Ανεξέλεγκτη διαρροή των φορολογικών στοιχείων και προσωπικών δεδομένων των πολιτών

Σοβαρές παραβιάσεις των προσωπικών δεδομένων με κάμερες σε χώρους εργασίας, βρεφονηπιακούς σταθμούς, παιδικές χαρές αλλά και με απαγορευμένη συγκέντρωση φορολογικών και άλλων στοιχείων και διαρροή αυτών, διαπιστώνει έκθεση της Αρχής Προστασίας Προσωπικών Δεδομένων (ΑΠΠΔ).
Η Αρχή επέβαλε κυρώσεις και απέτρεψε παραβιάσεις προσωπικών δεδομένων που σχετίζονται με ανεξέλεγκτη χρήση καμερών, την αζήτητη ηλεκτρονική επικοινωνία (spam) και την επιθετική εμπορική διαφήμιση, την αυθαίρετη δράση εισπρακτικών εταιρειών, την απαγορευμένη συγκέντρωση και διαρροή φορολογικών και εισοδηματικών στοιχείων τεράστιου αριθμού πολιτών. Σύμφωνα με δημοσιεύμα του Εθνους, τη μερίδα του λέοντος στα πρόστιμα είχε το 2013 η Γενική Γραμματεία Πληροφοριακών Συστημάτων, που τιμωρήθηκε με 150.000€ γιατί δεν είχε λάβει τα κατάλληλα μέτρα ασφαλείας για εκατομμύρια φορολογικά δεδομένα πολιτών, με συνέπεια να διαρρεύσουν σε τρίτους (εταιρείες κ.λπ.) τεράστιος όγκος στοιχείων από τις φορολογικές δηλώσεις μιας 10ετίας για εισοδήματα, ακίνητα, έκτακτες εισφορές κ.λπ. Για την υπόθεση έχει σχηματιστεί ποινική δικογραφία που βρίσκεται σε εξέλιξη (κατά την ανάκριση υπήρξαν και προφυλακίσεις), ενώ η ΓΓΠΣ έχει προσφύγει στο ΣτΕ κατά του προστίμου, ομολογώντας ουσιαστικά την αδυναμία του συστήματος ασφαλείας που αποδείχθηκε διάτρητο.
Το άλλο μεγάλο πρόστιμο (75.000€) μπήκε σε ξένο τραπεζικό όμιλο που στο πλαίσιο προωθητικής εμπορικής πολιτικής είχε συγκεντρώσει και αναζητούσε από εξειδικευμένες εταιρείες στοιχεία για φορολογικά δεδομένα πολιτών με συγκεκριμένο εισόδημα (π.χ. άνω των 25.000 ή άνω των 60.000€), ΙΧ, δανειολήπτες στεγαστικών δανείων, με διευθύνσεις, ΑΦΜ, τηλέφωνα κ.λπ.
Η Αρχή απέτρεψε τη δημιουργία «μαύρων λιστών», παρενέβη σε αυθαίρετες χρήσεις του συστήματος «Τειρεσίας», αντιμετωπίζοντας τις προκλήσεις της σύγχρονης τεχνολογίας, που σχετίζονται με την πλοήγηση στους δρόμους, την τηλεειδοποίηση - τηλεφροντίδα - τηλεμετρία (κυρίως για ηλικιωμένους, ανηλίκους και ευάλωτα άτομα), τη χρήση βιομετρικών δεδομένων (γεωμετρία χεριού, ματιών, κινήσεις) που εξετάζονται πειραματικά για την πρόσβαση σε χώρους αυξημένης ασφάλειας.
Σύμφωνα με την 352 σελίδων έκθεση, στις αρχές του 2014 εκκρεμούσαν 671 καταγγελίες - προσφυγές για τις ηλεκτρονικές επικοινωνίες, 253 για τον χρηματοπιστωτικό τομέα, 215 για τον τομέα των διωκτικών αρχών και της δημόσιας τάξης και 170 για τη Δημόσια Διοίκηση - Αυτοδιοίκηση και την κρατική δράση, 214 για τις εργασιακές σχέσεις κ.λπ.
Στην έκθεση η ΑΠΠΔ διαμαρτύρεται για την ελλιπή στελέχωση που επιδεινώθηκε με την αποχώρηση ειδικών επιστημόνων, τονίζοντας ότι δεν έχει το αναγκαίο προσωπικό και τους απαραίτητους πόρους, τη στιγμή που πρέπει να αυξηθεί ο αριθμός και το εύρος των διοικητικών ελέγχων σε κρίσιμους τομείς. Η Αρχή τιμώρησε εισπρακτικές εταιρείες απευθύνοντας συστάσεις (και στις συνεργαζόμενες τράπεζες) για τον τρόπο λειτουργίας τους, επιβάλλοντας πρόστιμα σε πολλές εταιρείες για spam, ενώ απέρριψε καταγγελία ότι η Αστυνομία χρησιμοποιούσε το αυτόματο σύστημα σάρωσης και αναγνώρισης ελέγχου πινακίδων για την ταυτοποίηση - αναζήτηση οδηγών λόγω χρεών προς το Δημόσιο.

