GDPR ವೈಯಕ್ತಿಕ ಡೇಟಾ ಸೋರಿಕೆಗೆ ಹೇಗೆ ಕಾರಣವಾಯಿತು

GDPR ಅನ್ನು EU ನಾಗರಿಕರಿಗೆ ತಮ್ಮ ವೈಯಕ್ತಿಕ ಡೇಟಾದ ಮೇಲೆ ಹೆಚ್ಚಿನ ನಿಯಂತ್ರಣವನ್ನು ನೀಡಲು ರಚಿಸಲಾಗಿದೆ. ಮತ್ತು ದೂರುಗಳ ಸಂಖ್ಯೆಗೆ ಸಂಬಂಧಿಸಿದಂತೆ, ಗುರಿಯನ್ನು "ಸಾಧಿಸಲಾಗಿದೆ": ಕಳೆದ ವರ್ಷದಲ್ಲಿ, ಯುರೋಪಿಯನ್ನರು ಕಂಪನಿಗಳ ಉಲ್ಲಂಘನೆಗಳನ್ನು ಹೆಚ್ಚಾಗಿ ವರದಿ ಮಾಡಲು ಪ್ರಾರಂಭಿಸಿದರು ಮತ್ತು ಕಂಪನಿಗಳು ಸ್ವತಃ ಸ್ವೀಕರಿಸಿದವು ಅನೇಕ ನಿಯಮಗಳು ಮತ್ತು ದಂಡವನ್ನು ಸ್ವೀಕರಿಸದಂತೆ ತ್ವರಿತವಾಗಿ ದುರ್ಬಲತೆಗಳನ್ನು ಮುಚ್ಚಲು ಪ್ರಾರಂಭಿಸಿತು. ಆದರೆ "ಇದ್ದಕ್ಕಿದ್ದಂತೆ" ಇದು ಆರ್ಥಿಕ ನಿರ್ಬಂಧಗಳನ್ನು ತಪ್ಪಿಸುವ ಅಥವಾ ಅದನ್ನು ಅನುಸರಿಸುವ ಅಗತ್ಯಕ್ಕೆ ಬಂದಾಗ GDPR ಹೆಚ್ಚು ಗೋಚರಿಸುತ್ತದೆ ಮತ್ತು ಪರಿಣಾಮಕಾರಿಯಾಗಿದೆ. ಮತ್ತು ಇನ್ನೂ ಹೆಚ್ಚು - ವೈಯಕ್ತಿಕ ಡೇಟಾ ಸೋರಿಕೆಯನ್ನು ಕೊನೆಗೊಳಿಸಲು ವಿನ್ಯಾಸಗೊಳಿಸಲಾಗಿದೆ, ನವೀಕರಿಸಿದ ನಿಯಂತ್ರಣವು ಅವರ ಕಾರಣವಾಗಿದೆ.

ಇಲ್ಲಿ ಏನು ನಡೆಯುತ್ತಿದೆ ಎಂದು ಹೇಳೋಣ.

