GDPR یورپی یونین کے شہریوں کو ان کے ذاتی ڈیٹا پر زیادہ کنٹرول دینے کے لیے بنایا گیا تھا۔ اور شکایات کی تعداد کے لحاظ سے، مقصد "حاصل" کیا گیا تھا: پچھلے سال کے دوران، یورپیوں نے کمپنیوں کی طرف سے اکثر خلاف ورزیوں کی اطلاع دینا شروع کی، اور خود کمپنیوں کو موصول ہوئی اور تیزی سے کمزوریوں کو بند کرنا شروع کر دیا تاکہ جرمانہ وصول نہ کیا جائے۔ لیکن "اچانک" یہ پتہ چلا کہ جی ڈی پی آر اس وقت سب سے زیادہ نظر آتا ہے اور موثر ہوتا ہے جب یا تو مالی پابندیوں سے بچنے یا اس کی تعمیل کرنے کی ضرورت ہوتی ہے۔ اور اس سے بھی زیادہ - ذاتی ڈیٹا لیک کو ختم کرنے کے لیے ڈیزائن کیا گیا، اپ ڈیٹ کردہ ضابطہ ان کی وجہ بن جاتا ہے۔
آئیے آپ کو بتاتے ہیں کہ یہاں کیا ہو رہا ہے۔
Фото - - کھولنا
مسئلہ کیا ہے
جی ڈی پی آر کے تحت، یورپی یونین کے شہریوں کو کمپنی کے سرورز پر محفوظ اپنے ذاتی ڈیٹا کی کاپی کی درخواست کرنے کا حق ہے۔ حال ہی میں یہ معلوم ہوا کہ اس طریقہ کار کو کسی دوسرے شخص کی PD جمع کرنے کے لیے استعمال کیا جا سکتا ہے۔ بلیک ہیٹ کانفرنس کے شرکاء میں سے ایک ، جس کے دوران اس نے مختلف کمپنیوں سے اپنی منگیتر کے ذاتی ڈیٹا کے ساتھ آرکائیوز حاصل کیے۔ اس نے اس کی جانب سے 150 تنظیموں کو متعلقہ درخواستیں بھیجیں۔ دلچسپ بات یہ ہے کہ 24% کمپنیوں کو شناخت کے ثبوت کے طور پر صرف ایک ای میل ایڈریس اور ایک فون نمبر کی ضرورت تھی - انہیں حاصل کرنے کے بعد، انہوں نے فائلوں کے ساتھ ایک آرکائیو واپس کیا۔ تقریباً 16% تنظیموں نے اضافی طور پر پاسپورٹ (یا دیگر دستاویز) کی تصاویر کی درخواست کی۔
نتیجے کے طور پر، جیمز سوشل سیکورٹی اور کریڈٹ کارڈ نمبرز، تاریخ پیدائش، پہلے کا نام اور اپنے "متاثرہ" کا رہائشی پتہ حاصل کرنے میں کامیاب ہو گیا۔ ایک خدمت جو آپ کو یہ جانچنے کی اجازت دیتی ہے کہ آیا کوئی ای میل پتہ لیک ہو گیا ہے (ایک خدمت کی مثال یہ ہوگی۔ )، یہاں تک کہ پہلے استعمال شدہ تصدیقی ڈیٹا کی ایک فہرست بھیجی۔ یہ معلومات ہیکنگ کا باعث بن سکتی ہیں اگر صارف نے کبھی پاس ورڈ تبدیل نہیں کیے یا انہیں کہیں اور استعمال کیا۔
ایسی دوسری مثالیں ہیں جہاں ڈیٹا "غلطی سے" بھیجے جانے کے بعد غلط ہاتھوں میں چلا گیا۔ لہذا، تین مہینے پہلے Reddit صارفین میں سے ایک ایپک گیمز سے اپنے بارے میں ذاتی معلومات۔ تاہم، اس نے غلطی سے اپنا PD دوسرے کھلاڑی کو بھیج دیا۔ گزشتہ سال بھی ایسی ہی کہانی پیش آئی۔ ایمیزون کلائنٹ الیکسا کو انٹرنیٹ کی درخواستوں اور دوسرے صارف کی ہزاروں WAF فائلوں کے ساتھ ایک 100 میگا بائٹ آرکائیو۔
Фото - - کھولنا
