Norsk mobilapp åpnet for tapping av informasjon om norske bileiere

[Harald Brombach (digi.no)]

Tryg forsikring legger helt seg flate og har stengt muligheten.

Norsk mobilapp åpnet for tapping av informasjon om norske bileiere

[Bolson]

For å gjøre konsekvensen av slike tabber mer omfattende og sikre kvalitet bør følgende innføres!

 

Avtalen for utlevering av data i det offentlige bør ha følgende klausuler:

 

"Sikkerhetsmessige brudd etc som medfører at personopplysningslova e.l blir brutt og som ikke er rettet innen x dager etter man er kjent med bruddet medfører at dataeiertillatelse kansleres umiddelbart og for minst 6 mnd framover. I tillegg gis en bot etter følgende skala."

 

"Datatilsynet gis i oppgave å overvåke dette, og det opprettes egen varslingtjeneste".

 

Poenget mitt er at det må ha såpass store forretningsmessige konsekvenser for private (og i realiteten offentlige) aktører å slurve her, at man gjør den ekstra sikkerhetsmessige sjekken for å unngå at det svir for mye på pungen.

[sk0yern]

For å gjøre konsekvensen av slike tabber mer omfattende og sikre kvalitet bør følgende innføres!

 

Avtalen for utlevering av data i det offentlige bør ha følgende klausuler:

 

"Sikkerhetsmessige brudd etc som medfører at personopplysningslova e.l blir brutt og som ikke er rettet innen x dager etter man er kjent med bruddet medfører at dataeiertillatelse kansleres umiddelbart og for minst 6 mnd framover. I tillegg gis en bot etter følgende skala."

 

"Datatilsynet gis i oppgave å overvåke dette, og det opprettes egen varslingtjeneste".

 

Poenget mitt er at det må ha såpass store forretningsmessige konsekvenser for private (og i realiteten offentlige) aktører å slurve her, at man gjør den ekstra sikkerhetsmessige sjekken for å unngå at det svir for mye på pungen.

 

Svaret er kanskje GDPR:

https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

[digimator]

For å gjøre konsekvensen av slike tabber mer omfattende og sikre kvalitet bør følgende innføres!

 

Avtalen for utlevering av data i det offentlige bør ha følgende klausuler:

 

"Sikkerhetsmessige brudd etc som medfører at personopplysningslova e.l blir brutt og som ikke er rettet innen x dager etter man er kjent med bruddet medfører at dataeiertillatelse kansleres umiddelbart og for minst 6 mnd framover. I tillegg gis en bot etter følgende skala."

 

"Datatilsynet gis i oppgave å overvåke dette, og det opprettes egen varslingtjeneste".

 

Poenget mitt er at det må ha såpass store forretningsmessige konsekvenser for private (og i realiteten offentlige) aktører å slurve her, at man gjør den ekstra sikkerhetsmessige sjekken for å unngå at det svir for mye på pungen.

 

Fokus på straff er totalt feil måte å handtera slikt, og vil stort sett gå ut over sluttbrukaren.

 

Fokus må alltid vera på forbedring gjennom betre informasjon om korrekt design. Denne typen applikasjonar er tross alt temmelig nytt, og det er tydelig frå denne saken at det er eindel mangel på erfaring i sikker design (som også Rema sin app avslørte).

 

Trussel om straff gjør folk redde, men det vil ikkje nødvendigvis gi betre kvalitet.

[Bolson]

Svaret er kanskje GDPR:

https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

 

Ikke helt. Mange tror at GDPR vil løse alt knyttet til personvern, og det løser en god del - ikke minst tydeliggjør en del ansvar. Men i dette tilfellet tror jeg faktisk ikke GDPR ville betydd en tøddel.

 

Bakgrunnen for GDPR (eller for å være helt korrekt - EU's forordning 2016/629) er primært sosiale medier - og i stor grad er det for å kunne får en viss kontroll på Google, Facebook etc sin innsamling av personopplysninger.

 

Ellers flytter forordningen fokuset fra forhåndskontroll til internkontroll, noe som gjør at jeg tror i tilfeller som her hvor det faktisk er tre aktører, og hvor det i realiteten er Statens Vegvesen som er databehandler fort kan gå fra ille til værre.

[Bolson]

Fokus på straff er totalt feil måte å handtera slikt, og vil stort sett gå ut over sluttbrukaren.

 

Fokus må alltid vera på forbedring gjennom betre informasjon om korrekt design. Denne typen applikasjonar er tross alt temmelig nytt, og det er tydelig frå denne saken at det er eindel mangel på erfaring i sikker design (som også Rema sin app avslørte).

 

Trussel om straff gjør folk redde, men det vil ikkje nødvendigvis gi betre kvalitet.

 

I stor grad uenig. Vi snakker her om kommersielle aktører hvor beslutninger i stor grad tas på bakgrunn av økonomi. Vi snakker ikke om personer men om selskaper. Vi snakker heller ikke om å straffe enkeltpersoner, men selskapets inntjening.

 

Kvalitet henger sammen med bruk av ressurser, og i og med at selskapene ikke risikerer noe som helst med å bruke minimalt med ressurser så finnes det null incitament for kvalitetssikring, skaffe seg best mulig informasjon stc. Hverken REMA 1000 eller Tryg (eller Infotorget) bryr seg katta om korrekt design, de bryr seg om bunnlinja. Informasjonen om korrekt design finnes tilgjengelig - lett tilgjengelig , men er i utgangspunktet uinteressant når svaret et billigst mulig.

 

Straff er her altså en økonomisk risiko for selskapet, og all erfaring viser at det er det eneste som får selskaper til å gjøre jobben skikkelig. Superreksemplet er Ralph Nader sin rettslige kamp mot farlige biler, som i dag gjør at bilprodusenter kaller inn biler til reparasjon så fort en feil som kan skade finnes.

 

Og hvordan kan det gå utover sluttbrukeren.

 

PS! Prinsippet i GDPR er også straff dersom man bryter forordningen.

[Knut Erik_370616]

Er det noen av disse opplysningene som er unntatt offentlighet?

[8OVI7VAB]

Svaret er kanskje GDPR:

https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

 

GDPR skal nettopp stanse slike personvernlekkasjer. Når det blir innført vil det bli store økonomiske konsekvenser for de organisasjonene som ikke har fått regelendringen med seg og er de første til å bli tatt for det. Tryg skal være glade for at dette ble oppdaget nå før innføringen.

[Scott Johansen]

Kan det ha noe med at Evry får mye av sine programeringsjobber utført av IT-konsulenter i Polen og andre land i det tidligere Øst-Europa, som har et helt annet forhold til IT-sikkerhet enn det norske IT-konsulenter har ?

[olerth]

Er det noen av disse opplysningene som er unntatt offentlighet?

 

Fødselsnummer er i alle fall ikke offentlig tilgjengelig informasjon.

[Ano__Nym]

Nesten like ille som Sparebank1 som gir hackere tilgang rett til CANBUS med sin bluetooth modul....