Peraturan Privasi Boleh Menyebabkan Pelanggaran Data Selain Perlindungan

21 Ogos 2019 | Blog

Status Perundangan Privasi Data di seluruh AS

Sumber Imej

Perundangan privasi telah berkembang dengan ketara dalam tempoh dua tahun lepas dengan penerbitan dan penguatkuasaan Peraturan Privasi Data Umum (GDPR) EU. Pada Januari 2020, Akta Privasi Pengguna California (CCPA) akan berkuat kuasa, dengan keperluan yang serupa dengan GDPR, di CA. Negeri lain termasuk Texas, New York, Washington, dan Massachusetts mengikutinya. Perundangan privasi EU dan CA cuba melindungi data peribadi kami dengan memberikan hak tertentu. Hak ini membenarkan seseorang mengurus data yang disimpan oleh perniagaan kami melalui "Permintaan Privasi Data". Permintaan ini boleh termasuk tetapi tidak terhad kepada hak untuk mempunyai perniagaan:

lupakan data peribadi saya;
betulkan data peribadi saya;
melarang data peribadi saya daripada dijual; dan yang penting,
meminta perniagaan berikan saya data peribadi saya.

Malangnya, perniagaan tidak bersedia dengan betul untuk permintaan ini. Di seluruh dunia, perniagaan sedang berebut untuk menampung permintaan privasi data GDPR yang dibuat oleh penduduk EU. Perniagaan AS dengan data peribadi tentang warga California sedang tergesa-gesa membina proses untuk menampung permintaan privasi data daripada penduduk CA mulai 1 Januari 2020.

Bukankah menjadi ironis jika gelombang pelanggaran privasi seterusnya berpunca daripada permintaan privasi data yang dibuat oleh penggodam di bawah akta perundangan ini? Inilah masalah yang dilihat oleh CyberHoot dengan tindakan ini. Perniagaan belum lagi membina proses "Permintaan privasi data" yang teguh dan berbilang faktor yang mengesahkan identiti setiap peminta!

Seekor Kuda bernama "Black Irony" telah Meninggalkan Kandang

Kejutan, kejutan, seorang penyelidik British bernama James Pavur, melaporkan dalam taklimat Black Hat ini pada Ogos 2019 , bahawa selepas membuat 150 "permintaan privasi data" untuk data peribadi isterinya, perniagaan telah menghantar kepadanya:

Nombor Keselamatan Sosial;
alamat rumah semasa dan sebelumnya;
nombor kad kredit;
Gred sekolah;
Log Hotel; dan
sama ada dia menggunakan laman web temu janji tertentu atau tidak.

Yang penting, Pavur tidak memalsukan sebarang dokumen, tandatangan atau alamat e-mel. Dia menggunakan bukti kelayakan, tandatangan dan akaun e-melnya sendiri dalam setiap kes untuk meminta item ini. Perniagaan hanya tidak mengesahkan identitinya. Sekarang, membayangkan apa yang boleh dilakukan oleh penggodam yang memalsukan tandatangan, dokumen dan menceroboh akaun e-mel anda? CyberHoot mempunyai beberapa ramalan untuk anda.

Ramalan/Cadangan Peraturan Privasi untuk Perniagaan:

Penggodam akan mengeksploitasi peraturan privasi melalui mekanisme pengesahan yang lemah untuk mencuri data peribadi yang dimaksudkan untuk dilindungi oleh tindakan ini.
Walaupun CCPA menyedari cabaran pengesahan dan berjanji untuk menerbitkan penjelasan tentang perkara yang merupakan permintaan yang boleh disahkan melalui Peguam Negara (AG) CA, perniagaan tidak mampu menunggu. Perniagaan harus membuat langkah pengesahan mereka sendiri, mungkin mengikut langkah yang diterima pakai oleh Perbankan (lihat di bawah) untuk disediakan tepat pada masanya untuk 1 Januari 2020.
Bank telah mengetahui proses pengesahan. Apabila CyberHoot menghubungi banknya, IVR meminta nombor kad 16 digit kami janda perlu bercakap dengan ejen. Ejen Bank kemudian menghantar kod 4 hingga 6 digit ke peranti mudah alih CyberHoot untuk memerlukan faktor kedua untuk mengesahkan identiti kami (sesuatu yang kami tahu dan sesuatu yang kami ada).
- Perniagaan adalah bijak untuk menggunakan langkah pengesahan dua faktor yang serupa untuk semua permintaan data privasi.
Sesetengah perniagaan yang berunding dengan CyberHoot tidak mengumpul data yang diperlukan (Nombor akaun, alamat E-mel dan/atau nombor telefon mudah alih) untuk mengesahkan identiti individu dengan betul. Mudah-mudahan CA AG akan mengecualikan syarikat-syarikat ini daripada mematuhi permintaan privasi data dan bukannya memaksa mereka untuk mengumpul lebih banyak data peribadi kami hanya untuk mematuhi permintaan privasi data ini.

Apakah yang mungkin dilakukan oleh Warga Swasta untuk Melindungi diri mereka?

Hubungi perniagaan yang mempunyai data kritikal dan sensitif anda dan tanyakan cara mereka akan mengesahkan identiti anda untuk permintaan sedemikian. Beritahu mereka bahawa e-mel adalah tidak cukup dan mereka perlu mengenal pasti anda dengan dua faktor seperti yang dilakukan oleh bank.
Walaupun melampau, tanya diri anda sama ada sudah tiba masanya untuk memadamkan data Carian dan Media Sosial anda menggunakan alatan dan proses sedia ada.

CyberHoot tidak mencadangkan Google dan Facebook akan mudah tertipu untuk memberikan data peribadi anda. Walau bagaimanapun, syarikat lain yang mempunyai data anda masih belum bersedia untuk mengendalikan permintaan ini. CyberHoot mencabar perniagaan untuk membina proses pengesahan yang selamat sebelum penggodam mengeksploitasi anda dalam novel ini dan cara yang sangat ironis.

Pengarang, Craig, Pengasas Bersama – CyberHoot