- ಡಾನ್ ಮೂಯಿಜ್ - ಅನ್ಸ್ಪ್ಲಾಶ್

ಸಮಸ್ಯೆ ಏನು

GDPR ಅಡಿಯಲ್ಲಿ, EU ನಾಗರಿಕರು ಕಂಪನಿಯ ಸರ್ವರ್‌ಗಳಲ್ಲಿ ಸಂಗ್ರಹವಾಗಿರುವ ತಮ್ಮ ವೈಯಕ್ತಿಕ ಡೇಟಾದ ನಕಲನ್ನು ವಿನಂತಿಸುವ ಹಕ್ಕನ್ನು ಹೊಂದಿರುತ್ತಾರೆ. ಇನ್ನೊಬ್ಬ ವ್ಯಕ್ತಿಯ ಪಿಡಿಯನ್ನು ಸಂಗ್ರಹಿಸಲು ಈ ಕಾರ್ಯವಿಧಾನವನ್ನು ಬಳಸಬಹುದು ಎಂದು ಇತ್ತೀಚೆಗೆ ತಿಳಿದುಬಂದಿದೆ. ಬ್ಲ್ಯಾಕ್ ಹ್ಯಾಟ್ ಸಮ್ಮೇಳನದಲ್ಲಿ ಭಾಗವಹಿಸಿದವರಲ್ಲಿ ಒಬ್ಬರು ಪ್ರಯೋಗ ನಡೆಸಿದರು, ಈ ಸಮಯದಲ್ಲಿ ಅವರು ವಿವಿಧ ಕಂಪನಿಗಳಿಂದ ತಮ್ಮ ನಿಶ್ಚಿತ ವರನ ವೈಯಕ್ತಿಕ ಡೇಟಾದೊಂದಿಗೆ ಆರ್ಕೈವ್ಗಳನ್ನು ಪಡೆದರು. ಅವರು 150 ಸಂಸ್ಥೆಗಳಿಗೆ ಆಕೆಯ ಪರವಾಗಿ ಸಂಬಂಧಿತ ವಿನಂತಿಗಳನ್ನು ಕಳುಹಿಸಿದರು. ಕುತೂಹಲಕಾರಿಯಾಗಿ, 24% ಕಂಪನಿಗಳಿಗೆ ಗುರುತಿನ ಪುರಾವೆಯಾಗಿ ಇಮೇಲ್ ವಿಳಾಸ ಮತ್ತು ಫೋನ್ ಸಂಖ್ಯೆ ಮಾತ್ರ ಅಗತ್ಯವಿದೆ - ಅವುಗಳನ್ನು ಸ್ವೀಕರಿಸಿದ ನಂತರ, ಅವರು ಫೈಲ್‌ಗಳೊಂದಿಗೆ ಆರ್ಕೈವ್ ಅನ್ನು ಹಿಂದಿರುಗಿಸಿದರು. ಸುಮಾರು 16% ಸಂಸ್ಥೆಗಳು ಹೆಚ್ಚುವರಿಯಾಗಿ ಪಾಸ್‌ಪೋರ್ಟ್‌ನ (ಅಥವಾ ಇತರ ದಾಖಲೆ) ಛಾಯಾಚಿತ್ರಗಳನ್ನು ವಿನಂತಿಸಿದ್ದಾರೆ.

ಇದರ ಪರಿಣಾಮವಾಗಿ, ಜೇಮ್ಸ್ ಸಾಮಾಜಿಕ ಭದ್ರತೆ ಮತ್ತು ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ ಸಂಖ್ಯೆಗಳು, ಹುಟ್ಟಿದ ದಿನಾಂಕ, ಮೊದಲ ಹೆಸರು ಮತ್ತು ಅವನ "ಬಲಿಪಶು" ದ ವಸತಿ ವಿಳಾಸವನ್ನು ಪಡೆಯಲು ಸಾಧ್ಯವಾಯಿತು. ಇಮೇಲ್ ವಿಳಾಸವು ಸೋರಿಕೆಯಾಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಲು ನಿಮಗೆ ಅನುಮತಿಸುವ ಒಂದು ಸೇವೆ (ಸೇವೆಯ ಉದಾಹರಣೆಯಾಗಿದೆ ನಾನು ವಶಪಡಿಸಿಕೊಂಡಿದ್ದೇನೆಯೇ?), ಹಿಂದೆ ಬಳಸಿದ ದೃಢೀಕರಣ ಡೇಟಾದ ಪಟ್ಟಿಯನ್ನು ಸಹ ಕಳುಹಿಸಲಾಗಿದೆ. ಬಳಕೆದಾರರು ಎಂದಿಗೂ ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ಬದಲಾಯಿಸದಿದ್ದರೆ ಅಥವಾ ಬೇರೆಲ್ಲಿಯಾದರೂ ಬಳಸಿದರೆ ಈ ಮಾಹಿತಿಯು ಹ್ಯಾಕಿಂಗ್‌ಗೆ ಕಾರಣವಾಗಬಹುದು.

"ತಪ್ಪಾಗಿ" ಕಳುಹಿಸಿದ ನಂತರ ಡೇಟಾ ತಪ್ಪಾದ ಕೈಯಲ್ಲಿ ಕೊನೆಗೊಂಡ ಇತರ ಉದಾಹರಣೆಗಳಿವೆ. ಆದ್ದರಿಂದ, ಮೂರು ತಿಂಗಳ ಹಿಂದೆ ರೆಡ್ಡಿಟ್ ಬಳಕೆದಾರರಲ್ಲಿ ಒಬ್ಬರು ವಿನಂತಿಸಿದರು ಎಪಿಕ್ ಗೇಮ್‌ಗಳಿಂದ ನಿಮ್ಮ ಬಗ್ಗೆ ವೈಯಕ್ತಿಕ ಮಾಹಿತಿ. ಆದಾಗ್ಯೂ, ಅವಳು ತಪ್ಪಾಗಿ ಅವನ PD ಅನ್ನು ಇನ್ನೊಬ್ಬ ಆಟಗಾರನಿಗೆ ಕಳುಹಿಸಿದಳು. ಕಳೆದ ವರ್ಷವೂ ಇದೇ ರೀತಿಯ ಕಥೆ ನಡೆಯಿತು. ಅಮೆಜಾನ್ ಕ್ಲೈಂಟ್ ನಾನು ಅದನ್ನು ಆಕಸ್ಮಿಕವಾಗಿ ಸ್ವೀಕರಿಸಿದೆ ಅಲೆಕ್ಸಾಗೆ ಇಂಟರ್ನೆಟ್ ವಿನಂತಿಗಳು ಮತ್ತು ಇನ್ನೊಬ್ಬ ಬಳಕೆದಾರರ ಸಾವಿರಾರು WAF ಫೈಲ್‌ಗಳೊಂದಿಗೆ 100-ಮೆಗಾಬೈಟ್ ಆರ್ಕೈವ್.

