Slo-Tech - Podjetje Maneks plus za svojo spletno trgovino Kidstar.si, prek katere prodaja obleke, igrače in druge izdelke za najmlajše, uporablja platformo WordPress. Če je uporabnik k URL naslovu spletne trgovine dodal »/uploads«, je lahko dostopal do vseh računov in dobavnic, ki jih je podjetje izdalo. Tako je lahko kdorkoli, brez dodatnega računalniškega znanja, dostopal do osebnih podatkov strank podjetja.
Primeri dobavnic in računov strank:
Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.
A ne bi bilo bolje, da se naredi ena tema na forumu in se tam limajo te stvari ali bo zdaj prva stran nasmetena s tisoč objavami kako je neka stran slabo zavarovana in rantom nad IP RS? Mislim, ker takih strani je precej, prva novica je bila zanimiva, naslednjih 1000 pa ne bo. Dvomim, da koga posebej zanima, kako je tudi Franc s.p. iz Spodnje Kungote svoj domači sir prodajal preko slabo zavarovane spletne strani, bi bila objava na forumu v primerni temi povsem dovolj? Lahko pa, da sem v manjšini, v tem primeru pa seveda, zasmetite prvo stran.
Pomojem da je zapiranje v geto foruma slaba ideja, ker veliko folka ne bere foruma. Če že kaj, mogoče preurediti spredno strani, da ima ali ločen zavitek za vsakovrsno uhajanje osebnih podatkov, ali pa način filtriranja novic ki jih vidiš/ne vidiš na prvi strani.
Še vedno namreč prevladuje splošno mnenje,da smo tako mali, da itak ne bo nihče 'vdiral' ali kakorkoli drugače 'delal škodo', da je čisto vseeno, če imaš stvari pošlihtane 'po domače'. Edino z obešanjem na veliki zvon se lahko to utvaro malo po malo razbije, da vsak začne malo bolj pozorno gledati, kako ima stvari pošlihtane.
Drugače pa trgovine z oblekcami niso ravno hudo zanimive. Bolj pester bi bil kakšen sexshop in njihovi računi....
Še vedno namreč prevladuje splošno mnenje,da smo tako mali, da itak ne bo nihče 'vdiral' ali kakorkoli drugače 'delal škodo', da je čisto vseeno, če imaš stvari pošlihtane 'po domače'. Edino z obešanjem na veliki zvon se lahko to utvaro malo po malo razbije, da vsak začne malo bolj pozorno gledati, kako ima stvari pošlihtane.
Drugače pa trgovine z oblekcami niso ravno hudo zanimive. Bolj pester bi bil kakšen sexshop in njihovi računi....
Kar naj bo med novicami. Kogar ne zanima naj preskoči. In kot že rečeno: samo tako se bo mentaliteta spremenila, da je za dobro storitev potrebno najeti nekoga, ki se s tem ukvarja in to ne samo za pol ure dnevni hobi.
Če se zatakne - pritisni močneje. Če se zlomi - bil je skrajni čas za nakup novega.
Kar naj bo med novicami. Kogar ne zanima naj preskoči. In kot že rečeno: samo tako se bo mentaliteta spremenila, da je za dobro storitev potrebno najeti nekoga, ki se s tem ukvarja in to ne samo za pol ure dnevni hobi.
Kot, da so tisti kaj boljsi, od slovenskih vseznalskih sistemcev sem ze take kozlarije videl, da kar boh pomagi. Vecini ni jasno nic vec od navadnih uporabnikov, samo, da so se googlat naucili. "Bom https postavu, da bo varn, pa kr tule mal nakupiru algoritme, aha od tule (stran iz leta 2010), aha certifikat pa private key... aha tle se da downloadat"
Morda je se nekaj ljudi, ki tole razumejo...
https://www.delo.si/mnenja/kolumne/ce-padem-me-pocakajte-154864.html
Kar naj bo med novicami. Kogar ne zanima naj preskoči. In kot že rečeno: samo tako se bo mentaliteta spremenila, da je za dobro storitev potrebno najeti nekoga, ki se s tem ukvarja in to ne samo za pol ure dnevni hobi.
