode lain yang kemudian ditemukan adalah administrator mengakses komputer secara fisik, boot ke safe mode atau recovery mode, lalu menghapus file driver CrowdStrike
  • Pemulihan ini memerlukan akses fisik sekaligus hak administrator
    • Bisa diperlukan kata sandi khusus atau USB key berisi kata sandi untuk memulai laptop ke recovery mode
  • Perusahaan terdampak bisa membutuhkan waktu berminggu-minggu untuk secara fisik mengamankan semua laptop, desktop, dan server pengguna
    • Jumlah perangkat target bisa berkisar dari ribuan hingga ratusan ribu unit
  • Perangkat yang tertutup atau sulit diakses, seperti terminal layar bandara, perangkat dan peralatan medis rumah sakit, serta panel lift, bisa membutuhkan waktu lebih lama
  • Perangkat yang secara fisik terhalang atau tidak diketahui kata sandi pemulihannya bisa saja tidak dapat dipulihkan
  • Karena komputer cadangan juga terdampak masalah yang sama, sulit menyediakan perangkat pengganti bagi pengguna terdampak
  • CrowdStrike adalah perangkat lunak keamanan yang dimaksudkan untuk menjaga komputer tetap berjalan dan melindunginya dari ancaman, tetapi gagal memenuhi tujuannya dengan menonaktifkan komputer yang seharusnya dilindungi

Industri teregulasi dan kemungkinan pemutusan kontrak

  • Pelanggan di industri teregulasi seperti kesehatan, keuangan, kedirgantaraan, dan transportasi harus menguji perubahan, mendistribusikannya secara bertahap, dan melacaknya
  • CrowdStrike menyatakan memiliki berbagai sertifikasi dan standar, tetapi kriteria tersebut mensyaratkan praktik pengembangan tertentu dan pelaksanaan pengujian di beberapa level
  • Jika CrowdStrike tidak menjalankan prosedur semacam itu dan secara aktif menolaknya, hal ini dapat berujung pada pelanggaran kepatuhan oleh CrowdStrike sendiri
  • Penggunaan CrowdStrike juga dapat membuat pelanggan berada dalam kondisi melanggar kepatuhan, dan bagi pelanggan yang menginginkannya, hal ini dapat menjadi dasar yang cukup untuk mengakhiri kontrak CrowdStrike secara sepihak

Kasus pembanding dan dasar tambahan

  • Cara pengujian dan distribusi BitLocker

    • Diskusi tentang cara pengujian dan distribusi oleh karyawan terkait BitLocker digunakan sebagai dasar tambahan
    • BitLocker adalah alat untuk mengenkripsi disk komputer secara aman
    • Saat komputer hilang atau dicuri, alat ini mencegah orang lain membaca data
    • Berjalan lebih dulu saat startup, dan tanpa ini data dari disk tidak dapat dimuat
    • Bug pada BitLocker dapat membuat komputer tidak berfungsi dan seluruh data tidak dapat dibaca, sehingga mirip dengan kehilangan data yang tidak dapat dipulihkan dalam kasus OVH
    • BitLocker melewati beberapa tahap pengujian, mulai dari komputer sendiri, tim sendiri, lalu tim lain

  • Klaim pengalaman gangguan CrowdStrike sebelumnya

    • Pengalaman gangguan CrowdStrike sebelumnya dari karyawan perusahaan anonim juga digunakan sebagai dasar tambahan
    • Perusahaan tersebut mengklaim pernah terdampak masalah CrowdStrike sebelumnya
    • Perusahaan secara resmi meminta CrowdStrike mengizinkan peluncuran bertahap, tetapi mengklaim CrowdStrike mengirim memo 50 halaman yang secara kategoris menolaknya
    • Jika klaim ini benar, memo tersebut dapat menjadi bukti penting yang merugikan CrowdStrike

