隐私法规除了保护之外，还可能导致数据泄露

21 年 2019 月 XNUMX 日 | 博客

过去两年，随着欧盟《通用数据隐私条例》（GDPR）的发布和实施，隐私立法的范围显著扩大。2020年XNUMX月，加州《加州消费者隐私法案》（CCPA）将在加州生效，其要求与GDPR类似。德克萨斯州、纽约州、华盛顿州和马萨诸塞州等其他州也正在效仿。欧盟和加州的隐私立法试图通过授予某些权利来保护我们的私人数据。这些权利允许人们通过“数据隐私请求”管理企业保留的数据。这些请求包括但不限于企业有权：

忘记我的私人数据；
更正我的私人数据；
禁止出售我的私人数据；更重要的是，
请求业务 提供我的私人数据.

不幸的是，企业尚未对这些请求做好充分准备。全球各地的企业都在争先恐后地满足欧盟居民提出的GDPR数据隐私请求。拥有加州居民私人数据的美国企业正加紧建立流程，以应对加州居民自1年2020月XNUMX日起提出的数据隐私请求。

如果下一波隐私泄露事件源于黑客根据这些立法法案提出的数据隐私请求，那岂不是很讽刺？这正是 CyberHoot 认为这些法案存在的问题。企业尚未建立健全、多因素的“数据隐私请求”流程来验证每个请求者的身份！

一匹名叫“黑色讽刺”的马离开了马厩

令人惊讶的是，一位名叫詹姆斯·帕弗的英国研究员在2019 年 8 月的黑帽大会简报中报告说，在就其妻子的私人数据提出 150 次“数据隐私请求”后，企业竟然把她的数据发给了他：

社会安全号码；
当前和以前的家庭住址；
信用卡号码；
学校成绩；
酒店日志；以及
她是否使用某些约会网站。

重要的是，Pavur 没有伪造任何文件、签名或电子邮件地址。他每次都使用自己的凭证、签名和电子邮件帐户来请求这些资料。企业根本没有验证他的身份。现在，想象一下，一个伪造签名、文件并入侵你电子邮件帐户的黑客会做什么？CyberHoot 为你带来一些预测。

对企业的隐私监管预测/建议：

黑客会利用隐私法规，通过薄弱的验证机制来窃取这些法规本应保护的隐私数据。
尽管加州消费者隐私法案 (CCPA) 意识到验证方面的挑战，并承诺将通过加州总检察长办公室 (AG) 发布关于可验证请求的说明，但企业不能再等待了。企业应该制定自己的验证措施，可以效仿银行业采取的措施（见下文），以便在 1 年 2020 月 XNUMX 日前做好准备。
银行已经搞清楚了验证流程。当 CyberHoot 致电银行时，IVR 会要求输入 16 位卡号。必须与代理人交谈. 然后，银行代理会向 CyberHoot 的移动设备发送一个 4 到 6 位数的代码，要求第二个因素来验证我们的身份（我们知道的东西和我们拥有的东西）。
- 企业最好对所有隐私数据请求采用类似的双因素身份验证措施。
CyberHoot 咨询的一些企业并未收集必要数据（账号、电子邮件地址和/或手机号码），无法正确验证个人身份。希望审计总署能够免除这些公司遵守数据隐私要求的义务，而不是强迫他们收集。 更多我们的私人数据 只是为了遵守这些数据隐私要求。