कैसे 12 साल के लिए एक सर्वर भूल 120,000 पाउंड खर्च कर सकते हैं

जीडीपीआर के लागू होने से कुछ दिन पहले, ग्रीनविच विश्वविद्यालय मुश्किल में था। सूचना आयुक्त कार्यालय (सूचना आयुक्त का कार्यालय एक स्वतंत्र यूके कानून प्रवर्तन एजेंसी है) ने विश्वविद्यालय को £ 120 हजार का जुर्माना लगाया (लेखन के समय, यह लगभग 136 हजार यूरो, 160 हजार अमेरिकी डॉलर, 10 मिलियन रूसी है रूबल, 4.2 मिलियन यूक्रेनी hryvnias) एक गंभीर सुरक्षा भेद्यता के लिए जो लगभग 20 हजार छात्रों और कर्मचारियों के डेटा रिसाव का कारण बना। कैसे इस तरह के एक गंभीर विश्वविद्यालय ICO के तहत पाने में कामयाब रहे और DPA का उल्लंघन करने वाले पहले विश्वविद्यालय बन गए, और यह हमें कट के तहत पढ़ना सिखाता है।



यह सब 2004 में वापस शुरू हुआ। तब विश्वविद्यालय ने कम्प्यूटिंग और गणित स्कूल (कंप्यूटिंग और गणित के स्कूल) में एक अकादमिक सम्मेलन आयोजित किया, जिसमें से एक छात्र ने एक माइक्रोसाइट बनाया। इसके कार्यों में से एक दस्तावेजों का गुमनाम लोडिंग था। सम्मेलन समाप्त हो गया था, और वे बस सर्वर के बारे में भूल गए। किसी ने इसे बंद नहीं किया, इसे स्वरूपित किया, या इसे अपडेट किया। उसने कई वर्षों तक कोने में चुपचाप जंग लगाई (हम विश्वविद्यालय के बजट से ईर्ष्या करते हैं जो हमें सर्वर और उनके द्वारा खपत की गई ऊर्जा के बारे में भूल जाते हैं)।

आखिरकार, 2013 में, 9 (!) वर्षों बाद, पहला पटाखा सर्वर तक पहुंच गया और माइक्रोसाइट से समझौता करने के लिए अनाम डाउनलोड फ़ंक्शन का सफलतापूर्वक उपयोग किया। और किसी ने भी इस पर सफलतापूर्वक ध्यान नहीं दिया। जो काफी प्रेडिक्टेबल है - अगर पहले से ही 9 साल से सर्वर पर ध्यान न दिया जाए तो सर्वर पर हैकिंग को कैसे देखा जा सकता है? ..?

कई बार, 2016 में हैकर्स ने SQL और PHP कमजोरियों का उपयोग करते हुए विश्वविद्यालय के नेटवर्क में प्रवेश किया, जो उस समय 12 वर्षों के लिए अद्यतन नहीं किया गया था। और फिर, तुरंत इस पर ध्यान नहीं दिया गया। उन्होंने केवल हैकिंग और डंपिंग डेटा के बारे में सीखा, जब हैकर्स में से एक ने इसे पूरी तरह से पास्टेबिन पर पोस्ट किया।

और वे बहुत लीक हो गए। नाम, पते और टेलीफोन सहित लगभग 19,500 छात्रों, स्नातकों और विश्वविद्यालय के कर्मचारियों की व्यक्तिगत जानकारी सार्वजनिक रूप से उपलब्ध कराई गई थी। साथ ही 3,500 लोगों के और अधिक संवेदनशील डेटा, जिनमें न केवल अनुपस्थिति के लिए औचित्य है, बल्कि प्रशिक्षण, बीमारियों आदि के साथ कठिनाइयों पर डेटा भी शामिल है।

विश्वविद्यालय ने अपनी गलती को स्वीकार किया और अपने आंतरिक संसाधनों की सुरक्षा को महत्वपूर्ण रूप से बढ़ाने के लिए "सामान्य सफाई" की।

यह हमें क्या सिखाता है?

स्थिति उत्सुक थी, लेकिन बहुत शिक्षाप्रद थी। और सबक विभिन्न कोणों से सीखा जा सकता है।

जीडीपीआर के संदर्भ में

यह देखते हुए कि जीडीपीआर के लागू होने से कुछ दिन पहले यह निर्णय लिया गया था, कई लोग इस निर्देश के परिप्रेक्ष्य से स्थिति पर विचार करते हैं। इस मामले में, विश्वविद्यालय को व्यक्तिगत डेटा का नियंत्रक माना जाता है और तदनुसार, उनकी सुरक्षा सुनिश्चित करने के लिए जिम्मेदार है। इस तथ्य के बावजूद कि यह साइट बहुत पहले बनाई गई थी, विश्वविद्यालय के विभागों में से एक में और, जाहिरा तौर पर, आईटी विभाग के ज्ञान के बिना।

नए नियम के लागू होने के बाद स्थिति ठीक होने पर जुर्माने की राशि अधिक हो सकती थी। यदि, पुराने नियमों के अनुसार, ICO 500 हजार पाउंड (लगभग 560 हजार यूरो) तक का जुर्माना लगा सकता है, तो GDPR का अर्थ है 20 मिलियन यूरो तक का जुर्माना या वार्षिक वैश्विक कारोबार का 4% (एक बड़ा विकल्प)।