Kot, da so tisti kaj boljsi, od slovenskih vseznalskih sistemcev sem ze take kozlarije videl, da kar boh pomagi. Vecini ni jasno nic vec od navadnih uporabnikov, samo, da so se googlat naucili.
Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.
Sicer sem zlo gorec zagovornik GDPRja in zakonov o varstvu osebnih podatkov ampak taksni javni linci nekih mikro podjetij so neumnost. Resno, ce bi radi naredili kaj dobrega, potem taksnim podjetjem pomagajte, da bodo stvari uredili tako kot jih morajo. Tukaj je pa precej ocitno, da se sami ne vedo kaj bi morali narediti in je povsem realna moznost, da jih je tudi izvajalec nategnil.
Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.
Sicer sem zlo gorec zagovornik GDPRja in zakonov o varstvu osebnih podatkov ampak taksni javni linci nekih mikro podjetij so neumnost. Resno, ce bi radi naredili kaj dobrega, potem taksnim podjetjem pomagajte, da bodo stvari uredili tako kot jih morajo. Tukaj je pa precej ocitno, da se sami ne vedo kaj bi morali narediti in je povsem realna moznost, da jih je tudi izvajalec nategnil.
Ce bi se IP-RS drzal GDPRja, ne bi bilo potrebe po tem. Ker se ne, se tega tudi podjetja ne drzijo 24kur sem obvestil o krsitvah in so ignorirali, delo ravno tako. Naceloma je matthai s tem zascitil otroke in njihove starse, proteine bi pa tako ali tako prepovedal, se eno plodisce narcisov.
Edini nacin, da se zacne v birokratski glavi IP-RS kaj dogajati je, da je javnost temeljito obvescena o delu podjetij in tole je zelo dober nacin. Razumem, da IP-RS misli, da sciti podjetja ampak v resnici jim samo daje potuho.
Morda je se nekaj ljudi, ki tole razumejo...
https://www.delo.si/mnenja/kolumne/ce-padem-me-pocakajte-154864.html
Ce bi se IP-RS drzal GDPRja, ne bi bilo potrebe po tem. Ker se ne, se tega tudi podjetja ne drzijo 24kur sem obvestil o krsitvah in so ignorirali, delo ravno tako. Naceloma je matthai s tem zascitil otroke in njihove starse, proteine bi pa tako ali tako prepovedal, se eno plodisce narcisov.
Oh, bollocks... Tole ni nobena zascita, ne otrok in ne starsev. Pove se trgovini in se jim pomaga odpraviti napako, ce jo sami ne znajo. To je zascita 'otrok'. Ce je kaksen podatek ze odsel tja kamor ni treba se lahko preveri pri spletnem gostovanju, ne gre pa vec za nobeno zascito. Vse skupaj pa nima veze z IP-RS. Gre za neko obskurno spletno trgovino.
Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.
Sicer sem zlo gorec zagovornik GDPRja in zakonov o varstvu osebnih podatkov ampak taksni javni linci nekih mikro podjetij so neumnost. Resno, ce bi radi naredili kaj dobrega, potem taksnim podjetjem pomagajte, da bodo stvari uredili tako kot jih morajo. Tukaj je pa precej ocitno, da se sami ne vedo kaj bi morali narediti in je povsem realna moznost, da jih je tudi izvajalec nategnil.
Jaz pa po drugi strani mislim, da je fenomenalno, da se vsak dan bere o tem. Sem prepričan, da kar precej ljudi aktivno popravlja svoje projekte, ker vidijo, da se je nekdo, ki mu je bilo očitno dovolj, načrtno spravil iskat napake.
Kako boš drugače dvignil varnost spleta? Ne moremo od reveža pričakovati, da bo cele dneve zastonj delal za one, ki kasirajo. Že tako bo imel probleme s policaji, če ga dobijo. Žal.
Sem pa tudi sam par mesecev nazaj postavil wordpress stran. :)
Where all think alike, no one thinks very much.
Walter Lippmann, leta 1922, o predpogoju za demokracijo.
Mislim, da je potrebno opozoriti na dva problema. Kot prvo, danes vsak, ki ima 5 minut časa, misli, da lahko postavi spletno trgovino. In marsikateri naročnik sploh ne pomisli na varnost. To preprosto ne gre.
