mboost-dp1

Wikimedia

Facebook ventede uger på at fortælle om databrud

- Via mobil.nu -

Persondata om Facebooks medarbejdere blev stjålet – men Facebook selv ventede to uger med at fortælle det til medarbejderne.

Flere krypterede harddisk med personfølsomme data for medarbejdere ved Facebook blev stjålet i november i år.

Harddiskene indeholdte løndata for medarbejderne i 2018 og dermed også en række andre personfølsomme data – som navne på de ansatte, deres kontonumre, informationer om aktier – samt dele af deres personnummer.

I alt er det Facebooks 29.000 medarbejderes data der kan være berørt af tyveriet, som man altså ventede to uger med at informere dem om.

Ventetiden de interne medarbejdere har oplevet, står i skarp kontrast til Facebooks nye og forbedrede tilgang til brugerdata, som Mark Zuckerberg lovede man ville rette op på efter Cambridge Analytica.





Gå til bund
Gravatar #1 - Athinira
18. dec. 2019 13:06
Ventetiden de interne medarbejdere har oplevet, står i skarp kontrast til Facebooks nye og forbedrede tilgang til brugerdata, som Mark Zuckerberg lovede man ville rette op på efter Cambridge Analytica.

Ikke at det ikke er en alvorlig sag, men siden hvornår har "brugerdata" og data om "medarbejdere" været det samme? Det er to forskellige ting som intet har med hinanden at gøre (udover at det er data).
Gravatar #2 - arne_v
18. dec. 2019 15:36
#1

Der er vel ikke nogen som betragter dem som det samme.

Selvom de ikke er det samme kan man godt sammenligne.

De har nemlig mere tilfælles end at det er data. De er begge data som bør beskyttes da det er oplysninger om personer. Bør fordi det er det rigtige at gøre og fordi begge typer data er beskyttet af lovgivning omkring persondata.

Så FB har data omkring en slags personer som de har sagt at de vil forbedre sikkerheden omkring og data omkring en anden slags personer som de så ikke har fået forbedret sikkerheden omkring.
Gravatar #3 - Athinira
18. dec. 2019 19:24
arne_v (2) skrev:
Selvom de ikke er det samme kan man godt sammenligne.

Ja, koncepterne kan sammenlignes. Men nu er det en specifik udtalelse fra Zuckerberg som omhandler noget andet det bliver holdt op imod. Og så kan du ikke bare forvente at den udtalelse dækker bredere end det den omhandler.

Det svarer lidt til at politiet går ud og siger "Vi vil i denne uge lave en indsats imod folk som kører for stærkt", hvortil nogen så senere trækker denne udtalelse frem i forbindelse med at de kritiserer politiet for ikke at have gjort nok for at stoppe spritbillister i samme uge. Og ja, bevares, spritbillister skal da også stoppes, men nu omhandlede udtalelsen en indsats mod fartbøller, og så kan du ikke bruge den udtalelse til at kritisere indsatsen mod spritbillister :-)
Gravatar #4 - arne_v
18. dec. 2019 19:40
Athinira (3) skrev:
arne_v (2) skrev:
Selvom de ikke er det samme kan man godt sammenligne.

Ja, koncepterne kan sammenlignes. Men nu er det en specifik udtalelse fra Zuckerberg som omhandler noget andet det bliver holdt op imod. Og så kan du ikke bare forvente at den udtalelse dækker bredere end det den omhandler.


Der er vel ikke nogen som betragter den udtalelse som dækkende over ansattes data.

Men derfor er det da stadig interessant at han har udtalt sig om bedre sikkerhed for en slags person data i forbindelse med konstateret lav sikkerhed for en anden slags person data.

Er det en prioritering af brugeres data sikkerhed over ansattes data sikkerhed?

Er det en indikation af at udtalelsen er tomme ord og den reelle data sikkerhed ikke er blevet bedre nogen steder?

Athinira (3) skrev:

Det svarer lidt til at politiet går ud og siger "Vi vil i denne uge lave en indsats imod folk som kører for stærkt", hvortil nogen så senere trækker denne udtalelse frem i forbindelse med at de kritiserer politiet for ikke at have gjort nok for at stoppe spritbillister i samme uge. Og ja, bevares, spritbillister skal da også stoppes, men nu omhandlede udtalelsen en indsats mod fartbøller, og så kan du ikke bruge den udtalelse til at kritisere indsatsen mod spritbillister :-)


Det vil da være særdeles relevant at bringe den udtalelse op, hvis man er utilfreds med prioriteringen.

