Как GDPR предизвика изтичане на лични данни

GDPR е създаден, за да даде на гражданите на ЕС повече контрол върху техните лични данни. И по отношение на броя на жалбите, целта беше „постигната“: през последната година европейците започнаха да докладват по-често за нарушения от страна на компаниите, а самите компании получиха много наредби и започна бързо да затваря уязвимостите, за да не получи глоба. Но „внезапно“ се оказа, че GDPR е най-видим и ефективен, когато става въпрос или за избягване на финансови санкции, или за самата необходимост от спазването му. И още повече – предназначен да сложи край на изтичането на лични данни, обновеният регламент се превръща в тяхна кауза.

Нека ви кажем какво става тук.

Снимка - Даан Муидж — Unplash

Какъв е проблемът

Съгласно GDPR гражданите на ЕС имат право да поискат копие от личните си данни, съхранявани на сървърите на компанията. Наскоро стана известно, че този механизъм може да се използва за събиране на PD на друго лице. Един от участниците в конференцията Black Hat проведе експеримент, по време на който получава архиви с лични данни на годеницата си от различни фирми. Той изпрати съответни молби от нейно име до 150 организации. Интересното е, че 24% от компаниите се нуждаеха само от имейл адрес и телефонен номер като доказателство за самоличност - след като ги получиха, те върнаха архив с файлове. Около 16% от организациите са поискали допълнително снимки на паспорт (или друг документ).

В резултат на това Джеймс успява да получи номерата на социалното осигуряване и кредитната карта, датата на раждане, моминското име и адреса на местоживеене на своята „жертва“. Една услуга, която ви позволява да проверите дали даден имейл адрес е изтекъл (пример за услуга би бил Убит ли съм?), дори изпрати списък с използвани преди това данни за удостоверяване. Тази информация може да доведе до хакване, ако потребителят никога не е променял паролите или ги е използвал някъде другаде.

Има и други примери, при които данните са попаднали в грешни ръце, след като са били „погрешно“ изпратени. И така, преди три месеца един от потребителите на Reddit попита лична информация за вас от Epic Games. Въпреки това, тя по погрешка изпрати неговия PD на друг играч. Подобна история се случи миналата година. Клиент на Amazon Получих го случайно 100-мегабайтов архив с интернет заявки към Alexa и хиляди WAF файлове на друг потребител.

Снимка - Том Сододж — Unplash

Експертите твърдят, че една от основните причини за възникването на подобни ситуации е непълнотата на Общия регламент за защита на данните. По-специално, GDPR определя времевата рамка, в рамките на която една компания трябва да отговори на заявките на потребителите (в рамките на един месец) и определя глоби - до 20 милиона евро или 4% от годишните приходи - за неспазване на това изискване. В него обаче не са посочени действителните процедури, които трябва да помогнат на компаниите да спазват закона (например да се уверят, че данните се изпращат на собственика им). Следователно организациите трябва самостоятелно (понякога чрез проба и грешка) да изграждат своите работни процеси.

Как мога да подобря ситуацията?

Едно от най-радикалните предложения е да се откаже от GDPR или радикално да се преработи. Има мнение, че в сегашния си вид законът не работи, тъй като е много комплекс и прекалено строг и трябва да похарчите много пари, за да изпълните всичките му изисквания.

Например миналата година разработчиците на играта Super Monday Night Combat бяха принудени да отменят своя проект. Според създателите му, бюджетът е необходим за редизайн на системите за GDPR надвишен бюджет, разпределени към седемгодишната игра.

„Малките и средни предприятия наистина често нямат технологични и човешки ресурси, за да разберат изискванията на регулаторите и да направят необходимата подготовка“, коментира Сергей Белкин, ръководител на отдела за развитие на доставчика на IaaS 1cloud.ru. „Тук големите доставчици и доставчиците на IaaS могат да се притекат на помощ, предоставяйки сигурна ИТ инфраструктура под наем. Например в 1cloud.ru поставяме оборудването си в център за данни, сертифицирани съгласно стандарта Tier III и помага на клиентите да спазват изискванията на Руския федерален закон-152 „За личните данни“.

Снимка - хроматограф — Unplash

Има и противоположна гледна точка, че тук проблемът не е в самия закон, а в желанието на фирмите да изпълнят изискванията му само формално. Един от жителите на Hacker News Той отбеляза,: причината за изтичането на лични данни се крие във факта, че организациите не изпълняват най-простите механизми за проверка, които са продиктувани от здравия разум.

По един или друг начин Европейският съюз няма да се откаже от GDPR в близко бъдеще, така че ситуацията, която беше осветлена по време на конференцията Black Hat, трябва да послужи като стимул за компаниите да обърнат повече внимание на сигурността на личните данни.

За какво пишем в нашите блогове и социални мрежи:

766 км - нов рекорд за обхват на LoRaWAN
Кой използва протокола за удостоверяване SAML 2.0

Големи данни: големи възможности или голяма измама
Лични данни: характеристики на публичния облак

Селекция от книги за тези, които вече се занимават със системна администрация или планират да започнат
Как работи техническата поддръжка на 1cloud?

1 облачна инфраструктура в Москва се намира в Dataspace. Това е първият руски център за данни, преминал сертификация Tier III от Uptime Institute.

Източник: www.habr.com