Ετήσια Έκθεση της Αρχής Προστασίας Δεδομένων για το έτος 2013

Διαβάστε περισσότερα για αυτό το θέμα....

Αυτές είναι οι πέντε web απειλές για τα προσωπικά δεδομένα

Έρευνα δείχνει ότι παρόλο που οι μέθοδοι διαδικτυακών επιθέσεων είναι γνωστές, η προστασία έναντι των απειλών παραμένει δύσκολη για αρκετές επιχειρήσεις.
Σύμφωνα με την έκθεση Internet Security Threat Report που δημοσίευσε η εταιρεία Symantec, η πολυπλοκότητα του Διαδικτύου σε συνδυασμό με την ελλιπή υποδομή του, καθιστά ευάλωτες πολλές ιστοσελίδες. Ενδεικτικά, η έκθεση αναφέρει ότι υπήρξαν 6.787 ευπάθειες το 2013, σε σύγκριση με 5.291 το 2012.
Παράλληλα, ακόμη πιο ανησυχητικό είναι το γεγονός ότι μία στις οχτώ ιστοσελίδες είχε κρίσιμες, γνωστές ευπάθειες. Επίσης, το 67% των ιστοσελίδων χρησιμοποιούνται για τη διανομή κακόβουλου λογισμικού, το οποίο εμφανίζεται ως γνήσιο και νόμιμο.
Η Symantec υποστηρίζει στην έκθεση Internet Security Threat Report, ότι κατά τη διάρκεια των τελευταίων ετών ο όγκος του κακόβουλου λογισμικού στο Διαδίκτυο έχει αυξηθεί δραματικά και αυτό οφείλεται στη χρήση της αυτοματοποίησης και των exploit kits.
Πιο συγκεκριμένα, οι hackers χρησιμοποιούν έτοιμο λογισμικό που περιέχει μία ευρύτατη γκάμα κακόβουλων προγραμμάτων και exploit kits, για να μεταφέρουν αυτοματοποιημένες επιθέσεις διαδίδοντας κακόβουλο λογισμικό και προσβάλλοντας ανυποψίαστους χρήστες.
Παρακάτω μπορείτε να δείτε πέντε από τις πιο κοινές μεθόδους επίθεσης που εξακολουθούν να είναι η μάστιγα για πολλές ιστοσελίδες.
1. SQL Injection
Η SQL injection είναι μια τεχνική που εισάγει κακόβουλα SQL statement σε ένα πεδίο εισαγωγής και γίνεται αιτία να επαναφέρονται πληροφορίες που δεν θα έπρεπε στον web server. Ως αποτέλεσμα, ο web server παρέχει πρόσβαση σε πληροφορίες που θα έπρεπε να είναι ασφαλείς, όπως ονόματα χρηστών και κωδικούς πρόσβασης.

2. Cross Site Scripting (XSS)
Το Cross-Site Scripting είναι το πιο διαδεδομένο κενό ασφαλείας διαδικτυακής εφαρμογής το οποίο συμβαίνει όταν μια εφαρμογή παίρνει μη αξιόπιστα δεδομένα και τα αποστέλλει σε ένα web browser χωρίς την κατάλληλη έγκριση. Αυτό επιτρέπει στους επιτιθέμενους να εκτελέσουν scripts σε browsers των θυμάτων όταν αυτοί επισκέπτονται μια ιστοσελίδα, το οποίο μπορεί να έχει ως αποτέλεσμα να προβαίνουν σε hijacking στα sessions των χρηστών, να «καταστρέψουν» ιστοσελίδες ή να οδηγήσουν τον χρήστη σε κακόβουλες ιστοσελίδες.

