कसरी GDPR ले व्यक्तिगत डेटा चुहावट निम्त्यायो

GDPR EU नागरिकहरूलाई उनीहरूको व्यक्तिगत डेटामा थप नियन्त्रण दिनको लागि सिर्जना गरिएको थियो। र उजुरीहरूको संख्याको सन्दर्भमा, लक्ष्य "प्राप्त" थियो: गत वर्षमा, युरोपेलीहरूले प्राय: कम्पनीहरूद्वारा उल्लङ्घनहरू रिपोर्ट गर्न थाले, र कम्पनीहरूले आफैलाई प्राप्त गरे। धेरै नियमहरू र जरिवाना प्राप्त गर्न नपरोस् भनेर तुरुन्तै कमजोरीहरू बन्द गर्न थाले। तर "अचानक" यो बाहिरियो कि GDPR सबैभन्दा देखिने र प्रभावकारी छ जब यो वित्तीय प्रतिबन्धहरू बेवास्ता गर्ने वा यसको पालना गर्न आवश्यक छ। र अझ बढि - व्यक्तिगत डेटा लीकको अन्त्य गर्न डिजाइन गरिएको, अद्यावधिक गरिएको नियम तिनीहरूको कारण बन्छ।

यहाँ के भइरहेको छ भनौं।

Фото - दान मूइज - अनस्प्लास

समस्या के हो

GDPR अन्तर्गत, EU नागरिकहरूलाई कम्पनीको सर्भरमा भण्डारण गरिएको आफ्नो व्यक्तिगत डेटाको प्रतिलिपि अनुरोध गर्ने अधिकार छ। भर्खरै यो ज्ञात भयो कि यो संयन्त्र अर्को व्यक्तिको PD सङ्कलन गर्न प्रयोग गर्न सकिन्छ। ब्ल्याक ह्याट सम्मेलनमा सहभागी मध्ये एक एक प्रयोग गरे, जसको समयमा उनले विभिन्न कम्पनीहरुबाट आफ्नो मंगेतरको व्यक्तिगत डाटा संग अभिलेख प्राप्त गरे। उनले 150 संस्थाहरूलाई उनको तर्फबाट सान्दर्भिक अनुरोधहरू पठाए। चाखलाग्दो कुरा के छ भने, 24% कम्पनीहरूलाई पहिचानको प्रमाणको रूपमा इमेल ठेगाना र फोन नम्बर मात्र चाहिन्छ - तिनीहरूलाई प्राप्त गरेपछि, तिनीहरूले फाइलहरू सहितको अभिलेख फिर्ता गरे। लगभग 16% संस्थाहरूले राहदानी (वा अन्य कागजात) को फोटोहरू थप अनुरोध गरे।

फलस्वरूप, जेम्सले सामाजिक सुरक्षा र क्रेडिट कार्ड नम्बरहरू, जन्म मिति, विवाहको नाम र आफ्नो "पीडित" को आवासीय ठेगाना प्राप्त गर्न सक्षम भए। एउटा सेवा जसले तपाईंलाई इमेल ठेगाना लीक भएको छ कि छैन भनेर जाँच गर्न अनुमति दिन्छ (सेवाको उदाहरण हुनेछ के मलाई पवन गरिएको छ?), पहिले प्रयोग गरिएको प्रमाणीकरण डाटाको सूची पनि पठाइयो। यदि प्रयोगकर्ताले पासवर्डहरू कहिल्यै परिवर्तन गरेनन् वा तिनीहरूलाई अन्यत्र प्रयोग गरेन भने यो जानकारीले ह्याक गर्न सक्छ।

त्यहाँ अन्य उदाहरणहरू छन् जहाँ डाटा "गलत रूपमा" पठाइएपछि गलत हातमा समाप्त भयो। त्यसैले, तीन महिना अघि Reddit प्रयोगकर्ता मध्ये एक अनुरोध गरियो एपिक गेम्सबाट आफ्नो बारेमा व्यक्तिगत जानकारी। यद्यपि, उनले गल्तीले अर्को खेलाडीलाई आफ्नो पीडी पठाए। गत वर्ष पनि यस्तै घटना घटेको थियो । अमेजन ग्राहक मैले संयोगवश प्राप्त गरें 100-मेगाबाइट अभिलेख सहितको इन्टरनेट अनुरोधहरू Alexa र अन्य प्रयोगकर्ताका हजारौं WAF फाइलहरू।