Zakaj pa vsak podjetnik pomisli na to, da bo moral imeti davčne blagajne in vodit računovodstvo? Čeprav se na davčno področje ne spozna. Pač, se izobrazi, ali pa kupi ustrezno rešitev. In to tako, ki je preverjena, ne od nekega šalabajzerja. In tudi tisti, ki rešitve prodajajo, stojijo za tem. Vedo kaj delajo.
Zakaj?
Zato, ker so kazni, ker je nadzor in se je ljudem to vsedlo v kri.
Kot drugo, odločevalci so mnenja, da živimo v lepi Sloveniji na sončni strani alp, kjer cvetijo rožice in piha lahen vetrič. Ko so ob sprejemu Zakona o informacijski varnosti nekateri opozarjali, da je stanje precej slabše in resno, je bil odgovor, da uradne statistike kažejo da problem informacijske varnosti brez težav obvladujemo. Skratka, vse je OK. In ni potrebno kaj bistveno več vlagati na to področje.
No, resnica je pa ta, da živimo na močvirju. Na blato smo razprostrli nekaj rol sveže zelene trave in vse izgleda krasno. Ko pa kram zapičiš par centimetrov v globino, začne pa smdeti.
Enkrat je treba reči bobu bob in pokazati kakšno je dejansko stanje. Aja, pa ZVOP-2 še vedno ni sprejet... če ima kdo voljo, naj zahteva vso dokumentacijo o usklajevalnih sestankih v zvezi s tem. Če bi se pa dalo dobiti še kaj o zakulisnem lobiranju nekaterih državnih organov, bi bilo pa še boljše...
Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.
Sicer sem zlo gorec zagovornik GDPRja in zakonov o varstvu osebnih podatkov ampak taksni javni linci nekih mikro podjetij so neumnost. Resno, ce bi radi naredili kaj dobrega, potem taksnim podjetjem pomagajte, da bodo stvari uredili tako kot jih morajo. Tukaj je pa precej ocitno, da se sami ne vedo kaj bi morali narediti in je povsem realna moznost, da jih je tudi izvajalec nategnil.
Oh, bollocks... Tole ni nobena zascita, ne otrok in ne starsev. Pove se trgovini in se jim pomaga odpraviti napako, ce jo sami ne znajo. To je zascita 'otrok'. Ce je kaksen podatek ze odsel tja kamor ni treba se lahko preveri pri spletnem gostovanju, ne gre pa vec za nobeno zascito. Vse skupaj pa nima veze z IP-RS. Gre za neko obskurno spletno trgovino.
Tudi jaz podpiram obveščanje javnosti o kršitvah zakonodaje in dobrega okusa. Take novice morajo biti na prvih straneh medijev. Dokler se bomo delali, da gledamo drugam, bo cesar kazal nago rit in donglja tudi, to je znano. Kitovi argumenti so prazne marnje. Taka novica seveda pomaga pri zaščiti kupcev, namreč bodočih kupcev. Če take novice ne bi bilo, bi trgovina tako ravnala še naslednjih 100 let in ostale trgovine tudi. Če bi raziskovalec obvestil samo trgovino, je glede na splošni trend pometanja dreka pod preprogo precej verjetno, da ta ne bi obvestila javnosti. Javnost pa o takih stvareh mora biti obveščena, ker sicer ni javnost, pač pa čreda goveje živine. Dalje, trgovina je gospodarska družba, ki ustvarja profit in je ne moreš obravnavati kot bogo žrtev, ki ne ve, kaj dela. Kdor ne obvlada posla, naj se loti česa drugega ali pa izgine v penzijo. Ker človek ima počasi dovolj govna na vsakem koraku. A štekaš, whale? Ah, brez veze, itak...
Ce je kaksen podatek ze odsel tja kamor ni treba se lahko preveri pri spletnem gostovanju, ne gre pa vec za nobeno zascito. Vse skupaj pa nima veze z IP-RS. Gre za neko obskurno spletno trgovino.
Mislim, da je potrebno opozoriti na dva problema. Kot prvo, danes vsak, ki ima 5 minut časa, misli, da lahko postavi spletno trgovino. In marsikateri naročnik sploh ne pomisli na varnost. To preprosto ne gre.
