Comments 194
Каждый раз когда я вижу статьи о пробиве, пишу.
Пишу о том что операторы давно могли бы вести лог обращений к карточке клиента и тем самым постфактум выяснять кто гуляет не там где нужно.
Или также приходить на борды и заказывать пробив: заказал пробив, смотришь кто получал данные по номеру, как минимум увольняешь.
Но реакции никакой. Так половину страны пересажать можно, а кто-то же должен говорить "но постойте, я же делаю вам выгодное предложение"
Мне пару лет назад в одном салоне связи выдали дубликат моей же симки без предъявления каких-либо документов. Оператор даже не соизволил ответить ничего по ситуации. Зачем проводить служебную проверку?
Я вот уверен что такой лог там есть.. В любой боле-менее промышленной системе, например, документооборота, с которыми я сталкивался, есть аудит работы в системе. Иногда его не включают, ибо жрет места больше чем сами данные.. Но он есть. И, надеюсь, что системы для операторов писали не совсем студенты... Так что скорее всего самим операторам это почему то выгодно.. Точно так же как и возможность покончить с воровством телефонов, блокируя их по IMEI... (и не надо про серые с одинаковыми номерами.. заодно и с ними бы покончили, и дополнительные N баксов на перепрошивку очень сильно уменьшат выгоду такой деятельности..)
В древнем китайском биллинге от ZTE, с которым я работал, был такой аудит, но вы верно заметили - места занимало дохрена, поэтому его даже не включали. В другом, намного более молодом биллинге от Uangel (эта такая корейская контора) такой системы аудита в помине не было.
Но если СБ работает, то нужно хранить последние пару месяцев только. Если государство штрафанёт разок, то операторы быстро наладят такой процесс. Это реально не сложно.
а откуда размер?
IDсотрудника:время?
+таблица(ы), +строка(и) Много набегает. Сотрудник может в течении дня десяток клиентов обслужить (поэтому строка). А руководитель или маркетинг могут сделать отчёт по тысячам клиентов (поэтому таблицы). Ну и это навскидку. От того как система сделана зависит. Даже с оптимизациями в масштабах страны много выходит
Типовые операции запрашиваемые торговцами данными - история звонков, смс, история местонахождений - ну никак не могут быть считаны рядовым сотрудником по его работе. Сам факт обращения в базу данных с такими запросами уже должен быть сигналом системе предупреждеия сливов.
Условный рядовой сотрудник поддержки обращается к записи клиента не сам по себе, а когда в поддержку обращается клиент и проводит авторизацию через предъявление паспорта. Сразу на ум приходит простой обход - злоумышленник где-то получает реквизиты паспорта клиента и может прийти в салон и показать сотруднику-сообщнику свой паспорт, а сотрудник введет в систему данные паспорта клиента и операция запроса отобразится в истории как легальная. Но подавляющее большинство сливов происходит явно без визита в офисы обслуживания.
Как сказали выше, пока штрафы операторам не станут для их руководителей и владельцев чувствительными, сливы будут продолжаться. Некоторое время назад Штаты взяли и штрафанули Билайн на 800 лямов (это без учета расходов на американских же адвокатов) за якобы "коррупцию" в Узбекистане и выплатили как миленькие. Зато больше никакой коррупции в иностранных дочках и чистая отчётность.
Для того, чтобы воспользоваться сервисами типа каршэринга нужно сфотографироваться с развернутым паспортом. Что мешает при запросе данных для клиента тут-же прикладывать фото клиента с развернутым паспортом? Если запрос из "органов" - прикладывайте скан официального запроса. Ну и да, штрафы на много миллионов для операторов за каждый доказанный "пробив" очень быстро исправили бы ситуацию.
Что мешает при запросе данных для клиента тут-же прикладывать фото клиента с развернутым паспортом?
как минимум нежелание самого клиента это делать. Но суть верная, я выше в комменте писал, что для доступа к данным конкретного клиента должно быть основание. Если доступ запрашивает сотрудник магазина, точки продаж, центра обслуживания - должно быть подверждение, что именно к нему именно сейчас пришёл именной такой-то ФИО №паспорта
У меня в Чехии при походе в офис Водафона система требует у сотрудника спросить у меня 2 случайные цифры от пин-кода входа в мой личный кабинет и только при правильном ответе открывает ему мой профиль. Просто и изящно. Ну точнее мне приходится несколько напрячь мозги чтобы сказать 2-ую и 5-ую, но это некритично. Или как вариант код из смс - тоже популярно во многих банках, но там стали переходить на простой апрув в одно касание в мобильном приложении.
