GDPR मुळे वैयक्तिक डेटा लीक कसा झाला

EU नागरिकांना त्यांच्या वैयक्तिक डेटावर अधिक नियंत्रण देण्यासाठी GDPR तयार केले गेले. आणि तक्रारींच्या संख्येच्या बाबतीत, उद्दिष्ट “साध्य” झाले: गेल्या वर्षभरात, युरोपियन लोकांनी कंपन्यांद्वारे वारंवार उल्लंघनाची तक्रार करण्यास सुरवात केली आणि कंपन्यांना स्वतःच प्राप्त झाले. अनेक नियम आणि दंड मिळू नये म्हणून असुरक्षा त्वरित बंद करण्यास सुरुवात केली. परंतु "अचानक" असे दिसून आले की जेव्हा आर्थिक मंजुरी टाळणे किंवा त्याचे पालन करणे आवश्यक आहे तेव्हा GDPR सर्वात दृश्यमान आणि प्रभावी आहे. आणि त्याहूनही अधिक - वैयक्तिक डेटा लीक थांबविण्यासाठी डिझाइन केलेले, अद्यतनित नियमन त्यांचे कारण बनते.

येथे काय चालले आहे ते सांगूया.

Фото - दान मूईज - अनस्प्लॅश

काय अडचण आहे

GDPR अंतर्गत, EU नागरिकांना कंपनीच्या सर्व्हरवर संग्रहित केलेल्या त्यांच्या वैयक्तिक डेटाच्या प्रतीची विनंती करण्याचा अधिकार आहे. अलीकडे हे ज्ञात झाले की ही यंत्रणा दुसर्या व्यक्तीचे पीडी गोळा करण्यासाठी वापरली जाऊ शकते. ब्लॅक हॅट कॉन्फरन्समधील सहभागींपैकी एक एक प्रयोग केला, ज्या दरम्यान त्याला विविध कंपन्यांकडून त्याच्या मंगेतराच्या वैयक्तिक डेटासह संग्रहण मिळाले. त्यांनी तिच्या वतीने 150 संस्थांना संबंधित विनंत्या पाठवल्या. विशेष म्हणजे, 24% कंपन्यांना ओळखीचा पुरावा म्हणून फक्त ईमेल पत्ता आणि फोन नंबर आवश्यक होता - ते प्राप्त केल्यानंतर, त्यांनी फायलींसह संग्रहण परत केले. सुमारे 16% संस्थांनी अतिरिक्तपणे पासपोर्ट (किंवा इतर दस्तऐवज) च्या छायाचित्रांची विनंती केली.

परिणामी, जेम्स सामाजिक सुरक्षा आणि क्रेडिट कार्ड क्रमांक, जन्मतारीख, विवाहितेचे नाव आणि त्याच्या "पीडित" चे निवासी पत्ता मिळवू शकला. एक सेवा जी तुम्हाला ईमेल पत्ता लीक झाला आहे की नाही हे तपासण्याची परवानगी देते (सेवेचे उदाहरण असेल मला पवन केले गेले आहे का?), अगदी पूर्वी वापरलेल्या प्रमाणीकरण डेटाची सूची पाठवली. वापरकर्त्याने पासवर्ड कधीही बदलले नाहीत किंवा ते इतरत्र वापरले नाहीत तर ही माहिती हॅक होऊ शकते.

"चुकीने" पाठवल्यानंतर डेटा चुकीच्या हातात गेला अशी इतर उदाहरणे आहेत. तर, तीन महिन्यांपूर्वी Reddit वापरकर्त्यांपैकी एक विनंती केली एपिक गेम्स वरून स्वतःबद्दल वैयक्तिक माहिती. मात्र, तिने चुकून त्याचा पीडी दुसऱ्या खेळाडूकडे पाठवला. असाच किस्सा गेल्या वर्षी घडला होता. ऍमेझॉन क्लायंट मला ते अपघाताने मिळाले Alexa ला इंटरनेट विनंत्या आणि दुसऱ्या वापरकर्त्याच्या हजारो WAF फायलींसह 100-मेगाबाइट संग्रहण.

Фото - टॉम सोडोगे - अनस्प्लॅश

तज्ञ म्हणतात की अशा परिस्थिती उद्भवण्याचे मुख्य कारण म्हणजे सामान्य डेटा संरक्षण नियमनाची अपूर्णता. विशेषत:, GDPR निर्दिष्ट करते की कंपनीने वापरकर्त्याच्या विनंत्यांना प्रतिसाद देणे आवश्यक आहे (एका महिन्याच्या आत) आणि या आवश्यकतांचे पालन करण्यात अयशस्वी झाल्यास - 20 दशलक्ष युरो किंवा वार्षिक कमाईच्या 4% पर्यंत दंड निर्दिष्ट करते. तथापि, कंपन्यांना कायद्याचे पालन करण्यास मदत करणाऱ्या वास्तविक कार्यपद्धती (उदाहरणार्थ, त्याच्या मालकाला डेटा पाठविला गेला आहे याची खात्री करणे) त्यात निर्दिष्ट केलेले नाहीत. म्हणून, संस्थांना स्वतंत्रपणे (कधीकधी चाचणी आणि त्रुटीद्वारे) त्यांच्या कार्य प्रक्रिया तयार कराव्या लागतात.

