Názory k článku
T-Mobile řeší v USA únik dat o desítkách milionů zákazníků

To si asi nerozumime a vkladate mi na zaklade svych domenek neco do ust/klavesnice neco co jsem ani nenaznacoval.

Jako clovek fusujici trochu do letectvi se mi takovy pristup v maximalizaci trestu samozrejme prici protoze nikam nevede. Nicmene stve mne kdyz se nenastavuji procesy na minimalizaci rizik a neustale prochazeji ty same detinske prusvihy na ktere uz mohly byt nastaveny kontrolni mechanismy. Celemu IT chybi kultura bezpecnosti a zodpovednosti nejen za praci samotnou ale i za nastaveni procesu a kontrolni mechanizmy. Proste to spadlo no... a devel pokrci rameny. Proste to nainstalujte znova rekne dodavatel a pokrci rameny...

1. Problem prevozu organu - chybel kontrolni mechanismus, jedina zaloha na jejich strukturu se dalo spolehnout byla nastesti papirova. Trest neni za chybu ale za chybejici proces ktery by to mel odhalit
2. Problem testu tisnovych linek - kontrola prace a pripadne jina osoba/oddeleni ktere by to protestovalo -> chyba procesu a chyba rozdeleni kompetenci AFAIK kolega odesel s podminkou.

Ad NDA - kde nic nemas ani smrt nebere. Muzes zabavit vsechno ale ten clovek ti nikdy ty penize majetkem ktery nemanesplati. Kde nic neni ani smrt nebere.Pokud bude sankce na 50 mega ale vytahnes z nej jen 5 tak co ti to bude platne kdyz zakosum musis nahradit minimalne 40 mega? Proto se uzaviraji pojistky nebo rozprostira riziko. A hlupak neni jeden ale dva co to takhle uzavreli.
Jedina moznost kde se neco podari vytahnout je pokud je u te zakazky figuruje v investicich nejaky garant - napr. stat.

Nechtel bych aby ten cech fungoval jen jako cech zebraku z ankh-morporku ci parta elitaru kde ze zakona musi byt clovek clenem a odvadet desatky. Jednom za rok schuzka o tom jak je dulezite davat veci na jine veci ale ze tamti jine veci na jine veci nedavaji protoze jim to prijde stupidni :-)

@Poleno

Já tedy vnímám, že 99 % sběru osobních dat je úplně zbytečných, obvykle se jedná o naplnění byrokratických snů Rakousko-Uherského formalismu, nebo ještě častěji potřeb marketingu. Ani jedno není nic, co zajímá poškozeného. Jako příklad uvádím sběr dat na doklady, kde není absolutně potřeba evidovat odběratele zboží / služby, vyjma specifického případu, a tím je odběratel-plátce DPH, který chce uplatnit vstup, a to ještě u objednávky nad 10000 Kč. V ostatních případech jsou data sbírána zbytečně. Ku příkladu, e-shop potřebuje znát adresu pro doručení, a po úspěšném doručení zboží může v klidu zapomenout i ty doručovací údaje. Právní rizika přecházejí na odběratele, ten musí při reklamacích prokazovat odpovědnost dodavatele.

Dodavatel by si měl velmi pečlivě zvážit, jestli mu rizika ze sběru dat přinášejí dostatečný prospěch - a to nyní přinášejí, protože rizika jsou takřka nulová. Nikomu se nevyplatí přepsat e-shop na (kvazi)anonymní režim, náklady jsou vyšší, než myslitelný postih. To všechno je špatně.

GDPR by mělo jít mnohem dál, tedy nepřipouštět sběr a uchování dat v žádné situaci, kdy lze stejného výsledku dosáhnout bez toho. Nyní je GDPR pro srandu králíkům, každý blbeček prohlašuje, že sběr dat je oprávněný zájem (není!) a že to nelze jinak dělat, protože systémy to nepodporují (rozuměj: nejsou ochotny to podporovat.)

