כיצד GDPR גרם לדליפות נתונים אישיים

ה-GDPR נוצר כדי לתת לאזרחי האיחוד האירופי שליטה רבה יותר על הנתונים האישיים שלהם. ומבחינת מספר התלונות, המטרה "הושגה": בשנה האחרונה החלו האירופים לדווח על הפרות מצד חברות לעתים קרובות יותר, והחברות עצמן קיבלו תקנות רבות והחל לסגור במהירות נקודות תורפה כדי לא לקבל קנס. אבל "פתאום" התברר שה-GDPR גלוי ואפקטיבי ביותר בכל הנוגע להתחמקות מעיצומים כספיים או עצם הצורך לעמוד בו. ואף יותר מכך - נועדה לשים קץ לדליפות נתונים אישיים, הרגולציה המעודכנת הופכת לסיבתם.

בואו נספר לכם מה קורה כאן.

תמונות - Daan Mooij - Unsplash

מה הבעיה

לפי ה-GDPR, לאזרחי האיחוד האירופי יש את הזכות לבקש עותק של הנתונים האישיים שלהם המאוחסנים בשרתי החברה. לאחרונה נודע שניתן להשתמש במנגנון זה לאיסוף PD של אדם אחר. אחד המשתתפים בכנס Black Hat ערכו ניסוי, במהלכו קיבל ארכיונים עם נתונים אישיים של ארוסתו מחברות שונות. הוא שלח בקשות רלוונטיות מטעמה ל-150 ארגונים. מעניין לציין ש-24% מהחברות היו זקוקות רק לכתובת מייל ומספר טלפון כהוכחת זהות – לאחר שקיבלו אותן, הן החזירו ארכיון עם קבצים. כ-16% מהארגונים ביקשו בנוסף צילומים של דרכון (או מסמך אחר).

כתוצאה מכך, ג'יימס הצליח להשיג את מספרי הביטוח הלאומי וכרטיסי האשראי, תאריך הלידה, שם הנעורים וכתובת המגורים של "הקורבן" שלו. שירות אחד המאפשר לך לבדוק אם כתובת דוא"ל דלפה (דוגמה לשירות תהיה האם נדפקתי?), אפילו שלח רשימה של נתוני אימות שנעשה בהם שימוש בעבר. מידע זה יכול להוביל לפריצה אם המשתמש מעולם לא שינה את הסיסמאות או השתמש בהן במקום אחר.

ישנן דוגמאות נוספות שבהן נתונים הגיעו לידיים הלא נכונות לאחר שנשלחו "בטעות". אז, לפני שלושה חודשים אחד ממשתמשי Reddit ביקש מידע אישי על עצמך מ-Epic Games. עם זאת, היא שלחה בטעות את ה-PD שלו לשחקן אחר. סיפור דומה קרה בשנה שעברה. לקוח אמזון קיבלתי אותו במקרה ארכיון של 100 מגה עם בקשות אינטרנט לאלקסה ואלפי קבצי WAF של משתמש אחר.

תמונות - טום סודוג - Unsplash

מומחים אומרים שאחת הסיבות העיקריות להתרחשותם של מצבים כאלה היא חוסר השלמות של תקנת הגנת המידע הכללית. בפרט, ה-GDPR מפרט את מסגרת הזמן שבה חברה חייבת להגיב לבקשות משתמשים (תוך חודש) ומפרט קנסות - עד 20 מיליון יורו או 4% מההכנסה השנתית - בגין אי עמידה בדרישה זו. עם זאת, הנהלים בפועל שאמורים לסייע לחברות לעמוד בחוק (לדוגמה, הקפדה על שליחת נתונים לבעליו) אינם מפורטים בו. לכן, ארגונים צריכים לבנות באופן עצמאי (לעיתים באמצעות ניסוי וטעייה) את תהליכי העבודה שלהם.

איך אני יכול לשפר את המצב?

אחת ההצעות הרדיקליות ביותר היא לנטוש את ה-GDPR או לעשות אותו מחדש באופן קיצוני. יש דעה שבצורתו הנוכחית החוק לא עובד, שכן הוא מאוד מסובך ומחמיר מדי, ואתה צריך להוציא הרבה כסף כדי לעמוד בכל הדרישות שלו.

לדוגמה, בשנה שעברה נאלצו מפתחי המשחק Super Monday Night Combat לבטל את הפרויקט שלהם. לדברי יוצריו, התקציב הנדרש לעיצוב מחדש של מערכות עבור GDPR חרג מהתקציב, שהוקצה למשחק בן שבע.

"לעתים קרובות אין לעסקים קטנים ובינוניים את המשאבים הטכנולוגיים והאנושיים להבין את הדרישות של הרגולטורים ולבצע את ההכנות הנדרשות", אומר סרגיי בלקין, ראש מחלקת הפיתוח של ספק IaaS 1cloud.ru. "זה המקום שבו ספקים גדולים וספקי IaaS יכולים לבוא להצלה, לספק תשתית IT מאובטחת להשכרה. לדוגמה, ב-1cloud.ru אנו מניחים את הציוד שלנו במרכז נתונים, מוּסמָך בהתאם לתקן Tier III ולעזור ללקוחות לעמוד בדרישות החוק הפדרלי הרוסי-152 "על נתונים אישיים".

תמונות - כרומטוגרף - Unsplash

יש גם נקודת מבט הפוכה, שהבעיה כאן היא לא בחוק עצמו, אלא ברצון של חברות למלא את דרישותיו באופן פורמלי בלבד. אחד מדיירי האקר ניוז ציין: הסיבה לדליפות נתונים אישיים נעוצה בעובדה שארגונים לא ליישם מנגנוני האימות הפשוטים ביותר, המוכתבים על ידי השכל הישר.

כך או אחרת, האיחוד האירופי לא מתכוון לנטוש את ה-GDPR בזמן הקרוב, ולכן המצב ששפך אור במהלך ועידת Black Hat אמור לשמש תמריץ לחברות להקדיש תשומת לב רבה יותר לאבטחת הנתונים האישיים.

על מה אנחנו כותבים בבלוגים וברשתות החברתיות שלנו:

766 ק"מ - שיא ​​טווח חדש עבור LoRaWAN
מי משתמש בפרוטוקול האימות SAML 2.0

ביג דאטה: הזדמנויות גדולות או הונאה גדולה
נתונים אישיים: תכונות של הענן הציבורי

מבחר ספרים למי שכבר עוסק בניהול מערכת או מתכוון להתחיל
כיצד פועלת התמיכה הטכנית של 1cloud?

תשתית 1ענן במוסקבה נמצא ב-Dataspace. זהו מרכז הנתונים הרוסי הראשון שעובר את הסמכת Tier lll ממכון Uptime.

מקור: www.habr.com