Bu konudaki bilgi eksikliğim için üzgünüm.

Yapmamalısınız.

Evrensel olarak onaylanmış bir uygulama mı üniversitelerin öğrencilerin isimlerini ve adreslerini ifşa etmesi için?

Yorumlarda belirtildiği gibi, bu sizin yerel kanun ve yönetmeliklerinize bağlıdır. Kesinlikle bir kez kontrol etmelisiniz. Ancak başvuruyu açıklama şekliniz (sonuç dahil ayrıntıları almak için URL'yi değiştirmek), kesinlikle rapor edilmesi gereken bir hata gibi görünüyor.

Üniversiteler için evrensel olarak onaylanmış bir uygulama mı ad ve adresle ilgili güçlü güvenlik önemli değil mi?

Hayır, ister üniversite, ister büyük bir ÇUŞ veya küçük bir işletme veya kendi kişisel hesabınız, güvenlik HER ZAMAN önemlidir.

Bu ciddi bir saldırı mı ve bunu onlara bildirmem gerekiyor mu? Ya da basitçe görmezden gelinebilir mi?

Evet, bunu mümkün olan en kısa sürede üniversiteye bildirmelisiniz. Göz ardı edilmemelidir.

DÜZENLEME: Yorumlarda belirtildiği gibi, öğrencilerin adreslerinin herkese açık olmasına izin veren bazı üniversiteler vardır.

Bu bir güvenlik açığıdır, kayıtlara erişmek için sıralı tahmin edilebilir sayılar kullanma biçimleri, Güvensiz Doğrudan Nesne Referansı adlı bir güvenlik açığı sınıfıdır ve OWASP İlk 10'da ( https://www.owasp.org /index.php/Top_10_2013-A4-Insecure_Direct_Object_References)

Dünyanın neresinde yaşadığınıza bağlı olarak, üniversite veri koruma yasalarına aykırı olabilir. En azından zayıf veri kontrolü ve kişisel mahremiyetinizi ihlal ediyor, kesinlikle onlara bundan bahsetmelisiniz.

Üniversite İngiltere'de olduğu için, bu neredeyse kesinlikle DPA 1998 ihlalidir. Yani, bu dar anlamda bir "güvenlik" sorunu değildir.

Bir öğrenci ev adresi Yasa hükümleri kapsamında kesinlikle "kişisel veri" olarak sayılacaktır. Verileri bu şekilde alabileceğiniz gerçeği, eminim ki 7. ilkenin ve muhtemelen 6 ve 8. ilkenin ihlalidir). İlkeler, kişisel verilerin

1. adil ve yasal bir şekilde işlenmesi;
2. sınırlı amaçlar için işlenmesi;
3. yeterli olmasıdır , alakalı ve aşırı değil;
4. doğru;
5. gerekenden daha uzun süre saklanmayan;
6. kullanıcıların haklarıyla uyumlu olarak işlendi;
7. güvenli; ve
8. AEA dışına aktarılmadı.

Bilgileri almak için bunu çok hafifçe kırmanız gerektiği gerçeği değişmez şeyler: güvenli olmadığı anlamına gelir. İlke 7, tam olarak, 'Kişisel verilerin yetkisiz veya hukuka aykırı olarak işlenmesine ve kişisel verilerin kaza sonucu kaybolmasına, yok edilmesine veya zarar görmesine karşı uygun teknik ve organizasyonel önlemler alınacaktır. "

Son derece Üniversite ile olan sözleşmenizin bir kısmının insanlara mezun olduğunuzu söylemesi anlamında, sınıflandırma halka açık veri olarak sayılır. Dahili / ara puanlar muhtemelen halka açık veri olarak sayılmayacaktır (ve bu "muhtemelen", bu şekilde kullanılabilir hale gelmeden önce herkese açık olarak sayıldıklarına dair olumlu bir argüman olması gerektiği anlamına gelir).

Üniversitenin, bunu kendilerine bildirdiğinizde balistik gidecek bir DPA ofisi / memuru olmalıdır (ve bence yapmanız gerekir) ve bunu değiştirmek için çok yüksek baskı uygulayabilmelidir. Raporunuza yanıt olarak pek yaygara koparmıyor gibi görünebilirler, ancak umarım dahili olarak derhal harekete geçerler. Derhal düzeltmezlerse (veya belki de bunu yaptıklarına dair hemen kanıt görmeseniz bile), önerildiği gibi ICO'ya rapor @ daiscog'un yorumu doğru olacaktır.

Bunu isimsiz olarak bildirme sorusuna gelince, istersen yapabilirsin, ama umarım önemli olmaz ve DP Ofisi uygun şekilde sağduyulu olur ( bu onların sorunu, senin değil). Herhangi bir geri dönüş olsaydı, eminim ICO bunu duymakla son derece ilgilenirdi.

Aslında (Birleşik Krallık) üniversite departmanımızdaki DP görevlisiyim ve ben ya da üniversite DP ofisinin bu konuyu duyduğuma nasıl tepki vereceğini biliyorum.

(Başlangıçta bunu bir yorum olarak yayınladım, ancak derinlemesine düşündüğümde cevabı genişlettim)

Tasarım gereği olması ve hassas bilgilerin sızıntısı olarak düşünülmemesi mümkündür. Çevrimiçi dizinlere, MIT, CMU, Stanford ve diğerlerine bakacak olsaydınız, düşündüğüm diğer tüm öğrenciler ve personel dizinlerini herkese açık olarak listeleyin.

Amerika Birleşik Devletleri'ndeki üniversiteler genellikle öğrenci eğitim kayıtlarını koruyan FERPA konusunda daha endişelidir.

Ad, adres, kayıt durumu ve tarihler gibi "Dizin bilgileri" varsayılan olarak korunmamaktadır. Burada dizin bilgileri olarak nitelendirilen ve herkese açıklanabilecek iyi bir liste var. İlgili şart şu şekildedir:

Öğrenci özellikle dizin bilgilerinin saklanmasını talep etmediği sürece, öğrencinin dizin bilgileri Üniversite dışındaki bir sorgulayıcıya verilebilir.

Yerinde olsam, üniversiteyle iletişime geçmeden önce bir gizlilik politikası arardım. Muhtemelen kasıtlı. Üniversitenizde dizin bilgilerinizi korumak için büyük olasılıkla bir vazgeçme maddesi vardır.

Ayrıca, kayıtlarınızın arama motorlarında çevrimiçi olmaması için çoğu web sitesinin dizinleri taramayın listelerinde yer alır. robots.txt dosyasını kontrol etmek isteyebilirsiniz.

Bununla birlikte, notlar asla açıklanmamalıdır. Uygulamada, nadir bir FERPA vakasında, notlar mektup / transkript notlarına atıfta bulunur ve bazen "öğretim üyesi notları" olarak kabul edilen bireysel sınıf puanlarına atıfta bulunur.

Bir yanıt kabul edilmiş ve hem Priyank hem de Iain bazı iyi noktalara değinmiş olsa da, bunun hassas veriler olup olmadığı sorusuna daha derinlemesine bakmaya değer olduğunu düşünüyorum.

Öncelikle, bir şey var sınav sonuçları (tipik olarak bir öğrencinin öğrenim gördüğü süre boyunca birçok sınavı olacaktır) ve nitelikleri (yani kurum tarafından verilen final ödülü) Dolayısıyla, bir bireyin şu anda öğrenci olup olmadığını anlamak da mümkündür.

Bu bilgi, öğrenci kredisi sağlayıcısı gibi davranan, yeniden finansman sunan veya resmi gibi davranan her türden hedeflenen kimlik avına kapı açar mezun organizasyonları.

Aynı zamanda kimlik sahtekarlığı için büyük bir değerdir. Yüksek öğrenimle ilgili iki faktörlü olmayı diliyorum sorusuna hiç rastlamamış olsam da ("ilk okulumuz neydi" hâlâ yaygın görünüyor) böyle bir tesis dolandırıcılık amaçlı iş / kredi başvurularını kolaylaştırabilir .

Bu nedenle, bunun kuruluşun gizlilik politikası veya yerel yönetmelik kapsamına girip girmediği sorusu tartışmalıdır: Bu, sağlayıcıların öğrencilerine / mezunlarına karşı bakım yükümlülüğünü ihmal eder.

Ancak bunun diğer tarafı, soran birine (örneğin olası bir işverene) ne derece sahip olduğumu kanıtlayabilmemin tek yolunun onlara biraz kağıt göstermek (taklit etmesi görece kolay) olması bana çılgınca geliyor. Ancak bunu okuyan çoğu insanın bu tür bilgileri güvenli bir şekilde ifşa etmek için basit ve etkili çözümler düşünebileceğini hayal ediyorum.

Kişisel olarak, sistemin öğrencilerin kayıt kimliklerini ifşa etmesinden en çok endişe duyuyorum.

Üniversitenizde işlerin nasıl yürüdüğünü bilmiyorum, ancak öğrenci olarak benim zamanımda UR'yi sınav cevap sayfalarımıza yazdık, böylece not verenler kimin kim olduğunu bilmesinler.

Üniversitenizde, sınıf öğrencileri kimin kim olduğuna bakabilir ve bu bence ciddi bir güvenlik ihlali olabilir.

