Приватност во бизнисите и јавните организации

Порано, се знаеше: големи компјутерски центри, изолирани од надворешниот свет, со десетици и стотици корисници кои чукаат на тастатурите.
Сите податоци беа безбедно сместени во големите ормари - тогашните меинфрејм компјутери, во климатизирани соби со двоен под и двојни клучеви...

Со доаѓањето на Интернет, сето тоа се промени - одеднаш, сѐ стана достапно, физичките граници се избришаа, податоците се отворија. Но, во еден краток момент (барем, „момент“ изразено во интернет-време, кое тече многу побрзо од нормалното), сеуште се следеше логиката од минатото, податоците се чуваа на локално инсталирани сервери, а достапот до нив беше релативно добро заштитен со фајерволи, комплицирани пасворди и закупени линии.
За да разбијат нечија приватност, кракерите (лошите хакери) и самите мораа да имаат значителни ресурси, големо познавање и, воглавно, извори од внатре...

Cloud-computing, најголемиот пресврт

... И потоа дојде клауд компјутингот, најголемиот пресврт во информатичката технологија од измислувањето на првиот микропроцесор. Мајката на сите нарушувања на приватноста е само на дофат од рацете на вештите информатичари со лоши намери.
Облакот претпоставува дека сите (сите!) ваши информации ќе се чуваат во една недефинирана зона на бескраен мемориски капацитет. Корисниците веднаш скокнаа и ја прифатија оваа парадигма - сè што имам ми е на дофат и пристапно во секој момент. Клаудот е сеопфатен контејнер на сите наши релевантни податоци.

Повеќе отворени одошто одговорени прашања

Не само единките, туку и компаниите се во иста ситуација. Потребата од намалување на трошоците, можноста за брзо растење, интерконекција со филијалите, универзален достап до ресурсите, работењето од дома, наложуваат податоците да се чуваат во Облакот. Така, податоците од продажбата, залихите (не) платените даноци, адресите и потрошувачките навики на вашите клиенти, како и исплатените ваши службени патувања наводно се чуваат во супер-сигурен дата-центар. Тој центар, за да се заштити од можноста да ги изгуби вашите податоци во случај на некој катастрофичен настан, ги реплицира кај својот партнер во соседната држава. Овој пак, ги дели на блокови и ги чува во Германија, Шведска или некој дата центарот на Гугл со анинимен изглед во, на пример, Аризона, САД.
Можноста за неовластен достап до вашите податоци на овој начин е неколкукратно зголемена.
За жал, како што ќе се види во понатамошното излагање, има многу повеќе отворени одошто решени прашања.

Проблемот со трети правни лица

SaaS - Софтверот како услуга

На почетоков на годинава (2012), мојата компанија Инфопроект стартуваше со нова понуда - „Бизнис Херој“, наменета за мали и средни претпријатија. Се работи за софтвер кој се нуди за изнајмување, на англиски наречен SaaS (Software as a Service). Ова значи дека апликациите, како и сите податоци на нашите клиенти се чуваат на наши сервери (конкретно, сместени во дата-центарот на „Актон Македонија“ во Скопје), додека корисниците до нив достапуваат исклучиво со посредство на интернет прелистувачите: Firefox и Chrome. Можат да достапат од било каде, било кога, сѐ додека имаат интернет врска. Се разбира, конекцијата е воспоставена со размена на приватен и јавен клуч, преку приватен виртуелен тунел за пренос на податоци (VPN), исто како и кај вашиот е-банкинг сервис. Тука, воглавно, не очекуваме проблеми, бидејќи технологијата е стабилна и безбедна.

Правни прашања

Но, она со кое се судривме е во правниот дел: треба да им објасниме на нашите клиенти дека со нивните податоци се ракува и тие се чуваат со посредство на трети (правни) лица - компанијата која го има дата-центарот, компанијата која ја овозможува врската (ISP-то).
Ова го постави и проблемот на одговорноста за приватноста и сигурноста на податоците, можната појава на клаузулата за „виша сила“, итн. Сите овие работи можат да се појават кај сервисите кои Инфопроект ги користи. Но, клиентот воопшто не склучил договор со тие сервиси, туку со нас - Инфопроект. Тој очекува ние да се грижиме за безбедноста и да ја гарантираме приватноста, а ние зависиме од трети лица.
Се разбира, ние сите овие моменти им ги објаснуваме на нашите клиенти, дури и ги ставивме и во членови од договорот кој меѓусебно го потпишуваме - сакајќи да ги направиме свесни за тоа каде сѐ ќе се наоѓаат нивните податоци и кој сѐ ќе ракува со нив. Но, за жал, во случај на пробив на безбедноста и приватноста кај некој од нашите сервисни партнери, ние не можеме да ја преземеме одговорноста за можната штета.
Ова е прашање кое е универзално, и сеуште не е решено ниту од страната на најголемите светски интернет клауд компании: Google, Apple, Microsoft, Rackspace, Linode, итн.
Ниту во Македонија, пак, постои законска регулатива како би се решила една ваква ситуација.
Ќе повторам, за жал, сега се наоѓаме во ситуација да го натераме клиентот да потпише дека нема да бара отштета од нас директно доколку се случи пробив на безбедноста и приватноста кај некој од дата-центрите или провајдерите на линкови.

