Crime Stoppers -tietomurto: Kanadan tietosuojaviranomaiset sanovat kätensä olevan sidotut

CBC:n tutkimus on paljastanut valtavan Crime Stoppers -vihjeiden vuodon, ja sen jälkipyykki nostaa esiin epämukavan kysymyksen. Kun organisaatio lupaa anonymiteettiä ja epäonnistuu sen suojaamisessa, kuka vastaa tästä epäonnistumisesta? Crime Stoppersin tietomurtoa koskeva tietosuojatarina sai huolestuttavan käänteen, kun sekä liittovaltion että maakuntien tietosuojaviranomaiset antoivat ymmärtää, että heidän kätensä ovat sidotut.

Mitä Crime Stoppersin vuoto paljasti

CBC:n tutkimus löysi laajamittaisen vuodon Crime Stopperille lähetetyistä vihjeistä. Raportoinnissa lainattu oikeusasiantuntija sanoi sen voivan olla "yksi Kanadan historian pahimmista tietomurroista". Se on vahva väite, ja se heijastaa mukana olevan datan luonnetta: vihjeitä ihmisiltä, joille oli kerrottu, että he voivat puhua paljastamatta henkilöllisyyttään.

Muussa uutisoinnissa on viitattu lukuihin, kuten yli 1,5 miljoonaan vihjeeseen viimeisen 25 vuoden aikana, ja jotkin raportit mainitsevat Toronto Crime Stoppersin keskeyttäneen vihjelinjansa. Luvut vaihtelevat eri medioiden välillä, joten emme pidä mitään yksittäistä lukua vakiintuneena tässä. CBC:n raportti on paras paikka tarkistaa yksityiskohdat niiden kehittyessä.

Lukijoille merkityksellistä on se, minkä tyyppinen tieto on vaakalaudalla. Vihjelinjoilla voi olla tietoja naapureista, sukulaisista, työpaikoista ja joskus vihjeenantajan omista olosuhteista. Vaikka lähetys ei sisältäisi nimeä, sisältö voi osoittaa, kuka sen kirjoitti.

Miksi Kanadan tietosuojaviranomaiset sanovat kätensä olevan sidotut

CBC:n oman raportointinsa yhteenvedon mukaan sekä liittovaltion että maakuntien tietosuojaviranomaiset ovat antaneet ymmärtää, että heillä on rajalliset mahdollisuudet toimia. Käytännössä virastot, joiden kanadalaiset tavallisesti odottavat tutkivan ja reagoivan suuriin tietomurtoihin, viestivät, että he eivät ehkä pysty saattamaan Crime Stopperia vastuuseen.

Emme spekuloi tarkalla oikeudellisella perustelulla, koska yksityiskohdat kuuluvat CBC:n täyteen raportointiin. Laajempi pointti on kuitenkin helppo ymmärtää. Tietosuojaviranomaiset voivat toimia vain niiden valtuuksien puitteissa, jotka lait heille antavat. Kun organisaatio putoaa näiden lakien aukkoon, vakava tietomurto voi tapahtua ilman selkeää täytäntöönpanon polkua.

Tämä aukko ei ole ainutlaatuinen tässä tapauksessa. Olemme käsitelleet samankaltaisia huolia Albertan äänestäjätietojen tietomurrossa, jossa noin kolmen miljoonan äänestäjän henkilötietojen paljastuminen korosti, miten poliittiset puolueet istuvat tietosuojan sameassa nurkassa. Erilaiset organisaatiot, sama kaava: arkaluonteista dataa ryhmillä, joiden vastuuvelvollisuus on epäselvä.

Mitä tämä tarkoittaa anonyymeille vihjeenantajille

Kaikille, jotka ovat käyttäneet vihjelinjaa tai saattavat käyttää tulevaisuudessa, käytännön johtopäätökset ovat herättäviä mutta hallittavissa.

Anonymiteetti on lupaus, ei tae. Vihjelinja voi vilpittömästi pyrkiä suojaamaan henkilöllisyyttäsi ja silti tallentaa tietosi järjestelmään, joka murretaan. Lupaus on vain niin vahva kuin sen takana oleva turvallisuus ja oikeudelliset seuraukset sen noudattamatta jättämisestä.

