"वे कहां से इंतजार नहीं कर रहे हैं": पीडी के साथ काम करने पर पुराने नियमों का उल्लंघन करने के लिए याहू पर £ 250k का जुर्माना लगाया जाएगा

हाल ही में, ब्रिटिश सूचना आयुक्त के कार्यालय ने 1998 के डेटा संरक्षण अधिनियम के अनुपालन के लिए याहू पर जुर्माना लगाया। इसका कारण 500 हजार ब्रिटिश नागरिकों के व्यक्तिगत डेटा का रिसाव था, जो 2014 में हुआ था। हम इस स्थिति के बारे में बात करते हैं।


/ फ़्लिकर / स्टॉक कैटलॉग / सीसी बाय

यह कैसे हुआ?

2014 में, हमलावरों ने याहू सर्वरों को हैक किया और फोन नंबर, जन्म तिथि, पासवर्ड, खाता पुनर्प्राप्ति प्रश्न और उनके उत्तर सहित आधे मिलियन उपयोगकर्ताओं की साख चुरा ली। यह चोरी शांति के तहत एक व्यक्ति के नाम से जानी जाने लगी, जिसे माइस्पेस और लिंक्डइन के उपयोगकर्ताओं के डेटा "डंपिंग" के लिए जाना जाता है, याहू आधार को सिर्फ 3 बिटकॉइन के लिए खुलेआम बेचने लगा। विज्ञापन 2016 में डार्कनेट पर दिखाई दिया, लेकिन हमलावर ने कहा कि उसने 2012 में डेटा का हिस्सा चुरा लिया था और उसने पहले इसे गुप्त रूप से बेचा था।

जांच के दौरान, जिसमें एफबीआई भी शामिल था, यह पता चला कि याहू ने घटना के तुरंत बाद हैक के बारे में सीखा (2014 के अंत में), लेकिन सितंबर 2016 तक चुप रहना पसंद किया । नए विनियमन (जीडीपीआर) के अनुसार, संगठन अब नहीं कर पाएंगे। इतने लंबे समय के लिए जनता से लीक छिपाते हैं। नए विनियमन के अनुच्छेद 33 और 34 कंपनियों को एक रिसाव का पता लगाने के 72 घंटे के भीतर पर्यवेक्षी अधिकारियों और पीडी मालिकों को सूचित करने के लिए बाध्य करते हैं। इस नियम का पालन न करने के लिए, GDPR मल्टीमिलियन-डॉलर जुर्माना (अनुच्छेद 83 , पैराग्राफ 4) प्रदान करता है।

संयुक्त राज्य अमेरिका में, उन्होंने अधिसूचना के लिए समय सीमा भी कम कर दी। उदाहरण के लिए, इस सितंबर में कोलोराडो में , सभी संगठनों को 30 दिनों के भीतर (सभी राज्यों में सबसे कम समय) डेटा रिसाव की रिपोर्ट करने की आवश्यकता होगी। 2017 में, अन्य 8 राज्यों ने डेटा लीक अधिसूचना नीतियों को अपडेट किया। औसतन (यूएस में), डेटा लीक की अधिसूचना अवधि 45 दिन है।

याहू के मामले में, कंपनी का आरोप है:

• डेटा 515 121 उपयोगकर्ताओं की सुरक्षा सुनिश्चित नहीं कर सका;
• नियमों के अनुसार पीडी प्रसंस्करण प्रक्रिया नहीं लाई;
• लंबे समय तक "छेद" और रिसाव का पता नहीं चला।

परिणामस्वरूप, ब्रिटिश सूचना आयुक्त कार्यालय ने निर्णय लिया कि याहू ने 1998 के डीपीए के पहले भाग के सातवें नियम का उल्लंघन किया, जिसमें कहा गया है कि "व्यक्तिगत डेटा के अनधिकृत या अवैध प्रसंस्करण को रोकने के लिए उचित तकनीकी और संगठनात्मक उपाय करने की आवश्यकता है, साथ ही साथ उनकी आकस्मिक हानि, क्षति और विलोपन भी। "। डीपीए 1998 की धारा 55 ए के अनुसार, इस तरह के मामले में भुगतान किया जाने वाला अधिकतम जुर्माना 500 हजार पाउंड है। इस तथ्य के बावजूद कि कार्यालय ने लुप्त होने वाली परिस्थितियों को ध्यान में रखा (याहू निर्णय के पैरा 44 में पृष्ठ 12 पर संकेत दिया गया, जिसके बीच आयुक्त ने साइबर हमले की जटिलता, सरकारी अधिकारियों और अन्य लोगों के साथ सहयोग करने की कंपनी की इच्छा) पर प्रकाश डाला, कंपनी के जुर्माना से कोई बच नहीं सकता है।

