GDPR로 인해 개인 데이터 유출이 발생한 이유

GDPR은 EU 시민에게 개인 데이터에 대한 더 많은 통제권을 부여하기 위해 만들어졌습니다. 불만 건수 측면에서 목표는 "달성"되었습니다. 지난 XNUMX년 동안 유럽인들은 회사의 위반 사항을 더 자주 신고하기 시작했으며 회사 자체는 많은 규정 벌금을 내지 않기 위해 신속하게 취약점을 폐쇄하기 시작했습니다. 그러나 "갑자기" GDPR은 금융 제재를 회피하거나 이를 준수해야 하는 필요성과 관련하여 가장 가시적이고 효과적이라는 것이 밝혀졌습니다. 게다가 개인 데이터 유출을 막기 위해 고안된 업데이트된 규정이 그 원인이 되었습니다.

여기서 무슨 일이 일어나고 있는지 말해 봅시다.

사진 — 단 무이 — 언플래쉬

무엇이 문제인가?

GDPR에 따라 EU 시민은 회사 서버에 저장된 개인 데이터의 사본을 요청할 권리가 있습니다. 최근에는 이 메커니즘을 사용하여 다른 사람의 PD를 수집할 수 있다는 사실이 알려졌습니다. Black Hat 컨퍼런스 참가자 중 한 명 실험을 했다, 그 동안 그는 여러 회사로부터 약혼자의 개인 데이터가 담긴 아카이브를 받았습니다. 그는 그녀를 대신하여 150개 조직에 관련 요청을 보냈습니다. 흥미롭게도 24%의 회사에서는 신원 증명으로 이메일 주소와 전화번호만 필요했습니다. 이를 받은 후 파일과 함께 아카이브를 반환했습니다. 약 16%의 조직이 추가로 여권(또는 기타 문서) 사진을 요청했습니다.

그 결과 제임스는 '피해자'의 사회보장번호와 신용카드 번호, 생년월일, 결혼 전 성, 거주지 주소를 알아낼 수 있었습니다. 이메일 주소 유출 여부를 확인할 수 있는 서비스(예: 나한테 당했니?), 이전에 사용한 인증 데이터 목록도 보냈습니다. 사용자가 비밀번호를 변경한 적이 없거나 다른 곳에서 사용한 적이 없다면 이 정보는 해킹으로 이어질 수 있습니다.

데이터가 "잘못" 전송된 후 잘못된 사람의 손에 전달되는 다른 예도 있습니다. 그래서 XNUMX개월 전 Reddit 사용자 중 한 명이 요청 Epic Games에서 제공하는 귀하에 대한 개인 정보. 그런데 실수로 PD를 다른 선수에게 보냈다. 비슷한 이야기가 작년에도 일어났습니다. 아마존 클라이언트 우연히 받았어요 Alexa에 대한 인터넷 요청과 다른 사용자의 수천 개의 WAF 파일이 포함된 100MB 아카이브입니다.

사진 — 톰 소도지 — 언플래쉬

전문가들은 이러한 상황이 발생하는 주된 이유 중 하나가 일반 데이터 보호 규정의 불완전성이라고 말합니다. 특히 GDPR은 회사가 사용자 요청에 응답해야 하는 기간(20개월 이내)을 명시하고 이 요구 사항을 준수하지 않을 경우 최대 4천만 유로 또는 연간 매출의 XNUMX%까지 벌금을 부과하도록 명시하고 있습니다. 그러나 회사가 법을 준수하는 데 도움이 되는 실제 절차(예: 데이터가 소유자에게 전송되는지 확인)는 명시되어 있지 않습니다. 따라서 조직은 독립적으로(때로는 시행착오를 통해) 작업 프로세스를 구축해야 합니다.

상황을 어떻게 개선할 수 있나요?

가장 급진적인 제안 중 하나는 GDPR을 포기하거나 근본적으로 다시 만드는 것입니다. 현재의 형태에서는 법이 작동하지 않는다는 의견이 있습니다. 복잡한 지나치게 엄격하며 모든 요구 사항을 충족하려면 많은 돈을 지출해야 합니다.

예를 들어, 작년에 Super Monday Night Combat 게임 개발자는 프로젝트를 취소해야 했습니다. 제작자에 따르면 GDPR을 위한 시스템을 재설계하는 데 필요한 예산 예산 초과, XNUMX세 게임에 할당되었습니다.

IaaS 제공업체의 개발 부서 책임자인 Sergey Belkin은 "중소기업은 규제 기관의 요구 사항을 이해하고 필요한 준비를 할 수 있는 기술 및 인적 자원이 없는 경우가 많습니다."라고 말합니다. 1cloud.ru. “이곳은 대규모 공급업체와 IaaS 제공업체가 안전한 임대 IT 인프라를 제공하여 구출할 수 있는 곳입니다. 예를 들어 1cloud.ru에서는 장비를 데이터 센터에 배치합니다. 인증됨 Tier III 표준에 따라 고객이 러시아 연방법 152 "개인 데이터에 관한" 요구 사항을 준수하도록 돕습니다.

사진 — 크로마토 그래프 — 언플래쉬

여기서 문제는 법 자체에 있는 것이 아니라 회사가 공식적으로만 요구 사항을 충족하려는 욕구에 있다는 반대 관점도 있습니다. Hacker News의 주민 중 한 명 그는 지적: 개인정보 유출의 원인은 조직이 구현하지 않는다 상식에 따라 결정되는 가장 간단한 검증 메커니즘입니다.

어떤 식으로든 유럽연합은 가까운 시일 내에 GDPR을 포기하지 않을 것이므로 Black Hat 컨퍼런스에서 밝혀진 상황은 기업이 개인 데이터 보안에 더 많은 관심을 기울이는 인센티브가 될 것입니다.

블로그와 소셜 네트워크에 글을 쓰는 내용:

766km - LoRaWAN의 새로운 범위 기록
SAML 2.0 인증 프로토콜을 사용하는 사람

빅데이터: 큰 기회인가 아니면 큰 속임수인가
개인 데이터: 퍼블릭 클라우드의 기능

이미 시스템 관리에 참여하고 있거나 시작하려는 사람들을 위한 도서 모음
1cloud 기술지원은 어떻게 진행되나요?

모스크바의 1cloud 인프라 위치하고 있습니다 데이터스페이스에서. 이는 Uptime Institute의 Tier III 인증을 통과한 최초의 러시아 데이터 센터입니다.

출처 : habr.com