Bacaan terkait

1 komentar

 
GN⁺ 2024-07-26
Komentar Hacker News

  • Saya bekerja di Prancis untuk penyedia layanan cloud Prancis lainnya, dan saya mengalami insiden OVH secara real time serta melihat semua dampak setelahnya
    OVH dimintai pertanggungjawaban bukan karena gangguan layanan, melainkan karena kehilangan data. Kehilangan data adalah kerugian yang tidak bisa dipulihkan, permanen, dan definitif; sebagian perusahaan pada dasarnya bangkrut karena tidak punya data untuk beroperasi. Yang lebih buruk, OVH menjual “backup offsite” yang secara harfiah hanya berjarak beberapa meter dari data center. Gangguan layanan memang disayangkan, tetapi bisa terjadi, dan ditangani lewat kontrak SLA yang disepakati kedua pihak. Gangguan beberapa hari tidak membuat perusahaan tutup
    Saya ragu CrowdStrike akan memikul tanggung jawab besar terhadap perusahaan-perusahaan. Jika harus mengganti seluruh kerugian, perusahaan itu harus tutup. Namun sektor kesehatan adalah masalah tersendiri, dan tampaknya ini akan mengarah pada bertambahnya regulasi untuk lembaga-lembaga penting

    • Jika kejadian ini tidak berujung pada CrowdStrike gulung tikar, menurut saya itu akan mengirimkan sinyal yang sangat keliru
      Gangguan terbesar dalam sejarah terjadi karena kegagalan parser konfigurasi, dan tampaknya mereka tidak mengikuti praktik terbaik industri dalam penanganan konfigurasi/parsing, serta kemungkinan besar juga tidak mengikuti praktik terbaik dalam pemrograman modul kernel. Kalau begitu, terus terang aneh jika mereka tidak perlu mengajukan pailit karena ganti rugi. Itu tidak berarti perangkat lunaknya akan hilang atau tidak dipelihara; ada banyak cara untuk mencegahnya. Misalnya, Microsoft memang sudah berminat mengakuisisi Falcon
    • Sejauh yang saya pahami, siapa pun yang memakai BitLocker tampaknya kehilangan data secara tidak dapat dipulihkan
      Secara logis, semakin penting datanya, semakin besar kemungkinan data itu hilang. Dari contoh-contoh tidak resmi di sekitar saya, banyak pengguna memakai BitLocker, yang berarti juga ada banyak kehilangan data
      Koreksi: saya melihat bahwa dalam banyak kasus drive terenkripsi BitLocker bisa dipulihkan. Saya penasaran seberapa besar kehilangan data yang sebenarnya
    • Jika sebuah perusahaan tutup karena insiden OVH, bagaimana kerugiannya dihitung? Apakah 1x pendapatan tahunan, berdasarkan laba, atau 5x?

  • Judul ini agak menyesatkan. Sebenarnya ini adalah pandangan pribadi seseorang di blog, meski cukup berwawasan, bukan pernyataan fakta
    Judulnya seharusnya lebih mendekati “Saya pikir CrowdStrike akan bertanggung jawab” atau “CrowdStrike seharusnya bertanggung jawab”

    • Judul lengkapnya, setidaknya saat ini, lebih bernuansa daripada yang terlihat di HN: “Berdasarkan preseden OVH, CrowdStrike akan bertanggung jawab atas ganti rugi di Prancis”

  • Ini pengingat yang baik bahwa klausul pembebasan tanggung jawab umum yang sering terlihat dalam perjanjian lisensi bisa jadi tidak berarti di luar yurisdiksi AS jika Anda berbisnis di yurisdiksi lain

    • Mengherankan betapa banyak perusahaan teknologi AS yang terkejut mengetahui bahwa saat bekerja di yurisdiksi lain mereka harus mematuhi hukum ketenagakerjaan dan perlindungan data, atau mengira hal itu boleh diabaikan
    • Saya penasaran apakah ada situs semacam peta tanggung jawab yang menunjukkan sejauh mana tanggung jawab dalam lisensi perangkat lunak umum dapat dikecualikan menurut hukum di tiap negara

  • Sepertinya sudah ada sangat banyak penggugat yang berbicara dengan pengacara tentang cara mendapatkan kompensasi. Bukan hanya di Prancis, tetapi di seluruh dunia
    Saya penasaran bagaimana hal seperti ini diorganisasi ketika yurisdiksinya sebanyak ini

    • Secara teori sederhana. Jika CrowdStrike menjalankan bisnis di negara/bagian X, klaim kompensasi diproses di pengadilan X
      Jadi banyak pengadilan dan pengacara di seluruh dunia akan cukup sibuk dengan kasus ini untuk sementara waktu