Fartkontrol og spritkørselcheck laves af de samme færdselsbetjente.

Så hvis man mener at spritkørselcheck er vigtigere end fartkontrol, så må den udtalelse være bevis-materiale #1 i sagen mod den prioritering man betragter som forkert.
Gravatar #5 - inzane
19. dec. 2019 07:21
Kunne det tænkes at der var forholdsvis styr på data sikkerhed og eneste grund til at der er gået uger før det bliver offentligt. Er at der er tale om et tyveri af fysiske, endda krypteret harddiske.
Dvs at det må være en medarbejder med lange fingre.

Gravatar #6 - Athinira
19. dec. 2019 07:38
arne_v (4) skrev:
Der er vel ikke nogen som betragter den udtalelse som dækkende over ansattes data.

...hvilket er årsagen til at jeg stiller spørgsmålstegn ved hvorfor den er refereret i nyheden når den ikke har relevans :o)

arne_v (4) skrev:
Men derfor er det da stadig interessant at han har udtalt sig om bedre sikkerhed for en slags person data i forbindelse med konstateret lav sikkerhed for en anden slags person data.

Men det var ikke det der blev skrevet. Man brugte formuleringen "står i skarp kontrast til", hvormed man implikerer at udtalelsen skulle dække ansattes data også.

Havde det været brugerdata der var lækket, havde det været en anden sag. Men det er altså specifikt formuleringen i nyheden jeg kritiserer. Du kan ikke tillade dig at strække udtalelsen på den måde, ganske simpelt, for så tillægger man hans udtalelse en betydning som den ganske simpelt ikke har.

arne_v (4) skrev:
Det vil da være særdeles relevant at bringe den udtalelse op, hvis man er utilfreds med prioriteringen.

Ja, men hvis man er utilfreds med prioriteringen er det er en helt anden sag og problemstilling. Det var ikke det jeg mente, men kunne måske godt have præsenteret ideen lidt bedre.

Ideen var at illustrere forventning ud fra hvad udtalelsen dækker. Hvis politiet udtaler at de vil fokusere på fart, så bør forventningen også være at det er det de fokuserer på. At man så er utilfreds eller uenig med denne prioritering er en helt anden sag.
Gravatar #7 - JoeX2
19. dec. 2019 10:01
Kunne man ikke vende den om og sige at Facebook informerede berørte brugere/medarbejdere allerede efter 2 uger?

De kunne have ventet evigt. Tyven havde sikkert brug for diske. Og tyven havde sikkert ikke krypteringsnøglen. Han ville sikkert bare slette diskene og sælge dem til en god pris. Der kan være tale om andet, men det er et sandsynligt senarie. Og der findes andre virksomheder, som ikke ville have indrømmet det, før der pludselig ligger data på internettet.

Med andre ord, Facebook har ikke været tvunget af andre end deres samvittighed til at "indrømme" denne hændelse. Facebook er også offer i denne sag. De havde sikkert andre ting de kunne bruge de her diske til. Så lad os rose dem for at have indformeret deres medarbejdere om situationen.
Gravatar #8 - Tjalmann
19. dec. 2019 10:10
JoeX2 (7) skrev:

De kunne have ventet evigt. Tyven havde sikkert brug for diske. Og tyven havde sikkert ikke krypteringsnøglen.


Det var ukrypteret hvad jeg kunna forstaa paa artiklen.

arne_v (2) skrev:
#1

Der er vel ikke nogen som betragter dem som det samme.

Selvom de ikke er det samme kan man godt sammenligne.



Begge kan vel ses som PII personal identifiable information. Om man er bruger eller medarbejder jeg ville vaere trist hvis mit arbejde smed mit data rundt.
Gravatar #9 - EmilKampp
19. dec. 2019 10:41
Under GDPR skal PII behandles med lige stor omhu uanset om det er dine ansatte eller dine kunder.
Gravatar #10 - arne_v
19. dec. 2019 16:11
Athinira (6) skrev:
arne_v (4) skrev:
Der er vel ikke nogen som betragter den udtalelse som dækkende over ansattes data.

...hvilket er årsagen til at jeg stiller spørgsmålstegn ved hvorfor den er refereret i nyheden når den ikke har relevans :o)


Den er relevant fordi også drejer sig om FB og data sikkerhed selvom det er andre data.

Ligesom hvis du ser en omtale af et kuldsejlet dansk offentligt IT projekt, så vil der ofte blive refereret til tidligere kuldsejlede projekter.

Athinira (6) skrev:

arne_v (4) skrev:
Men derfor er det da stadig interessant at han har udtalt sig om bedre sikkerhed for en slags person data i forbindelse med konstateret lav sikkerhed for en anden slags person data.

Men det var ikke det der blev skrevet. Man brugte formuleringen "står i skarp kontrast til", hvormed man implikerer at udtalelsen skulle dække ansattes data også.


Nej. Skarp kontrast implikerer ikke noget sådant. Det er fri fantasi fra din side.

Hvis en avis skriver "Det danske herre fodboldlandsholds fiasko ved EM står i skarp kontrast til damernes håndboldlandsholds success." siger de ikke at damernes håndboldlandshold har delatget i VM i fodbold. De sammenligner bare noget fiasko og noget success indenfor forskellige sportsgrene.

Athinira (6) skrev:

arne_v (4) skrev:
Det vil da være særdeles relevant at bringe den udtalelse op, hvis man er utilfreds med prioriteringen.

Ja, men hvis man er utilfreds med prioriteringen er det er en helt anden sag og problemstilling.


Men det er jo netop det som er sagen her.

Originalkilden siger:


Efter Cambridge Analytica-skandalen i 2018 skrev Mark Zuckerberg, at Facebook har et ansvar for at beskytte brugernes data, og at hvis de ikke kan klare den opgave, så fortjener de ikke sine brugere. Lige nu sidder der nok en ansat eller to og ønsker, at det også var en garanti, der gjaldt i denne slags situationer.


Der efterlyses samme prioritering af sikkerhed for ansattes data som for brugeres data.

Gravatar #11 - arne_v
19. dec. 2019 16:17
JoeX2 (7) skrev:
Kunne man ikke vende den om og sige at Facebook informerede berørte brugere/medarbejdere allerede efter 2 uger?

De kunne have ventet evigt.

...

Med andre ord, Facebook har ikke været tvunget af andre end deres samvittighed til at "indrømme" denne hændelse. Facebook er også offer i denne sag. De havde sikkert andre ting de kunne bruge de her diske til. Så lad os rose dem for at have indformeret deres medarbejdere om situationen.


Det er en meget vigtigt del af GDPR at virksomheder skal informere personer hvis deres data bliver kompromiteret. Ovetrædelse giver bøde.

Den citerede kilde nævner ikke lokation, men lad os antage USA (FB jo er et amerikanske firma) og så falder de ikke ind under GDPR.

Men til gengæld er der så amerikanske privatlivs love. Forskellige love per stat. Hvis en af disse love også kræver information til personer ved databrud, så kan FB godt få et problem.
Gravatar #12 - arne_v
19. dec. 2019 16:22
Tjalmann (8) skrev:
JoeX2 (7) skrev:

De kunne have ventet evigt. Tyven havde sikkert brug for diske. Og tyven havde sikkert ikke krypteringsnøglen.


Det var ukrypteret hvad jeg kunna forstaa paa artiklen.


Den citerede kilde siger:


Bloomberg fortæller, at krypterede harddrives med lønoplysninger for hele 2018 blev stjålet fra en bil i november i år. Bilen tilhørte en ansat i Facebooks økonomiafdeling.


Men deres kilde https://www.bloomberg.com/news/articles/2019-12-13... siger:


The hard drives, which were unencrypted, included payroll data like employee names, bank account numbers and the last four digits of employees’ social security numbers, according to an email Facebook shared with staff Friday morning. The drives also included compensation information, including salaries, bonus amounts, and some equity details.


Så du har nok ret. En oversætter har kvajet sig.
Gravatar #13 - arne_v
19. dec. 2019 16:33
En anden ting. Den citerede kilde siger:


Udover at samarbejde med politi om at opklare det hele, tilbyder Facebook de berørte ansatte det, de kalder ”free identity theft and credit monitoring services”. Spørgsmålet er, om det kan kaldes et plaster på såret.