No tak zrovna marketing je určitě oprávněný zájem. Vždyť představenstvo každé firmy má celkem jasný úkol - zisk. I ten "stejný výsledek" je v praxi zatraceně gumový pojem.

Oprávněný zájem rozhodně není zjednodušení marketingových plánů managementu.

Oprávněný zájem jsou data nezbytná k uzavření obchodu a splnění zakázky.

@Poleno

Tady se nedá dívat na věc tak, že ty údaje nejsou nebezpečné. Ochrana soukromí má víc rozměrů - např. někdo si nepřeje, aby kdokoliv jiný věděl, že nakupuje určitý druh zboží. Důvodů, proč lidé tají skutečnosti je vícero. Stud, obava ze závisti, právní ochrana, ...

Běžné je, že jdu do obchodu, a aniž bych se komukoliv představoval, si nakoupím. Třeba i za stovky tisíc. Jedině když chci, tak si vyžádám daňový doklad (nezjednodušený) a nechám vepsat své údaje, ale to se týká jen podnikatelů. 99,99999 % obchodních transakcí nevyžaduje znalost ani jména. U e-shopů je to možná potřeba leda tak při doručení do schránky. Přes parcel shop není potřeba ani to. Při doručení kurýrem stačí být kontaktní na telefonu na dané adrese - ale opět to jde i bez jména. Ověření oprávnění k předání zboží může probíhat (a často už probíhá) jen na základě znalosti jednorázového kódu.

Všechny tyto procesy se ale v online praxi naprosto nesmyslně váží na sběr údajů, které nejsou k ničemu. Pokud jsou k ničemu, pak je zbytečné riskovat jejich únik, je nejlepší je prostě nemít. A pokud je někdo chce mít, nechť je na základě souhlasu má, ale ať taky nese řádná rizika, když je neuhlídá. Nyní není nikdo ničím tlačen data skutečně důsledně chránit. Firmy se zaměřují, aby v nejmenší možné míře vyhověly GDPR, a proto je na místě mluvit o dalším posunu vpřed.

@Poleno

Právě já nesouhlasím s tím, že hmotná škoda je to hlavní měřítko. Přímá škoda vzniklá jednomu zákazníkovi je bagatelní. Daleko větší škodou je zásah do soukromí. Nemám potřebu, aby se díky úniku dat někdo dozvěděl s kým obchoduji (a mnohdy tím zjistil, co a kde kupuji.) V takových případech se dá škoda špatně vyčíslit, přesto je existentní.

Prevencí před všemi druhy škod z úniku dat je vytvořit prostředí, ve kterém se málokomu vyplatí data vůbec sbírat, a když už ano, tak by měl mít motivaci je opravdu velmi dobře izolovat a chránit.

Takže systém, kde jsou data buď k ničemu, nebo šíleně předražená a budou tak tvořit vstupní bariéru pro nové podnkající subjekty?

Ano, to je dobrý argument. Přesto si myslím, že by se spíš našly cesty, jak osobní data vůbec nepotřebovat. Zákonná povinnost mě napadá leda snad v případě AML zákonů a bezpečnosti státu (např. telco), a i tam by se to dalo řešit prostou kvazianonymizací ve vnějších systémech. Mně by se třeba týkalo možná 5-10 míst, kde je moje data potřeba opravdu shromažďovat. Zbytek poskytovatelů a dodavatelů je mají zcela zbytečně.

Právnická komora? Už to nehul.

Inštitúcia, ktorej hlavnou náplňou je udržiavanie regulovaných cien, boj proti nečlenom poskytujúcim služby v oblasti práva a zametanie prešľapov členov pod koberec. Ešte som nepočul, že by advokátska komora či už v ČR alebo SR bola užitočná niekomu mimo jej klaky...

V mnoha zemích funguje právo, aniž by existovala dokonalá identifikace. Ve Velké Británii, kterou doufám nepovažujeme za banánový stát, zaváděli identifikační doklady až po roce 2000. V USA také nemají žádnou pevnou identifikaci.

