जीडीपीआर कैसे व्यक्तिगत डेटा लीक का कारण बना?

जीडीपीआर यूरोपीय संघ के नागरिकों को उनके व्यक्तिगत डेटा पर अधिक नियंत्रण देने के लिए बनाया गया था। और शिकायतों की संख्या के संदर्भ में, लक्ष्य "प्राप्त" किया गया था: पिछले वर्ष में, यूरोपीय लोगों ने कंपनियों द्वारा उल्लंघनों की अधिक बार रिपोर्ट करना शुरू कर दिया, और कंपनियों ने स्वयं प्राप्त किया कई नियम और कमजोरियों को जल्दी से बंद करना शुरू कर दिया ताकि जुर्माना न मिले। लेकिन "अचानक" यह पता चला कि जब वित्तीय प्रतिबंधों से बचने या इसके अनुपालन की आवश्यकता की बात आती है तो जीडीपीआर सबसे अधिक दिखाई देने वाला और प्रभावी होता है। और इससे भी अधिक - व्यक्तिगत डेटा लीक को समाप्त करने के लिए डिज़ाइन किया गया, अद्यतन विनियमन उनका कारण बन जाता है।

आइए आपको बताते हैं कि यहां क्या हो रहा है.

- दान मूइज - अनस्प्लैश

क्या दिक्कत है

जीडीपीआर के तहत, यूरोपीय संघ के नागरिकों को कंपनी के सर्वर पर संग्रहीत अपने व्यक्तिगत डेटा की एक प्रति का अनुरोध करने का अधिकार है। हाल ही में यह ज्ञात हुआ कि इस तंत्र का उपयोग किसी अन्य व्यक्ति की पीडी एकत्र करने के लिए किया जा सकता है। ब्लैक हैट सम्मेलन में प्रतिभागियों में से एक एक प्रयोग किया, जिसके दौरान उन्हें विभिन्न कंपनियों से अपनी मंगेतर के व्यक्तिगत डेटा के साथ अभिलेख प्राप्त हुए। उन्होंने उनकी ओर से 150 संगठनों को प्रासंगिक अनुरोध भेजे। दिलचस्प बात यह है कि 24% कंपनियों को पहचान के प्रमाण के रूप में केवल एक ईमेल पते और एक फोन नंबर की आवश्यकता होती है - उन्हें प्राप्त करने के बाद, उन्होंने फाइलों के साथ एक संग्रह वापस कर दिया। लगभग 16% संगठनों ने अतिरिक्त रूप से पासपोर्ट (या अन्य दस्तावेज़) की तस्वीरों का अनुरोध किया।

परिणामस्वरूप, जेम्स अपने "पीड़ित" के सामाजिक सुरक्षा और क्रेडिट कार्ड नंबर, जन्मतिथि, मायके का नाम और आवासीय पता प्राप्त करने में सक्षम हो गया। एक सेवा जो आपको यह जांचने की अनुमति देती है कि क्या कोई ईमेल पता लीक हो गया है (सेवा का एक उदाहरण होगा क्या मुझे बंधक बना लिया गया है?), यहां तक ​​कि पहले उपयोग किए गए प्रमाणीकरण डेटा की एक सूची भी भेजी। यदि उपयोगकर्ता ने कभी पासवर्ड नहीं बदला या उन्हें कहीं और इस्तेमाल नहीं किया तो यह जानकारी हैकिंग का कारण बन सकती है।

ऐसे अन्य उदाहरण हैं जहां डेटा "गलती से" भेजे जाने के बाद गलत हाथों में पहुंच गया। तो, तीन महीने पहले Reddit उपयोगकर्ताओं में से एक का अनुरोध किया एपिक गेम्स से अपने बारे में व्यक्तिगत जानकारी। हालाँकि, उसने गलती से उसकी पीडी किसी अन्य खिलाड़ी को भेज दी। ऐसी ही एक कहानी पिछले साल घटी थी. अमेज़ॅन क्लाइंट मुझे यह दुर्घटनावश प्राप्त हुआ एलेक्सा के लिए इंटरनेट अनुरोधों और अन्य उपयोगकर्ता की हजारों WAF फ़ाइलों के साथ एक 100-मेगाबाइट संग्रह।