Большинство типичных пользователей не помнят пин-коды и вообще не заводили себе личный кабинет.
И ещё одна типичная ситуация: в салон приходят для замены нерабочей сим-карты... ну сдохла она в момент, или поломали при пересадке на другой телефон. Куда СМС принимать?
Карточки с PUK-кодом от симки тоже валяются гдето далеко в грудах других ненужных вещей, если вообще не выкинуты.
Из чего можно сделать вывод, что пин код у Водафона хранится в "открытом" виде, т.е не хэш. Норм, чо.
Не обязательно. Была тут в начале декабря статья, в которой, в числе прочего, разбирались и варианты, как можно реализовать частичные пароли без открытого хранения.
Хорошее замечание, но честно говоря мне сразу пришло в голову как минимум два решения как хранить такой пароль таки зашиврованным - ничего сложного.
В многих современных биллингах для того чтобы получить доступ к учетке надо ввести какие-то данные которые назовет абонент при обращении, типа дата рождения, примерно сколько на балансе или последний номер по которому звонил, вообщем набор из 2-3 несложных фактов, которые есть в системе, но недоступны оператору. Пробивальщику просто физически не забрутфорсить эту систему. Да даже банальной проверки "девечья фамилия матери" хватает чтобы прекратить нежелательный доступ к данным.
Ой, я дважды свою МТСовскую симку перевыпускал без паспорта - просто называл номер и ФИО. Билайн - очень любят сканировать паспорт при каждом визите (что, вообще-то, незаконно), без паспорта даже не начинают разговор, правда я к ним уже года два не заходил. Мегафон - очень похожи на Билайн, но от года к году отношение меняется - как-то выдали новую симку без предъявления паспорта, но последнее время паспорт требуют, и в большинстве случаев сканируют.
У Теле2 даже близко такого не встречал - паспорт требуют всегда, но при мне ни разу не сканировали.
очень любят сканировать паспорт при каждом визите (что, вообще-то, незаконно),
почему это? Можно увидеть какую-то внятную аргументацию незаконности этого требования, с перечнем федеральных законов, подзаконных актов и пр.?
Во всем мире сканируют, - на каждый чих..
Для начала - паспорт содержит фотографию владельца, позволяющую его идентифицировать - т.е. персональные биометрические данные. Сбор, хранение, обработка персональных биометрических данных только с письменного согласия субъекта. См 152 ФЗ
В отличии от многих прочих, ПАО "Вымпел-Коммуникации" зарегестрировано в качестве оператора биометрии - см. реестр, но это скорее исключение, а прочих разных вообще следует гнать тряпками при попытках затребовать фото с паспортом или скана паспорта, имхо.
Визуально проверит паспорт и сравнить с тем кто его презентует можно, а вот сканы Вы предоставляете в рамках двухстороннего договора об услуге которуб покупайте. А то что у Вымпела там, это скорей всего про электроный документо-оборот, эмиссию подписей и тд.. Я прав, или ошибаюсь?
Для начала - паспорт содержит фотографию владельца, позволяющую его идентифицировать - т.е. персональные биометрические данные. Сбор, хранение, обработка персональных биометрических данных только с письменного согласия субъекта. См 152 ФЗ
Во-первых, фотография != персональная биометрия
Во-вторых, Вы уже дали согласие в момент заключения договора /там обычно допник идет об обработке ПДн/. Тонкий лед - старые клиенты, которые давно не приходили в салон, и которые не давали согласие, но наверняка это решаемо какой-нибудь строкой мелким шрифтом в договоре.
В третьих, Вы так и не ответили на вопрос
Решается своевременной потерей договора на стороне оператора. ;)
Во-первых, фотография != персональная биометрия
А вот роскомнадзор считает что именно ==. См разъяснения,
где он пишет что ...
В то же время, необходимо принимать во внимание цель, которую преследует оператор при осуществлении действий, связанных с обработкой персональных данных, в том числе фотографического изображения, содержащихся в паспорте.
В случае, если они используются оператором для установления личности субъекта персональных данных (в том числе в случае проведения такой процедуры представителями операторов, имеющими полномочия на установление личности владельца паспорта), то данная обработка должна осуществляться в строгом соответствии со ст. 11 Федерального закона "О персональных данных".
