Tanggung jawab ganti rugi CrowdStrike di Prancis berdasarkan preseden OVH

Kemungkinan CrowdStrike bertanggung jawab atas ganti rugi di Prancis

• Diperkirakan insiden CrowdStrike terbaru menonaktifkan 8,5 juta komputer dan menyebabkan kerugian lebih dari 5,4 miliar dolar AS
• Kemungkinan besar CrowdStrike akan memikul tanggung jawab ganti rugi
• Di Prancis, pernah ada kasus serupa dengan insiden OVH

Tentang OVH

• OVH adalah penyedia pusat data dan cloud terbesar di Eropa, yang menyediakan server fisik, mesin virtual, dan berbagai layanan cloud
• Pada 10 Maret 2021, terjadi kebakaran di lokasi SGB yang menghanguskan dua pusat data dan membuat dua pusat data lainnya sementara tidak dapat beroperasi
• Sejumlah pelanggan menuntut ganti rugi dan memenangkan gugatan
• Pokok pembahasan utama di pengadilan:
  • Layanan terhenti sepenuhnya selama dan setelah insiden
  • Data hilang sepenuhnya dan tidak dapat dipulihkan
  • OVH menyediakan layanan backup, tetapi backup tersebut juga hilang dan tidak dapat dipulihkan
  • Beberapa pusat data berlokasi berdekatan, tetapi semuanya berada di tempat yang sama sehingga dinilai tidak masuk akal oleh pengadilan
  • Pengadilan juga menilai tidak masuk akal jika backup disimpan di pusat data yang sama atau di pusat data lain yang berada di lokasi yang sama
  • Pengadilan mengakui bahwa menyimpan backup di beberapa lokasi adalah praktik yang baik bagi pelanggan
  • Pengadilan memutuskan bahwa OVH, sebagai penyedia backup, harus mematuhi standar yang wajar
  • Diputuskan bahwa layanan backup OVH tidak memenuhi standar yang wajar dan gagal mencapai tujuannya

Tentang CrowdStrike

• CrowdStrike adalah perangkat lunak antivirus yang dipasang di komputer dan terutama digunakan pada perangkat perusahaan besar
• Pada 19 Juli 2024, CrowdStrike merilis pembaruan perangkat lunak, tetapi pembaruan ini menyebabkan kesalahan yang menonaktifkan jutaan komputer
• Poin pembahasan utama:
  • CrowdStrike berjalan dalam mode hak istimewa tinggi saat komputer dinyalakan
  • Didistribusikan ke jutaan perangkat penting
  • Pembaruan didistribusikan ke jutaan perangkat secara bersamaan
  • Menjalankan upgrade perangkat lunak secara bertahap adalah praktik yang baik
  • CrowdStrike tidak melakukan pengujian dan rollout bertahap
  • Pelanggan sebelumnya telah mengangkat masalah ini, tetapi CrowdStrike menolaknya
  • Masalah tidak disadari selama hampir dua jam setelah pembaruan didistribusikan
  • Semua komputer menjadi nonaktif sehingga pengguna tidak dapat memperbaiki masalah sendiri
  • Tim IT harus mengakses perangkat secara fisik untuk memasang ulang komputer atau menghapus file driver
  • Pemulihan ribuan hingga ratusan ribu perangkat akan memakan waktu berminggu-minggu
  • Beberapa perangkat penting mungkin tidak dapat dipulihkan
  • CrowdStrike justru merusak komputer yang seharusnya dilindunginya
  • Hal ini menyebabkan kerugian serius bagi pelanggan

Ringkasan GN⁺

• Seperti pada kasus OVH, kemungkinan besar CrowdStrike juga akan dimintai tanggung jawab ganti rugi
• Kesalahan pada pembaruan CrowdStrike menonaktifkan jutaan komputer dan menyebabkan kerugian besar bagi perusahaan
• Insiden ini menekankan pentingnya distribusi dan pengujian perangkat lunak, terutama perlunya verifikasi yang jauh lebih ketat untuk perangkat lunak yang didistribusikan ke perangkat penting
• Perangkat lunak keamanan lain dengan fungsi serupa antara lain Symantec dan McAfee

[GN⁺]

Opini Hacker News

• Sebagai orang yang bekerja di CSP Prancis, saya mengalami kasus OVH secara langsung

  • OVH dimintai pertanggungjawaban karena kehilangan data
  • Kehilangan data adalah masalah permanen dan tidak dapat dipulihkan
  • Beberapa perusahaan menjadi tidak bisa beroperasi akibat kehilangan data
  • Gangguan layanan adalah masalah yang bisa diselesaikan lewat kontrak SLA
  • CrowdStrike tampaknya tidak akan menanggung tanggung jawab yang besar
  • Sektor kesehatan akan memerlukan regulasi yang lebih ketat

• Judul ini menyesatkan

  • Ini menyampaikan opini pribadi seolah-olah sebagai fakta
  • Ungkapan seperti "Saya pikir CrowdStrike harus bertanggung jawab" akan lebih tepat

• Klausul pembebasan tanggung jawab umum tidak berarti banyak di yurisdiksi di luar AS

• Membandingkan kasus OVH dan CrowdStrike tidak tepat

  • OVH mengalami kegagalan pada seluruh sistem cadangan
  • CrowdStrike menjatuhkan kernel pelanggan selama sekitar 1 jam
  • Bug perangkat lunak diperlakukan sebagai sesuatu yang tak terhindarkan di sebagian besar industri
  • Perangkat lunak CrowdStrike menjadi berita karena disisipkan ke banyak jalur penting
  • Perangkat lunak CrowdStrike dikembangkan dengan buruk
  • Kemungkinannya kecil untuk dimintai tanggung jawab dalam kerangka hukum yang ada
  • Pelanggan kemungkinan akan memberikan suara lewat dompet mereka

• Banyak pihak yang menuntut kemungkinan sudah berupaya mendapatkan kompensasi melalui pengacara

  • Saya penasaran bagaimana hal ini diorganisasi di berbagai yurisdiksi

• Saya penasaran mengapa fitur perlindungan yang disediakan Falcon tidak disediakan oleh OS itu sendiri

  • Di Windows, tidak ada peran keamanan yang jelas
  • Ini dibandingkan dengan Red Hat atau Canonical

• Kontrak B2B menganggap kedua pihak sama-sama kompeten

  • Hampir tidak ada perlindungan hukum di luar ketentuan kontrak
  • Ini berdasarkan pemahaman saya tentang hukum Inggris

• Sebagian besar negara UE memiliki undang-undang yang membatasi tanggung jawab

  • Rumah sakit, layanan darurat, dan lainnya dapat mengajukan gugatan atas kerugian langsung
  • Individu juga dapat menggugat atas kerugian
  • Biaya peluang atau biaya tenaga kerja akan sulit digugat
  • Tingkat kelalaian akan menjadi faktor penting

• Pada 19 Juli 2019, CrowdStrike mendorong pembaruan perangkat lunak

  • Tahunnya tampaknya salah dan seharusnya 2024

• Beberapa minggu lalu ada insiden agen CrowdStrike yang merusak sistem Linux

  • Saya penasaran apakah ini terkait dengan kejadian tersebut