ماہرین کا کہنا ہے کہ ایسے حالات کے پیدا ہونے کی ایک بڑی وجہ جنرل ڈیٹا پروٹیکشن ریگولیشن کا نامکمل ہونا ہے۔ خاص طور پر، GDPR وہ ٹائم فریم بتاتا ہے جس کے اندر کمپنی کو صارف کی درخواستوں کا جواب دینا چاہیے (ایک ماہ کے اندر) اور اس ضرورت کی تعمیل کرنے میں ناکامی پر - 20 ملین یورو یا سالانہ آمدنی کا 4% تک جرمانے کی وضاحت کرتا ہے۔ تاہم، اصل طریقہ کار جن سے کمپنیوں کو قانون کی تعمیل میں مدد کرنی چاہیے (مثال کے طور پر، اس بات کو یقینی بنانا کہ ڈیٹا اس کے مالک کو بھیجا جائے) اس میں بیان نہیں کیے گئے ہیں۔ لہذا، تنظیموں کو آزادانہ طور پر (کبھی کبھی آزمائش اور غلطی کے ذریعے) اپنے کام کے عمل کو تیار کرنا ہوتا ہے۔
میں صورتحال کو کیسے بہتر بنا سکتا ہوں؟
سب سے زیادہ بنیاد پرست تجاویز میں سے ایک یہ ہے کہ جی ڈی پی آر کو ترک کر دیا جائے یا اسے یکسر دوبارہ بنایا جائے۔ ایک رائے ہے کہ اس کی موجودہ شکل میں قانون کام نہیں کرتا، کیونکہ یہ بہت ہے۔ اور حد سے زیادہ سخت، اور آپ کو اس کی تمام ضروریات کو پورا کرنے کے لیے بہت زیادہ پیسہ خرچ کرنا پڑتا ہے۔
مثال کے طور پر، پچھلے سال سپر منڈے نائٹ کامبیٹ گیم کے ڈویلپرز کو اپنا پروجیکٹ منسوخ کرنے پر مجبور کیا گیا تھا۔ اس کے تخلیق کاروں کے مطابق، جی ڈی پی آر کے لیے نظام کو دوبارہ ڈیزائن کرنے کے لیے درکار بجٹ سات سال پرانے کھیل کے لیے مختص کیا گیا ہے۔
"چھوٹے اور درمیانے درجے کے کاروباروں کے پاس اکثر ریگولیٹرز کی ضروریات کو سمجھنے اور ضروری تیاری کرنے کے لیے تکنیکی اور انسانی وسائل نہیں ہوتے ہیں،" IaaS فراہم کنندہ کے ڈویلپمنٹ ڈیپارٹمنٹ کے سربراہ سرجی بیلکن نے کہا۔ . "یہ وہ جگہ ہے جہاں بڑے وینڈرز اور IaaS فراہم کنندگان بچاؤ کے لیے آ سکتے ہیں، کرایہ کے لیے محفوظ IT انفراسٹرکچر فراہم کرتے ہیں۔ مثال کے طور پر، 1cloud.ru پر ہم اپنا سامان ڈیٹا سینٹر میں رکھتے ہیں، ٹائر III معیار کے مطابق اور کلائنٹس کو روسی وفاقی قانون-152 "ذاتی ڈیٹا پر" کے تقاضوں کی تعمیل کرنے میں مدد کرتا ہے۔
Фото - - کھولنا
ایک مخالف نقطہ نظر یہ بھی ہے کہ یہاں مسئلہ بذات خود قانون کا نہیں ہے، بلکہ کمپنیوں کی اپنی ضروریات صرف رسمی طور پر پوری کرنے کی خواہش کا ہے۔ ہیکر نیوز کے رہائشیوں میں سے ایک : ذاتی ڈیٹا لیک ہونے کی وجہ یہ ہے کہ تنظیمیں سب سے آسان توثیقی میکانزم، جو عام فہم سے طے شدہ ہیں۔
کسی نہ کسی طرح سے، یورپی یونین مستقبل قریب میں GDPR کو ترک نہیں کرنے والی ہے، اس لیے بلیک ہیٹ کانفرنس کے دوران جو صورتحال سامنے آئی تھی، اسے کمپنیوں کے لیے ذاتی ڈیٹا کی حفاظت پر زیادہ توجہ دینے کی ترغیب دینا چاہیے۔
ہم اپنے بلاگز اور سوشل نیٹ ورکس پر کیا لکھتے ہیں:
ماسکو میں 1 کلاؤڈ انفراسٹرکچر ڈیٹا اسپیس میں۔ یہ پہلا روسی ڈیٹا سینٹر ہے جس نے اپ ٹائم انسٹی ٹیوٹ سے Tier lll سرٹیفیکیشن پاس کیا۔
ماخذ: www.habr.com