Во-вторых, Вы уже дали согласие в момент заключения договора /там обычно допник идет об обработке ПДн
Ну так отзовите биометрию, если дали
Извините, там, как обычно, принято в РФ, написано через одно место.
В иных случаях, когда сканирование паспорта осуществляется оператором для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности), данные действия не могут считаться обработкой биометрических персональных данных и ст. 11 Федерального закона "О персональных данных" не регулируются. Соответственно, обработка сведений, в данных случаях, осуществляется в соответствии с общими требованиями, установленными Федеральным законом "О персональных данных".
ну, и интересный пункт из той же ссылки. Так что Вы не совсем правы
Ну так отзовите биометрию, если дали
чего-то Вы аггрессивный. У меня проблем нет. Просто обсуждаем, что все через Жо
Странно, что не предлагают самое действенное решение - не привязывать симки к паспортным данным.
это тупо. Как потом доказывать, что ты владелец номера, в случае, если ты потерял симку, например, и подтвердить смской уже владение не можешь?
Я откуда знаю. Я так предполагаю, что если ты купил SIM'ку prepaid (без удостоверения личности, без договора, без нифига), попользовался ей, а потом потерял, то все - номер не восстановить. Ну, и пофиг. Но представьте себе ситуацию, когда телеграм, госуслуги и все прочее привязываются к номеру телефона, то потеря контроля над SIM - это прям беда-беда. Но это, конечно, проблема абонента...
В случае покупки по ID документу - проблем нет, берешь и восстанавливаешь номер.
А может быть, просто не стоит "телеграм, госуслуги и все прочее" привязывать к номеру телефона?
Я когда потерял симку, то принёс в салон упаковку от симкарты, где был написан номер и штрих-код, и сказал куда в последнее время звонил и на сколько пополнял счёт. Это было в Украине
Помню, работал очень давно в салоне МТС. Каждый второй клиент без паспорта или с сим-картой, зарегистрированной на другое лицо, обещал мне "пробить с ноги" или "устроить проблемы".
Лог там есть. Время и учетка того, кто совершал операцию с данными (открывал, подключал, отключал, блокировал и тд). И даже больше: чтобы получить доступ к такой системе, нужно сдать определённый экзамен на предмет пользования этой системой. Все упирается в то, что СБ тупо нет дела до этих вещей, так как если бы хотели воздействовать - могли бы.
Дело не в том, что СБ до этого нет дела. Тут основная проблема с потенциальными тратами, ведь эти логи нужно а) анализировать; б) принимать меры на основании анализа этих логов, причём принимать меры требуется зачастую в оффлайне. Представьте это какой штат у СБ должен быть, чтобы контроллить персонал всех салонов связи по стране? И пока ты будешь разбираться с одним, то сотни продаванов из удалённых городов будут сливать данные.
Я, если что, не оправдываю опсосов, просто обосновываю почему с этим явлением так слабо борятся. Это банально дорого, гораздо дешевле в случае чего штраф заплатить.
в софте на страницах с персональными данными нужно предусмотреть скрытый код сотрудника кто эту инфу просматривает. где он будет и под что закодирован уже дело десятое...
del
Или также приходить на борды и заказывать пробив: заказал пробив, смотришь кто получал данные по номеру, как минимум увольняешь.
Ну, на самом деле, это незаконная операция, попадающая под закон об Оперативно-разыскной деятельности. Не знаю, есть ли у СБ операторов подобные полномочия, но, подозреваю, что нет.
Удивительно, что билайн до сих пор работает на старом тягомотном ПО. Как оно еще работает, удивительно. Поэтому если вы думаете почему большая очередь в Билайн, то только из-за "современного" ПО.
Должен лучше работать, число ядер, скорость ввода-вывода и объем ОЗУ - растут
Вымпелком сам виноват. Они просрали проект с Эрикссоном, насовав в миллиардный рамочный договор в процессе сбора требований на пару миллиардов и в итоге свели проект к дойке Эрикссона в судах. В Эрикссоне из-за этого тогда топы полетели, а Вымпелком остался у разбитого легаси-корыта. Конкретно в российском Билайне всё грозился поправить amdocs, но, видимо воз и ныне там.
Очень сложно бороться с внутренним нарушителем, практически невозможно защитить данные, доступ к которым предоставлен сотруднику в рамках его деятельности.
А не нужно давать сотрудникам доступ к таким данным. Это должна быть закрытая информация с узким кругом лиц, которые имеют доступ. И в случае утечек тогда легко определить, кто же виноват.
