Salut interventia d-lui Bogdan Manolea.

Toti avem de invatat, mai ales ca se da prea putina importanta aplicarii regulilor GDPR. Este adevarat ca ansamblul de reglemetari GDPR este (parca) astfel facut sa “descurajeze” pe oricine care se incumeta sa il aplice. Desi exista ghiduri (a se vedea ENISA), acestea nu incurajeaza abordarea si multe persoane renunta sa le parcurga/aplice. De asemenea, exista multe comentarii si prea putine “sfaturi” practice. Inclusiv Autoritatea din Romania ar trebui sa abordeze acest aspect, ca prima optiune inainte de a se grabi sa dea amenda, chiar daca mi se va spune ca amenda are rostul de a-l invata pe om sa se conformeze.

Buna Bogdan!

Multumesc frumos pentru articol - si am 2 chestiuni de punctat, pe care bine le-ai subliniat.

Cand ma refeream la standarde pentru securitate, ideea mea era exact in asentimentul tau. Da, exista standarde pentru securitate si ghiduri si certificari si cum mai vrei sa le numim la orice nivel - nu aici e problema - problema se pune la disponibilitate, intelegere si accesare. Degeaba am eu ghidul pe ISO daca pentru un SMB/SME este greu de parcurs/inteles, prea tehnic (ca na, trebuie sa fie tehnic). Sunt ferm convinsa ca dupa primele 5 minute il arunc intr-un colt (virtual sau fizic). Problema asa cum o punea si Gheorghe Serban mai sus este de a fi ”disponibile” in sensul de a incuraja persoanele sa le foloseasca si sa le aplice. La fel si cu ghidul ENISA, care zice ca ar fi ”SME friendly” - pai deja e greu de urmarit de la a 7-a pagina. Daca sunt prea ”tehnice”, abandonezi. Simple as that. Ca in orice alt domeniu. Iar firmele de IT trebuie sa vina in sprijinul tocmai al acestor tipuri de companii private, cu solutii palpabile.

Cand ziceam de criptare, nu ma refeream la securitatea comunicarii cu site-ului, ci la datele continute in interior, care puteau fi dezvaluite doar cu ajutorul unei chei suplimentare. 

Iar ce zici tu, cu nebunia criptarii e-mailurilor, mi se pare SF la nivelul a 99% din companii. Ar fi bine ca macar documentele mai importante sa fie protejate prin intermediul unei parole care sa fie comunicata destinatarului (si nu in acelasi e-mail, daca se poate) - mi se pare bun exemplul bancilor cand iti trimit cardul intr-un plic si PIN-ul in altul/prin SMS. Dar asta nu e criptare, ci protejare.

Ana-Maria

Imi cer scuze dar am ajuns din gresala in acest articol si as vrea sa va larmuresc umpic din punct de vedere technic al unui senior back-end.

1) Treaba ca s-au decriptat datele la mutare este o poveste de adormit copii pot sa bag mana in foc ca acel fier era nesecurizat si ininte de mutare.Povestea Ana Mariei merge la publicul nestiutor dar din punctul meu de vedere e o gogoashe.

2) Daca ai site pe world press cu woo - commerce e clar ca ai angajat pe Gigel de la gaze sa iti faca site-ul si sti la ce te astepti. Pt ca world press este o platforma free care nu presupune cunostinte neaprate de back end, in realitate cine face world press e foarte posibil sa nu aiba habar ce se intampla pe acel server el doar ia un produs free si se joaca cu niste module. 

Daca in loc sa apelezi la “nepotu” si te-ai duce la o firma care face produse custom, sti clar ca aia sunt calificati pt ca daca sunt  in stare sa iti faca un produs custom insemna ca  manca serverul ala pe paine si il viseaza in somn.

3) Criptarea se face in mai multe feluri si presupune niste chesti care nu prea sunt intelese de lumea de afara. A cripta ceva si a decripta ceva este o operatiune de encodare si decodare de date, exita metode de criptare one way care nu mai pot fi decriptate (in teorie) si exista medote care suporta si decriptarea. Acum aceste procese de criptare decriptare de date ele consuma procesor daca faci asta server-side si sa presupunem ca tu ai criptat toate informatiile pe server de nebun asta insmena ca la fiecare vizita a site-ului, serverul decripteaza informatii si le afiseaza ceea ce e un proces slow. Acum daca ai 1000 de vizitatori pe site concurenti procesul asta este de 1000 de ori mai slow si chestia asta ajunge sa dea un impact major in performanta posibil sa omore si serverul. Nu este o solutie viabila sa criptezi toate informatiile pe server.