- ಟಾಮ್ ಸೊಡೊಗೆ - ಅನ್ಸ್ಪ್ಲಾಶ್

ಅಂತಹ ಸಂದರ್ಭಗಳಲ್ಲಿ ಸಂಭವಿಸುವ ಮುಖ್ಯ ಕಾರಣವೆಂದರೆ ಸಾಮಾನ್ಯ ಡೇಟಾ ಸಂರಕ್ಷಣಾ ನಿಯಂತ್ರಣದ ಅಪೂರ್ಣತೆ ಎಂದು ತಜ್ಞರು ಹೇಳುತ್ತಾರೆ. ನಿರ್ದಿಷ್ಟವಾಗಿ ಹೇಳುವುದಾದರೆ, GDPR ಕಂಪನಿಯು ಬಳಕೆದಾರರ ವಿನಂತಿಗಳಿಗೆ (ಒಂದು ತಿಂಗಳೊಳಗೆ) ಪ್ರತಿಕ್ರಿಯಿಸಬೇಕಾದ ಸಮಯದ ಚೌಕಟ್ಟನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸುತ್ತದೆ ಮತ್ತು ಈ ಅಗತ್ಯವನ್ನು ಅನುಸರಿಸಲು ವಿಫಲವಾದರೆ 20 ಮಿಲಿಯನ್ ಯುರೋಗಳಷ್ಟು ಅಥವಾ ವಾರ್ಷಿಕ ಆದಾಯದ 4% ವರೆಗೆ ದಂಡವನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸುತ್ತದೆ. ಆದಾಗ್ಯೂ, ಕಂಪನಿಗಳು ಕಾನೂನನ್ನು ಅನುಸರಿಸಲು ಸಹಾಯ ಮಾಡುವ ನಿಜವಾದ ಕಾರ್ಯವಿಧಾನಗಳನ್ನು (ಉದಾಹರಣೆಗೆ, ಡೇಟಾವನ್ನು ಅದರ ಮಾಲೀಕರಿಗೆ ಕಳುಹಿಸಲಾಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳುವುದು) ಅದರಲ್ಲಿ ನಿರ್ದಿಷ್ಟಪಡಿಸಲಾಗಿಲ್ಲ. ಆದ್ದರಿಂದ, ಸಂಸ್ಥೆಗಳು ಸ್ವತಂತ್ರವಾಗಿ (ಕೆಲವೊಮ್ಮೆ ಪ್ರಯೋಗ ಮತ್ತು ದೋಷದ ಮೂಲಕ) ತಮ್ಮ ಕೆಲಸದ ಪ್ರಕ್ರಿಯೆಗಳನ್ನು ನಿರ್ಮಿಸಬೇಕು.

ನಾನು ಪರಿಸ್ಥಿತಿಯನ್ನು ಹೇಗೆ ಸುಧಾರಿಸಬಹುದು?

GDPR ಅನ್ನು ತ್ಯಜಿಸುವುದು ಅಥವಾ ಅದನ್ನು ಆಮೂಲಾಗ್ರವಾಗಿ ರೀಮೇಕ್ ಮಾಡುವುದು ಅತ್ಯಂತ ಆಮೂಲಾಗ್ರ ಪ್ರಸ್ತಾಪಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ. ಅದರ ಪ್ರಸ್ತುತ ರೂಪದಲ್ಲಿ ಕಾನೂನು ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ ಎಂಬ ಅಭಿಪ್ರಾಯವಿದೆ, ಏಕೆಂದರೆ ಅದು ತುಂಬಾ ಸಂಕೀರ್ಣವಾಗಿದೆ ಮತ್ತು ಅತಿಯಾದ ಕಟ್ಟುನಿಟ್ಟಾದ, ಮತ್ತು ಅದರ ಎಲ್ಲಾ ಅವಶ್ಯಕತೆಗಳನ್ನು ಪೂರೈಸಲು ನೀವು ಬಹಳಷ್ಟು ಹಣವನ್ನು ಖರ್ಚು ಮಾಡಬೇಕಾಗುತ್ತದೆ.

ಉದಾಹರಣೆಗೆ, ಕಳೆದ ವರ್ಷ ಸೂಪರ್ ಮಂಡೇ ನೈಟ್ ಕಾಂಬ್ಯಾಟ್ ಆಟದ ಡೆವಲಪರ್‌ಗಳು ತಮ್ಮ ಯೋಜನೆಯನ್ನು ರದ್ದುಗೊಳಿಸುವಂತೆ ಒತ್ತಾಯಿಸಲಾಯಿತು. ಅದರ ರಚನೆಕಾರರ ಪ್ರಕಾರ, GDPR ಗಾಗಿ ಸಿಸ್ಟಮ್‌ಗಳನ್ನು ಮರುವಿನ್ಯಾಸಗೊಳಿಸಲು ಅಗತ್ಯವಿರುವ ಬಜೆಟ್ ಬಜೆಟ್ ಮೀರಿದೆ, ಏಳು ವರ್ಷದ ಆಟಕ್ಕೆ ಹಂಚಲಾಗಿದೆ.

"ಸಣ್ಣ ಮತ್ತು ಮಧ್ಯಮ ಗಾತ್ರದ ವ್ಯವಹಾರಗಳು ನಿಯಂತ್ರಕರ ಅವಶ್ಯಕತೆಗಳನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಲು ಮತ್ತು ಅಗತ್ಯ ಸಿದ್ಧತೆಗಳನ್ನು ಮಾಡಲು ತಾಂತ್ರಿಕ ಮತ್ತು ಮಾನವ ಸಂಪನ್ಮೂಲಗಳನ್ನು ಹೊಂದಿಲ್ಲ" ಎಂದು IaaS ಪೂರೈಕೆದಾರರ ಅಭಿವೃದ್ಧಿ ವಿಭಾಗದ ಮುಖ್ಯಸ್ಥ ಸೆರ್ಗೆ ಬೆಲ್ಕಿನ್ ಪ್ರತಿಕ್ರಿಯಿಸಿದ್ದಾರೆ. 1cloud.ru. "ಇಲ್ಲಿಯೇ ದೊಡ್ಡ ಮಾರಾಟಗಾರರು ಮತ್ತು IaaS ಪೂರೈಕೆದಾರರು ರಕ್ಷಣೆಗೆ ಬರಬಹುದು, ಬಾಡಿಗೆಗೆ ಸುರಕ್ಷಿತ IT ಮೂಲಸೌಕರ್ಯವನ್ನು ಒದಗಿಸುತ್ತಾರೆ. ಉದಾಹರಣೆಗೆ, 1cloud.ru ನಲ್ಲಿ ನಾವು ನಮ್ಮ ಉಪಕರಣಗಳನ್ನು ಡೇಟಾ ಕೇಂದ್ರದಲ್ಲಿ ಇರಿಸುತ್ತೇವೆ, ಪ್ರಮಾಣೀಕರಿಸಲಾಗಿದೆ ಶ್ರೇಣಿ III ಮಾನದಂಡದ ಪ್ರಕಾರ ಮತ್ತು ಗ್ರಾಹಕರು ರಷ್ಯಾದ ಫೆಡರಲ್ ಕಾನೂನು -152 "ವೈಯಕ್ತಿಕ ಡೇಟಾದಲ್ಲಿ" ಅವಶ್ಯಕತೆಗಳನ್ನು ಅನುಸರಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತಾರೆ.

