🌾 👸🏽 🧓🏼 कैसे GDPR व्यक्तिगत डेटा लीक का कारण बना 👐🏽 ✅ ✊🏻

GDPR यूरोपीय संघ के नागरिकों को व्यक्तिगत डेटा पर अधिक नियंत्रण देने के लिए बनाया गया था। और शिकायतों की संख्या के संदर्भ में, लक्ष्य "हासिल" किया गया था: पिछले वर्ष से, यूरोपीय कंपनियों द्वारा अधिक बार उल्लंघन की रिपोर्ट करना शुरू कर दिया, और कंपनियों ने खुद कई निर्देश प्राप्त किए और जल्दी से कमजोरियों को बंद करना शुरू कर दिया ताकि जुर्माना न हो। लेकिन "अचानक" यह पता चला कि जीडीपीआर सबसे अधिक ध्यान देने योग्य और प्रभावी है जब यह या तो वित्तीय प्रतिबंधों का पालन करता है या इसके अनुपालन की बहुत आवश्यकता है। और इससे भी अधिक - व्यक्तिगत डेटा के लीक को समाप्त करने के लिए डिज़ाइन किया गया, अद्यतन विनियमन उनका कारण बनता है।

हम आपको बताते हैं कि मामला क्या है।

फोटोज- डैन मूइज - अनप्लैश

क्या समस्या है

जीडीपीआर के अनुसार, यूरोपीय संघ के नागरिकों को अपने व्यक्तिगत डेटा की एक प्रति का अनुरोध करने का अधिकार है जो किसी कंपनी के सर्वर पर संग्रहीत है। हाल ही में यह ज्ञात हुआ कि इस तंत्र का उपयोग किसी अन्य व्यक्ति के पीडी को इकट्ठा करने के लिए किया जा सकता है। ब्लैक हैट सम्मेलन के प्रतिभागियों में से एक ने एक प्रयोग किया, जिसमें उन्होंने विभिन्न कंपनियों से अपनी दुल्हन के व्यक्तिगत डेटा के साथ अभिलेखागार प्राप्त किया। उन्होंने अपनी ओर से 150 संगठनों को प्रासंगिक अनुरोध भेजे। दिलचस्प बात यह है कि 24% कंपनियों के पास पहचान पत्र के रूप में पर्याप्त ईमेल पता और फोन नंबर था - उन्हें प्राप्त करने के बाद, उन्होंने फाइलों के साथ संग्रह लौटा दिया। लगभग 16% संगठनों ने अतिरिक्त रूप से पासपोर्ट (या अन्य दस्तावेज़) की तस्वीरें मांगी हैं।

नतीजतन, जेम्स एक सामाजिक सुरक्षा नंबर और क्रेडिट कार्ड, जन्म तिथि, युवती का नाम और अपने पीड़ित के निवास का पता प्राप्त करने में कामयाब रहे। एक सेवा जो आपको यह जांचने की अनुमति देती है कि क्या ईमेल पते को किसी भी लीक में "जलाया गया है" (क्या मैंने पीड किया है? उदाहरण के लिए) यहां तक कि पहले से उपयोग किए गए प्रमाणीकरण डेटा की एक सूची भी भेजी। यह जानकारी हैकिंग का कारण बन सकती है यदि उपयोगकर्ता ने पासवर्ड नहीं बदले हैं या उनका उपयोग कहीं और किया है।

"गलत" भेजने के बाद डेटा गलत हाथों में पड़ने पर अन्य उदाहरण हैं। इसलिए, तीन महीने पहले, रेडिट उपयोगकर्ताओं में से एक ने एपिक गेम्स से अपने बारे में व्यक्तिगत जानकारी का अनुरोध किया था। हालाँकि, उसने गलती से अपने पीडी को दूसरे खिलाड़ी के पास भेज दिया। इसी तरह की कहानी पिछले साल हुई थी। एक अमेज़ॅन क्लाइंट को गलती से एलेक्सा को इंटरनेट अनुरोधों के साथ एक 100-मेगाबाइट संग्रह और दूसरे उपयोगकर्ता से हजारों WAF फाइलें मिलीं।