А зачем, простите, показывать сотруднику номер паспорта? Чтобы проверить паспорт? Так пусть сотрудник вобъёт циферки и узнает - верно вбил или нет.
Так Вы не просто номер паспорта даёте, а сотрудник проводит минимальную верификацию действительности (того, что документ неподдельный), а ещё в РФ есть все ещё такая дикая вещь как "прописка", без которой ты даже и шага ступить не можешь... А в Банках вообще на каждый чих снимают копию всех существенных страниц паспорта...
"Минимальная верификация" (интересно, какая?) проводится для нового клиента.
Здесь речь про пробив уже существующих клиентов. И вот в данном случае сотрудник должен сверить имеющуюся в системе информацию с предъявленной. Для этого ему не нужен доступ к ПДн всех клиентов опсоса, ему нужна форма набора данных (а лучше сканирования паспорта прямо в облако и дальнейшего распознавания там, не только лишь все умеют фотошопить паспорта).
Прописку отменили в девяносто лохматом. И отлично без неё шагается (плавал, знаю).
То, что в банках снимают копии - ну а как иначе? Выдавать кредиты "Иван Иванычу, мамой клянусь"?
"Минимальная верификация" (интересно, какая?) проводится для нового клиента.
ну, хотя бы глазками посмотреть, что чувак, который пришел, похож на того, который на паспорте :-) А вообще есть чудесный сервис от МВД, который проверяет паспорта на недействительность. Но Ваш пойнт понял. Надо обмозговать.
Для этого ему не нужен доступ к ПДн всех клиентов опсоса, ему нужна форма набора данных
с этим я полностью согласен. А еще должен быть аудит лог доступа к данным (но это вроде ТРЕБОВАНИЕ по работе с ПДн)
Прописку отменили в девяносто лохматом. И отлично без неё шагается (плавал, знаю).
ну, как-то не особо шагается :-) Теоретически может попасться человек без штампика с регистрацией, но у него начинаются приключения :-) Потому что многие ИС требуют хоть какой-то адрес. Не писать же фейковый 190000, Санкт-Петербург, условный адрем почтамта?
То, что в банках снимают копии - ну а как иначе? Выдавать кредиты "Иван Иванычу, мамой клянусь"?
ну, так, наверное, на каждое юридически значимое действие с моб. номером (переоформление тарифа, запрос доп данных, и пр.) было бы тоже неплохо, чтоб потом концы найти? А то сейчас на телефон завязано все - начиная от онлайн сервисов типа гмыла и кончая госуслугами, а там если контроль потерял, то с человеком можно творить что угодно :-(
Вы абсолютно правы, что раньше была "прописка", сейчас же это называют "постоянной регистрацией", но принципиально суть не поменялась. О чем спор-то? :-)
Принципиально поменялось очень много. Прописка и регистрация, это разные вещи. Прописка носила разрешительный характер, а регистрация уведомительный, как минимум.
регистрация уведомительный, как минимум.
ага, канешн, какая там ответственность за нарушение этого уведомительного порядка, не напомните?
Конечно, есть разница между купил ты жилье и тебе нужно получать разрешение от ФСБ для того, чтобы там регистрироваться и между практически свободной регистрацией в любом жилье (при согласии собственников) - тут спору нет, сейчас времена намного более свободные
Дело не в ответственности. Разница в том, что сейчас, когда нет прописки, вам никто не может запретить жить там, где вы хотите, как вы сами верно заметили. А в СССР, где она была, вам легко могли это запретить. Почитайте, например, кто такие "лимитчики".
Поэтому регистрация и прописка это разные вещи. Также, в общем случае, регистрация не дает вам права где-то жить (собственник может анулировать эту регистрацию по суду), а прописка такое право давала.
Разница в том, что сейчас, когда нет прописки, вам никто не может запретить жить там, где вы хотите, как вы сами верно заметили.
внезапно, но могут :-) Меня точно так же не подпустят ни к стратегическим объектам, ни к гос границе, ни дадут въехать в какой-нибудь закрытый военный городок на ПМЖ :-)
Также, в общем случае, регистрация не дает вам права где-то жить (собственник может анулировать эту регистрацию по суду)
Не находите это взаимоисключающими параграфами? Либо регистрация есть, либо ее нет. Либо она дает право жить в каком-то жилом помещении, либо не дает. Аннулировать прописку (де-факто) точно так же в советские времена могли бы принудительным переселением на поднятие целины в Казахстан или лесоповал в Сибирь. :-)
внезапно, но могут :-) Меня точно так же не подпустят ни к стратегическим объектам, ни к гос границе, ни дадут въехать в какой-нибудь закрытый военный городок на ПМЖ :-)
Даже если предположить, что вы написали правду, регистрация тут совершенно ни при чем.