Tudi vsak, ki ima pet minut casa lahko popravlja avtomobile. In?
Zakaj pa vsak podjetnik pomisli na to, da bo moral imeti davčne blagajne in vodit računovodstvo? Čeprav se na davčno področje ne spozna. Pač, se izobrazi, ali pa kupi ustrezno rešitev. In to tako, ki je preverjena, ne od nekega šalabajzerja. In tudi tisti, ki rešitve prodajajo, stojijo za tem. Vedo kaj delajo. Zakaj? Zato, ker so kazni, ker je nadzor in se je ljudem to vsedlo v kri.
In zgornje razkritje pri vsem tem prav nic ne pomaga.
Enkrat je treba reči bobu bob in pokazati kakšno je dejansko stanje. Aja, pa ZVOP-2 še vedno ni sprejet... če ima kdo voljo, naj zahteva vso dokumentacijo o usklajevalnih sestankih v zvezi s tem. Če bi se pa dalo dobiti še kaj o zakulisnem lobiranju nekaterih državnih organov, bi bilo pa še boljše...
In spet, zgornje razkritje pri tem problemu tudi slucajno ne pomaga.
Pogovoriti se je treba z lastnikom spletne trgovine, z izvajalcem, in ustreznimi inspekcijami. Tako se bo nekaj naredilo.
Zdaj pa delate novico iz neke obskurne trgovine, ki jo upravlja podjetje z 0 zaposlenimi. Taksna stvar pac ni newsworthy. Nasli ste spletno stran, ki dela grdo z osebnimi podatki? Torej, iz gozda ste prisli z zepi polnimi listja. Cestitke. ;)
Te trgovnine niti priblizno ne poznam, prvic slisim za njih in to, kar so poceli z racuni je sicer smesno, narobe in je prav, da se te reci popravi in opozori nanje. Ampak tudi slucajno ni newsworthy in je skoda prostora za taksne novice.
Srsly? Po uvedbi GDPRja si pricakoval, da bodo kr vsi takoj vse postimal? :))) Ravno zato so te stvari not newsworthy.
Ne takoj, v kakem letu pa - in zdaj bo ravno kako leto od GDPR (ali pa tri). A hočeš rečt, da bi te strani same od sebe kaj popravile, če ne bi bilo malo nabijanja od zunaj? Nekako dvomim. Kvečjemu se bi pojavilo še n novih strani, ki bi uporabljale enako problematične nastavitve. Zdaj, ko se govori (in upam, da se ne neha), bo mogoče kdo vseeno pomislil, da ne more kar vrečt kupa računov z vsemi podatki v eno mapo in jih dat na net. Če pa, si zasluži, da se ga križa ... na ta slo-tech-ovski način.
Enim gre na živce, da jih kličejo za ankete in da dobivajo spam po e-pošti ... no, tu je v igri še več osebnih podatkov kot samo e-poštni naslov in telefonska, pa naj bomo tiho? Zakaj že?
... Aja, pa ZVOP-2 še vedno ni sprejet... če ima kdo voljo, naj zahteva vso dokumentacijo o usklajevalnih sestankih v zvezi s tem. Če bi se pa dalo dobiti še kaj o zakulisnem lobiranju nekaterih državnih organov, bi bilo pa še boljše...
Zadosti je že, če greš pogledat, kaj je trenutno nastali predlog, ki je na nekaterih mestih celo v neskladju z GDPR, pa ugotoviš, da si ZVOP-2 morda celo ne želimo.
Nekatere rešitve nadgradijo GDPR (npr. videonadzor, biometrija,...), ne vidim pa res nobenega razloga, da se prepisuje in dopisjuje stvari, ki so že definirane v Uredbi. Že pri programiranju sem se naučil, da copy+paste in potem spreminjanje kode vodi v najmanj "zanimive" rezultate in podobno je tudi, če kopiraš Uredbo in jo po malem spreminjaš, da dobiš ZVOP-2.
Zanimivo vprašanje je recimo tudi, zakaj je za DPO v šolstvu (torej pri najranljivejši populaciji) dober praktično vsakdo,...