  • Saya bukan pengacara, apalagi pengacara Prancis, tetapi menurut saya perbandingan dengan OVH tidak tepat
    Dalam kasus OVH, seluruh sistem backup gagal. Banyak pelanggan kehilangan semua datanya, dan menurut artikel tersebut, “pengadilan menilai layanan backup OVH tidak dioperasikan pada tingkat yang wajar dan tidak mencapai tujuannya”
    Sebaliknya, CrowdStrike “hanya” membuat kernel pelanggan crash selama sekitar 1 jam. Selama itu mereka mungkin 100% aman dari serangan siber. Keterlambatan berikutnya untuk menyalakan kembali sistem, menurut saya, disebabkan rencana pemulihan bencana para pelanggan yang kurang memadai. Memang jelas ada ruang untuk memperdebatkan bahwa perangkat lunak CrowdStrike “tidak berada pada tingkat yang wajar”, tetapi dampak primernya, yaitu crash perangkat lunak, sama sekali tidak sebanding skalanya dengan kehilangan seluruh data secara permanen di dalam kobaran api secara harfiah seperti OVH
    Perangkat lunak selalu crash. Suka atau tidak, di sebagian besar industri bug perangkat lunak diperlakukan sebagai sesuatu yang tak terhindarkan. Tentu ada pengecualian. “Tanggung jawab” atas bug perangkat lunak ada pada pemasok, tetapi mitigasi dampaknya menjadi tanggung jawab mereka yang menerapkannya. Satu-satunya alasan insiden CrowdStrike menjadi berita dibandingkan crash perangkat lunak lain yang terjadi setiap hari adalah karena banyak pelanggan CrowdStrike menyisipkan perangkat lunak ini ke berbagai jalur kritis
    CrowdStrike menjual satu kartu truf, dan para pelanggannya secara kolektif membangun rumah dengannya
    P.S.: Saya harap ini tidak dianggap sebagai pembelaan terhadap CrowdStrike. Menurut saya perangkat lunak mereka buruk dan dikembangkan secara ceroboh. Saya pikir mereka harus membayar harga atas kecerobohan itu, tetapi dalam kerangka hukum saat ini sepertinya itu tidak akan terjadi. Paling-paling, ke depannya orang bisa memilih dengan dompet mereka

    • “Sekitar 1 jam” sama sekali tidak benar
      Sebagian besar komputer yang terdampak cacat itu terjebak dalam boot loop dan tidak bisa mengunduh perbaikan, sehingga diperlukan tindakan fisik melalui boot ke safe mode. Sejauh yang saya pahami, dalam kebanyakan kasus teknisi IT harus datang ke lokasi dan mengakses komputer secara fisik untuk memperbaikinya
      Bahkan setelah satu minggu, yaitu 168 jam, masih ada sangat banyak komputer yang menjadi brick karena cacat ini. Karena memperbaikinya sangat sulit
    • Ini bukan sekadar crash; ia membuat 100% komputer yang sedang berjalan saat itu crash, dan dengan cara yang memerlukan intervensi fisik untuk pulih
      Jadi ini harus dilihat cukup berbeda dari crash biasa. Pemulihannya jauh lebih sulit, dan memengaruhi banyak komputer sekaligus
      Selain itu, ada juga perusahaan yang prosedur pemulihan internalnya gagal. Namun sekalipun prosedurnya bagus, ini tetap bisa menjadi gangguan besar. Karena tidak mudah dibalikkan, dan biasanya memengaruhi sekaligus berbagai konfigurasi yang dibuat redundan untuk menghadapi banyak gangguan lain
    • Yang memicu rencana pemulihan bencana seharusnya bukan pemasok. Itu secara harfiah tugas bencana

  • Bisa dijelaskan mengapa fungsi perlindungan yang disediakan Falcon tidak disediakan oleh sistem operasi itu sendiri? Bukannya saya sama sekali tidak tahu; saya juga sudah cukup banyak mengamankan server Linux penting, tetapi di Windows pembagian peran keamanan rasanya tidak sejelas itu
    Dibandingkan dengan Red Hat atau Canonical, di sana rasanya pengguna sedang “bertarung” melawan keamanan sistem agar aplikasi saya bisa digunakan, dan justru itu terasa seperti arah yang benar