Náš problém - zejména Německý a ex-Rakousko-Uherský - je, že se snažíme mít veškerou úřední agendu postavenou na betonových základech. Pevná identifikace a nad ní pevné právní úkony. Ale to není jediná cesta. Právní vztahy jsou zpravidla dvoustranné, a je - když se nad tím zamyslíte - naprosto jedno, jak jsou jednotlivé strany označeny a na jakou míru je ověřena jejich totožnost. Dokud vztah funguje, není důvod to řešit (nemo iudex sine actore). Když to zaskřípe, je v zájmu stran sporu umět označit protistranu.

Měli bychom se odpoutat od pocitu, že rodné číslo, nebo číslo občanky jsou nějaké magické identifikátory. Jsou to čísla, která mohou a nemusí být opravdová, a je vždy součástí každého sporu prokázat, že na druhé lavici sedí opravdu ten správný.

Souhlas. Tady je problém, že IT je svým způsobem strašně unikátní. Jaký jiný obor řeší, kdo nese zodpovědnost za škody způsobené kompetentním padouchem z druhé strany planety? Obvyklé je přece jít po tom padouchovi.
Dá se najít nějaká paralela pro router v botnetu? Možná tak že se mi banda gaunerů vláme do chaty a udělají si z ní třeba varnu. Bude tam někdo řešit, že jsem tam měl zámek, na který se schopnému zloději stačí škaredě podívat? Leda tak pojišťovna se bude cukat, pokud bych tam měl moc cenné věci.

Máte pravdu, nicméně tam podle mne chybí jeden důležitý detail. U té chaty, baráku nebo auta považujeme za normální, že je věcí vlastníka tu věc zabezpečit. Nikoho nenapadne nechat stát na ulici odemčené auto a pak tvrdit „takhle jsem to koupil, já tomu nerozumím, nemůžete po mně chtít, abych to nějak zabezpečoval“. Jistě, rozdíl je v tom, že když necháte odemčený byt nebo auto, hrozí škoda především vám. U napadeného routeru hrozí majiteli také nějaká újma, ale ta je zpravidla menší, než újma někoho jiného, kdo je tím routerem napaden.

Myslím, že nějakého posunu se dočkáme až tehdy, až i v IT bude platit, že primárně zodpovědný je vlastník daného zařízení. Pokoušet se stíhat padouchy z druhého konce světa je marné, vždycky ta zodpovědnost musí být i tam, odkud to reálné poškozování ostatních vychází.

Precedenty na to podle mne jsou. Třeba šíření a uchovávání drog je trestné i u nás, nesnažíme se postihnout jen výrobce drog kdesi na druhém konci světa.

Jo, u auta nebo chaty je normální je nějak zabezpečit. Jenže to je ochrana tak proti ožralému bezdomovci. O ochranu před kompetentním útočníkem rozhodně nejde.
U routru by to zhruba odpovídalo změně hesla, aby se tam nedostaly sousedovy děti. A tuhle úroveň ochrany podle mě ani nemá cenu požadovat, protože to k ničemu nevede.

Jak s tímhle souvisí šíření a uchovávání drog nechápu.

Souvisí to tak, že i v případě drog se nesnažíme zabránit ilegální činnosti jen u samotného původce, ale postihujeme i ty, kteří se na tom podílejí později a fungují jako mezičlánky. Samozřejmě se to pak liší tím, zda jde o podporu úmyslnou, vědomou nebo jen z nedbalosti, ale všechny ty případy nastávají jak ve fyzickém světě tak ve světě IT.

Lidé si běžně pořizují nadstandardní zabezpečení jako nemovitostí tak aut. V případě IT zabezpečení většina zařízení není ani pravidelně aktualizovaná, což je podle mne úplný základ. A je to to, co dnes způsobuje nejvíc problémů – zařízení v botnetech nejsou získávány sofistikovanými útočníky, jsou to zařízení získaná díky roky známým bezpečnostním dírám.