Приватноста на вработените во модерна ИТ околина

Аудитинг

Во сите продукти на Инфопроект, без оглед за кое ниво и големина на претпријатие се работи, имаме вградено комплетно забележување на секоја акција која корисникот ја врши при користењето на нашите апликации.
Ова е потребно за да ги направиме апликациите компатибилни со светските стандарди за аудитинг и безбедност, според кои логирањето на податоците е задолжително...
Се запомнува сѐ: времето на најава, точното работно место (физичката локација) од која се работи, сите акции на манипулација со податоци, внос, поправка, бришење. Која програма кога е стартувана, колку време е користена, количината на внесени податоци, итн.

Реконструкција на текот на вашиот ден

Практично, можеме да го реконструираме секој чекор и секој потег на вработениот. истото се случува и со користење на мобилни уреди: смартфони, таблет-компјутери, лаптопи, или при работење од дома или надвор од канцеларијата. Мобилните уреди имаат и додатни можности за следење - точната GPS локација и движење на корисникот.

Со ова, на работодавецот му се дава можност за увид во секој чекор кој го прави неговиот вработен. Колку работел, кога работел, каде се наоѓал. Дали бил доволно ефикасен (особено што ова може да се вкрсти и со податоци од продажбата или, на пример, должината на телефонските разговори од „интелегентната“ телефонска централа). Веројатно е дека работодавецот може дури да му ја одреди и платата ма вработениот врз основа на овие податоци.
Така, наместо да биде награден според завршената успешна работа, вработениот ќе биде подложен на „рентген“ проверка на секоја секунда од неговиот работен, па дури и неработен дел од денот, ако со себе носи службени преносни уреди.

Никаде не е законски определено која е максималната количина и карактерот на податоци кои работодавецот може да ги чува за своите вработени.

Cloud во јавните организации

Национална здравствена картичка

Деновиве кај нас се зборува за воведувањето на НЗК - Национална здравствена картичка. Според она што властите сакаат да постигнат со овој информативен систем, слободно можеме да го категоризираме како клауд на здравствен податоци за сите жители во државата.
Ова, од поглед на приватноста, е железничка несреќа во слоу-моушн. Кој и како ќе има достап до најчувствителните податоци за пациентите, никаде не е точно стипулирано. Од чистачката, преку сестрите, до докторите и аптекарите, сите ќе можат да ѕирнат во тоа дали некој е болен од пневмонија, скршил нога или има СИДА.
Ох, не се сомневам дека ќе бидат направени некакви правилници и упатства, но за главниот проблем - контролирањето на нивното спроведување - сеуште никој не размислува.

Автоматско известување на граѓаните

Клучниот момент е воведување на процедура за автоматско известување на пациентот кој сè, кога и колку се послужил со неговите податоци. Пациентот мора, по емаил, SMS, па дури и во месечен извештај, автоматски да биде известуван за ова - без посредство на луѓе или службеници.
Оваа проблематика не е присутна само во НЗК, туку се протега на сите државни институции кои имаат парчиња од нашите податоци.
Сеуште не е воспоставен (иако, можеби е планира, или барем замислен) детален систем за доделување на овластувања за пристап. Граѓаните мора да имаат свој збор во ова, и - ако тоа технологијата го овозможува - и самите да даваат овластување за достап до нивните податоци, дури и во секој поединечен случај...

Немаме гаранција за приватност

Податоците за нашите животи се наоѓаат во државните дата-центри. Практично, како што стои работата во моментот, државните институции не можат во потполност да им ја гарантираат приватноста на граѓаните.
Додатен, голем проблем е и фактот што во државните органи се употребуваат затворени системи, воспоставени на основа од неслободен софтвер. Граѓаните немаат увид во начинот и квалитетот на чување и заштита на нивните податоци. Кога целиот софтвер и форматите на чување би биле во формати кои се јавни, многу од овие дилеми ќе можат да бидат решени, затоа што ние ќе можеме да имаме увид во тоа.
Од искуство можам да кажам дека многу од податоците на граѓаните и не се ниту физички обезбедени како што би требало, а уште помалку имаат соодветни процедури за off-site заштита (backup на други сервери, кои се наоѓаат на друга гeографска локација).
Сметам дека се потребни големи напори и работа за да се доведат во ред поставените проблеми.