Zdjęcia Revierfoto / Imago / TASS
Główne przyczyny publikacji wrażliwych danych — ludzka beztroska i żelazna dokładność roboty
W piątek, 13 lipca, okazało się, że zamknięte stron internetowych w domenach dużych firm były indeksowane “Яндексом”. W wyniku ogromnej ilości danych, w tym skany paszportów obywateli Rosji, przecieki w sieci. Jak zapobiegać takie przypadki, lub przynajmniej się do nich przygotować?
Zacznijmy od tego, że wszystkie informacje, które człowiek pozostawia na miejscu, tam i przechowywane. Jej prywatność zależy od ustawień danego rozdziału na temat tego, czy powinien być indeksowane wyszukiwarek robotem i, odpowiednio, do pakowania się w pamięci podręcznej wyszukiwarki.
Do tworzenia baz danych o stronach internetowych robot-poborca przechodzi na linki, które są mu dostępne. Właściciel witryny lub webmaster zawsze może zadbać o to, aby roboty omijali z daleka strony, których zawartość nie powinna dostać się do wyszukiwarki. W tym celu w pliku robots.txt określa, które strony w życie ich treści nie powinny być indeksowane.
Jeśli spojrzeć na to, co dokładnie znalazło się w wydawanie “Yandex”, zobaczymy, że w większości przypadków to strony płatności zamówienia w różnych sklepach internetowych, prywatne gabinety itp. Aby robot проиндексировал stronę, on musi wiedzieć o istnieniu takiego adresu. Jest oczywiste, że ani na żadnych innych zasobów w internecie linków na automatycznie generowane strony być nie może. Jak краулер dowiedzieć się o nich i проиндексировал?
Czynnik ludzki i педантичность roboty
Najprawdopodobniej mamy do czynienia z historią, podobnej do tej, jaka miała miejsce w 2011 roku. Wtedy w sieci znalazły się dane o zamówieniach w wielu sklepach internetowych, utworzonych na bazie popularnego w Runecie narzędzia WebAsyst Shop-Script i korzystających z “Yandex.Metrykę”. Te sklepy internetowe używali zwykłą logikę: gdy użytkownik płaci za zakupy kartą na miejscu, w celu przeprowadzenia transakcji i przekazywania informacji o niej za każdym razem tworzona jest oddzielna strona rodzaju, np. https://checkout.domain.ru/уникальный_адрес. Dostęp do niej może uzyskać każdy, gdy mu był znany adres URL.
Pewnego dnia te automatycznie generowane strony były publiczne. Jak robot dowiedział się o istnieniu każdego takiego adresu? Prawdopodobnie dzięki “Yandex.Metryki”, która monitoruje frekwencję różnych sekcji witryny, w tym i tych stron. W wyniku wycieku danych w domenie publicznej, okazały się imię i NAZWISKO nabywcy, ich zamówienia, adres, dane kontaktowe i wiele więcej.
I wtedy, i teraz prowadzono aktywne dyskusje o tym, kto ponosi odpowiedzialność za takie przypadki — twórcy wyszukiwarek, индексирующих strony, linki, na które nie ma nigdzie w sieci, lub właściciele zasobów, nie прописавшие niezbędne ograniczenia w robots.txt. W tej chwili można z całą pewnością tylko jedno: to, co się wydarzyło w piątek — to nie pierwszy i nie ostatni taki przypadek.
Według naszych obserwacji, organizacji, niestety, w ogóle średnio źle chronią strony-segment. Przykłady banalne zaniedbania, powodujący, że zamknięta część serwisu nagle jest indeksowana wyszukiwarek, spotykają się regularnie. Nie zawsze te firmy “na słuch”, bo nie wszystkie takie przypadki otrzymują szerokie oświetlenie. Na przykład, stosunkowo niedawno był przypadek, kiedy to rosyjska firma, działająca w branży bezpieczeństwa informacji (sic!), zapomniałam zamknąć niektóre sekcje strony z indeksacji, w wyniku czego wszystkie cv, kiedykolwiek wysłane kandydatami poprzez formularz internetowy, pojawiły się w wydaniu “Yandex”. Były tam dane osobowe i wynagrodzeń oczekiwania, oraz inne informacje, które ludzie mogą zamiaru się ujawniać.