Не находите это взаимоисключающими параграфами? Либо регистрация есть, либо ее нет. Либо она дает право жить в каком-то жилом помещении, либо не дает.
Нет. Право жить дает вам, например, действующий договор найма, а не регистрация. Регистрация — это ваша обязанность.
За сим откланяюсь. Вы спорите ради спора.
Право жить дает вам, например, действующий договор найма, а не регистрация.
Сложный вопрос. С одной стороны, я с Вами согласен, с другой нет. Я могу пустить сестру пожить к себе и оформить ей временную регистрацию в жилом помещении, принадлежащем мне. Но договора не будет. И деньги с неё брать не буду.
Но зарегистрироваться временно сама по себе она не сможет - тут ещё поди пойми чья это ответственность - ее или меня, или обоюдная.
Без регистрации даже просто въехать в закрытый городок не дадут. Адрес регистрации требуется при оформлении пропуска.
Теоретически может попасться человек без штампика с регистрацией, но у него начинаются приключения :-)
Я много лет жил с паспортом вообще без регистрации, и это не мешало мне получать заграны, водительские права, открывать счета и карты, поступать в универы, устраиваться на работу и так далее. Собственно там нет особых приключений - бОльшая часть всех проблем успешно решается фразой "окей, я вас понял, не могли бы вы предоставить мне отказ в письменном виде?"
Мне несколько мешало открывать банковские счета, но в остальном достаточно пофиг, согласен.
Сложнее всего было, наконец, купив квартиру, объяснить, что раньше варианта получить регистрацию у меня просто не было.
У меня все по-другому было. Лет 5 без постоянной регистрации жил. Отказывали в выдаче кредитных карт, не мог пользоваться каршерингом, были определённые проблемы по операциям в банках, не мог даже однажды медуслуги получить (банально справку нарколога отказались выдавать "бомжу")...
похож на того, который на паспорте :-)
В таком случае мне никогда не получить информацию о себе
Эта тонкая грань.... дополнительный набор данных на каждого клиента образует ещё одно узкое место и увеличивает длину очередей, снижая удовлетворённость клиентов, а это с небольшим лагом сказывается на доходе компаний. Абсолютная безопасность очень дорого стоит, а реальное положение является компромиссом между стоимостью обеспечения безопасности и самой безопасностью. И почти всегда этот компромисс в сторону сокращения затрат. Пока штрафы дешевле внедрения определённых технологий, они никогда не будут задействованы.
Кроме того, любая ошибка ввода хоть на символ выдаст негативный результат, что ещё больше увеличит время уделённое клиенту, рост очередей и неудовлетворённост клиентов.
Возможно, проблему решит лишь полностью автоматизированный киоск обслуживания, как современые терминалы оплаты...
Насчет прописки могу вам сказать что она существует, пожалуй, практически везде.
В Израиле и Германии лично это проходил, там прописка в классическом как она есть виде.
В США как таковой прописки нету, но при многих действиях вас попросят подтвердить адрес проживания (письма полученные по этому адресу, счета за услуги) насколько мне известно
В Италии та же тема, плюс - это работает за место переписи населения. Ты не можешь прописаться без резиденства(гражданин, внж, убежище и тд), соотвественно документы тебе выдают в префектуре коммуны по месту жительства. Гдеьты заполняешь небольшое резюме - национальность, образование еще там че...
Вот тебе и профит, все резиденты в базе и описаны без никакой дорогостоящей переписи со всеми ее проблемами. Конечно там не учесть нелегалов, но это глобалная системная проблема.
В Израиле и Германии лично это проходил, там прописка в классическом как она есть виде.
Что, власти в Израиле или Германии могут вам отказать в "прописке" и, таким образом, запретить жить там, где вы хотите жить?
Там ещё и банковскую выписку просят на каждом шагу, подтвердить, что вы реально оплачиваете счета за электричество, воду и common expences, и тратите деньги в аптеках/магазинах на районе. Часто с копией счетов. Так что прописка/регистрация сильно упрощает жизнь. Другой вопрос, государственные ограничения по этому пункту, как было в СССР. Но если их нет, то упрощает.