Det er helt standard i USA ved alle former for brud på persondata sikkerhed.

Firmaet som har kvajet sig betaler et tredieparts firma for at monitorere de berørte personers kredit status og informerere pesonerne (direkte - det hackede firma er ikke involveret) i tilfælde af indikationer på identitetstyveri.

Det er ikke så dyrt. 10-25 dollar per måned per person. Retail cost.

2 år x 12 måneder x 29000 ansatte x 25 dollars = 17.4 millioner dollars

Det er ingenting.

Og FB får sikkert en pæn mængderabat.


Gravatar #14 - Athinira
19. dec. 2019 16:44
arne_v (10) skrev:
Nej. Skarp kontrast implikerer ikke noget sådant. Det er fri fantasi fra din side.

Sorry, men nej.

* Zuckerberg udtaler SPECIFIKT at de vil tage brugernes databeskyttelse seriøst.
* Facebook har et databrud, som omhandler ansattes personaleoplysninger.
* Newz skriver at udtalelsen om brugernes databeskyttelse står i kontrast til et databrud som omhandler personaledata (som forøvrigt er nogle helt andre oplysninger end de data man har på brugerne. Facebook har fx ikke dit personnummer, og formentligt heller ikke dit kontonummer, medmindre du da shopper noget hos dem).

Du refererer selv nedenstående fra kilden, som er det Newz har forsøgt at omskrive. Men i modsætning til Newz rammer kilden netop hovedet på sømmet, da de netop differentierer mellem bruger og personaledata, og påpeger forskellen, hvorimod Newz sammenkæder udtalelsen.
Efter Cambridge Analytica-skandalen i 2018 skrev Mark Zuckerberg, at Facebook har et ansvar for at beskytte brugernes data, og at hvis de ikke kan klare den opgave, så fortjener de ikke sine brugere. Lige nu sidder der nok en ansat eller to og ønsker, at det også var en garanti, der gjaldt i denne slags situationer.
Gravatar #15 - arne_v
19. dec. 2019 17:08
Athinira (14) skrev:
arne_v (10) skrev:
Nej. Skarp kontrast implikerer ikke noget sådant. Det er fri fantasi fra din side.

Sorry, men nej.

* Zuckerberg udtaler SPECIFIKT at de vil tage brugernes databeskyttelse seriøst.
* Facebook har et databrud, som omhandler ansattes personaleoplysninger.
* Newz skriver at udtalelsen om brugernes databeskyttelse står i kontrast til et databrud som omhandler personaledata (som forøvrigt er nogle helt andre oplysninger end de data man har på brugerne. Facebook har fx ikke dit personnummer, og formentligt heller ikke dit kontonummer, medmindre du da shopper noget hos dem).


Og????

Du er den eneste som har den ide at der er nogen som betragter de to ting som ens.

Alle er klar over at det er to forskellige sæt af person data.

Men derfor kan kan man godt tale om "skarp kontrast".

"skarp kontrast" implikerer ikke at de ting man sammenligner er identiske.

Gravatar #16 - arne_v
19. dec. 2019 17:26
#15

Jeg har allerede givet fodbold-håndbold eksemplet.

Andet eksempel:

"Den grimme røde farve på Galaxy S15 står i skarp modsætning til Apples smagfulde røde farve."

Det siger ikke at Apple laver Galaxy telefoner, man sammenligner dem bare.

Og det giver mening. Også selvom det er to forskellige firmaer / telefon familier.


Gravatar #17 - Athinira
20. dec. 2019 06:35
arne_v (15) skrev:
Og????

Du er den eneste som har den ide at der er nogen som betragter de to ting som ens.

(...)

Men derfor kan kan man godt tale om "skarp kontrast".

"skarp kontrast" implikerer ikke at de ting man sammenligner er identiske.

Lige i det her tilfælde gør det.

For det første har vi at gøre med en udtalelse fra en person her. Man skal altid være varsom når man tolker udtalelser fra andre mennesker, fordi man kan risikere at tillægge dem holdninger de ikke har og putte ord i munden på dem som de ikke tilnærmelsesvis har sagt.

Men udover det, så er det simpelthen stadigvæk noget vås det du siger i kontekst til artiklens udtalelse.