    • Saya membaca artikel bahwa Microsoft kalah dalam gugatan antimonopoli di UE, dan UE menuntut agar pesaing pihak ketiga juga bisa menyediakan layanan ini. Solusi Microsoft sendiri adalah Windows Defender
      https://www.theregister.com/2024/07/22/windows_crowdstrike_k...
    • Pada prinsipnya, Falcon menyediakan perlindungan di beberapa level. Dalam praktiknya, melihat ketidakmampuan ekstrem yang terungkap dalam insiden ini, saya jadi curiga mungkin paling-paling ini hanya setara menjual obat mujarab palsu
      Sebagiannya punya alternatif bawaan sistem operasi, sebagiannya tidak, dan sebagian besar tidak tertanam secara default di Linux. Misalnya, tim kernel Linux tidak memiliki basis data signature malware untuk memeriksa komponen perangkat lunak baru sebelum kernel, sistem init, atau shell menjalankannya. Falcon melakukan itu
      Contoh lain, Linux atau ruang pengguna Linux pada umumnya saat ini tidak terintegrasi secara default dengan sistem manajemen fleet untuk memastikan apakah pengguna saat ini boleh menjalankan perangkat lunak tertentu. Ada beberapa pertanyaan serupa
      Terakhir, bahkan jika sistem operasi menyediakan layanan seperti ini secara bawaan—misalnya Windows Enterprise menyediakan fungsi-fungsi di atas—tetap masuk akal untuk lebih memilih solusi dari vendor lain. Misalnya, Anda bisa lebih memercayai daftar signature malware CrowdStrike daripada Microsoft, dan itu menjadi alasan untuk membeli CrowdStrike alih-alih Windows Defender
      Saya tidak bermaksud membela CrowdStrike atau Windows. Hanya saja, di bawah payung keamanan jelas ada banyak fungsi yang mungkin tidak ingin dimasukkan ke sistem operasi itu sendiri, dan bahkan jika ada versi bawaan, perusahaan bisa saja menginginkan pemasok lain
    • Windows punya Defender, dan sampai tingkat tertentu melacak signature dan heuristik untuk berbagai jenis malware
      Namun terbukti itu tidak cukup untuk mencegah berbagai masalah dunia nyata seperti ransomware
      Karena itu muncullah pasar solusi pihak ketiga yang lebih agresif. Untuk mengikuti ancaman nyata, solusi ini harus sering diperbarui dan berjalan dengan tingkat hak istimewa tinggi. Akibatnya, solusi pihak ketiga seperti ini bisa menyebabkan blue screen atau boot loop. Maka cara distribusi pembaruannya harus dirancang dengan sangat baik
    • Bahkan tanpa eskalasi hak istimewa, perilaku berbahaya bisa dilakukan di ruang pengguna
      Misalnya mengunduh file lalu menjalankan isinya sebagai kode, atau mengunggah maupun mengenkripsi semua file yang dapat diakses
      CrowdStrike dan Defender menangani perilaku yang mungkin terjadi tetapi mencurigakan seperti ini
    • CrowdStrike Falcon EDR dalam arti tertentu adalah antivirus yang diperkuat, dan CrowdStrike juga tidak hanya mengerjakan EDR
      Memang diterapkan di banyak sistem, tetapi fakta bahwa jumlahnya kurang dari 1% sistem Windows berarti secara absolut ini tetap area niche. Kebanyakan orang bahkan tidak tahu CrowdStrike itu sendiri, apalagi para pesaingnya
      Menurut saya salah satu perbedaan besar antara CrowdStrike dan antivirus adalah bahwa biayanya terlalu besar sehingga tidak diasumsikan selalu ada manusia yang turun tangan. Pada perangkat lunak konsumen, ini juga tidak feasible karena masalah privasi
      Bahkan di niche kecil ini pun solusinya sangat beragam, tidak terlalu bermakna untuk satu mesin tunggal, dan mungkin sebenarnya dirancang untuk bekerja pada level jaringan