Jo, lidi si běžně pořizují nadstandardní zabezpečení. Ale aby chránili sebe! Ochrana ostatních je vyžadována jen na úrovni toho, co dostanou standardně z fabriky.
A zrovna nutnost pravidelných aktualizací je něco, co se jinde prakticky nevyskytuje. Třeba svolávačky a STKčka u aut řeší věci jako brzdy, ne zámky a alarmy.
Zabezpečit domácí router aspoň na základní úrovni je prostě mimo schopnosti většiny lidí. Přenést zodpovědnost na vlastníka toho routeru nevyřeší vůbec nic. Tu zodpovědnost je třeba přenést na někoho, kdo je schopný s tím něco udělat. Od vlastníka routeru je reálné chtít leda tak občasnou revizi jako u plynového kotle.

Jen abych zdůraznil kam mířím. U aut se očekává zabezpečení na úrovni "takhle jsem to koupil, já tomu nerozumím, já jen mačkám tenhle čudl na klíčku". Jaká je odpovídající úroveň zabezpečení u domácího routeru? ;)

Jaká je odpovídající úroveň zabezpečení u domácího routeru? ;)
„Takhle jsem to koupil, já tomu nerozumím, jenom jsem na začátku nastavil heslo podle návodu.“

A ten router se bude aktualizovat sám pomocí automatických aktualizací. Akorát ta zodpovědnost musí být na tom koncovém uživateli – aby si koupil router, který tohle splňuje. Což nejspíš zjistí na základě nějaké certifikace. Pokud by ta zodpovědnost nebyla na koncovém uživateli, koupí si nějaký router, který automatické aktualizace mít nebude a bude díky tomu o dvacet korun levnější.

Koncová zodpovědnost nemůže být u toho, kdo tomu rozumí – protože ten může být zodpovědný, ale pak toho moc neprodá. Musí být u toho, kdo platí – a je pak na něm, aby zaplatil někomu, kdo tomu rozumí.

Koncová zodpovědnost nemůže být u toho, kdo tomu rozumí – protože ten může být zodpovědný, ale pak toho moc neprodá. Musí být u toho, kdo platí – a je pak na něm, aby zaplatil někomu, kdo tomu rozumí.
Viděl bych to tak, že zodpovědnost je na tom, kdo s tím může něco udělat. Což v případě routeru je ten, kdo k němu má přístup.

Analogie s revizemi u komínů nebo STK je zajímavá, nicméně u routeru by taková revize musela být aspoň jednou denně. Automatické aktualizace by toto řešily, pokud by zodpovědnost přešla na toho, kdo aktualizace vydává. Jak by to bylo při ukončení podpory daného routeru? To by měl jeho provozovatel povinnost ho vyhodit a koupit nový? Stejně tak Windows 7 a starší?

Situace se zabezpečením auta je zajímavý příklad. Osobně se mi protiví, že bych měl mít povinnost si zabezpečit svoje auto před ukradením a zneužitím. Jako kdyby ukradení a zneužití auta bylo v pořádku a na vině byl majitel, který auto nevybavil superbezpečnostním zařízením, znemožňujícím jízdu či ještě lépe neskladovat své auto v pancéřovém kontejneru. Jenže pak je tu jiný příklad: legálně držené zbraně a jejich zabezpečení před zneužitím. I tam by se dalo říct, že na vině není ten, kdo položil nabitou pistoli před školu ale ten, kdo ji našel a vystřelil z ní a zde mi připadá logičtější dbát na zabezpečení zbraně aby se nedostala do nepovolaných rukou. I auto může být zbraň, přestože k tomu nebylo vyrobeno, takže požadavek na zabezpečení auta by byl z tohoto pohledu logický. A kdo jiný by to měl zařídit než vlastník.

Asi je tedy správné, požadovat zabezpečení nějaké zneužitelné věci (jako třeba osobních údajů) po někom, v jehož moci je takové zabezpečení provést, tedy po tom, kdo tyto údaje uchovává. Ten pak musí prokázat, že učinil přiměřená opatření, aby ke zneužití nedošlo.