5) Realitatea! In realitate orice pote fi spart, singura asa zisa protectie care o ofera o metoda de criptare este timpul in care este sparta deia se recomanda parole complexe ca textul criptat sa fie mai lung sa dureze mai mult, dar in realitate tu daca lasi la liber un fisier criptat sau necriptat si eu am pus mana pe el il pot decripta intr’un timp X care pote fi mai lung sau mai scurt, exita o metoda de a sparge chesti numita brute force care nare solutie, se incerca toate combinatiile posibile pana se afla rezultatul iar timpul variza in functie de cat de complexa e criptarea si cat de perormanta e masina care face spargerea.

6) Cum ne putem proteja real, pe server nu trebuie lasate fisiere cu informatii personale sa fie accesate la liber criptat sau necriptat acel fisier odata accesat s-a creeat o branshe de securitate si pe asta s-a dat si amenda daca era criptat eu tot as fi dat amenda daca as fi lucrat la aia care dau amenzi este un bad practice, daca ai niste informatii de genul asta accesul la ele trebuie facut pe baza de parola serverul sa ceara o parola ca sa te lase sa vezi fisierul, ca sa nu iti faca cineva brute force pe parola tu ar trebuii sa implemntezi o metoda de “delay” daca ala a gresit parola il lasi sa incerce dinou intr’un timp Y, si asta inseman ca daca el incerca sa faca toate combinatiile posibile si eu il limitez la o incercare pe minut timpul in care va sparge parola devine foarte mare daca il limitez la o incercare la 10 minute e posibil sa sparga parola aia in 100 de ani cand deja nu mai e relevanta. Daca el ar fi pus mana pe fisier criptat el pote sa faca 10000 de incercari pe secunda si il sparge mult mai repede decat o parola care ai voie sa faci o incercare la 10 minute.

IP-ul serverului el nu ar trebuii sa fie public, exista un serviciu numit cloudflare care este un “tampon” intre hosting si domeniu, practic tu apelzi un domeniu domeniul apelaza pe cloud flare cloud flare t returneaza continutul acum tu vezi ipul lui cloud flare nu vezi ipul serverului in procesul asta, asta insemna ca ala nu stie ip-ul tau si nu pote sa incerce sa iti sparga serverul ceea ce elmina necesitatea sa mai criptezi tu date aiurea pe server. Exista hostinguri exemplui digital ocean care garanteaza ca ei sunt confom GDPR si ca tot ce ai tu la ei pe server est eintr’o masina virtuala care este criptata de ei, asta inseman ca daca cineva le sparge serverul ei gassc totul criptat deja.

Concluzie:

- Nu lasam la liber fisiere cu date personale! Fie ele criptate sau necriptate, daca tu ai un link asa zis secret unde ai informatiile astea si lai dat pe facebook poti sa fi sigur ca facebook ti-a apelat linkul ala si stie ce ai acolo, e posibil sa til decripteze direct facebook-ul in setea lui de cunoastere si tu sa habarnai sa iti vina GDPR la usa.

- Nu stim pe cine sa intrebam ? E simplu nu pe unu care face world-press si woo commerce, cautam o firma care are un protofoliu serios cu produse custom care a lucrat cu proiecte mari gen pt Coca Cola, sonny … etc nu chesti din Romania.

- Vrem sa ne protejam ? Cea mai sigura protectie e ca acel fisier sa nu existe, informatii refritoare la server gen IP sa nu existe, vrem sa avem fisiere pe server de tipul asta ca altfel nu merge atunci acces pe baza de parola, daca parola a fost gresita crescut timpul de reincercare.

- Este foarte usor sa batem campii pe tema unei legi si sa folosim termene bombastice gen “criptare” si noi defapt sa nu stim cu ce se manaca, dar aruncam termenul asta si omul de rand care citeste articolul a prins ideea “trebuie sa criptam!!!” cand in realitate exita solutii mai inteligente de protejare care nu omora nici serverul si respecta si legea.

Iar eu care lucrez in meseria asta este posibil ca urmatorul client sa imi cera sa ii criptez tot serverul pentru ca a vazut el pe blogul Ana Mariei ca asa se face!

Drept urmare eu o sa o rog pe Ana Maria daca mai vrea sa foloseasca temene deastea pompoase sa faca niste reserch cu ce se manca ininte sa le zica la toti si lumea sa o creada pt ca nu ajuta cu nimic pe aia chiar fac treaba adevarata.

- Cine e de vina in cazul Ana Mariei, clar este vina ei pt ca :

1) A nu a facut nici un reserch daca omenii care i-au facut implementarea sunt competenti sau nu, un om competent ar fi semnalat acel fisier si ar fi averitzat-o.

2) A tinut un fisier pe server cu date personale care la expus la public fara parola ceea ce nu se face.