इसी तरह के मामले

इसी तरह का एक मामला ब्रिटिश कंपनी टॉकटॉक के साथ हुआ था, जिसे अक्टूबर 2015 में हैक किया गया था। हमलावरों ने प्रदाता के 150 हजार ग्राहकों की व्यक्तिगत जानकारी तक पहुंच प्राप्त की, जिसमें 15 हजार लोगों के गोपनीय वित्तीय डेटा शामिल थे।

अपराधियों ने हैकिंग के एक तरीके के रूप में एसक्यूएल-कोड के कार्यान्वयन को चुना, और कार्यालय के एक प्रतिनिधि ने नोट किया कि इस प्रकार के हमलों के खिलाफ सुरक्षा के तरीके लंबे समय से विकसित किए गए हैं। इसके अलावा, टॉकटॉक को जुलाई और सितंबर 2015 में प्रमुख "नाली" - हमलों से पहले 2 "चेतावनियां" मिलीं, जो एक समान भेद्यता का शोषण करती थीं। इसलिए, कार्यालय ने माना कि टॉकटॉक "अगर ग्राहक डेटा की रक्षा के लिए बुनियादी कदम उठाता तो हमले को रोक सकता था" और कंपनी को 400 हजार पाउंड का जुर्माना लगाया।

लंदन में मुख्यालय वाले रिटेलर कारफोन वेयरहाउस पर भी इतनी ही राशि का जुर्माना लगाया गया था। पीड़ित 3 मिलियन ग्राहक थे: साइबर अपराधियों ने अपने नाम, पते, फोन नंबर, जन्मतिथि, परिवार की स्थिति और क्रेडिट कार्ड भुगतान इतिहास तक पहुंच प्राप्त की।

डेटा लीक का कारण पुराना सॉफ्टवेयर था । जांच से यह भी पता चला कि कंपनी ने सुरक्षा प्रणालियों का मानक परीक्षण नहीं किया था। याहू के मामले में, ब्रिटिश सूचना आयुक्त के कार्यालय ने इस तरह की लापरवाही को सातवें डीपीए नियम 1998 का ​​गंभीर उल्लंघन माना और कारफोन वेयरहाउस को अधिकतम के करीब ठीक कर दिया।

आगे क्या है

याहू मामले पर एक ब्लॉग पोस्ट में, ICO ऑपरेशंस के डिप्टी कमिश्नर जेम्स डिप्पल-जॉनस्टोन ने नोट किया कि लोग अपने डेटा के साथ कंपनियों पर इस उम्मीद में भरोसा करते हैं कि उनकी निजी जानकारी तीसरे पक्ष के हाथों में नहीं आएगी । हालांकि, सभी कंपनियां अपने ग्राहकों के डेटा संरक्षण को गंभीरता से नहीं लेती हैं। ऐसी स्थितियों में, कानून के प्रतिनिधियों को मामले को उठाने के लिए मजबूर किया जाता है।


/ फ़्लिकर / विली हीडलबेक / सीसी बाय

डिप्टी कमिश्नर ने कहा कि यदि संगठन अपने ग्राहकों के व्यक्तिगत डेटा के लिए पर्याप्त सुरक्षा प्रदान करने में सक्षम नहीं हैं, तो वे कहीं और काम की तलाश कर सकते हैं।

कार्यालय समझता है कि साइबर हमले होते रहेंगे, और साइबर अपराधियों के तरीके और भी अधिक परिष्कृत हो जाएंगे, लेकिन अपने ग्राहकों के डेटा की सुरक्षा के लिए संगठनों से अधिकतम प्रयासों की आवश्यकता होती है।

जैसा कि ब्रिटिश सूचना सुरक्षा आयुक्त, एलिजाबेथ डेनहम ने जोर दिया , "कंपनियों को केवल दरवाजे बंद करने से अधिक करना चाहिए।" उन्हें इसे लॉक करना होगा और लगातार इसकी जांच करनी होगी। उन्हें यह भी याद रखना चाहिए कि गलीचा के नीचे चाबी छोड़ना दरवाजे को बंद करना बेकार है। "

PS हम 1cloud के कॉर्पोरेट ब्लॉग पर और क्या लिख ​​रहे हैं:

• आवेदन कंटेनरों का सार क्या है
• SSL प्रमाणपत्र क्या है और इसे क्यों खरीदते हैं
• वर्चुअल मशीन में RAID सरणी