Како GDPR предизвика протекување на лични податоци

GDPR е создаден за да им даде на граѓаните на ЕУ поголема контрола врз нивните лични податоци. И во однос на бројот на поплаки, целта беше „постигната“: во текот на изминатата година, Европејците почнаа почесто да пријавуваат прекршоци од компаниите, а самите компании добиваа многу прописи и почна брзо да ги затвора ранливите места за да не добие парична казна. Но, „одеднаш“ се покажа дека GDPR е највидлив и најефикасен кога станува збор или за избегнување финансиски санкции или за самата потреба да се почитува. И уште повеќе - дизајнирана да стави крај на протекувањето на личните податоци, ажурираната регулатива станува нивна причина.

Ајде да ви кажеме што се случува овде.

Фото - Даан Муиџ - Распрснете

Што е проблемот

Според GDPR, граѓаните на ЕУ имаат право да бараат копија од нивните лични податоци зачувани на серверите на компанијата. Неодамна се дозна дека овој механизам може да се користи за собирање на ПД на друго лице. Еден од учесниците на конференцијата Black Hat спроведе експеримент, при што добил архива со лични податоци на неговата вереница од различни фирми. Тој испрати соодветни барања во нејзино име до 150 организации. Интересно е што на 24% од компаниите им била потребна само адреса на е-пошта и телефонски број како доказ за идентитетот - откако ги добиле, вратиле архива со датотеки. Околу 16% од организациите дополнително побарале фотографии од пасош (или друг документ).

Како резултат на тоа, Џејмс можеше да ги добие броевите на социјалното осигурување и кредитните картички, датумот на раѓање, моминското презиме и адресата на живеење на неговата „жртва“. Една услуга која ви овозможува да проверите дали е протечена адреса на е-пошта (пример за услуга би бил Дали сум заробен?), дури и испрати листа на претходно користени податоци за автентикација. Оваа информација може да доведе до хакирање ако корисникот никогаш не ги сменил лозинките или ги користел на друго место.

Има и други примери каде податоците завршиле во погрешни раце откако биле „погрешно“ испратени. Така, пред три месеци еден од корисниците на Редит побарано лични информации за себе од Epic Games. Меѓутоа, таа по грешка му го испратила неговиот ПД на друг играч. Слична приказна се случи и минатата година. Клиент на Амазон Случајно го добив Архива од 100 мегабајти со интернет барања до Alexa и илјадници WAF-датотеки на друг корисник.

Фото - Том Содоџ - Распрснете

Експертите велат дека една од главните причини за појава на вакви ситуации е нецелосноста на Општата регулатива за заштита на податоците. Конкретно, GDPR ја одредува временската рамка во која компанијата мора да одговори на барањата на корисниците (во рок од еден месец) и одредува казни - до 20 милиони евра или 4% од годишниот приход - за неисполнување на ова барање. Сепак, вистинските процедури кои треба да им помогнат на компаниите да се усогласат со законот (на пример, да се осигураат дека податоците се испраќаат до неговиот сопственик) не се наведени во него. Затоа, организациите треба самостојно (понекогаш преку обиди и грешки) да ги градат своите работни процеси.

Како можам да ја подобрам ситуацијата?

Еден од најрадикалните предлози е да се напушти GDPR или радикално да се преправи. Постои мислење дека во сегашната форма законот не функционира, бидејќи е многу комплицирано и претерано строго, и мора да потрошите многу пари за да ги исполните сите негови барања.

На пример, минатата година развивачите на играта Super Monday Night Combat беа принудени да го откажат својот проект. Според неговите креатори, буџетот е потребен за редизајнирање на системи за GDPR пречекорен буџет, наменети за седумгодишната игра.

„Малите и средните бизниси навистина често немаат технолошки и човечки ресурси за да ги разберат барањата на регулаторите и да ги направат потребните подготовки“, коментира Сергеј Белкин, шеф на одделот за развој на давателот на IaaS. 1cloud.ru. „Ова е местото каде што големите продавачи и давателите на IaaS можат да дојдат на помош, обезбедувајќи сигурна ИТ инфраструктура за изнајмување. На пример, на 1cloud.ru ја ставаме нашата опрема во центар за податоци, сертифициран според стандардот Tier III и им помага на клиентите да се усогласат со барањата на рускиот федерален закон-152 „За лични податоци“.

Фото - Хроматограф - Распрснете

Постои и спротивен став, дека проблемот овде не е во самиот закон, туку во желбата на компаниите да ги исполнат неговите барања само формално. Еден од жителите на Hacker News забележано: причината за протекување на лични податоци лежи во фактот што организациите не спроведуваат наједноставните механизми за проверка, кои се диктирани од здравиот разум.

Вака или онака, Европската унија нема да се откаже од GDPR во блиска иднина, така што ситуацијата што беше расветлена за време на конференцијата Black Hat треба да послужи како поттик за компаниите да посветат поголемо внимание на безбедноста на личните податоци.

За што пишуваме на нашите блогови и социјални мрежи:

766 km - нов рекорд на досег за LoRaWAN
Кој го користи SAML 2.0 протоколот за автентикација

Големи податоци: големи можности или голема измама
Лични податоци: карактеристики на јавниот облак

Избор на книги за оние кои веќе се вклучени во системската администрација или планираат да започнат
Како функционира техничката поддршка на 1cloud?

1 облак инфраструктура во Москва лоциран во Dataspace. Ова е првиот руски центар за податоци што ја положи сертификацијата Tier lll од Институтот Uptime.

Извор: www.habr.com