तस्वीरें - टॉम सोडोगे - अनप्लैश

ऐसी स्थितियों की घटना के मुख्य कारणों में से एक, विशेषज्ञ सामान्य डेटा संरक्षण विनियमन की अपूर्णता कहते हैं। विशेष रूप से, जीडीपीआर उस समय फ़्रेम को नाम देता है जिसके दौरान कंपनी को उपयोगकर्ता के अनुरोधों (एक महीने के भीतर) का जवाब देना चाहिए, और इस आवश्यकता का पालन करने में विफलता के लिए - 20 मिलियन यूरो या वार्षिक राजस्व का 4% तक जुर्माना इंगित करता है। हालांकि, स्वयं प्रक्रियाएं, जो कंपनियों को कानून का अनुपालन करने में मदद करनी चाहिए (उदाहरण के लिए, सुनिश्चित करें कि डेटा उनके मालिक को भेजा गया है), इसमें निर्दिष्ट नहीं हैं। इसलिए, संगठनों को स्वतंत्र रूप से (कभी-कभी, परीक्षण और त्रुटि से) अपनी कार्य प्रक्रियाओं का निर्माण करना पड़ता है।

स्थिति को कैसे ठीक किया जाए

सबसे कट्टरपंथी प्रस्तावों में से एक जीडीपीआर को छोड़ना है या मौलिक रूप से इसे बदलना है। यह माना जाता है कि कानून अपने वर्तमान रूप में काम नहीं करता है, क्योंकि यह बहुत जटिल और बहुत सख्त है, और इसकी सभी आवश्यकताओं को पूरा करने के लिए बड़ी राशि खर्च करनी पड़ती है।

उदाहरण के लिए, पिछले साल सुपर मंडे नाइट कॉम्बैट गेम के डेवलपर्स को अपनी परियोजना पर पर्दा डालने के लिए मजबूर किया गया था। इसके रचनाकारों के अनुसार, जीडीपीआर के लिए सिस्टम रीमेक करने के लिए आवश्यक बजट सात साल के खेल के लिए आवंटित बजट से अधिक है ।

IaaS प्रदाता 1cloud.ru के विकास विभाग के प्रमुख सर्गेई बेलकिन ने टिप्पणी की, "छोटे और मध्यम आकार के व्यवसायों में वास्तव में अक्सर नियामकों की आवश्यकताओं को समझने और आवश्यक तैयारी करने के लिए तकनीकी और मानव संसाधन नहीं होते हैं ।" - यहां, बड़े वेंडर और IaaS प्रदाता जो सुरक्षित आईटी इन्फ्रास्ट्रक्चर किराए पर लेते हैं, बचाव में आ सकते हैं। उदाहरण के लिए, हम अपने उपकरणों को टियर III मानक के अनुसार प्रमाणित किए गए डेटा केंद्रों में 1cloud.ru में रखते हैं और ग्राहकों को रूसी संघीय कानून-152 "व्यक्तिगत डेटा पर" की आवश्यकताओं को पूरा करने में मदद करते हैं।

तस्वीरें - क्रोमैटोग्राफ - अनस्प्लैश

एक विपरीत दृष्टिकोण है कि यहाँ समस्या कानून में ही नहीं है, बल्कि कंपनियों की इच्छा में औपचारिक रूप से अपनी आवश्यकताओं को पूरा करने के लिए है। हैकर समाचार के निवासियों में से एक ने उल्लेख किया : व्यक्तिगत डेटा के रिसाव का कारण इस तथ्य में निहित है कि संगठन सरलतम सत्यापन तंत्र को लागू नहीं करते हैं , जो सामान्य ज्ञान द्वारा निर्धारित होते हैं।

एक तरह से या दूसरे, निकट भविष्य में, यूरोपीय संघ जीडीपीआर को छोड़ने नहीं जा रहा है, इसलिए ब्लैक हैट सम्मेलन के दौरान जिस स्थिति पर प्रकाश डाला गया था, उसे पीडी की सुरक्षा पर अधिक ध्यान देने के लिए कंपनियों के लिए एक प्रोत्साहन के रूप में काम करना चाहिए।

^{हम अपने ब्लॉग और सोशल नेटवर्क में क्या लिखते हैं:} ^{766 किमी - लोरावन के लिए एक नई रेंज रिकॉर्ड} ^{कौन SAML 2.0 प्रमाणीकरण प्रोटोकॉल का उपयोग करता है} ^{बड़ा डेटा: बड़ा अवसर या बड़ा धोखा} ^{व्यक्तिगत डेटा: सार्वजनिक क्लाउड सुविधाएँ} ^{सिस्टम प्रशासन या पहले से ही शुरू करने की योजना बनाने वालों के लिए पुस्तकों का चयन} ^{1क्लूड टेक सपोर्ट कैसे काम करता है}

मास्को में 1cloud अवसंरचना डाटासपेस में स्थित है। यह पहला रूसी डेटा सेंटर है जिसने अपटाइम इंस्टीट्यूट से टीयर एलएल प्रमाणीकरण पारित किया है।

कैसे GDPR व्यक्तिगत डेटा लीक का कारण बना

क्या समस्या है

स्थिति को कैसे ठीक किया जाए

More articles: