Attól, hogy az adatátadás secure, a programnak attól még nem kell jogszabályoknak megfelelnie.

De egy kérdés, ami szintén ide vág, szerinted miért emelik ki sok adatkezelő szoftvernél, a GDPR megfelelősséget? Mert egy részük bizony nem teljesíti az előírásokat, viszont olcsóbb.

Marika gépén fut a program ami jobb esetben jelszavazva van, a hivatalos adatátadáshoz exportálják az adatokat és feltöltik a megadott helyre, vagy online számlázóval kiszámlázzák.

"De egy kérdés, ami szintén ide vág, szerinted miért emelik ki sok adatkezelő szoftvernél, a GDPR megfelelősséget?": mert fogalmuk sincs, mit vár el a gdpr.

vagy inkabb, mert mindenki elvarja, hogy oda legyen irva, fuggetlenu attol, hogy van-e hozza koze.
Utobb meg majd hivatkoznak ra, hogy de az XYZ szoftver hasznalata mar biztositja a GDPR megfeleloseget

[ Szerkesztve ]

"Ez szerintem nem feltétlen igaz.": de, totálisan igaz.
a szerződésedben nem kell kitérni arra, hogy tartsa meg a törvényeket, mert egyébként is köteles megtartani.
másrészt meg ha a fejlesztő cég alkalmazottjának van jelszava az éles rendszerhez és nem csak anonimizált tesztadatokkal dolgozik, akkor módja van adatkezelési döntéseket hozni, tehát adatkezelő.
ha nem akarják, hogy adatkezelő legyen, akkor írásos utasítást kell kapjon az adatok kezeléséről és akkor adatfeldolgozó lesz.

Miért is kellene a fejlesztőnek az éles adatokhoz hozzáférnie? Mi köze hozzá?
Ok, csak annyit írtam, hogy nem üzemelteti a rendszert, az többit nem írtam bele.

Ha nem fér hozzá az adatokhoz akkor minek akarna adakezelői, vagy adatfeldolgozói felelősséget magára vállalni egy szerződésben?

(Nem kezdünk eltérni kicsit a topic témájától?)

Nem arról beszélünk, hogy (nem) KELLENE hozzáférnie.
Hanem arról, hogy ebben a konkrét esetben hozzáfért.

Szerintem nem tértünk el a topic témájától, az, hogy ezek a fejlesztők milyen jogszabályi keretek között vonhatók felelősségre, az eléggé ontopic.

Ok, én általánosságban írtam a szerződéses követelményekről, akkor viszont én értetem félre a beszélgetést.
Bocsánat.

Igen, a konkrét esetben mivel a ők fejlesztették és üzemeltették a rendszert, így adatfeldolgozók, tehát adatfeldolgozói szerződéssel vagy legalábbis kiegészítéssel kellett volna rendelkezniük. A GDPR betartása magától értetődik aztviszont szerződésbe kellett volna foglalni, hogy melyik IBTV biztonsági osztályt kell teljesíteniük, és hogy ezzel kapcsolatban mik az elvárások az 41/2015 BM rendelet alapján. És ami szintén fontos, ezen előírásoknak az ellenőrzése ami szintén kimaradt az megrendelő részéről, vagy nagyon csúnyán megvezették.

Sziasztok,
Ha itt bármi is megfelelne a GDPR-nak, akkor nem kellett volna már értesíteni minden usert?
Kiadni egy hivatalos tájékoztatást?
Minimum Új jelszavakat generálni?

1) Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.
(2) Az (1) bekezdésben említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a 33. cikk (3) bekezdésének b), c) és d) pontjában említett információkat és intézkedéseket.

Ha jól tudom... A KRÉTA készítője itt csak adatfeldolgozó. Nekik az iskolákat kellett volna értesítenie. Az iskolák az adatkezelők. Engem nem értesítettek, hogy gond van a gyerek adatai kapcsán.

engen sem értesítettek .... tehát ez az jelenti, hogy minden a legnagyobb rendben.....
Azért Megkérdezem a sulit, hogy őket értesítették-e

Azért én kíváncsi lennék, hogy pár "megértő" embernek a számítógépét kérés/kérdés nélkül feltörné egy önmagát etikus hackernek nevező, majd közölné vele hogy itt és itt hibás a jelszava, WiFi beállítás, Win beállítás..stb akkor mennyire parázna be, hogy minden banki adatához hozzáfért az illető, minden adatához, jelszavaihoz, regisztrációihoz játékokban, kormányoldalon..stb. Netán ma divatos családi pornóképeihez, vagy éppen "másságát" erősen demonstráló képekhez. És mennyire bízna meg egy vadidegenben, hogy ha ő nem is él vele vissza, de nem adja el a darkneten jó pénzért az infókat és lopja el az életét 1 héten belül egy Orosz vagy É-Koreai hacker?

Igen, csak akik hellyel közzel megértik (Ez nem jelenti, hogy teljes vállszélességel támogatják) a hacker(ek) tetteit azok az otthoni eszközeiket nem több milliárdnyi köszpénzből állították fel

Ez a nagy különbség.

1.nem egy kategória a krétával.
2. Ha valóban etikus, akkor még tök jó, hogy szólt. Hiszen ha ementáli otthon a rendszer, akkor egy rosszakaró már rég megtehette, hogy ki-be járkál a gépemen, és még csak nem is tudtam róla.

Egyrészt a banki adatokat 2FA védi (vagy írhatnék 3FA-t is, sok esetben), másrészt nem tárolunk jelszavakat a böngészőben, jelszókezelőt használunk (ahol a db-t megfelelően erős jelszóval védünk és nem írjuk fel sehova), minden sitehoz másik jelszóval.

Azonkívül az itthoni hálózatomra senki nem költött el több milliárd ft közpénzt.

Egyébként, ha valóban etikus, akkor még meg is köszönöm neki, hogy szólt, hogy valami szar.

[ Szerkesztve ]

Ilyenkor mindig az a kérdés hogy mennyire könnyítjük meg a dolgát.
Másfelől hogy mennyire alakul ki az illető-ben egy egészséges paranoia.
Igen egészséges, mert a túlzás is árthat.

Csak hogy egy egyszerű példát mondjak.
www.facebook.com
www.faceebook.com

A saját példádban valószínűleg igazad van, csak az a baj, hogy ez nem analóg a KRÉTA feltörésével. Jellegéből fakadóan egészen más a megítélés, mondom ezt úgy, hogy az én gyerekeim adatai is a KRÉTA-ban vannak. Azt gondolom, hogy itt senki nem "felmenteni" akarja a hackereket, nem arról van szó, hogy tapsolna hozzá bárki - én legalábbis biztosan nem -, hanem inkább arról, hogy az amúgy normál esetben elítélendő módszerükkel rávilágítottak egy sokkal komolyabb problémára (mely probléma viszont vastagon a közre tartozik) és ami más módon sohasem derült volna ki.

Mindezek fényében - szerintem - azért kicsit más megvilágításba kerül ez a cselekmény, mint egy "sima" hacker támadás. Ha úgy tetszik a társadalmi haszna meghaladja az okozott kárt, legalábbis abban az esetben ha valóban megállt ennyiben a dolog és például nem élnek vissza az adatokkal.

+1

Ha mar szolt, akkor mar valamennyire biztos etikus. Egy sima orosz/kinai/eszakkoreai hacker nem fog szolni, csak lenyulja a bankszamladat, utana meg feltol egy ransomware-t a gepre, hatha azt is kifizeted.

De aztán nagyon a ló rossz oldalán ülsz: Egy fekete kalaposnak esze ágában nincs szólni,hanem kérdés nélkül ellopja,a banki adatod és vásárol is velük.A többivel nem sokat tud kezdeni.Iskolai adatok közt elég erős lenne a "Netán ma divatos családi pornóképeihez, vagy éppen "másságát" erősen demonstráló képekhez." adatok tárolása.
Emellett búcsúul tönkreteszi a fájljaid titkosító vírusokkal.Én mondjuk nem bíznám olyanokra az ilyen adatokat akik nem képesek elegendő védelmet biztosítani ezek kiszivárogtatása ellen.

[ Szerkesztve ]