बड़े संगठनों के नजरिए से

संरचना जितनी बड़ी होगी, रिकॉर्ड रखना उतना ही मुश्किल होगा। खासकर अगर संरचना में स्वायत्त इकाइयाँ हैं, जैसे कि संकाय या दूरस्थ कार्यालय / उत्पादन। लेकिन यह भूलने का कारण नहीं है।

जिम्मेदार आईटी विभागों को एक बार फिर से याद रखना चाहिए कि कुछ ऐसे सरल नियम हैं जो इस स्थिति से बचने में मदद करेंगे:

1. नियमित रूप से अपडेट करें। वास्तव में, नियम स्पष्ट है, यह लिखना भी शर्मनाक था। लेकिन कई मायनों में यह उनका गैर-अनुपालन था जिसके कारण ऊपर वर्णित परिणाम सामने आए।
2. समय पर कचरा बाहर निकालें। एक समय के अल्पकालिक कार्यों को करने के लिए हम कितनी बार कुछ अस्थायी साइटों, फ़ाइलों, खुले फ़ोल्डरों, आदिम पासवर्ड वाले खातों का निर्माण करते हैं? मुझे लगता है कि कई लोग इसे कभी-कभी करते हैं। लेकिन कभी-कभी हम कार्य पूरा होने के तुरंत बाद उन्हें हटाना भूल जाते हैं, और इस तरह एक निश्चित सुरक्षा छेद खोल देते हैं। कौन जानता है कि कैसे जल्द ही किसी को डेटाबेस के लिए सीधी पहुँच के साथ अपने परीक्षण मिल जाएगा।?

यदि कम से कम यह लेख अपने संसाधनों, विशेष रूप से उन लोगों को ऑडिट करने के लिए प्रोत्साहित करता है, जिन्होंने अपना स्वयं का सेवा किया है, तो मेरा दिन बर्बाद नहीं हुआ।

संदर्भ के लिए

सूचना आयुक्त कार्यालय एक ब्रिटिश संगठन है जो जनहित में सूचना के अधिकारों की रक्षा और संरक्षण के लिए बनाया गया है। डेटा संरक्षण अधिनियम 1998, सूचना की स्वतंत्रता अधिनियम 2000, पर्यावरण सूचना विनियम 2004 और गोपनीयता और इलेक्ट्रॉनिक संचार विनियम 2003 (विनियमन) के तहत इसके कई दायित्व हैं। गोपनीयता और इलेक्ट्रॉनिक संचार)।

कार्यालय के कार्यों में व्यक्तिगत डेटा एकत्र करने, प्रसंस्करण और उपयोग करने वाले संगठनों और व्यक्तियों के व्यवहार का समायोजन है। उनके निपटान में ऑडिट से लेकर जुर्माना और आपराधिक मुकदमे तक, प्रभाव का एक विस्तृत शस्त्रागार है। उनके अभ्यास से कुछ मामले आश्चर्यचकित कर सकते हैं या ईर्ष्या भी कर सकते हैं।

• कॉस्टेलो और केली लिमिटेड को 260,000 से अधिक स्पैम संदेश विज्ञापन अंतिम संस्कार पैकेज के लिए भेजने के लिए £ 19,000 का जुर्माना लगाया गया था।
• रॉयल पोस्टल सर्विस पर अनसब्सक्राइब करने वाले उपयोगकर्ताओं को स्पैम करने के लिए £ 12,000 का जुर्माना लगाया गया था।
• रॉयल प्रॉसिक्यूशन सर्विस को बाल यौन शोषण के 15 पीड़ितों के मामलों से संबंधित अनएन्क्रिप्टेड पुलिस पूछताछ डीवीडी के नुकसान के लिए £ 325,000 का जुर्माना लगाया गया है। और अभियोजन सेवा द्वारा डेटा हानि का यह दूसरा मामला था। न केवल हमारे देशों में एक गड़बड़ ...
• पूर्व रोजगार सलाहकार नियोक्ता के डेटाबेस से डेटा डंपिंग के लिए एक हजार पाउंड से अधिक के साथ टूट गया। और कंपनी छोड़ने से पहले आप में से किसने रिपोजिटरी या क्लाइंट बेस को मर्ज कर दिया? ;)
• बाइबिल समुदाय ने भेद्यता के लिए एक लाख पाउंड का भुगतान किया, जिसके कारण संगठन का समर्थन करने वाले 417 हजार लोगों के बारे में जानकारी एकत्र की गई। जिसमें दान करने वाले लोगों के बैंक कार्ड और खातों की जानकारी शामिल है।
• स्नैपचैट के माध्यम से छात्रों और उनके माता-पिता को व्यक्तिगत जानकारी भेजने के लिए स्थानीय सरकार के शिक्षा विभाग के एक कर्मचारी पर £ 1,500 का जुर्माना लगाया गया था। और आखिरकार मैंने कुछ भी बुरा नहीं किया। अलग रहने वाले एक माता-पिता अपने बच्चे के बारे में कुछ जानकारी प्राप्त करना चाहते थे। लेकिन कब से फोन पर कैमरा नहीं जानता कि टैबलेट की केवल एक पंक्ति को कैसे हटाया जाए, माता-पिता ने 37 छात्रों और उनके माता-पिता के व्यक्तिगत डेटा प्राप्त किए, जिसमें नाम, पता, जन्मतिथि और सामाजिक सुरक्षा नंबर शामिल हैं। और वैसे, वह अब वहाँ काम नहीं करती है।

कोई केवल यह आशा कर सकता है कि डेटा के प्रति एक सभ्य और सम्मानजनक रवैया हमारी भूमि पर जल्द या बाद में आएगा।

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?