Srsly? Po uvedbi GDPRja si pricakoval, da bodo kr vsi takoj vse postimal? :))) Ravno zato so te stvari not newsworthy.
"Uvedba GDPR" ? Kaj si že pozabil, na kaj se je zreducirala "uvedba GDPR"? Kako so iz GDPR naredili izključno "pravniški problem", ustanavljali elitne GDPR klube in mlatili prazno pravniško slamo ter "reševali GDPR" na papirju... po pravniško?
Tresla se gora... rodili so se miljoni mailov, ki so te posiljevali za neka soglasja, še za tisto, s čemer te prej nikoli nihče ni nadlegoval.
Eto, to ti je Slovenistan GDPR. Direktor je plačal nekemu pravniku ene par jurčkov, stranke so bile zasute z soglasji, GDPR problem rešen!
Ce bi se IP-RS drzal GDPRja, ne bi bilo potrebe po tem. Ker se ne, se tega tudi podjetja ne drzijo 24kur sem obvestil o krsitvah in so ignorirali, delo ravno tako. Naceloma je matthai s tem zascitil otroke in njihove starse, proteine bi pa tako ali tako prepovedal, se eno plodisce narcisov.
Oh, bollocks... Tole ni nobena zascita, ne otrok in ne starsev. Pove se trgovini in se jim pomaga odpraviti napako, ce jo sami ne znajo. To je zascita 'otrok'. Ce je kaksen podatek ze odsel tja kamor ni treba se lahko preveri pri spletnem gostovanju, ne gre pa vec za nobeno zascito. Vse skupaj pa nima veze z IP-RS. Gre za neko obskurno spletno trgovino.
To da se pove trgovini, ok razumem, samo zakaj bi jim pa pomagal? Sej oni ponujajo storitve od katerih služijo in če hočejo služit, naj to delajo tako kot se zagre. Pri vseh teh "razkritjih" je ista rdeča nit. Človek si najde "tržno nišo" s katero bo služil, za spletno stran naredit pa najde najcenejšega soseda, ker je od znanca slišal, da rad igra igrice in bo on naredil za par € na roke.
Never regret anything, there's always a reason things happen.
Ce se gre za zascito otrok, potem mors trgovini pomagat, da odpravi napako. Za otroke gre! Ce pa v resnici samo mal nabijas, kako gre za zascito otrok potem pa razumem, da se ti zdi butasto, da bi jim pomagal.
PS: Men se ne zdi, da gre za zascito otrok. Pac poves trgovini in izvajalcu, da imajo problem, da naj ga resijo in ce ga ne bodo resili, da bo sla prijava na IP-RS. Ker gre za neko resnicno obskurno trgovino za katero stoji nek doo brez zaposlenih, so taksne objave nek fear mongering al kej vem kaj. Mi ni povsem jasen namen taksnih javnih objav.
Eno je bolnisnica Izola kjer gre resnicno za obcutljive podatke, drugo je pa neka prakticno neznana spletna trgovina pri kateri lastniki morda niti ne vedo, da sploh delajo kar narobe. In taksno izpostavljanje je dick move, ker se lahko stvari resi na lepsi in krsitelju bolj prijazen nacin.
Ukrep naj bo sorazmeren s krsitvijo. Pri vseh krsitvah zasebnosti, ki se dogajajo, je osredotocanje na taksne 'tarce' resnicna neumnost.
Kaj pa takole: Eno je ministrstvo kjer bi res morali poznati finance, drugo je pa neka prakticno neznana spletna trgovina pri kateri lastniki morda niti ne vedo, da sploh delajo kar narobe ker ne izdajajo računov. In taksno izpostavljanje je dick move, ker se lahko stvari resi na lepsi in krsitelju bolj prijazen nacin.
Ej, ne vem kdo kupuje. Vahid je rekel, da gre za zascito otrok.
Drugo je pa lep whataboutism. Ampak vseeno, kdaj si nazadnje slisal v novicah, da neka mini buticna trgovina ne izdaja racunov? Najbrz nikoli. Ce bi pa to naredil Merkur, bi pa hitro slisal. Newsworthy vs not newsworthy.
Nic ni narobe z opozarjanjem ampak iskanje nekih takih malih gresnikov je bizarno.
