როგორ გამოიწვია GDPR პერსონალური მონაცემების გაჟონვა

GDPR შეიქმნა იმისათვის, რომ ევროკავშირის მოქალაქეებს მეტი კონტროლი მისცენ მათ პერსონალურ მონაცემებზე. და საჩივრების რაოდენობის თვალსაზრისით, მიზანი "მიღწეული" იყო: გასული წლის განმავლობაში ევროპელებმა უფრო ხშირად დაიწყეს კომპანიების მხრიდან დარღვევების შესახებ შეტყობინება და თავად კომპანიებმა მიიღეს ბევრი რეგულაცია და დაიწყო მოწყვლადობის სწრაფად დახურვა, რათა არ მიეღო ჯარიმა. მაგრამ "უცებ" აღმოჩნდა, რომ GDPR ყველაზე თვალსაჩინო და ეფექტურია, როდესაც საქმე ეხება ფინანსური სანქციების თავიდან აცილებას ან მისი შესრულების აუცილებლობას. და კიდევ უფრო მეტი - შექმნილია პერსონალური მონაცემების გაჟონვის დასასრულებლად, განახლებული რეგულაცია ხდება მათი მიზეზი.

მოდით გითხრათ რა ხდება აქ.

ფოტო - დაან მუიჯი - გაშალე

Რა არის პრობლემა

GDPR-ის მიხედვით, ევროკავშირის მოქალაქეებს უფლება აქვთ მოითხოვონ კომპანიის სერვერებზე შენახული მათი პერსონალური მონაცემების ასლი. ცოტა ხნის წინ ცნობილი გახდა, რომ ამ მექანიზმის გამოყენება შესაძლებელია სხვა პირის PD-ის შესაგროვებლად. შავი ქუდის კონფერენციის ერთ-ერთი მონაწილე ჩაატარა ექსპერიმენტი, რა დროსაც მან მიიღო არქივები თავისი საცოლის პირადი მონაცემებით სხვადასხვა კომპანიებიდან. მან მისი სახელით შესაბამისი მოთხოვნა 150 ორგანიზაციას გაუგზავნა. საინტერესოა, რომ კომპანიების 24%-ს სჭირდებოდა მხოლოდ ელ.ფოსტის მისამართი და ტელეფონის ნომერი პირადობის დამადასტურებელ საბუთად - მათი მიღების შემდეგ მათ დააბრუნეს არქივი ფაილებით. ორგანიზაციების დაახლოებით 16%-მა დამატებით მოითხოვა პასპორტის (ან სხვა დოკუმენტის) ფოტოები.

შედეგად, ჯეიმსმა შეძლო მიეღო სოციალური უზრუნველყოფის და საკრედიტო ბარათის ნომრები, დაბადების თარიღი, ქალიშვილობის გვარი და მისი „მსხვერპლის“ საცხოვრებელი მისამართი. ერთი სერვისი, რომელიც საშუალებას გაძლევთ შეამოწმოთ გაჟონა თუ არა ელ.ფოსტის მისამართი (სერვისის მაგალითი იქნება დამიჭირეს?), კი გაუგზავნა ადრე გამოყენებული ავთენტიფიკაციის მონაცემების სია. ამ ინფორმაციამ შეიძლება გამოიწვიოს ჰაკერობა, თუ მომხმარებელმა არასოდეს შეცვალა პაროლები ან გამოიყენა ისინი სხვაგან.

არის სხვა მაგალითები, როდესაც მონაცემები „შეცდომით“ გაგზავნის შემდეგ არასწორ ხელში აღმოჩნდა. ასე რომ, სამი თვის წინ Reddit-ის ერთ-ერთი მომხმარებელი მოითხოვა პირადი ინფორმაცია თქვენს შესახებ Epic Games-დან. თუმცა, მან შეცდომით გაუგზავნა თავისი PD სხვა მოთამაშეს. მსგავსი ამბავი გასულ წელს მოხდა. ამაზონის კლიენტი შემთხვევით მივიღე 100 მეგაბაიტიანი არქივი ინტერნეტით მოთხოვნით Alexa-ს და სხვა მომხმარებლის ათასობით WAF ფაილით.