  • Saat berurusan dengan konsumen, saya tahu hal seperti ini mungkin terjadi, tetapi saya mengira kontrak B2B dianggap sebagai kontrak antara dua pihak yang canggih, sehingga hampir tidak ada perlindungan legislatif di luar ketentuan kontrak
    Pemahaman hukum saya sebagian besar berdasarkan Inggris, tetapi ketika peristiwa yang menimbulkan tanggung jawab bukan di bidang kesehatan dan keselamatan atau area lain yang sangat diatur undang-undang, melainkan masalah itikad baik/kompetensi umum dalam pelaksanaan kontrak, saya tidak terlalu tahu adanya hukum yang dapat meniadakan klausul pembatasan tanggung jawab
    Jadi saya tidak yakin dengan isi artikel yang mengatakan bahwa ini bukan sekadar masalah “sistem hukum Prancis” dan bahwa putusan sejenis bisa muncul di yurisdiksi lain

    • Seperti yang sudah disebutkan dalam artikel, di sebagian besar yurisdiksi, tanggung jawab atas kelalaian berat tidak bisa dihapus lewat kontrak. Di yurisdiksi seperti itu, pada akhirnya bagian itulah yang akan menjadi pokok sengketa
      Jika mereka sengaja tidak menerapkan peluncuran bertahap, di mata saya itu tampak seperti kelalaian, meski saya bukan pengacara. Ada alasan kenapa canary dikorbankan
    • Pertama-tama, ini benar-benar berdampak pada bidang kesehatan dan keselamatan. Rumah sakit dan layanan darurat mengalami penurunan layanan yang serius, dan pasti ada kematian yang dapat dicegah yang bisa dilacak langsung ke CrowdStrike
    • Menurut saya gagasan umumnya adalah bahwa kelalaian berat merupakan pelanggaran kontrak. Setiap kontrak secara implisit mengandaikan bahwa kedua pihak akan berupaya dengan itikad baik untuk mematuhi ketentuan kontrak
      Jika tidak demikian, itu bisa menjadi pelanggaran kontrak, dan klausul pembatasan tanggung jawab mungkin tidak lagi berlaku

  • Ini bukan hanya urusan Prancis
    Sebagian besar, mungkin semua negara UE, memiliki hukum yang membatasi penghindaran tanggung jawab apa pun yang ditulis dalam kontrak
    Saya tidak tahu batas pastinya di tiap negara, tetapi saya cukup yakin setidaknya rumah sakit, layanan panggilan darurat, dan sejenisnya bisa menggugat atas bagian kerugian yang tidak dapat diabaikan yang secara langsung disebabkan oleh gangguan tersebut
    Individu yang dirugikan karena tidak mendapat operasi tepat waktu juga kemungkinan besar bisa menggugat atas seluruh kerugian yang dialaminya. Namun perhitungan kerugiannya sulit, dan mungkin harus berjalan secara tidak langsung: menggugat rumah sakit terlebih dahulu, lalu rumah sakit menuntut kerugian yang lebih besar
    Bagian yang mungkin sulit digugat adalah kerugian biaya peluang, biaya tenaga kerja untuk pemulihan, dan sejenisnya
    Selain itu, dalam banyak kasus yang tidak seserius korban jiwa tetapi juga tidak seindirek kerugian biaya peluang, faktor besar tampaknya adalah bagaimana hakim menilai tingkat kelalaian. Di sini “kelalaian” bukan hanya perubahan spesifik yang menciptakan bug, tetapi juga apakah kewajiban kehati-hatian telah dipenuhi dalam pemilihan alat, pendekatan, proses bisnis, dan sebagainya untuk mengurangi risiko secara wajar. Misalnya apakah cara parsing konfigurasi tidak tepat, apakah praktik terbaik industri diikuti—menurut saya tampaknya tidak. Atau apakah tepat menandai driver tersebut sebagai wajib untuk boot. Jika tidak, Windows mestinya akan menonaktifkannya secara otomatis lalu melakukan restart

  • Tertulis “pada 19 Juli 2019 CrowdStrike mendistribusikan pembaruan perangkat lunak”, tetapi sepertinya tahun yang dimaksud adalah 2024

  • Untuk bagian “ini bukan insiden yang terisolasi. Beberapa minggu sebelumnya hal yang sama terjadi pada agen CrowdStrike di Linux hingga merusak sistem, dan sebelumnya pun mungkin ada kasus lain”, apakah ada tautan untuk insiden ini?