Oikeussuojakeinot voivat olla rajallisia. Jos viranomaiset sanovat, etteivät he voi toimia, tietomurrosta kärsineillä ihmisillä on vähemmän ilmeisiä paikkoja kääntyä. Tämä vähentää painetta organisaatioille investoida turvallisuuteen ja jättää yksilöt kantamaan riskin.

Yksityiskohdat voivat tunnistaa sinut ilman nimeäkin. Kirjoitustyyli, ajoitus, tietyt tapahtumat ja henkilökohtaiset viittaukset voivat kaikki kaventaa sitä, kuka vihjeen lähetti. Jos tietokanta paljastuu, näistä yksityiskohdista tulee heikko kohta.

Mikään tästä ei tarkoita, että vihjelinjat olisivat hyödyttömiä tai että ihmisten pitäisi lopettaa vakavista rikoksista ilmoittaminen. Se tarkoittaa, että sinun kannattaa lähteä liikkeelle realistisella käsityksellä siitä, kuinka paljon suojaa sinulla todella on, ja miettiä, mitä sisällytät lähetykseesi.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät koskaan lähetä Crime Stoppers -vihjettä, mutta taustalla oleva opetus pätee laajasti. Organisaatiot, jotka lupaavat anonymiteettiä tai luottamuksellisuutta vihjelinjoista kyselyalustoihin ja etujärjestöihin, tallentavat dataa, joka voidaan murtaa kuten mikä tahansa muukin. Se, voiko viranomainen puuttua asiaan jälkeenpäin, riippuu laeista, joita et todennäköisesti ole lukenut.

Sama huoli näkyy muissa politiikkakeskusteluissa. Käsittelymme Ottawan verkkoturvallisuuslakiesityksestä ja sen ikätarkistuksista heijastaa samankaltaista jännitettä: järjestelmät, jotka keräävät enemmän henkilötietoja, luovat enemmän suojattavaa, ja kriitikot kyseenalaistavat, ovatko suojatoimet tarpeeksi vahvoja.

Miten rajoittaa omaa tietojesi altistumista

Et voi hallita, miten organisaatio turvaa palvelimensa, mutta voit hallita sitä, mitä luovutat.

• Jaa vain välttämätön. Ennen minkään raportin, lomakkeen tai vihjeen lähettämistä kysy, onko jokainen yksityiskohta tarpeen. Jätä pois tiedot, jotka voisivat johtaa sinuun, jos ne eivät ole olennaisia.
• Erota henkilöllisyytesi lähetyksestä. Vältä henkilökohtaisten sähköpostitilien, työlaitteiden tai työverkkojen käyttöä arkaluonteisissa raporteissa. VPN voi piilottaa IP-osoitteesi vastaanottavalta palvelulta, mutta se ei suojaa lähettämääsi sisältöä, kun se on tallennettu.
• Lue tietosuojaehdot. Etsi, kuinka kauan tietoja säilytetään, kuka niihin pääsee käsiksi ja sanooko organisaatio olevansa tietosuojalain piirissä. Epämääräiset vastaukset ovat merkki siitä, että kannattaa olla varovaisempi.
• Harkitse vaihtoehtoisia kanavia. Vakavissa asioissa mieti, sopisiko asianajaja, luotettu ammattilainen tai suora ilmoitus asianomaiselle viranomaiselle tilanteeseesi paremmin kuin anonyymi verkkolomake.
• Seuraa virallisia ilmoituksia. Jos olet käyttänyt palvelua, joka mainitaan tietomurrossa, seuraa organisaation ja uutislähteiden, kuten CBC:n, päivityksiä siitä, mitä paljastui.

Yhteenveto

Crime Stoppersin tietomurtoa koskeva tietosuojakeskustelu muistuttaa, että anonymiteettilupaus on vain niin vahva kuin sen takana olevat suojatoimet ja lait. Kun kanadalaiset viranomaiset antavat ymmärtää kättensä olevan sidotut, taakka siirtyy yksilöille, joiden on mietittävä tarkkaan, mitä he jakavat. Käytä muutama minuutti tällä viikolla sen tarkistamiseen, mitkä organisaatiot pitävät hallussaan arkaluonteisia tietoja sinusta ja mitä ne ovat luvanneet vastineeksi. Toinen esimerkki Kanadan tietosuojan aukoista löytyy raportistamme Albertan äänestäjätietojen tietomurrosta.