- ಕ್ರೊಮ್ಯಾಟೋಗ್ರಾಫ್ - ಅನ್ಸ್ಪ್ಲಾಶ್

ಇಲ್ಲಿ ಸಮಸ್ಯೆಯು ಕಾನೂನಿನಲ್ಲಿಯೇ ಇಲ್ಲ, ಆದರೆ ಕಂಪನಿಗಳು ತನ್ನ ಅವಶ್ಯಕತೆಗಳನ್ನು ಔಪಚಾರಿಕವಾಗಿ ಮಾತ್ರ ಪೂರೈಸುವ ಬಯಕೆಯಲ್ಲಿ ವಿರುದ್ಧವಾದ ದೃಷ್ಟಿಕೋನವೂ ಇದೆ. ಹ್ಯಾಕರ್ ನ್ಯೂಸ್‌ನ ನಿವಾಸಿಗಳಲ್ಲಿ ಒಬ್ಬರು ಗಮನಿಸಲಾಗಿದೆ: ವೈಯಕ್ತಿಕ ಡೇಟಾ ಸೋರಿಕೆಗೆ ಕಾರಣವೆಂದರೆ ಸಂಸ್ಥೆಗಳು ಕಾರ್ಯಗತಗೊಳಿಸುವುದಿಲ್ಲ ಸರಳವಾದ ಪರಿಶೀಲನಾ ಕಾರ್ಯವಿಧಾನಗಳು, ಇವುಗಳನ್ನು ಸಾಮಾನ್ಯ ಜ್ಞಾನದಿಂದ ನಿರ್ದೇಶಿಸಲಾಗುತ್ತದೆ.

ಒಂದು ರೀತಿಯಲ್ಲಿ ಅಥವಾ ಇನ್ನೊಂದು ರೀತಿಯಲ್ಲಿ, ಯುರೋಪಿಯನ್ ಯೂನಿಯನ್ ಮುಂದಿನ ದಿನಗಳಲ್ಲಿ GDPR ಅನ್ನು ತ್ಯಜಿಸಲು ಹೋಗುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಬ್ಲ್ಯಾಕ್ ಹ್ಯಾಟ್ ಸಮ್ಮೇಳನದ ಸಮಯದಲ್ಲಿ ಬೆಳಕು ಚೆಲ್ಲುವ ಪರಿಸ್ಥಿತಿಯು ವೈಯಕ್ತಿಕ ಡೇಟಾದ ಸುರಕ್ಷತೆಗೆ ಹೆಚ್ಚಿನ ಗಮನ ಹರಿಸಲು ಕಂಪನಿಗಳಿಗೆ ಪ್ರೋತ್ಸಾಹಕವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ.

ನಮ್ಮ ಬ್ಲಾಗ್‌ಗಳು ಮತ್ತು ಸಾಮಾಜಿಕ ನೆಟ್‌ವರ್ಕ್‌ಗಳಲ್ಲಿ ನಾವು ಏನು ಬರೆಯುತ್ತೇವೆ:

766 ಕಿಮೀ - LoRaWAN ಗಾಗಿ ಹೊಸ ಶ್ರೇಣಿಯ ದಾಖಲೆ
SAML 2.0 ದೃಢೀಕರಣ ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನು ಯಾರು ಬಳಸುತ್ತಾರೆ

ದೊಡ್ಡ ಡೇಟಾ: ಉತ್ತಮ ಅವಕಾಶಗಳು ಅಥವಾ ದೊಡ್ಡ ವಂಚನೆ
ವೈಯಕ್ತಿಕ ಡೇಟಾ: ಸಾರ್ವಜನಿಕ ಮೋಡದ ವೈಶಿಷ್ಟ್ಯಗಳು

ಸಿಸ್ಟಮ್ ಆಡಳಿತದಲ್ಲಿ ಈಗಾಗಲೇ ತೊಡಗಿಸಿಕೊಂಡಿರುವ ಅಥವಾ ಪ್ರಾರಂಭಿಸಲು ಯೋಜಿಸುತ್ತಿರುವವರಿಗೆ ಪುಸ್ತಕಗಳ ಆಯ್ಕೆ
1 ಕ್ಲೌಡ್ ತಾಂತ್ರಿಕ ಬೆಂಬಲ ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ?

ಮಾಸ್ಕೋದಲ್ಲಿ 1 ಕ್ಲೌಡ್ ಮೂಲಸೌಕರ್ಯ ಇದೆ ಡೇಟಾಸ್ಪೇಸ್‌ನಲ್ಲಿ. ಇದು ಅಪ್‌ಟೈಮ್ ಇನ್‌ಸ್ಟಿಟ್ಯೂಟ್‌ನಿಂದ ಶ್ರೇಣಿ lll ಪ್ರಮಾಣೀಕರಣವನ್ನು ಪಡೆದ ಮೊದಲ ರಷ್ಯಾದ ಡೇಟಾ ಕೇಂದ್ರವಾಗಿದೆ.

ಮೂಲ: www.habr.com