Чувствителни данни и как да ги предпазим при използване на кредитна карта

В ежедневието си вероятно толкова често боравиш с чувствителни данни като лична информация, финансова информация, здравни данни и други деликатни сведения, че може би не ти прави впечатление. Например, когато използваш кредитна карта на ПОС терминал, ти споделяш чувствителни финансови данни, които трябва да бъдат винаги добре защитени.

В този материал на Бяла Карта ще разгледаме детайлно какво представляват чувствителните данни и как можеш да ги защитиш.

Какво представляват чувствителните данни и защо се нуждаят от специална защита?

За чувствителни данни се счита всякакъв тип информация, която по своя характер е поверителна и разкриването ѝ може да предизвика значителна вреда за засегнатото лице или организация.

В контекста на лични данни (GDRP) ЕС определя като чувствителни данните, които разкриват расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, генетични и биометрични данни (които се ползват за идентификация), здравна информация, както и данни за интимния живот и сексуалната ориентация.

Освен тези специални категории, за чувствителни могат да се считат и финансовите данни - номера на карти, банкови сметки, идентификационни данни - ЕГН, номера на документи за самоличност, пароли и удостоверения за самоличност, както и поверителни корпоративни данни.

Поради възможните тежки последствия от изтичането на подобни данни за всяко засегнато лице е нужно подобни данни да бъдат специално защитени. Кражба на пароли и лични данни например могат да бъдат използвани за финансови измами.

Видове чувствителни данни - разбиране на различните видове чувствителни данни

Не всички данни са еднакво критични. Някои видове информация изискват много по-внимателна защита.

Ето кои са най-важните видове чувствителни данни.

Лични данни

Те най-често включват име, ЕГН, адрес, паспортни данни. Подобни данни могат да се използват за кражба на самоличност и измами. Затова е и в твой интерес да внимаваш как боравиш с тях.

Финансова информация

Това не са само данни за банкови сметки, кредитни карти или дебитни карти, но и данни за разплащания или за бъдещи плащания, например планове за изплащане на кредит. Добре е, ако имаш хартиен носител с такива данни като  извлечения от сметки, да ги унищожаваш внимателно, преди да ги изхвърляш в боклука. Това важи и за файлове с такава информация на компютъра ти.

Интелектуална собственост и фирмени тайни

Интелектуалната собственост обхваща правата върху продуктите, създадени от човешкото съзнание като лога, символи, изобретения, литературни, музикални и художествени произведения.

Фирмените тайни, от друга страна, са конфиденциална информация, която дава на компанията конкурентно предимство и е обикновено свързана с процеси, формули, продукти, дизайни, бизнес планове и пр.

Здравна и биометрична информация

Тук спадат диагнози, лечение, медицински досиета са вид чувствителна информация. Биометричните данни като пръстови отпечатъци, сканиране на лице или ирис могат, от друга страна, да се използват в различни видове софтуер и устройства, на които може би си дал разрешение да се използват за вход и лична автентикация.

Правни и регулаторни изисквания за защита на чувствителни данни - основни закони (GDPR, HIPAA, PCI DSS) и насоки за съответствие

Подобни изисквания са най-често набор от международни и национални нормативни актове и те целят да подобрят сигурността, поверителността и начините на обработка на лични данни.

Един от най-известните от тях е GDPR (общ регламент за защита на личните данни), европейски регламент, който влезе в сила през 2018 г. и бързо се наложи като международен стандарт в тази сфера. Той установява строги правила относно събирането, съхранението и използването на лични данни.

Регламентът дава на гражданите на ЕС редица права, включително право на достъп до личните данни, право да бъдат забравени и право на съдимост на данните. С него се преустановяват много практики, които до този момент не подлежаха на никакъв контрол като  възможността дадена компания да събира лични данни на потребителите си, които да продава на други компании без да информира клиентите си за това.

Друг важен стандарт е PCI DSS (Payment Card Industry Data Security Standart). Това са набор от изисквания, които са дело на основните картови оператори в света като Visa, Mastercard, American Express и др.

С този стандарт се цели да се защитават данните при обработка, съхранение и предаване на информация от платежни карти. Ако дадена организация се занимава с картови плащания, тя трябва да се съобразява с PCI DSS, като практиките са свързани с криптиране, контрол на достъпа и мониторинг на системи, свързани с подобни данни.

В здравеопазването съществува и HIPAA (Health Insurance Portability and Accountability). Това е американски закон, който регулира защитата на медицинската и здравната информация. Той задължава здравните организации да прилагат административни, физически и технически предпазни средства, за да бъде защитена здравната информация на пациентите.