W teorii firmy rozumieją potrzebę ochrony danych osobowych użytkowników w internecie, ale w praktyce trudność polega na tym, że nowoczesne strony internetowe mają dużą i rozbudowaną strukturę, a decyzja o waloryzacji poszczególnych odcinków najczęściej przyjmują specjaliści IT, a nie oficerowie bezpieczeństwa.
Do tego dynamika rozwoju dużych witryn sieci web na dziś jest taka, że są one aktualizowane, w tym strukturalnie, kilka razy dziennie. Oczekiwanym skutkiem staje się to, że niektóre nowo utworzone lub przeniesione strony są indeksowane) stają się publicznie dostępne.
Jednak to tylko jedna strona problemu. Druga, moim zdaniem, tkwi w samym postrzeganiu ochrony danych osobowych.
Korzeń zła
Ludzie zostawiają swoje dane osobowe i dane dotyczące płatności są wszędzie i można powiedzieć, w sposób niekontrolowany. Dane kart bankowych latać przez internet-zakupy, alufelgi — według różnych агрегаторам biletów lotniczych i usług rezerwacji.
Użytkownik, po pierwsze, mało myśli o tym, gdzie zostawia swoje dane osobowe i o ile ta strona jest chroniony. Zazwyczaj decydującym czynnikiem jest to, jak podawanie danych przez formularz internetowy wygodniej innych opcji interakcji. Po drugie, dane osobowe mogą migrować: firmy mogą sprzedawać swoje bazy partnerów, oddawać następców prawnych w przypadku zmian strukturalnych i tak dalej. W końcu przechowywanie danych osobowych staje się szalenie zdecentralizowany. Bez przesady, dane każdego, kto czyta tę kolumnę, mogą być przechowywane praktycznie wszędzie.
Oczywiście, istnieją przepisy regulujące zasady przechowywania, przetwarzania i przekazywania danych i rozliczeń, — 152-FZ i STO BR ИББС. Jednak teraz ochrona danych osobowych w wielu firmach sprowadza się do документописанию. Mało kto naprawdę jest gotów poświęcić czas i pieniądze na rozwiązanie tego zadania, bo kary za wyciek danych osobowych, można powiedzieć, że nie. Formalnie to grozi organizacji kontroli i małych kar — do 75 000 zł-w najgorszym wypadku. Myślę, że to dlatego nawet największe firmy na razie odnoszą się do zadania ochrony danych osobowych capu, w tym do tych, które są przechowywane w internecie.
Przyczyny wypadku nie umiejętności wykorzystania robots.txt lub wiedzy o tym, jak działa robot. Oni w tym, co realne, a nie tylko “papierowa” ochrona danych osobowych obchodzi organizacji bodaj czy nie w ostatniej kolejności.
Co zrobić
Istnieją dwa warianty rozwoju wydarzeń, które mogłyby coś zmienić sytuację. Wariant pierwszy i pewnie nie najbardziej skuteczny: zaostrzenie kontroli i kary za wyciek informacji i naruszenie 152-FZ. Masowe kontrole przestępców Roscomnadzor i obszerne relacje z tego procesu, aby firmy zobaczyli w tym poważny problem i zaczęli prowadzić się w zgodzie z przepisami prawa. Moim zdaniem, takie podejście nie rozwiąże problemu czynnika ludzkiego i przypadkowych wycieków, podobnych do tych, które widzieliśmy ostatnio.
Wariant drugi — to rządowa inicjatywa centralizacji przechowywania i zarządzania danymi w jednym systemie, z której firmy będą współpracować, nie prosząc o dane osobowe użytkownika i bez konieczności przechowywania ich w własnej infrastruktury. Jest to proces zdecydowanie bardziej długi i pracochłonny, niż zaostrzenie kar za wycieku, ale w końcu, jak mi się wydaje, że tylko on jest w stanie realnie wpłynąć na ochronę danych osobowych obywateli.
redakcja poleca
Stara sztuczka: dlaczego rosyjskie firmy nie mogą chronić dane