কিভাবে GDPR ব্যক্তিগত তথ্য ফাঁস ঘটায়

ইউরোপীয় ইউনিয়নের নাগরিকদের তাদের ব্যক্তিগত ডেটার উপর আরও নিয়ন্ত্রণ দেওয়ার জন্য GDPR তৈরি করা হয়েছিল। এবং অভিযোগের সংখ্যার পরিপ্রেক্ষিতে, লক্ষ্যটি "অর্জিত" হয়েছিল: গত বছর ধরে, ইউরোপীয়রা প্রায়শই সংস্থাগুলির লঙ্ঘনের রিপোর্ট করতে শুরু করেছিল এবং সংস্থাগুলি নিজেরাই পেয়েছিল অনেক প্রবিধান এবং জরিমানা না পাওয়ার জন্য দ্রুত দুর্বলতা বন্ধ করতে শুরু করে। কিন্তু "হঠাৎ" দেখা গেল যে জিডিপিআর সবচেয়ে দৃশ্যমান এবং কার্যকর যখন এটি আর্থিক নিষেধাজ্ঞা এড়ানো বা এটি মেনে চলার খুব প্রয়োজন হয়। এবং আরও বেশি - ব্যক্তিগত ডেটা ফাঁস বন্ধ করার জন্য ডিজাইন করা হয়েছে, আপডেট করা নিয়ম তাদের কারণ হয়ে ওঠে।

এখানে কি ঘটছে তা বলা যাক.

Фото - দান মুইজ - আনস্প্ল্যাশ

সমস্যা কি

GDPR এর অধীনে, EU নাগরিকদের একটি কোম্পানির সার্ভারে সঞ্চিত তাদের ব্যক্তিগত ডেটার একটি অনুলিপি অনুরোধ করার অধিকার রয়েছে। সম্প্রতি এটি জানা গেছে যে এই প্রক্রিয়াটি অন্য ব্যক্তির পিডি সংগ্রহ করতে ব্যবহার করা যেতে পারে। ব্ল্যাক হ্যাট সম্মেলনে অংশগ্রহণকারীদের একজন একটি পরীক্ষা পরিচালনা করেছেন, যার সময় তিনি বিভিন্ন কোম্পানি থেকে তার বাগদত্তার ব্যক্তিগত তথ্য সহ আর্কাইভ পেয়েছিলেন। তিনি তার পক্ষে 150টি সংস্থার কাছে প্রাসঙ্গিক অনুরোধ পাঠিয়েছেন। মজার বিষয় হল, 24% কোম্পানীর পরিচয়ের প্রমাণ হিসাবে শুধুমাত্র একটি ইমেল ঠিকানা এবং একটি ফোন নম্বর প্রয়োজন - সেগুলি পাওয়ার পরে, তারা ফাইল সহ একটি সংরক্ষণাগার ফিরিয়ে দিয়েছে। প্রায় 16% সংস্থা অতিরিক্তভাবে একটি পাসপোর্টের (বা অন্যান্য নথি) ছবি তোলার অনুরোধ করেছে।

ফলস্বরূপ, জেমস সামাজিক নিরাপত্তা এবং ক্রেডিট কার্ড নম্বর, জন্ম তারিখ, প্রথম নাম এবং তার "ভিকটিম" এর আবাসিক ঠিকানা পেতে সক্ষম হয়েছিল। একটি পরিষেবা যা আপনাকে একটি ইমেল ঠিকানা ফাঁস হয়েছে কিনা তা পরীক্ষা করতে দেয় (একটি পরিষেবার উদাহরণ হবে৷ আমি কি pwned হয়েছে?), এমনকি পূর্বে ব্যবহৃত প্রমাণীকরণ ডেটার একটি তালিকা পাঠিয়েছে। এই তথ্য হ্যাকিং হতে পারে যদি ব্যবহারকারী কখনো পাসওয়ার্ড পরিবর্তন না করে বা অন্য কোথাও ব্যবহার না করে।

অন্যান্য উদাহরণ রয়েছে যেখানে ডেটা "ভুলভাবে" পাঠানোর পরে ভুল হাতে শেষ হয়েছে। তাই, তিন মাস আগে Reddit ব্যবহারকারীদের একজন অনুরোধ এপিক গেমস থেকে আপনার সম্পর্কে ব্যক্তিগত তথ্য। যাইহোক, তিনি ভুল করে তার পিডি অন্য একজন খেলোয়াড়ের কাছে পাঠিয়েছেন। গত বছর একই ঘটনা ঘটেছিল। আমাজন ক্লায়েন্ট আমি দুর্ঘটনাক্রমে এটি পেয়েছি একটি 100-মেগাবাইট আর্কাইভ সহ আলেক্সাকে ইন্টারনেট অনুরোধ এবং অন্য ব্যবহারকারীর হাজার হাজার WAF ফাইল।

Фото - টম সোডোজ - আনস্প্ল্যাশ

বিশেষজ্ঞরা বলছেন যে এই ধরনের পরিস্থিতির একটি প্রধান কারণ হল সাধারণ তথ্য সুরক্ষা রেগুলেশনের অসম্পূর্ণতা। বিশেষ করে, GDPR নির্দিষ্ট সময়সীমা নির্দিষ্ট করে যার মধ্যে একটি কোম্পানিকে ব্যবহারকারীর অনুরোধের জবাব দিতে হবে (এক মাসের মধ্যে) এবং জরিমানা নির্দিষ্ট করে-20 মিলিয়ন ইউরো পর্যন্ত বা বার্ষিক রাজস্বের 4%-এই প্রয়োজনীয়তা মেনে চলতে ব্যর্থতার জন্য। যাইহোক, প্রকৃত পদ্ধতিগুলি যা কোম্পানিগুলিকে আইন মেনে চলতে সাহায্য করবে (উদাহরণস্বরূপ, নিশ্চিত করা যে ডেটা তার মালিকের কাছে পাঠানো হয়েছে) এতে নির্দিষ্ট করা নেই। অতএব, সংস্থাগুলিকে স্বাধীনভাবে (কখনও কখনও ট্রায়াল এবং ত্রুটির মাধ্যমে) তাদের কাজের প্রক্রিয়াগুলি তৈরি করতে হবে।

আমি কিভাবে পরিস্থিতির উন্নতি করতে পারি?