ფოტო - ტომ სოდოჯი - გაშალე

ექსპერტები აცხადებენ, რომ მსგავსი სიტუაციების წარმოშობის ერთ-ერთი მთავარი მიზეზი მონაცემთა დაცვის ზოგადი რეგულაციის არასრულყოფილებაა. კერძოდ, GDPR განსაზღვრავს ვადას, რომლის ფარგლებშიც კომპანიამ უნდა უპასუხოს მომხმარებლის მოთხოვნებს (ერთი თვის განმავლობაში) და განსაზღვრავს ჯარიმებს - 20 მილიონ ევრომდე ან წლიური შემოსავლის 4%-ს - ამ მოთხოვნის შეუსრულებლობისთვის. თუმცა, მასში არ არის მითითებული ფაქტობრივი პროცედურები, რომლებიც კომპანიებს უნდა დაეხმარონ კანონის დაცვაში (მაგალითად, დარწმუნდნენ, რომ მონაცემები ეგზავნება მის მფლობელს). ამიტომ, ორგანიზაციებმა დამოუკიდებლად (ზოგჯერ საცდელი და შეცდომის გზით) უნდა ააწყონ თავიანთი სამუშაო პროცესები.

როგორ გავაუმჯობესო სიტუაცია?

ერთ-ერთი ყველაზე რადიკალური წინადადება არის GDPR-ის მიტოვება ან მისი რადიკალურად გადაკეთება. არსებობს მოსაზრება, რომ მისი ამჟამინდელი ფორმით კანონი არ მუშაობს, რადგან ძალიან რთული და ზედმეტად მკაცრი და დიდი თანხის დახარჯვა მოგიწევთ, რომ დააკმაყოფილოთ მისი ყველა მოთხოვნა.

მაგალითად, გასულ წელს თამაშის Super Monday Night Combat დეველოპერები იძულებულნი გახდნენ გააუქმონ თავიანთი პროექტი. მისი შემქმნელების თქმით, ბიუჯეტი საჭირო იყო GDPR-ისთვის სისტემების ხელახალი დიზაინისთვის ბიუჯეტი გადააჭარბაშვიდი წლის თამაშზე გამოყოფილი.

”მცირე და საშუალო ბიზნესს ხშირად არ გააჩნიათ ტექნოლოგიური და ადამიანური რესურსები, რომ გაიგონ მარეგულირებლების მოთხოვნები და მოამზადონ საჭირო მომზადება”, - ამბობს სერგეი ბელკინი, IaaS პროვაიდერის განვითარების განყოფილების ხელმძღვანელი. 1cloud.ru. „ეს არის ადგილი, სადაც მსხვილ მოვაჭრეებს და IaaS პროვაიდერებს შეუძლიათ სამაშველოში მივიდნენ და უზრუნველყონ უსაფრთხო IT ინფრასტრუქტურა ქირავდება. მაგალითად, 1cloud.ru-ზე ჩვენ ვათავსებთ ჩვენს აღჭურვილობას მონაცემთა ცენტრში, დამოწმებული III დონის სტანდარტის მიხედვით და დაეხმარეთ კლიენტებს შეასრულონ რუსეთის ფედერალური კანონის მოთხოვნები -152 „პერსონალური მონაცემების შესახებ“.

ფოტო - ქრომატოგრაფი - გაშალე

არსებობს საპირისპირო მოსაზრებაც, რომ აქ პრობლემა თავად კანონში კი არ არის, არამედ კომპანიების სურვილში, შეასრულონ მისი მოთხოვნები მხოლოდ ფორმალურად. Hacker News-ის ერთ-ერთი რეზიდენტი აღნიშნა: პერსონალური მონაცემების გაჟონვის მიზეზი მდგომარეობს იმაში, რომ ორგანიზაციები არ განახორციელოს უმარტივესი გადამოწმების მექანიზმები, რომლებიც ნაკარნახევია საღი აზრი.

ასეა თუ ისე, ევროკავშირი უახლოეს მომავალში არ აპირებს GDPR-ის მიტოვებას, ამიტომ ვითარება, რომელიც შუქი მოჰფინა Black Hat კონფერენციაზე, უნდა გახდეს სტიმული, რომ კომპანიებმა მეტი ყურადღება დაუთმონ პერსონალური მონაცემების უსაფრთხოებას.

რაზე ვწერთ ჩვენს ბლოგებსა და სოციალურ ქსელებში:

766 კმ - ახალი რეკორდი LoRaWAN-ში
ვინ იყენებს SAML 2.0 ავთენტიფიკაციის პროტოკოლს

დიდი მონაცემები: დიდი შესაძლებლობები ან დიდი მოტყუება
პერსონალური მონაცემები: საჯარო ღრუბლის მახასიათებლები

წიგნების შერჩევა მათთვის, ვინც უკვე არის ჩართული სისტემის ადმინისტრირებაში ან გეგმავს დაწყებას
როგორ მუშაობს 1cloud ტექნიკური მხარდაჭერა?

1 ღრუბლოვანი ინფრასტრუქტურა მოსკოვში მდებარე Dataspace-ში. ეს არის პირველი რუსული მონაცემთა ცენტრი, რომელმაც გაიარა Tier lll სერთიფიკატი Uptime Institute-ისგან.

წყარო: www.habr.com