Tanie jak poufne dane - sprzedano australijskie serwery rządowe
W zeszłym tygodniu osiemnascie serwerów IBM RS/6000 E20 wystawiono na rządową aukcje w Australii. Wyceniono je na około 20 australijskich dolarów za sztukę. A co na nich można było znaleźć? Składane przez obywateli wnioski, poufne dane, źródła oprogramowania... Łatwo sobie wyobrazić o co chodzi.
Całą historię opisał Geoffrey Huntley w swoim blogu. Komputery pochodziły z State Transit Authority of New South Wales. Slashdot komentuje - jak mało kosztują prywatne dane w dzisiejszych czasach...
Huntley pisze: kiedy pierwszy serwer został włączony, zabootował się do standardowej prośby o zalogowanie AIX (login prompt; Na marginesie - ehh.. jak trudno przetłumaczyć takie rzeczy na Polski). Potem okazało się, że hasło roota (czyli to hasło, które daje maximum uprawnień) było ustawione na "root". Wszystkie serwery miały zainstalowany system operacyjny i zawierały dane. Niektóre z nich miały dodatkowo specjalne taśmy to robienia kopii zapasowych takich danych włożone w odpowiednie napędy...
Z racji tego, że serwery pochodziły z urzędu odpowiedzialnego m.in. za transport, w tym za kolej - dane pochodzące z tych serwerów byłyby na pewno bardzo interesujące dla terrorystów. Być może będą oni częściej kupowali zużyty sprzęt pochodzący z administracji publicznej (zwłaszcza, gdy będzie kosztował tyle ile w tym przypadku).
Mnie zaś przypomniała się historia 12 twardych dysków, które "wyciekły" z Ministerstwa Spraw Zagranicznych w 2004 roku, co spowodowało, iż obecny kandydat na prezydenta, a ówczesny minister - Włodzimierz Cimoszewicz - podał się do dymisji (której premier jednak nie przyjął).
- Login to post comments
Piotr VaGla Waglowski
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Ukończył Aplikację Legislacyjną prowadzoną przez Rządowe Centrum Legislacji. Radca ministra w Departamencie Oceny Ryzyka Regulacyjnego a następnie w Departamencie Doskonalenia Regulacji Gospodarczych Ministerstwa Rozwoju. Felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również członkiem Rady ds Cyfryzacji przy Ministrze Cyfryzacji i członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>
Przydałby się pewien organ
Australijczykom przydałby się pewien surowy(i znienawidzony przez niektórych naszych polityków)organ w rodzaju rodzimego GIODO. Może by im małe sympozjum w stolicy zaproponować?
zdaje się, że muszą nastąpić zmiany w podejściu
Żyjemy w takich czasach, że jednak model ochrony danych osobowych nie sprawdza się. Co prawda w Polsce obowiązują surowe regulacje tej materii, to jednak powiedz mi Witoldzie czy wiesz na jakich zasadach działają takie serwisy jak serwisy randkowe? Tam nawet przetwarzane są takie dane jak orientacja seksualna... Serwisy są dostępne via sięć telekomunikacyjną. Wydawać by sie mogło, że administratorzy danych winni spełniać kryteria najwyższego poziomu bezpieczeństwa nie?
--
[VaGla] Vigilent Android Generated for Logical Assasination
W pełni zgadzam się z Tobą
W pełni zgadzam się z Tobą Piotrze, stąd dziwi mnie praktyka GIODO ścigającego administratorów danych za brak sławetnego modułu w oprogramowaniu, który zapewniać ma automatyczne odnotowanie w systemie informatycznym informacji o tym kto i kiedy wprowadził do niego dane i komu zostały one udostępnione, zamiast zwalczania faktycznych, a nie urojonych zagrożeń dla przetwarzanych danych.
A może taka podstawa ?
art. 27 ust. 2 pkt 8 u.o.d.o. - "dane zostały podane do wiadomości publicznej przez osobę, której dotyczą"
Jedynym zastrzeżeniem byłby zakaz przetwarzania tych danych na potrzeby własne administratora danych. Moim zdaniem sytauacja serwisu randkowego mieści się w wyjatku, dopóki dane przetwarzane są wyłącznie w celu udostępniania ich innym użytkownikom serwisu.
Administratorzy takich serwisów (jak każdy aministrator danych osobowych korzystający z sieci publicznej) oczywiście powinni spełnić warunki rozporządzenia - poziom wysoki zabezpieczeń (pytanie tylko czy w tak ogólnikowym przepisie, jaki jest w rozporządzeniu zabezpieczenia te są odpowiednie z punktu widzenia technicznego)
pozdrawiam
Prawotronik