कोविड टेस्ट डेटा उल्लंघन: 1.3M मरीज रिकॉर्ड ऑनलाइन उजागर
एक डच COVID-19 परीक्षण लैब ने 1.3M मरीज रिकॉर्ड वाला डेटाबेस ऑनलाइन उजागर छोड़ दिया, जिससे अत्यंत संवेदनशील चिकित्सा और पहचान संबंधी डेटा को संगठनों द्वारा हल्के में लेने को लेकर चिंताएँ फिर भड़क उठीं। टिप्पणीकार जल्दबाज़ी में बनाए गए महामारी-युग के सिस्टमों में कमजोर सुरक्षा, ढीले API डिज़ाइन, और बैंकों, टेलीकॉमों, तथा बड़े टेक प्लेटफ़ॉर्मों द्वारा आईडी स्कैन और KYC डेटा की व्यापक माँग के बड़े पैटर्न की ओर इशारा करते हैं। कई लोग तर्क देते हैं कि केवल मज़बूत कानून, “personal data providers” के लिए स्पष्ट फिड्यूशियरी-शैली कर्तव्य, और डेटा के दुरुपयोग पर वास्तविक दंड या व्यक्तिगत ज़िम्मेदारी ही प्रोत्साहनों को सार्थक रूप से बदल सकते हैं और भविष्य की लीक कम कर सकते हैं.
डेटा सुरक्षा और ज़िम्मेदारी पर केंद्रीय चिंताएँ
- कई लोग बार-बार होने वाली लीक, बिलिंग के दुरुपयोग, और खराब ऑफबोर्डिंग को केंद्रीकृत साइन-इन/पेमेन्ट टूल्स के पक्ष में कारण मानते हैं; अन्य लोग चेतावनी देते हैं कि SSO उल्लंघन (Okta आदि) विफलता के एकल बिंदु बना देते हैं।
- इसकी तुलना बैंकिंग से की जाती है: बैंक फिड्यूशियरी ज़िम्मेदारी और बीमा स्वीकार करते हैं, जबकि टेक प्लेटफ़ॉर्म अक्सर देयता से इनकार करते हैं और शायद उल्लंघनों का खुलासा भी न करें।
- कुछ का तर्क है कि पहचान की चोरी को मुख्यतः बैंक की समस्या माना जाना चाहिए (क्रेडिट जारी करने के लिए), न कि पीड़ित की।
भुगतान, पहचान, और सुविधा के बीच समझौते
- कई लोग नुकसान को सीमित रखने और अनचाहे शुल्क आसानी से रद्द करने के लिए वर्चुअल या प्रति-व्यापारी कार्ड नंबर (बैंकों या तीसरे पक्षों के माध्यम से) तथा अलग-अलग ईमेल पसंद करते हैं।
- कुछ के लिए पासवर्ड मैनेजर और यादृच्छिक रूप से बनाए गए पासवर्ड SSO की तुलना में सुविधा और हमले के क्षेत्र के बीच बेहतर संतुलन हैं, हालांकि पासवर्ड रीसेट असुविधाजनक हो सकते हैं।
सरकारी आईडी, KYC, और अतिसंग्रह
- टेलीकॉम, मार्केटप्लेस, और सोशल मीडिया को ड्राइवर लाइसेंस/पासपोर्ट अपलोड करने के लिए कहे जाने पर गहरी असहजता है; कुछ लोग मना कर देते हैं और सेवाओं की पहुँच खो देते हैं।
- Know-Your-Customer नियमों और मोबाइल बैंकिंग प्रवाह ने आईडी की तस्वीरें लेने को सामान्य बना दिया है, जो फिर संग्रहीत होती हैं और बाद में लीक हो जाती हैं।
- KYC दस्तावेज़ उजागर करने वाली एक रियल एस्टेट हैक को एक चेतावनीपूर्ण उदाहरण के रूप में उद्धृत किया जाता है; सुधार के प्रयास कभी-कभी फिर से आईडी भेजने की मांग करते हैं।
- कुछ का तर्क है कि आईडी की प्रतिलिपि बनाना न तो पहचान सत्यापित करने के लिए आवश्यक है और न ही पर्याप्त; कम-से-कम एक देश के कानून की आलोचना की जाती है कि वह अत्यधिक संवेदनशील डेटा के भंडारण को प्रोत्साहित करता है।
इस “उल्लंघन” की प्रकृति और महामारी-प्रेरित कटौती
- कुछ लोग नोट करते हैं कि डेटाबेस पासवर्ड के बिना सार्वजनिक रूप से उपलब्ध छोड़ दिया गया था और तर्क देते हैं कि “breach” शब्द भ्रामक है; अन्य कहते हैं कि अनधिकृत पहुँच फिर भी अवैध है और लापरवाह सुरक्षा होने पर भी उल्लंघन ही है।
- टिप्पणीकारों को यह अप्रत्याशित नहीं लगता, क्योंकि उनके अनुसार COVID प्रणालियाँ अत्यधिक समय-दबाव में, ढीली सुरक्षा प्रथाओं के साथ बनाई गई थीं।
अब क्या और नीति प्रस्ताव
- व्यक्ति महसूस करते हैं कि ऐसे लीक के बाद कार्रवाई योग्य राहत बहुत कम है।
- कुछ लोग मजबूत कानूनों का समर्थन करते हैं जो व्यक्तिगत डेटा एकत्र करना और संग्रहीत करना कानूनी रूप से जोखिमभरा और महँगा बना दें, तथा डेटा नष्ट करने के स्पष्ट नियम और वित्तीय “personal guarantees” जैसी देयता लागू करें।
- EU-शैली डेटा संरक्षण का संक्षेप में आंशिक मॉडल के रूप में उल्लेख किया गया है, लेकिन थ्रेड में विवरण अभी स्पष्ट नहीं हैं।