3. CSRF (Cross-Site Request Forgery)
Μια επίθεση CSRF υποκλέπτει cookies των θυμάτων και άλλες πληροφορίες πιστοποίησης που χρησιμοποιούνται για την σύνδεση σε μια ευπαθή ιστοσελίδα. Μόλις ολοκληρωθεί η διαδικασία, ο εισβολέας μπορεί να ελέγξει τα session του θύματος, για παράδειγμα σε μία τραπεζική ιστοσελίδα και να έχει τον πλήρη έλεγχο στο λογαριασμό. Ωστόσο, επειδή η ιστοσελίδα θεωρεί ότι ένας νόμιμος χρήστης είναι συνδεδεμένος, είναι πολύ δύσκολο να ανιχνευτεί πότε η επίθεση είναι επιτυχής.

4. Χρήση Components Γνωστών Ευπαθειών
Στοιχεία όπως libraries, frameworks, καθώς και άλλα modules λογισμικού που έχουν γνωστές ευπάθειες έχουν γίνει εύκολη λεία για τους επιτιθέμενους. Ωστόσο, όπως και με τον πρόσφατο ιό HeartBleed, η αποτελεσματική διαχείριση των patches και η ασφαλής κωδικοποίηση μπορεί να είναι δύσκολη, ειδικά για σύνθετες διαδικτυακές εφαρμογές. Εφαρμογές που χρησιμοποιούν στοιχεία με γνωστές ευπάθειες μπορεί να υπονομεύσουν τους μηχανισμούς άμυνας της εφαρμογής και να επιτρέψουν την πραγματοποίηση μιας σειράς πιθανών επιθέσεων.

5. Man in The Middle
Η επίθεση «Man in The Middle» παρεμβαίνει στην επικοινωνία μεταξύ δύο συστημάτων. Για παράδειγμα, σε μια http συναλλαγή ο στόχος είναι η σύνδεση TCP μεταξύ πελάτη και server. Σε ορισμένες περιπτώσεις, έχει παρατηρηθεί το φαινόμενο ιστοσελίδες να μεταφέρουν ευαίσθητες πληροφορίες χωρίς αρκετά ισχυρή κρυπτογράφηση. Καταλήγοντας, η έκθεση της Symantec προτείνει στις επιχειρήσεις να αξιοποιήσουν την ασφάλεια στη διαδικασία ανάπτυξης, έτσι ώστε να ενσωματωθεί στη διαδικτυακή εφαρμογή από την αρχή. Επιπλέον, συνιστάται τόσο το περιβάλλον ανάπτυξης όσο και το περιβάλλον παραγωγής να ελέγχονται από κοινού για τυχόν εξωτερικές απειλές.

Πηγή:http://www.newsit.gr/ Διαβάστε περισσότερα για αυτό το θέμα....

Αυστηρότεροι κανόνες για την προστασία των προσωπικών δεδομένων στην ΕΕ

Το ΕΚ εισηγήθηκε αυστηρότερες εγγυήσεις για τη μεταφορά δεδομένων προσωπικού χαρακτήρα σε χώρες εκτός ΕΕ, εγκρίνοντας την Τετάρτη σημαντική αναθεώρηση της νομοθεσίας για την προστασία των δεδομένων. Χάρη στους νέους κανόνες, οι πολίτες θα μπορούν να ελέγχουν πιο εύκολα τα δεδομένα προσωπικού χαρακτήρα τους. Ευκολότερη θα γίνει και η μεταφορά δεδομένων σε όλη την Ευρώπη από τις αρμόδιες εταιρίες. Τα πρόστιμα, ωστόσο, μπορούν να φτάσουν τα 100 εκατ. ευρώ ή το 5% του συνολικού κύκλου εργασιών.
Με τους νέους κανόνες θα αναθεωρηθεί η κοινοτική νομοθεσία περί προστασίας των δεδομένων, που θεσπίστηκε πριν από 19 χρόνια, προκειμένου να αντιμετωπιστούν οι προκλήσεις που αντιμετωπίζουν οι νέες τεχνολογίες των πληροφοριών, η παγκοσμιοποίηση και η αυξανόμενη τάση της χρήσης των δεδομένων προσωπικού χαρακτήρα από τις αρχές επιβολής του νόμου.