- टॉम सोडोगे - अनस्प्लैश

विशेषज्ञों का कहना है कि ऐसी स्थितियों के उत्पन्न होने का एक मुख्य कारण जनरल डेटा प्रोटेक्शन रेगुलेशन का अधूरा होना है। विशेष रूप से, जीडीपीआर उस समय सीमा को निर्दिष्ट करता है जिसके भीतर एक कंपनी को उपयोगकर्ता के अनुरोधों (एक महीने के भीतर) का जवाब देना होगा और इस आवश्यकता का अनुपालन करने में विफलता के लिए 20 मिलियन यूरो या वार्षिक राजस्व का 4% तक जुर्माना निर्दिष्ट करना होगा। हालाँकि, वास्तविक प्रक्रियाएँ जो कंपनियों को कानून का अनुपालन करने में मदद करनी चाहिए (उदाहरण के लिए, यह सुनिश्चित करना कि डेटा उसके मालिक को भेजा गया है) इसमें निर्दिष्ट नहीं हैं। इसलिए, संगठनों को स्वतंत्र रूप से (कभी-कभी परीक्षण और त्रुटि के माध्यम से) अपनी कार्य प्रक्रियाओं का निर्माण करना पड़ता है।

मैं स्थिति को कैसे सुधार सकता हूँ?

सबसे क्रांतिकारी प्रस्तावों में से एक है जीडीपीआर को त्यागना या इसका मौलिक रूप से रीमेक करना। एक राय है कि कानून अपने मौजूदा स्वरूप में काम नहीं करता, क्योंकि यह बहुत है जटिल और अत्यधिक सख्त, और आपको इसकी सभी आवश्यकताओं को पूरा करने के लिए बहुत सारे पैसे खर्च करने होंगे।

उदाहरण के लिए, पिछले साल सुपर मंडे नाइट कॉम्बैट गेम के डेवलपर्स को अपना प्रोजेक्ट रद्द करने के लिए मजबूर होना पड़ा था। इसके रचनाकारों के अनुसार, जीडीपीआर के लिए सिस्टम को फिर से डिज़ाइन करने के लिए बजट की आवश्यकता है बजट पार कर गया, सात वर्षीय खेल के लिए आवंटित।

IaaS प्रदाता के विकास विभाग के प्रमुख सर्गेई बेल्किन कहते हैं, "छोटे और मध्यम आकार के व्यवसायों के पास अक्सर नियामकों की आवश्यकताओं को समझने और आवश्यक तैयारी करने के लिए तकनीकी और मानव संसाधन नहीं होते हैं।" 1cloud.ru. “यह वह जगह है जहां बड़े विक्रेता और IaaS प्रदाता बचाव के लिए आ सकते हैं, जो किराए के लिए सुरक्षित आईटी बुनियादी ढांचा प्रदान करते हैं। उदाहरण के लिए, 1cloud.ru पर हम अपने उपकरण एक डेटा सेंटर में रखते हैं, प्रमाणित टियर III मानक के अनुसार और ग्राहकों को रूसी संघीय कानून-152 "व्यक्तिगत डेटा पर" की आवश्यकताओं का अनुपालन करने में सहायता करें।

- क्रोमैटोग्राफ - अनस्प्लैश

एक विपरीत दृष्टिकोण यह भी है कि यहां समस्या कानून में नहीं है, बल्कि कंपनियों की अपनी आवश्यकताओं को केवल औपचारिक रूप से पूरा करने की इच्छा में है। हैकर न्यूज़ के निवासियों में से एक उन्होंने कहा: व्यक्तिगत डेटा लीक का कारण इस तथ्य में निहित है कि संगठन लागू न करें सबसे सरल सत्यापन तंत्र, जो सामान्य ज्ञान द्वारा निर्धारित होते हैं।

किसी न किसी तरह, यूरोपीय संघ निकट भविष्य में जीडीपीआर को छोड़ने वाला नहीं है, इसलिए ब्लैक हैट सम्मेलन के दौरान जिस स्थिति पर प्रकाश डाला गया, उसे कंपनियों के लिए व्यक्तिगत डेटा की सुरक्षा पर अधिक ध्यान देने के लिए प्रोत्साहन के रूप में काम करना चाहिए।

हम अपने ब्लॉग और सोशल नेटवर्क पर क्या लिखते हैं:

766 किमी - लोरावन के लिए एक नया रेंज रिकॉर्ड
SAML 2.0 प्रमाणीकरण प्रोटोकॉल का उपयोग कौन करता है?

बड़ा डेटा: महान अवसर या बड़ा धोखा
व्यक्तिगत डेटा: सार्वजनिक क्लाउड की विशेषताएं

उन लोगों के लिए पुस्तकों का चयन जो पहले से ही सिस्टम प्रशासन में शामिल हैं या शुरू करने की योजना बना रहे हैं
1क्लाउड तकनीकी सहायता कैसे काम करती है?

मॉस्को में 1क्लाउड इंफ्रास्ट्रक्चर स्थित डेटास्पेस में. यह अपटाइम इंस्टीट्यूट से टियर एलएल सर्टिफिकेशन पास करने वाला पहला रूसी डेटा सेंटर है।

स्रोत: www.habr.com