滴滴之后,Uber陷入数据安全风波 – 作者:sanfenqiantu

滴滴之后,Uber再度陷入数据安全风波。

网安的舆论漩涡的中心依旧是数据安全,这一点从近期种种合规行动中可见一斑。其中,出行行业由于其涉及庞大的用户数据、地图数据,成为数据安全的又一焦点聚集地。

回到今天的主主角,Uber。由于一件数据泄露“陈年旧案”,Uber第四次遭到了安全控告。

1627371688_60ffb8a811eea9504baee.png!small?1627371688483

出行行业再陷风波,Uber被控违反隐私法

7月23日,澳大利亚信息专员办公室(Australian Information Commissioner,OAIC)发布了一份关于其对Uber 2016年极具争议的违规事件的调查报告,确认Uber侵犯了超百万澳大利亚人的隐私。

1627371714_60ffb8c2e577957f7fd73.png!small?1627371715179

2016年,有黑客成功入侵Uber数据库并窃取5700万全球用户和司机的数据。泄露的数据包括Uber客户的姓名、电子邮件地址和电话号码,以及 700 万司机的个人信息和 60 万个驾照号码。

然而,Uber并未第一时间通知那些数据泄露的受害者,反而支付价值10万美元的比特币给黑客作为“封口费”。

2017年底,该数据泄露事件才被曝光。

同年12月,Uber向OAIC报告该事件。

针对上述事件,OAIC表示,Uber的违规行为包括:没有采取合理措施保护个人信息免受未经授权的访问,也未删除或去识别化那些不再需要的基于特定目的的个人信息。不过,由于暂时没有受害人对Uber此次数据泄露事件进行投诉,因此无权要求Uber进行罚款赔偿。

虽然暂不需要针对受害用户进行赔偿,但是Uber还是被要求建立一项信息安全计划,并设专人负责。该计划需有能力识别澳大利亚用户信息面临的安全性、完整性风险,比如信息丢失、被未经授权访问等。它还要求对员工进行培训。

Uber对此在一份声明中说:表示它们已经进行了技术更新,包括为其核心乘车业务信息系统获得ISO 27001认证,以及更新了其内部安全政策,并将与第三方评估机构合作,实施进一步的改变。

“对2016年数据事件的这一决议。我们将从错误中学习,并重申我们的承诺,继续赢得用户的信任”。

数据流动引起多方面制裁

值得关注的是,Uber早在2018年就因该事件受到了来自美国、英国和荷兰的处罚。

在美国,Uber与50个州和哥伦比亚特区的总检察长达成了1.48亿美元的和解,并且承诺之后的数据处理将更加透明。

在英国,Uber被罚款385,000英镑(约529,000美元)。并且,荷兰的数据保护机构也对Uber罚款60万欧元(约70.7万美元),因为它没有在72小时内对此事件进行报告。

Uber“四处受罚”的原因是由于其全球性的结构。在不同的当地法律下,其所触犯的法规、所遭受的处罚也不相同。

因此,在OAIC控告其违反澳大利亚《隐私法》时,Uber曾辩称,它并不受该法的约束,因为它已将澳大利亚人的个人信息转移到美国。

然而,现公布的报告让Uber认清了澳大利亚《隐私法》要求:当澳大利亚人向一家公司提供个人信息时,他们会受到《隐私法》的保护,即使这些信息在公司集团内被转移到海外。

1627371737_60ffb8d93e11ea4ef76b4.png!small?1627371737841

Uber在美国遭受处罚

如今,数据已经成为全球最为关注的技术相关要素之一,其重要性也在个人、企业、政府等各方面所体现。我们享受数据带来的便利太久,却还未对其背后的安全风险有足够的重视。即便《数据安全法》将于今年9月开始施行,不少企业对于数据安全的概念仍旧停留在如何通过审查,而不是如何保护数据。更何况,光有企业的努力是远远不够的,个人的数据安全意识也有待提升。

此外,出海企业拥有特殊的全球性结构,其数据流动需根据其流动范围,基于当地的数据相关法律并采取相关措施,确保出海数据的安全能够得到保障。避免像Uber一样,面临多地的处罚。

参考

inforisktoday

sohu

FreeBuf

来源:freebuf.com 2021-07-27 15:42:34 by: sanfenqiantu

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论