Много често, когато става въпрос за лични данни, ще срещнеш термина compliance - “съответствие”. Това е процесът по спазването на всички приложими правила и регулаторни изисквания. Той е свързан с изработването и спазването на тези политики, процедури и технически решения като например криптиране, които да гарантират сигурността на чувствителните данни.

Това е постоянен процес, в които компаниите са длъжни да показват трайна ангажираност на всички нива в организацията и процесите си.

Рискове и последици от излагането на чувствителни данни. Въздействие на нарушенията на сигурността на данните, кражбата на самоличност и финансовите загуби

Вероятно си чувал често за един от най-срещаните рискове - изтичане на данни. Когато има налице неоторизиран достъп до поверителна информация от трети лица, тогава този термин бива използван.

Риск от изтичане има при всяка организация - от малка фирма до големи корпорации и дори държавни и публични организации. Добре е да следиш кои организации разполагат с твои лични данни и да се възползваш от правата си като например молба за проверка как се третират твоите лични данни.

Кражбата на лични данни е вид злоупотреба с лични данни с цел извършване на измами. Например престъпник използва чуждо ЕГН и име на друг човек, за да изтегли кредит от банка.

При изтичане на лични данни, съществува риск от преки финансови загуби за една компания, например от загуба на продажби. Непреките са съдебни дела на пострадали и плащания на обезщетения.

Репутационните щети са свързани с увреждане на имиджа и доверието към фирмата или институцията. Макар  да изглеждат най-безвредни, те имат най-сериозни дългосрочни последици. Например клиенти, които преустановяват ползването на  продуктите и услугите на дадена компания, която е допуснала теч на данни.

Правните последици се отнасят до санкции, глоби или съдебни дела, свързани с нарушаване на закони за защита на личните данни. Например орган по защита на личните данни налага глоба за неспазване на регулации като GDPR.

Най-голямата глоба досега по тази линия бе от Ирландската комисия за защита на данните над Meta (компанията зад Facebook), тъй като компанията е продължила да прехвърля лични данни на европейци към сървъри в САЩ. Глобата бе в размер на 1.2 милиарда евро.

Най-добри практики за защита на чувствителни данни - криптиране, силни пароли и контрол на достъпа

Защитата на личните данни изисква цялостен подход, който включва много нива и процеси, но започва неизбежно от самия индивид.

На институционално ниво могат да се отбележат положителни практики като криптиране на информацията, както за съхранение, така и при пренос. Добро и сигурно управление на криптографските ключове е също пример за положителна практика.

На индивидуално ниво има много неща, които отделният потребител може да направи, за да подсигури своите данни. Голяма част от неговите избори са свързани със създаването на пароли. Колкото са по-уникални, дълги и сложни, толкова по-трудни са за хакване.

Използването на двуфакторна автентикация и избягването на публични wi-fi мрежи също намалява риска от пробиви. Използването на защитни стени и приложения за увеличаване на сигурността, както и редовното обновяване на софтуера са също полезни практики, които помагат за защита на личните данни.

Прилагането на подобни практики, както на институционално, така и на лично ниво, спомага за защитаване на сигурните данни на всеки един гражданин, потребител, фирма и организация.

Маскиране на данни и токенизация - как тези техники защитават чувствителната информация?

Често пъти организации, които съхраняват чувствителни данни, са поставени пред нуждата да ги защитят  максимално добре. Най-често начините, по които това става, са два - маскиране на данни и токенизация.

Маскирането на данни е процес, при който чувствителна информация се заменя с фалшиви, но реалистично изглеждащи стойности. Пример за това е списък с изцяло измислени ЕГН-та и имена, който обаче изглежда напълно  реалистично.

Това се прави,защото подобни списъци могат да се използват за множество цели - аналитични, тестови, продуктови. Например за да може програмист да работи лесно в същата среда, но няма специален режим за достъп, с маскирани данни това не е проблем. Така се спестяват ресурси за самата компания.

При споделяне на фирмен софтуер с външни лица, например при обучения и презентации, тези лични данни също остават защитени. Маскирането може да е съвсем просто като вместо Иван Иванов, се изписва И*** И***** или името изцяло да се подменя - като например Стоян Стоянов.

Токенизирането е друг такъв процес, свързан със защита на личните данни. При него чувствителни данни като  ЕГН, се заменят със специален код, т.нар. токен. Той сам по себе си е поредица от букви и цифри. Те нямат и никаква връзка с истинското ЕГН или номер на карта.

Ако някой открадне тези данни, ще получи единствено куп безсмислени токени. Така обаче можеш да работиш с токените, без да разкриваш оригинална информация.  