Фото - टम सोडोगे - अनस्प्लास

विज्ञहरू भन्छन् कि यस्तो अवस्थाहरू उत्पन्न हुनुको मुख्य कारणहरू मध्ये एक सामान्य डाटा संरक्षण नियमनको अपूर्णता हो। विशेष गरी, GDPR ले समय सीमा निर्दिष्ट गर्दछ जुन भित्र कम्पनीले प्रयोगकर्ता अनुरोधहरूको जवाफ दिनुपर्छ (एक महिना भित्र) र जरिवाना निर्दिष्ट गर्दछ - 20 मिलियन यूरो सम्म वा वार्षिक राजस्वको 4% - यो आवश्यकता पूरा गर्न असफल भएमा। यद्यपि, कम्पनीहरूलाई कानूनको पालना गर्न मद्दत गर्ने वास्तविक प्रक्रियाहरू (उदाहरणका लागि, डेटा यसको मालिकलाई पठाइन्छ भनेर सुनिश्चित गर्दै) यसमा निर्दिष्ट गरिएको छैन। तसर्थ, संगठनहरूले स्वतन्त्र रूपमा (कहिलेकाँही परीक्षण र त्रुटि मार्फत) आफ्नो कार्य प्रक्रियाहरू निर्माण गर्नुपर्दछ।

म कसरी स्थिति सुधार गर्न सक्छु?

सबैभन्दा कट्टरपन्थी प्रस्तावहरू मध्ये एक GDPR त्याग्नु वा यसलाई मूल रूपमा पुनर्निर्माण गर्नु हो। त्यहाँ एक राय छ कि यसको वर्तमान रूप मा कानून काम गर्दैन, किनकि यो धेरै छ जटिल र अत्यधिक कडा, र तपाईंले यसको सबै आवश्यकताहरू पूरा गर्न धेरै पैसा खर्च गर्नुपर्नेछ।

उदाहरणका लागि, गत वर्ष सुपर सोमबार नाइट कम्ब्याट खेलका विकासकर्ताहरूलाई उनीहरूको परियोजना रद्द गर्न बाध्य पारिएको थियो। यसको सिर्जनाकर्ताहरूका अनुसार, बजेट GDPR को लागि प्रणालीहरू पुन: डिजाइन गर्न आवश्यक छ बजेटभन्दा बढी, सात वर्ष पुरानो खेल को लागी आवंटित।

"साना र मध्यम आकारका व्यवसायहरूसँग प्राय: नियामकहरूको आवश्यकताहरू बुझ्न र आवश्यक तयारीहरू गर्न प्राविधिक र मानव संसाधनहरू हुँदैनन्," IaaS प्रदायकको विकास विभागका प्रमुख सर्गेई बेल्किनले टिप्पणी गरे। 1Cloud.ru। "यहाँ ठूला विक्रेताहरू र IaaS प्रदायकहरू उद्धारमा आउन सक्छन्, भाडामा सुरक्षित आईटी पूर्वाधार प्रदान गर्दै। उदाहरण को लागी, 1cloud.ru मा हामी हाम्रो उपकरण डाटा केन्द्र मा राख्छौं, प्रमाणित टियर III मानक अनुसार र ग्राहकहरूलाई रूसी संघीय कानून-152 "व्यक्तिगत डेटामा" को आवश्यकताहरूको पालना गर्न मद्दत गर्दछ।

Фото - क्रोमेटोग्राफ - अनस्प्लास

त्यहाँ एक विपरित दृष्टिकोण पनि छ, यहाँ समस्या कानूनमा होइन, तर कम्पनीहरूको आवश्यकताहरू औपचारिक रूपमा मात्र पूरा गर्ने इच्छामा छ। ह्याकर न्यूजका बासिन्दाहरू मध्ये एक नोट गरियो: व्यक्तिगत डाटा लीकको कारण संगठनहरू तथ्यमा निहित छ कार्यान्वयन नगर्ने सरल प्रमाणिकरण संयन्त्र, जुन सामान्य ज्ञान द्वारा निर्देशित गरिन्छ।

एक तरिका वा अर्को, युरोपेली संघ निकट भविष्यमा GDPR त्याग्न गइरहेको छैन, त्यसैले ब्ल्याक ह्याट सम्मेलनको समयमा प्रकाश पारेको स्थितिले कम्पनीहरूलाई व्यक्तिगत डेटाको सुरक्षामा बढी ध्यान दिन प्रोत्साहनको रूपमा काम गर्नुपर्छ।

हामीले हाम्रो ब्लग र सामाजिक सञ्जालहरूमा के लेख्छौं:

766 किमी - LoRaWAN को लागि नयाँ दायरा रेकर्ड
जसले SAML 2.0 प्रमाणीकरण प्रोटोकल प्रयोग गर्दछ

ठूलो डाटा: ठूलो अवसर वा ठूलो धोखा
व्यक्तिगत डेटा: सार्वजनिक क्लाउड को सुविधाहरू

जो पहिले नै प्रणाली प्रशासनमा संलग्न छन् वा सुरु गर्ने योजनामा ​​छन् तिनीहरूका लागि पुस्तकहरूको चयन
१ क्लाउड प्राविधिक समर्थनले कसरी काम गर्छ?

मस्को मा 1 क्लाउड पूर्वाधार स्थित डाटास्पेस मा। Uptime संस्थानबाट Tier lll प्रमाणीकरण पास गर्ने यो पहिलो रूसी डाटा केन्द्र हो।

स्रोत: www.habr.com