मी परिस्थिती कशी सुधारू शकतो?

सर्वात मूलगामी प्रस्तावांपैकी एक म्हणजे GDPR सोडून देणे किंवा मूलत: रीमेक करणे. असा एक मत आहे की सध्याच्या स्वरूपात कायदा कार्य करत नाही, कारण तो खूप आहे क्लिष्ट आणि अती कडक, आणि तुम्हाला त्याच्या सर्व गरजा पूर्ण करण्यासाठी भरपूर पैसे खर्च करावे लागतील.

उदाहरणार्थ, गेल्या वर्षी सुपर मंडे नाईट कॉम्बॅट गेमच्या विकसकांना त्यांचा प्रकल्प रद्द करण्यास भाग पाडले गेले. त्याच्या निर्मात्यांनुसार, जीडीपीआरसाठी सिस्टम पुन्हा डिझाइन करण्यासाठी आवश्यक बजेट बजेट ओलांडले, सात वर्षांच्या जुन्या खेळासाठी वाटप.

"लहान आणि मध्यम आकाराच्या व्यवसायांकडे नियामकांच्या गरजा समजून घेण्यासाठी आणि आवश्यक तयारी करण्यासाठी अनेकदा तांत्रिक आणि मानवी संसाधने नसतात," IaaS प्रदात्याच्या विकास विभागाचे प्रमुख सेर्गे बेल्किन यांनी टिप्पणी केली. 1Cloud.ru. “येथे मोठे विक्रेते आणि IaaS प्रदाते बचावासाठी येऊ शकतात, भाड्याने सुरक्षित IT पायाभूत सुविधा प्रदान करतात. उदाहरणार्थ, 1cloud.ru वर आम्ही आमची उपकरणे डेटा सेंटरमध्ये ठेवतो, प्रमाणित टियर III मानकांनुसार आणि ग्राहकांना रशियन फेडरल कायदा-152 "वैयक्तिक डेटावर" च्या आवश्यकतांचे पालन करण्यास मदत करते.

Фото - क्रोमॅटोग्राफ - अनस्प्लॅश

एक विरुद्ध दृष्टीकोन देखील आहे, की येथे समस्या स्वतः कायद्यात नाही, परंतु कंपन्यांच्या केवळ औपचारिकपणे आवश्यकता पूर्ण करण्याच्या इच्छेमध्ये आहे. हॅकर न्यूजच्या रहिवाशांपैकी एक नोंद: वैयक्तिक डेटा लीक होण्याचे कारण संस्थांमध्ये आहे अंमलबजावणी करू नका सर्वात सोपी पडताळणी यंत्रणा, जी सामान्य ज्ञानाद्वारे निर्धारित केली जाते.

एक मार्ग किंवा दुसरा, युरोपियन युनियन नजीकच्या भविष्यात जीडीपीआर सोडणार नाही, म्हणून ब्लॅक हॅट कॉन्फरन्स दरम्यान प्रकाश टाकलेल्या परिस्थितीने कंपन्यांना वैयक्तिक डेटाच्या सुरक्षिततेकडे अधिक लक्ष देण्यास प्रोत्साहन दिले पाहिजे.

आम्ही आमच्या ब्लॉग आणि सोशल नेटवर्क्सवर काय लिहितो:

766 किमी - LoRaWAN साठी एक नवीन श्रेणी रेकॉर्ड
SAML 2.0 प्रमाणीकरण प्रोटोकॉल कोण वापरतो

मोठा डेटा: उत्तम संधी किंवा मोठी फसवणूक
वैयक्तिक डेटा: सार्वजनिक क्लाउडची वैशिष्ट्ये

जे आधीच सिस्टम प्रशासनात गुंतलेले आहेत किंवा सुरू करण्याची योजना आखत आहेत त्यांच्यासाठी पुस्तकांची निवड
1Cloud तांत्रिक समर्थन कसे कार्य करते?

मॉस्कोमध्ये 1क्लाउड इन्फ्रास्ट्रक्चर स्थित डेटास्पेस मध्ये. Uptime संस्थेकडून Tier lll प्रमाणपत्र उत्तीर्ण करणारे हे पहिले रशियन डेटा सेंटर आहे.

स्त्रोत: www.habr.com