Μεταφορά δεδομένων σε χώρες εκτός ΕΕ
Εάν μια χώρα ζητήσει από μια εταιρεία, που δραστηριοποιείται για παράδειγμα στους τομείς των μηχανών αναζήτησης, των κοινωνικών δικτύων ή του υπολογιστικού νέφους, να αποκαλύψει πληροφορίες που υποβλήθηκαν σε επεξεργασία στην ΕΕ, η εν λόγω εταιρία θα πρέπει να ζητήσει την άδεια από την εθνική αρχή προστασίας δεδομένων πριν διαβιβάσει τα δεδομένα. Οι ευρωβουλευτές υποστηρίζουν ότι η εταιρία αυτή θα πρέπει, επίσης, να πληροφορεί τον ενδιαφερόμενο ότι έχει δεχθεί παρόμοιο αίτημα. Στόχος είναι να προστατευθούν οι πολίτες της ΕΕ από δραστηριότητες μαζικής παρακολούθησης όπως αυτές που αποκαλύφθηκαν τον Ιούνιο του 2013.

Αποτρεπτικά πρόστιμα
Οι εταιρίες που παραβιάζουν τους κανόνες θα αντιμετωπίζουν πρόστιμα ύψους έως 100 εκατ. ευρώ ή έως 5 % του ετήσιου κύκλου εργασιών τους σε παγκόσμιο επίπεδο -ανάλογα με το ποιο από τα δύο ποσά είναι μεγαλύτερο. Να σημειωθεί ότι η Ευρωπαϊκή Επιτροπή είχε προτείνει κυρώσεις έως 1 εκατ. ευρώ ή 2 % του παγκόσμιου ετήσιου κύκλου εργασιών.

Καλύτερη προστασία στο Διαδίκτυο
Οι νέοι κανόνες αναμένεται να προστατεύσουν καλύτερα τα δεδομένα στο Διαδίκτυο. Στις βελτιώσεις που θα επιφέρει η νομοθεσία συγκαταλέγονται το δικαίωμα διαγραφής των προσωπικών δεδομένων, η υποχρέωση χρήσης σαφής και κατανοητής γλώσσας στα κείμενα που περιγράφουν την πολιτική που διέπει τα δεδομένα προσωπικού χαρακτήρα, η απόκτηση ρητής συγκατάθεσης από τον/την ενδιαφερόμενο/η πριν από την επεξεργασία των προσωπικών δεδομένων του/της και οι νέοι περιορισμοί στην κατάρτιση προφίλ (προσπάθεια ανάλυσης ή πρόβλεψης των επαγγελματικών επιδόσεων ενός ατόμου, της οικονομικής του κατάστασης, του τόπου που βρίσκεται, κ.ά.). Διαβάστε περισσότερα για αυτό το θέμα....