Öğrenci notlarıyla ilgili bilgiler şahsen bir kişiyi tanımlayabiliyorsa, bu neredeyse kesinlikle bir sorundur. Öte yandan, görebildiğiniz tek şey bilinmeyen bir kişiyle ilişkilendirilmiş, yani bir sayı ile ilişkilendirilmiş sürümler ise, ancak bu sayının kimi temsil ettiğini tam olarak belirleyemiyorsanız, bu durumda verilerin anonimleştirildiği iddia edilebileceği için bir güvenlik sorunu olarak görülmeyebilir. . Pek çok şey, yürürlükteki gizlilik mevzuatına bağlıdır (büyük olasılıkla İngiltere mevzuatı, ancak bu, verilerin barındırıldığı / bulunduğu ülkeden ve kurumun gizlilik politikalarından etkilenebilir. Örneğin, öğrencilerin sonuçlarına izin vermeyi kabul etmeleri gerekebilir. veriler, kayıt hüküm ve koşullarının bir parçası olarak halka açıktır. Ancak, bu olası değildir.

Çoğu ülkede, neyin özel veya kişisel bilgi olarak kabul edildiğini belirleyen ve bazı durumlarda, barındırma konusunda ek sorumluluklar yükleyen gizlilik mevzuatı vardır. Verileri kamuya açık hale getirmek için kişiden hangi düzeyde izin almaları gerektiği ve verilerin yanlışlıkla ifşa edilmesi veya viasom bir tür güvenlik arızasının ihlal edilmesi durumunda hangi eylemleri almaları gerektiği konusunda organizasyon. Örneğin, ABD'de bir şirketin kişisel verilerin bulunduğu bir kazası varsa kasıtlı olarak veya kazara tehlikeye atılmışsa ve verilerin, kredi kartı ayrıntılarının ifşa edilmesi gibi olası mali sonuçları olması durumunda, Kuruluşun etkilenen kişilere bir süre için kredi izleme hizmetleri sağlaması gerekmektedir. Bazı ülkelerde zorunlu veri ihlali raporlama ve bildirim yasaları da vardır ve bu yasalar, kuruluşun verileri tehlikeye attığında kişilere ve genellikle merkezi bir makama bildirmesini gerektirir.

Maalesef hükümetler, gizlilik ve sürdürme ile ilgili açık ve tutarlı yasalar geliştirmek için mücadele ettiler. teknolojiye ayak uydurabilen mevzuat. Ülkeler arasında önemli farklılıklar var farklı vurgu ve hedeflerle. Örneğin, ABD'nin mahremiyet ve zorunlu raporlamayla ilgili önemli politikaları vardır, ancak aynı zamanda iç güvenlik ve terörle mücadele ile ilgili bazılarının kişisel verilerin gizliliğini tehlikeye attığını düşündüğü bir mevzuat da vardır. Almanya ve diğer bazı Avrupa ülkelerinde kişisel mahremiyeti korumak için değişen güçlü yasalar vardır. Australiah, nispeten yakın zamanda kişisel gizlilik mevzuatını güncelledi, ancak zorunlu veri ihlali raporlama mevzuatı vb. Getirmekte zorlanıyor.

Açıklamanıza göre, gerçekten bir veri erişimi savunmasızlığı keşfettiğinizi ve bunu neredeyse kesin olarak Üniversiteye bildirmeniz gerektiğini düşünüyorum. Ne yazık ki, bu tür sorunları nasıl bildireceğinizi öğrenmek her zaman kolay değildir. Kontrol edilecek ilk yer, kuruluşun gizlilik politikasına bakmak olacaktır. Ayrıca Birleşik Krallık'ta, bu sorunu da bildirebileceğiniz, privacyombudsmen gibi merkezi bir otoriteye sahip olma ihtimali de vardır.

Ayrıca, bu verilere erişirken, özellikle de bu verileri kullanırken çok dikkatli olmanız gerektiğini de bilmelisiniz. tanımladığınız veya verilere nasıl erişileceğiyle ilgili özel ayrıntılar sağlayan URL işleme tekniği. Bazı ülkelerde, kanunları çiğnediğiniz ve 'korsanlıkla' suçlanabileceğiniz iddia edilebilir. Teknik değişimin hızı, yasama ve yargı sistemlerindeki anlayış eksikliğiyle birleştiğinde, bazı mevzuatın kötü bir şekilde tasarlanmasına ve bu mevzuatın hukuki yorumlanmasına neden olmuştur. Veri erişim güvenlik açıklarını kamuoyuna duyurmakla suçlanan birçok vaka olmuştur. Bu tür suçlamalar genellikle bir mahkumiyetle sonuçlanmasa da, bu tür bir suçlamanın beraberinde getirdiği potansiyel zorluklardan en iyi şekilde kaçınılabilir.

Gerçekten. Özellikle üniversite bu tür bilgileri gizli tutmayı kabul ederse, bu kendi politikalarının büyük bir ihlali olabilir.

ABD'de, yalnızca bu tür bilgileri toplayan basit bir komut dosyası yazmak size 3,5 yıl hapis cezası verebilir. Üniversite bu bilgileri herkese açık hale getirme niyetinde değilse, bu bir güvenlik açığı olarak kabul edilecektir.