Auto jste povinen si zabezpečit proti zneužití. Vlastník zneužitelné by měl mít povinnost ji (přiměřeně) zabezpečit proti zneužití – u zbraní a aut to platí, u zařízení připojených k internetu z historických důvodů ne. Přitom nebezpečnost je zhruba stejná – když ransomwarem vyřadíte z provozu nemocnici, může jít o životy.

Při ukončení podpory routeru by ho musel provozovatel přestat používat, nebo zajistit jeho zabezpečení nezávisle na výrobci. Právě proto ta zodpovědnost musí být na provozovateli – s výrobcem nic neuděláte, ale zákazník se může rozhodnout, zda si koupí levnější router a garantovanou podporou půl roku, nebo si připlatí za dražší, ke kterému výrobce poskytuje podporu třeba 5 let.

Osobní údaje typu jméno, příjmení, adresa, rodné číslo moc zneužitelné nejsou, protože se válí na každém rohu.

Osobní údaje typu jméno, příjmení, adresa, rodné číslo moc zneužitelné nejsou, protože se válí na každém rohu.
Jednotlivě asi ne, ale čím více jsou údaje propojeny s dalšími údaji, tím jsou zajímavější.

Pokud díky tomu certifikátu pak za škody bude platit někdo jiný, pak je to OK. Pokud by za škody stále ručil zákazník, pak si samozřejmě bude diktovat podmínky pojišťovna :)
Akorát ten certifikát nemusí být vůbec vynucený zodpovědností zákazníka. Může být prostě součástí homologace toho routeru. Pak se vůbec nemusí řešit nějaká minimální úroveň buzerace nutná pro to, aby lidi začali kupovat bezpečnější routery.

Ale s aktualizacemi je tu samozřejmě i další problém. V rámci ceny výrobku prostě nemůžou být aktualizace na věky věků. Takže se nabízejí možnosti jako autodestrukce, provoz routeru po záruce jen na vlastní riziko, nebo třeba router jako služba.

nebo třeba router jako služba.
Router jako služba už myslím existuje. Auto jako služba také. Nakonec bude všechno jako služba - prostě takový velký kolektivní dům "koldům".

Jestlipak by fungovala i zbraň jako služba?

Třeba tak, že si zajdu na střelnici a tam mi ji půjčí? :) Je to úplně normální.

Třeba tak, že si zajdu na střelnici a tam mi ji půjčí? :)
To ano. I lov zvířátek lze pořídit jako "službu". Měl jsem na mysli spíše využití v sebeobraně. Na to jsou různé "bezpečnostní služby", nicméně to už není jen ta zbraň.

Osobně bych dal přednost spíš odpovědnosti provozovatele. Provozovatel, který ví, co dělá, ať si klidně připojí co chce. Ale samozřejmě je možná i ta cesta homologace, jako u aut nebo zařízení, která připojujete k veřejné datové síti, a pak třeba pravidelné „STK“.

Nicméně k nějakému modelu „router jako služba“ doufám dospějeme. Doufám, že domácí router bude mnohem chytřejší zařízení, než je dnes – že se bude opravdu starat o připojení zařízení do místní sítě, zaregistruje je do DNS, nechá jim vystavit HTTPS certifikáty apod. Dávalo by smysl, aby to zařízení fyzicky poskytoval ISP, ale aby mohlo poskytovat služby různých dodavatelů. Dnes máte modem (nebo jeho obdobu) od ISP, WiFI AP, set-top-box, třeba Alexu – přitom to vše má jediný účel, propojit vaše domácí zařízení s nějakým poskytovatelem služeb. A každý to řeší svým zařízením, svou technologií…

Nicméně k nějakému modelu „router jako služba“ doufám dospějeme.
Ano, dává to smysl. Přesto bych se nerad dostal do stavu, kdy bude "všechno jako služba" a lidé se nebudou schopni pomalu ani sami najíst nebo vymočit, protože na všechno mají nějakou službu.

