Ochrona prywatności. a r t u r. c i e s l i p o l i t y k a b e z p i e c z e n s t w a. c o m. p l

Transkrypt

1 Karty miejskie Karty elektroniczne Ochrona prywatności A r t u r C i e ś l i k M B A, a u d i t o r I S O / I E C , r e d a k t o r n a c z e l n y I T P r o f e s s i o n a l a r t u r. c i e s l i p o l i t y k a b e z p i e c z e n s t w a. c o m. p l

2 Cechy kart elektronicznych Identyfikacja osoby określenie tożsamości osoby fizycznej na podstawie np. unikalnego identyfikatora zapisanego na karcie Uwierzytelnienie potwierdzenie, że deklarowana tożsamość jest poprawna Podpis elektroniczny - usługa zaufania służąca do podpisywania np. dokumentów, wiadomości.

3 Cechy kart elektronicznych Środek identyfikacji elektronicznej: Służy do uwierzytelniania jego posiadacza w usługach online Służy jako środek identyfikacji elektronicznej w celu wywołania usług zaufania

4 Cechy kart elektronicznych Czy karta może posiadać wiele funkcji? Płacenie za parking miejski Możemy skorzystać z niej w urzędach Nośnik podpisu elektronicznego Płacenie za komunikację miejską Elektroniczna portmonetka Bilet okresowy Wejście/wjazd na teren

5 Cechy kart elektronicznych Czy karta może posiadać wiele funkcji? Elektroniczna Legitymacja Studencka

6 Problemy do zaadresowania w wielofunkcyjnych kartach elektronicznych Prywatność użytkownika karty Zabezpieczenie danych zapisanych na karcie Zabezpieczenie bazy danych (zbiorów danych osobowych) Zaufanie do zewnętrznego dostawcy tożsamości Techniczne słabości karty np. realizowanie transakcji zbliżeniowych

7 Zagrożenia związane z wykorzystaniem kart elektronicznych Śledzenie poruszania się użytkownika karty Określenie preferencji zakupowych Kradzież środków pieniężnych

8 Przykład Karty miejskie URBANCARD Wrocław Migawka Łódź PEKA Poznań Śląska Karta Usług Publicznych aglomeracja śląska Warszawska Karta Miejska Warszawa.

9 Przykład Karty miejskie ŚKUP (Śląska Karta Usług Publicznych) Karta miejska Nośnik pieniądza elektronicznego Elektroniczny certyfikat Spersonalizowana umożliwia identyfikację osoby fizycznej np. w sytuacji wejścia do środka komunikacji publicznej istnieje obowiązek rejestracji karty. Wielofunkcyjna - można wykorzystywać także w bibliotekach, urzędach, na parkingach.

10 Przykład Karty miejskie ŚKUP (Śląska Karta Usług Publicznych) Zakres zbieranych danych: Odwiedzane miejsca Czas i data odwiedzin Rodzaje płaconych podatków Preferencje czytelnicze Efekt: możliwość profilowania użytkownika

11 Skąd znamy profilowanie użytkownika? Banki Wyszukiwarki Karty elektroniczne Portale WWW za pomocą tzw. ciasteczek (cookies)

12 Karta miejska usługa publiczna Następuje prywatyzacja usług publicznych Instytucja powierza obsługę wydawania kart innemu podmiotowi np. bankowi Bank powierza przetwarzanie danych osobowych podwykonawcy łańcuszek podwykonawców (podpowierzenia zbieranych danych osobowych)

13 Duże zbiory danych Powstaje potrzeba zapewnienia bezpieczeństwa zbieranych danych o użytkowniku karty Problem stanowi ilość i zakres tych danych Oprócz personalizacji można prowadzić tzw. analizę big data. Prowadzi do wyciągnięcia nowych informacji na podstawie posiadanych dużej: ilości danych, zmienności danych, różnorodności danych (model 3W lub 4W dodatkowo weryfikacja).

14 Duże zbiory danych Wykorzystanie wykorzystaj najpierw wewnętrzne (własne) zasoby danych. Wnioskowanie umiejętnie stosuj techniki analityczne, użyj ekspertów. Wzbogacanie wzbogacaj własne dane o informacje z rynku, używaj słowników i baz referencyjnych. Weryfikacja koniecznie weryfikuj hipotezy i wnioski. Źródło:

15 Duże zbiory danych Jakie wnioski można wyciągnąć z dużej ilości danych? Przykład: The Predata Volatility Index (PVIX) is a rules-based, cross-sectional measure of a country's political volatility, generated daily. PVIX signals quantify current conditions and display them in a broader historical context.

16 Przykład:

17 Przykład:

18 Przykład:

19 I na koniec prozaiczny problem bezpieczeństwa technicznego kart zbliżeniowych Główne scenariusze dla zagrożeń wg dokumentu Analiza poziomu bezpieczeństwa kart zbliżeniowych z punktu widzenia ich posiadaczy Urząd Komisji Nadzoru Finansowego

20 I na koniec prozaiczny problem bezpieczeństwa technicznego kart zbliżeniowych Przekroczenie dostępnych środków Większość transakcji realizowana jest w trybie off-line Ṅieświadomie można przekroczyć kwotę dostępnych na koncie środków

21 I na koniec prozaiczny problem bezpieczeństwa technicznego kart zbliżeniowych Atak typu przekaźnikowego Jedno urządzenie pośredniczące znajduje się blisko karty ofiary i komunikuje się z nią Drugie urządzenie pośredniczące przykładane jest do terminala płatniczego, Komunikacja pomiędzy urządzeniami pośredniczącymi odbywa się poprzez Internet. W takim przypadku terminal płatniczy i karta działają w taki sposób, jakby faktycznie komunikowały się bezpośrednio ze sobą.

22 I na koniec prozaiczny problem bezpieczeństwa technicznego kart zbliżeniowych Wykorzystanie szkodliwego oprogramowania mobilnego Przestępca może przeprowadzić scenariusz ataku typu przekaźnikowego lub logicznego klonowania karty przy wykorzystaniu szkodliwego oprogramowania zainstalowanego w aparacie telefonicznym poszkodowanego wyposażonym w technologię NFC

23 Karty elektroniczne - podsumowanie Podsumowanie wyzwań Dostarczanie jasnych regulacji, zrozumiałych dla użytkownika karty Zaadresowanie zagrożeń dla prywatności Stosowanie mechanizmów kontrolnych dla podwykonawstwa Wdrożenie zabezpieczeń informatycznych dla baz danych Zachowanie zgodności z przepisami o ochronie danych osobowych wykorzystanie tylko w celu, w którym zostały zebrane; zbieranie tylko niezbędnych danych do osiągnięcia celu.

24 a r t ur.cieslik@politykabezpieczenstwa.com.pl 24