Lad mig konstruere to sætninger for dig engang der demonstrerer hvorfor:
1) "Det er i det seneste år blevet konstateret at børn og unge i stigende grad udsættes for vold. Dette står ellers i skarp kontrast til politiets løfte sidste år om at patruljere mere i de områder hvor unge mennesker holder til."

2) "Det er i det seneste år blevet konstateret at børn og unge i stigende grad udsættes for vold. Dette står ellers i skarp kontrast til politiets løfte sidste år om at patruljere mere i de områder hvor der er mange ældreboliger."

1 giver mening, 2 giver ikke. Hvorfor? Fordi det er ikke logisk at et løfte om øget patruljering i områder hvor er er ældreboliger skulle have en målsætning om at reducere mængden af vold mod unge (eller en effekt på lige netop dette problem for den sags skyld). Du kan ikke derfor ikke sætte politiets løfte i kontrast med problematikken.

Det som var skrevet i nyheden var mere eller mindre 2, bare med emnet byttet ud for at give en brugbar analogi. Så nej, det er stadigvæk noget vås. Du kan IKKE sammenkæde et løfte om bedre beskyttelse af brugerdata (og derved sætte i kontrast) med tab af helt alternative data om ansatte.
Gravatar #18 - arne_v
20. dec. 2019 14:54
Athinira (17) skrev:

Lad mig konstruere to sætninger for dig engang der demonstrerer hvorfor:
1) "Det er i det seneste år blevet konstateret at børn og unge i stigende grad udsættes for vold. Dette står ellers i skarp kontrast til politiets løfte sidste år om at patruljere mere i de områder hvor unge mennesker holder til."

2) "Det er i det seneste år blevet konstateret at børn og unge i stigende grad udsættes for vold. Dette står ellers i skarp kontrast til politiets løfte sidste år om at patruljere mere i de områder hvor der er mange ældreboliger."

1 giver mening, 2 giver ikke. Hvorfor? Fordi det er ikke logisk at et løfte om øget patruljering i områder hvor er er ældreboliger skulle have en målsætning om at reducere mængden af vold mod unge (eller en effekt på lige netop dette problem for den sags skyld). Du kan ikke derfor ikke sætte politiets løfte i kontrast med problematikken.

Det som var skrevet i nyheden var mere eller mindre 2, bare med emnet byttet ud for at give en brugbar analogi. Så nej, det er stadigvæk noget vås. Du kan IKKE sammenkæde et løfte om bedre beskyttelse af brugerdata (og derved sætte i kontrast) med tab af helt alternative data om ansatte.


Jeg synes at #2 giver fin mening.

Der er et problem for unge.

Politiet siger at de gør noget ved de ældres problem.

Der er to muligheder:
1) Enten har politiet prioriteret ældre over unge, hvilket er en prioritering som man kan diskutere rimeligheden af
2) Eller så har politier ikke prioriteret hvormed status for unge sandsynliggør at udtalelsen om ældre er tom snak, hvilket også er interessant at vide
Gravatar #19 - Athinira
20. dec. 2019 15:18
arne_v (18) skrev:
Jeg synes at #2 giver fin mening

Så tror jeg bare vi er nået til det punkt hvor vi er dybt uenige om anvendeligheden af retorikken i det udtryk :-)

Vil lige indskyde her til sidst at jeg altid har haft kæmpe respekt for dig her på Newz. Du sætter dig ind i tingene før du svarer, og selvom jeg anser mig selv som en "godt over gennemsnittet" klog person, så er jeg ikke bange for at sige at jeg ser op til din intelligens. Så no hard feelings, men lige her bliver vi dog bare ikke enige :-)
Gravatar #20 - arne_v
21. dec. 2019 01:46
Athinira (19) skrev:

Så tror jeg bare vi er nået til det punkt hvor vi er dybt uenige om anvendeligheden af retorikken i det udtryk :-)


Jeg tror ikke at det bliver breaking news world wide imorgen "To brugere på internettet er uenige om noget!". Det er set før.

:-) :-) :-)

Gravatar #21 - arne_v
21. dec. 2019 01:46
Sådan relateret eller urelateret:

https://www.comparitech.com/blog/information-secur...
Gravatar #22 - CBM
23. dec. 2019 21:30
Jeg har ingen medlidenhed med folk der arbejder for Mark Pervert Suckoboss
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login