সবচেয়ে আমূল প্রস্তাবগুলির মধ্যে একটি হল জিডিপিআর ত্যাগ করা বা এটিকে আমূলভাবে পুনর্নির্মাণ করা। একটি মতামত আছে যে তার বর্তমান আকারে আইন কাজ করে না, যেহেতু এটি খুব জটিল এবং অত্যধিক কঠোর, এবং আপনাকে এর সমস্ত প্রয়োজনীয়তা পূরণ করতে প্রচুর অর্থ ব্যয় করতে হবে।

উদাহরণস্বরূপ, গত বছর সুপার সোমবার নাইট কমব্যাট গেমের বিকাশকারীরা তাদের প্রকল্প বাতিল করতে বাধ্য হয়েছিল। এর নির্মাতাদের মতে, জিডিপিআর-এর জন্য সিস্টেমগুলিকে পুনরায় ডিজাইন করতে বাজেটের প্রয়োজন বাজেট ছাড়িয়ে গেছে, সাত বছর বয়সী খেলা বরাদ্দ.

"ছোট এবং মাঝারি আকারের ব্যবসায়গুলি প্রায়শই নিয়ন্ত্রকদের প্রয়োজনীয়তা বোঝার এবং প্রয়োজনীয় প্রস্তুতি নেওয়ার জন্য প্রযুক্তিগত এবং মানবসম্পদ থাকে না," মন্তব্য সের্গেই বেলকিন, আইএএএস প্রদানকারীর উন্নয়ন বিভাগের প্রধান 1Cloud.ru. “এখানে বড় বিক্রেতা এবং IaaS প্রদানকারীরা উদ্ধারে আসতে পারে, ভাড়ার জন্য নিরাপদ আইটি অবকাঠামো প্রদান করে। উদাহরণস্বরূপ, 1cloud.ru এ আমরা একটি ডেটা সেন্টারে আমাদের সরঞ্জাম রাখি, প্রত্যয়িত তৃতীয় স্তরের মান অনুযায়ী এবং ক্লায়েন্টদের রাশিয়ান ফেডারেল আইন-152 "ব্যক্তিগত ডেটাতে" এর প্রয়োজনীয়তাগুলি মেনে চলতে সহায়তা করে।

Фото - ক্রোমাটোগ্রাফ - আনস্প্ল্যাশ

এখানে একটি বিপরীত দৃষ্টিভঙ্গিও রয়েছে যে এখানে সমস্যাটি আইনের মধ্যে নয়, তবে সংস্থাগুলির প্রয়োজনীয়তাগুলি কেবল আনুষ্ঠানিকভাবে পূরণ করার ইচ্ছার মধ্যে রয়েছে। হ্যাকার নিউজের বাসিন্দাদের একজন তিনি উল্ল্যেখ করেছিলেন: ব্যক্তিগত তথ্য ফাঁসের কারণ হল সংস্থাগুলি বাস্তবায়ন করবেন না সহজতম যাচাইকরণ প্রক্রিয়া, যা সাধারণ জ্ঞান দ্বারা নির্ধারিত হয়।

একভাবে বা অন্যভাবে, ইউরোপীয় ইউনিয়ন অদূর ভবিষ্যতে জিডিপিআর পরিত্যাগ করতে যাচ্ছে না, তাই ব্ল্যাক হ্যাট সম্মেলনের সময় যে পরিস্থিতি আলোকিত হয়েছিল তা কোম্পানিগুলির ব্যক্তিগত ডেটার সুরক্ষায় আরও মনোযোগ দেওয়ার জন্য একটি প্রণোদনা হিসাবে কাজ করা উচিত।

আমরা আমাদের ব্লগ এবং সামাজিক নেটওয়ার্কগুলিতে যা লিখি:

766 কিমি - LoRaWAN এর জন্য একটি নতুন রেঞ্জ রেকর্ড
কে SAML 2.0 প্রমাণীকরণ প্রোটোকল ব্যবহার করে

বিগ ডেটা: দুর্দান্ত সুযোগ বা বড় প্রতারণা
ব্যক্তিগত ডেটা: পাবলিক ক্লাউডের বৈশিষ্ট্য

যারা ইতিমধ্যে সিস্টেম প্রশাসনের সাথে জড়িত বা শুরু করার পরিকল্পনা করছেন তাদের জন্য বইয়ের একটি নির্বাচন
1ক্লাউড প্রযুক্তিগত সহায়তা কিভাবে কাজ করে?

মস্কোতে 1ক্লাউড অবকাঠামো অবস্থিত ডেটাস্পেসে। এটিই প্রথম রাশিয়ান ডেটা সেন্টার যা আপটাইম ইনস্টিটিউট থেকে টিয়ার এলএলএল সার্টিফিকেশন পাস করেছে।

উত্স: www.habr.com