Ik hou ervan om in mijn vrije tijd Microsoft-producten te hacken - en dat heeft me een vrij uniek perspectief gegeven op hoe we gegevens in onze digitale wereld moeten beschermen. Voordat iemand de autoriteiten belt, beloof ik dat het allemaal koosjer is. In feite beloont Microsoft mensen voor het ontdekken van hun kwetsbaarheden. 

Whitehat-hacking en bug bounty-programma's zijn nauwelijks nieuwe fenomenen en zijn volledig legale en ethische manieren om de jeuk van een hacker om in te breken in systemen te voorkomen. Tijdens het proces kunnen wij, vriendelijke hackers, niet anders dan veel begrip en kennis verzamelen over waarom zelfs de grootste softwarebedrijven nog steeds te maken hebben met grote inbreuken. Naar mijn mening komt het op twee dingen neer: ze maken niet genoeg gebruik van hun ontwikkelaars of GDPR.

Elke hack, of de bedoelingen erachter nu goed of slecht zijn, volgt hetzelfde verhaal. Vind een kwetsbaarheid, maak er technisch gebruik van en gebruik het vervolgens om in iemands systeem te komen. Natuurlijk gaan de slechteriken meestal nog een stap verder, vaak met de bedoeling om de gegevens waartoe ze tijdens het proces toegang krijgen, te misbruiken. Dit is een van de redenen waarom velen in de branche deze doelen met hoge prioriteit 'de kroonjuwelen' noemen. Maar er is een manier om inbreuken onbelangrijk te maken - en dat is niet door alleen door te gaan met het bestrijden van malware en virussen. In plaats daarvan pleit ik ervoor om vanaf het begin een veiligere infrastructuur te bouwen en voor technische teams om de AVG te omarmen als hun eigen persoonlijke bijbel.

Goed gegevensbeveiliging vereist dat u activa kent, ze beschermt en toepassingen bouwt met disciplines van beveiliging en privacy by design. GDPR biedt op zoveel manieren de perfecte blauwdruk om dit te bereiken. En toch beschouwen de meeste ondernemingen het op zijn best nog steeds als een vervelende privacyregelgeving of in het slechtste geval een doorn in het oog. In beide gevallen doen de meesten uiteindelijk het absolute minimum om naleving te bereiken en repercussies en boetes te voorkomen. Als we het acroniem van de Algemene Verordening Gegevensbescherming zouden uitwerken, zouden we misschien beter begrijpen hoeveel het te bieden heeft als leidraad voor de bescherming van onze gegevens.

Voor onze doeleinden wil ik me concentreren op de mazen in de AVG voor ondernemingen door hun uitvinding om inbreuken te categoriseren als onwettig of legitiem. In wezen worden datalekken als onbelangrijk beschouwd wanneer gegevens geanonimiseerd zijn – wat betekent dat als de datalek niet kan worden teruggekoppeld naar het onderwerp, de datalek onschadelijk is. Nog beter, GDPR legt eigenlijk uit hoe je dit moet doen! Volgens mijn interpretatie zijn onschadelijk en onwettig synoniem en is het eindresultaat hetzelfde. Geen kwaad, geen overtreding en het is niet nodig om de overtreding te melden. Dit is revolutionair en wordt massaal over het hoofd gezien. 

Voor het eerst hebben we officieel groen licht om volledig te heroverwegen hoe gegevens beschermd kunnen blijven. We hebben een onofficiële erkenning dat inbreuken altijd een risico en oplossing zullen blijven voor deze pijnlijke veiligheidsrealiteit voor bedrijven. Sterker nog, het is in een taal die ontwikkelaars kunnen begrijpen, zodat we ze eindelijk zinvol bij het proces kunnen betrekken. 

In één document hebben we nu instructies voor het opslaan van gegevens, waar ze moeten worden opgeslagen (technisch en geografisch) en wanneer ze moeten worden verwijderd. We hebben zelfs een oplossing voor de waanzin van ondernemingen die alle mogelijke gegevens verzamelen, alleen maar voor het doel. Er is nog nooit een duidelijker mandaat geweest voor ontwikkelaars en andere belanghebbenden op het gebied van gegevensbescherming om ervoor te zorgen dat gegevens veilig worden opgeslagen en dat de privacy van personen te allen tijde wordt beschermd.

Het vermogen van de AVG om ontwikkelaars duidelijke taken voor gegevensbescherming te geven, is ongekend. Door een infrastructuur te bouwen die is ontworpen om gegevens vanaf het begin te beschermen, volgens de bepalingen van de AVG, kunnen organisaties de risico's die gepaard gaan met datalekken echt verminderen. Dit komt geen moment te vroeg. Gevoelige gegevens worden zonder speciale behandeling verspreid over bedrijfsomgevingen. Maar dankzij de AVG zou het algemeen bekend moeten zijn dat we workflows moeten uitbouwen die gegevens van links naar hun onderwerpen opschonen, terwijl de meest gevoelige informatie gecentraliseerd en achter slot en grendel wordt gehouden. Hoewel het nauwelijks eenvoudig te realiseren is – het is zeker ook niet goedkoop – voldoet deze benadering aan zovelen data Privacy en beveiligingsbehoeften door duidelijke zichtbaarheid, gestandaardiseerde werkwijzen en immuniteit voor datalekken te bieden.

We moeten verder gaan dan compliance in een wereld waarin de R&D-snelheid voortdurend toeneemt, technologie steeds complexer wordt en de hoeveelheid gegevens die wordt verzameld exponentieel toeneemt. Ontwikkelaars worden gedwongen applicaties te bouwen die bedrijven kunnen gebruiken zonder hun opslagoplossingen te optimaliseren om te voldoen aan privacy- en beveiligingsbehoeften. Ze hebben de technische knowhow, maar noch de zakelijke prikkel noch de middelen om dit te doen. Legitieme inbreuken zullen doorgaan totdat dit verandert en ontwikkelaars worden aangemoedigd om hun builds te optimaliseren om redenen die verder gaan dan alleen prestaties. 

Totdat dit gebeurt, zal ik financieel blijven profiteren van het inbreken in grote bedrijfssystemen. De slechteriken ook, en wanneer ze doen, zullen ondernemingen nog grotere financiële kosten moeten maken, terwijl echte mensen te maken krijgen met grote privacyschendingen. De antwoorden die we nodig hebben op endemische inbreuken hebben we al sinds de release van de AVG in 2016 en we weten al lang dat ontwikkelaars de nieuwe grens voor beveiliging zijn geworden. Data – vooral gezien het belang ervan – moet ook voor ontwikkelaars een prioriteit worden. 

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://www.dataversity.net/the-case-for-gdpr-by-a-friendly-hacker/