Toho bych se nebál. Záchod jako službu mám na každé benzínce a moje schopnosti to nějak neovlivňuje. :)

Na druhou stranu, vypěstovat si obilí, odchovat prase, ukovat pluh na zorání pole pro to obilí, postavit barák – nic z toho neumím. Dostávám jako službu produkci potravin, stavbu baráku, výrobu auta, výrobu všech ostatních zařízení. A nemám pocit, že by to moji svobodu nějak umenšovalo, právě naopak. Pokud byste chtěl být nezávislý na ostatních, vybral jste si špatný druh…

Na druhou stranu, vypěstovat si obilí, odchovat prase, ukovat pluh na zorání pole pro to obilí, postavit barák – nic z toho neumím.
Já taky ne, ačkoliv nějaký stabilní domek bych snad v konečném čase postavil. Asi je třeba si najít nějakou hranici, co ještě chci přijímat jako službu a co chci umět sám. Například ústřední topení je skvělá věc - dokud funguje, jinak jsou lepší kamna na dřevo a les. Jenže spousta by nedokázala ani rozdělat oheň. "Potřebujete opravit topení? Jistě, po svátcích Vám tam někoho pošleme."

Pokud byste chtěl být nezávislý na ostatních, vybral jste si špatný druh…
Úplně nezávislý bych být nechtěl a ani nemohl. Ovšem zase bych nechtěl být zbytečně závislý. Spousta motoristů si neumí ani nasadit rezervní kolo, beztak jej už ve voze nemají (jen to zabírá místo a zvyšuje spotřebu, opravná sada nebo telefon do servisu stačí...).

Záchod jako službu mám na každé benzínce
Akorát ta služba nesmí být zrovna mimo provoz :-)

Router jako služba už existuje. Mám jeden takový krám doma - nic to pořádně neumí, nejde to přepnout do bridge módu (to je mi pak ta veřejná IPv4 hodně platná), ale vyhodit to nemůžu, protože je to současně optický modem.

EDIT: a ještě lepší je UPC modem u rodičů. Ten neumí ani tak základní věc jako statické DHCP(v4) nebo povolit příchozí provoz do LAN přes IPv6.

20. 8. 2021, 15:24 editováno autorem komentáře

"až i v IT bude platit, že primárně zodpovědný je vlastník daného zařízení"

to je hodně ošklivý argumentační faul - kde prosím platí to, co má platit "i v IT"?
- když mně někdo ukradne auto a způsobí škodu, tak jako vlastník odpovědnost nenesu
- když se mně někdo vloupá do chaty a udělá si tam sklad drog, já jako vlastník odpovědnost nenesu
- když se mně někdo vloupá do kůlny a z ukradeneého hnojiva a nafty vyrobí výbušninu, já jako vlastník odpovědost nenesu

"Pokoušet se stíhat padouchy z druhého konce světa je marné"

tohle bysme zas mohli přenášet do reálného světa, ne? přestaneme stíhat pachatele obecné i závažné kriminální činnosti a budeme stíhat oběti ...

přestaneme stíhat pachatele obecné i závažné kriminální činnosti a budeme stíhat oběti ...
Jestli tomu správně rozumím, tak nejde o to, jestli vlastník zabránil zneužití ale jestli vyvinul přiměřené úsilí aby zabránil zneužití.

Já bych třeba preferoval přístup: "není to moje, tak na to nehrabu", jenže to bohužel v praxi moc nefunguje.

pavelry: Když někdo ukradne auto, které jste neměl zamčené, budete mít problém. Když se někdo vloupe do továrny, která pracuje s nebezpečnými chemikáliemi, a nějaké ukradne, budete mít problém. Když někdo spáchá trestný čin vaší zbraní, budete mít problém – problém budete mít dokonce i tehdy, když se zjistí jenom to, že má zbraň v držení někdo jiný. Nejste zodpovědný za čin, který spáchal někdo jiný, ale jste zodpovědný za to, že jste nebezpečnou věc řádně nezabezpečil.