Бяла Карта

Вземи Бяла Карта

Превърни КОГА в СЕГА и се радвай на хубавите моменти в живота.

Бяла Карта - кредитна карта с лимит до 3 000 EUR/5 867.40 лв. Кандидатстваш веднъж, имаш пари винаги.

Заяви сега

Връщането на реалните стойности е възможно, но само през специална система, която също така оставя следи след себе си, че тези стойности са били обърнати в реални.

Например, когато въведеш номера на кредитната си карта, нейната дата, името на картата и CVV код, всички тези данни се прехвърлят през платежен процесор, където се съхраняват сигурно. Онлайн магазинът, в който  например си харесал модни обувки с намаление, получава ето това:

tok_47aa29979eaafd89

И съответно той  работи само с това. Така магазинът  може да комуникира към платежния процесор този токен, за да индикира, че се използват твоите данни, но не може по никакъв начин да разбере какво стои зад него.

По този начин в системата за онлайн плащания се спестява допълнително споделяне на чувствителни данни. Дори и онлайн магазинът да бъде хакнат и данните да изтекат, това не е проблем.

Токените се създават, за да работят в определен контекст и конкретен магазин А. Магазин Б не може да го ползва.

Отделно платежните системи имат куп други изисквания като автентикация на клиента,  включително и двуфакторна с две пароли, както и api ключове и подписи от страна на търговеца.

Системат следи и за други фактори като IP адреси, използвани устройства, браузъри, и т.н. Сега може би разбираш защо толкова често чуваш от различни места, че е важно да си сменяш паролите често, да са различни и уникални за всеки профил, максимално сложни и да ползваш двуфакторна автентикация. 

Намаляване на количеството на събираните и съхранявани чувствителни данни с цел редуциране на риска

Data minimization е основна идея при информационната сигурност. Това е максимално редуциране на количеството лични и чувствителни данни, които се събират. Това намалява риска от пробив в сигурността, спомага за спазване на закони като GDPR и оптимизира куп ресурси и сигурността за една организация.

Пример за това е формуляр за поръчка или регистрация в сайт. Нужно ли е например онлайн магазин за чанти да събира ЕГН и рождена дата за профила на всеки свой потребител? Отговорът разбира се е не. Име, адрес,телефон, мейл - това е достатъчно за нуждите на потребителите, за да направят поръчка. Всичко друго единствено създава риск и вкарва компанията в преразход.

Методи за изтриване и унищожаване на чувствителни данни, за да се предотврати неоторизиран достъп

Просто натискане на delete невинаги е достатъчно сигурно. Има методи за възстановяване на данни от хард дискове и други записващи устройства.

Също така, ако имаш въведени данни в регистър и просто ги изтриеш, е възможно те да останат във файловата система и да се възстановят.

По-добра практика е заличаване и псевдонимизиране, като например там, където в кода имаш параметри като name, email, phone - може просто да се въведе = NULL.

Друг пример за сигурно изтриване се нарича crypto-shredding. При него данните се криптират, крипто ключът се изтрива, след което и файловете. Така дори, ако евентуално бъдат възстановени файловете, те остават напълно неразшифруеми и на практика безполезни.

Ролята на контрола на достъпа до данни

Контрол на достъпа означава да ограничаваш кой има право да вижда, променя или изтрива данни в една система. Тези роли могат да бъдат не само ограничени, но и напълно разделени една от друга, допълнително подсигурявайки сигурността на системата.

Пример за това е в една болнична система да е възможно единствено лекарите да могат да въвеждат данни в досиетата на пациентите; регистраторът да може само да вижда часовете за посещения; системният администратор да има пълен достъп - но не и право да променя медицински данни.

Това значително ограничава възможните пролуки в системата, където може да има евентуален теч на данни, както и той да бъде максимално ограничен.

Бъдещи тенденции в защитата на чувствителни данни

Една от концепциите, която набира все повече популярност, е zero trust. Никой потребител или система няма да се счита за надежден по подразбиране, като се изискват множество стриктни проверки. Изкуственият интелект може да прави много такива проверки, свързани с анализ на поведението в реално време. Пример за това е кредитна карта, с която се започва да пазарува необичайно големи количества стоки, от които досега не е купувано. Така може да се разкрие кражба. Също така изкуственият интелект може да се използва за още по-сигурно шифроване и съхранение на лични данни.

Все повече системи ще разчитат и на системи за автоматично унищожение на данни и максимално ограничаване на всякакви чувствителни данни, които да се съхраняват на сървърите. По този начин се намалява рискът, гарантира се спазване на GDPR и се спестяват куп средства за една организация.