Ευρωπαϊκό Δικαστήριο: Παράνομη η διατήρηση δεδομένων

Το Ανώτατο Δικαστήριο της Ευρωπαϊκής Ένωσης γνωμοδότησε εναντίον της νομοθεσίας που επέβαλλε σε τηλεπικοινωνιακές εταιρείες να διατηρούν δεδομένα χρηστών έως και δύο χρόνια.
Πιο αναλυτικά, το Ευρωπαϊκό Δικαστήριο, έκρινε ότι η απαίτηση προς τις εταιρείες παροχής τηλεπικοινωνιακών υπηρεσιών και εταιρειών παροχής Internet, να διατηρούν αρχεία που σχετίζονται με τους πελάτες τους, είναι παράνομη. Έκρινε μάλιστα ότι η συγκεκριμένη πρακτική έρχεται σε αντίθεση με τη θεμελιώδη αρχή του σεβασμού της ιδιωτικής ζωής και την προστασία των προσωπικών δεδομένων.
Το Ευρωπαϊκό Δικαστήριο αποφάνθηκε ότι, το γεγονός πως τα δεδομένα συλλέγονται και πιθανώς χρησιμοποιούνται εν αγνοία του χρήστη, προφανώς προκαλούν καταπάτησης της προσωπικής τους ζωής και δημιουργούν την αίσθηση ότι βρίσκονται συνεχώς υπό παρακολούθηση.
Επίσης, η απόφαση συμπεραίνει ότι τα δεδομένα που συλλέγονται «δίνουν ακριβείς πληροφορίες για την ιδιωτική ζωή των ατόμων, όπως συνήθειες της καθημερινότητάς τους, στοιχεία μόνιμης ή προσωρινής κατοικίας, τις καθημερινές μετακινήσεις, δραστηριότητες, κοινωνικές σχέσεις και ενδιαφέροντα».
Η επίμαχη νομοθεσία επεβλήθη το 2006 (Ευρωπαϊκή Οδηγία περί Διατήρησης Δεδομένων) και αποτελούσε μια προσπάθεια εμπλουτισμού του νομικού οπλοστασίου της Ευρωπαϊκής Ένωσης, μετά τις τρομοκρατικές επιθέσεις σε Μαδρίτη και Λονδίνο. Επιπλέον, η σχετική νομοθεσία επιχειρούσε να εναρμονίσει τις αντίστοιχες νομοθεσίες των κρατών-μελών.
Η λογική εφαρμογής της συγκεκριμένης νομοθεσίας ήταν η συγκέντρωση δεδομένων, τα οποία θα ήταν διαθέσιμα στις υπηρεσίες ασφαλείας των κρατών-μελών, ώστε να επιτυγχάνεται έγκαιρη πληροφόρηση και αποτροπή πιθανών τρομοκρατικών ενεργειών.
Ωστόσο, όπως σημειώνουν οι Financial Times, οι αποκαλύψεις του Edward Snowden για τις πρακτικές συλλογής δεδομένων των αμερικανικών και βρετανικών υπηρεσιών, οδήγησε σε αναθεώρηση της σχετικής ευρωπαϊκής νομοθεσίας.
Αξίζει να σημειωθεί ότι σχετική νομοθεσία δεν υπάρχει ούτε στις Ηνωμένες Πολιτείες, ωστόσο εκεί οι εταιρείες διατηρούν αρχείο με δεδομένα των χρηστών. Τα δεδομένα αυτά χρησιμοποιούνται για την πίστωση των πελατών ή για άλλες ενέργειες προώθησης υπηρεσιών. Από αυτή την δεξαμενή δεδομένων μπορεί να αντλήσει στοιχεία η NSA, ζητώντας την πρόσβαση σε αυτά.

Πηγή: http://www.naftemporiki.gr/ Διαβάστε περισσότερα για αυτό το θέμα....

Ετήσια έκθεση Πεπραγμένων ΑΠΔΠΧ έτους 2012

Δημοσιεύθηκε η Ετήσια έκθεση Πεπραγμένων της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, έτους 2012.
Ενδεικτικά και σύμφωνα με την έκθεση της Αρχής το έτος 2012, το σύνολο των διεκπεραιωμένων υποθέσεων, προσφυγών/καταγγελιών, ερωτημάτων και γνωστοποιήσεων αρχείων και επεξεργασιών ανέρχεται σε 2.210.
Σε 194 περιπτώσεις η εξέταση των υποθέσεων ολοκληρώθηκε με την έκδοση απόφασης από την Ολομέλεια ή το Τμήμα. Επίσης, το 2012 η Αρχή εξέδωσε 5 Γνωμοδοτήσεις.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα είναι συνταγματικά κατοχυρωμένη ανεξάρτητη Αρχή και έχει ωςαποστολή της την εποπτεία της εφαρμογής του Ν. 2472/1997 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και την ενάσκηση των αρμοδιοτήτων που της ανατίθενται κάθε φορά.

Ετήσια έκθεση Πεπραγμένων ΑΠΔΠΧ έτους 2012

Διαβάστε περισσότερα για αυτό το θέμα....

Βασικός οδηγός ψηφιακής ασφάλειας και προστασίας των ιδιωτικών δεδομένων σας

Αν χρησιμοποιείτε το διαδίκτυο αξίζει και σας ενδιαφέρει έστω και κατ’ ελάχιστον η ασφάλεια και η προστασία των προσωπικών σας δεδομένων αξίζει να διαβάσετε και να μοιραστείτε ένα εξαιρετικό φυλλάδιο του Digital Liberation Front. Σίγουρα δεν είναι ένας εξαντλητικός οδηγός για την ασφάλεια μας στο διαδίκτυο όμως δίνει κάποιες βασικές αρχές που πολλοί από εμάς, συμπεριλαμβανομένου του διαχειριστή του blog που διαβάζετε είτε δεν τις γνωρίζουν είτε τις ξεχνούν. Μια εκτενέστερη (για να μην πω εκτενέστατη) πηγή πληροφοριών με πολλά ενδιαφέροντα άρθρα σχετικά με τις τηλεπικοινωνίες στο ψηφιακό κόσμο θα βρείτε στο wiki της πρωτοβουλίας skytal.es.

Διαβάστε περισσότερα για αυτό το θέμα....