И самое главное, давно уже существуют полностью автоматические решения проверки и валидации паспорта. Здесь же, на Хабре, читал. По идее, должна быть система - "черный ящик", где сотруднику только доступно проверить на соответствие предъявленного бумажного паспорта записи в базе. Без возможности вбить номер или подставить фотокопию.
Читайте первый комментарий внимательно, а еще есть ниже комментарий, там более привычные методы, силовые так сказать
Последнее время стал замечать, что в некоторых банках сотрудник поддержки получает доступ к данным только после того, как ты ему сообщаешь код из смс на подтверждение такого доступа.
Что мешает выдавать и логировать доступ, ограниченный по времени и по перечню доступных данных/операций, требующий подтверждения со стороны владельца данных, или хотя бы с уведомлением владельца данных о факте такого доступа?
Просто всем неохота оплачивать разработку и поддерживать все это..
Можно гораздо проще поступать штрафовать не сотрудников а сами компании на сотни тысяч рублей, тогда и начнут они что-то делать с этим
вот я о том же, мне совершенно не интересно, что какого-то Петю Васечкина штрафанули или назначили ему там сколько-то часов работ. Когда оператор будет сильно финанство страдать - тогда пробив и кончится
только сотни тысяч для опсосов меньше копейки.. если штрафовать то на сотни миллионов, тогда и только тогда что-то изменится.
Я, конечно, понимаю, что вам в праведном гневе хочется всех испепелять за малейшую провинность, но нафига? Если оператор не заинтересован сливать ваши данные, то ему и просто сообщений о нарушении достаточно, а штраф - чисто как стимул, чтобы внимание обратил. А если дело поставлено на поток, то его можно тупо количеством задавить. Если сами штрафователи займутся этим не для галочки, то ОПСОСы на одних только адвокатах потеряют в разы больше, чем с этих сливов заработают.
Плюс полная компенсация убытков конкретного абонента, пострадавшего из-за пробива.
Ну как. Взяли на меня, например, кредит. Я потратил столько-то на адвокатов, столько-то раз ходил по судам. Каждый выход в суд - это для меня потраченный впустую день, не каждый работодатель это оплатит. Далее пришлось менять паспорт, это пошлина и опять же 2-3 дня потерянных. Плюс проезд туда-сюда (такси или общ.транспорт, чеми можно сохранить). Далее умножаем это всё на 2 - это моральный ущерб. А если меня доставали коллекторы, то умножаем на 3. Я бы по справедливости считал примерно так.
В банках же хранятся сканы паспортов кредитуемых? Можно перед передачей паспорта для сканирования/копии делать в нём пару штрихов карандашом или пару точек, каждый раз разных, а потом дома сразу снова сканировать его и подписывать "Вид паспорта для "Рога и копыта", "Вид паспорта для "Этрусские деньги"", "Вид паспорта для %companyname%". Правда, притянуть это как доказательство в суде будет сложно. Может быть, только если заверять свои распечатанные сканы с сопроводительным письмом про пометки у нотариуса... И то вряд ли, да и кто станет так заморачиваться.
Можно перед передачей паспорта для сканирования/копии делать в нём пару штрихов карандашом или пару точек, каждый раз разных, а потом дома сразу снова сканировать его и подписывать "Вид паспорта для "Рога и копыта", "Вид паспорта для "Этрусские деньги"", "Вид паспорта для %companyname%".
это незаконно и является порчей документа.
Убытки от утекших данных очень сложно доказывать. Хотя бы только штрафы от оборота ввести - уже какое-то движение к лучшему может начаться со стороны ОПСОСов.
Так штрафуй-не штрафуй, все равно получишь, однако штраф за косяки оператора будет в итоге взят им с тех же абонентов, так что абоненты мало того, что не получат ничего хорошего в смысле улучшения хранения ПД, так ещё и оплатят чужое раздолбайство.
Было бы разумно спрашивать с кого-то принимающего решения, но в крупной организации всегда все сложно, а в итоге найдут стрелочника, который - ох и ах! - за всё и отвечает, всё и разбазаривает.
Грустно, в итоге, очень грустно, но пока "верхи" не захотят, операторы своими "низами" никак не изменят отношение. А "верхам", как кажется, особо оно и не нужно, им от этого ни холодно, ни дорого, никак в общем.
Так штрафуй-не штрафуй,
все равно получишь, однако штраф за косяки оператора будет в итоге взят им с тех же абонентов, так что абоненты мало того, что не получат ничего хорошего в смысле улучшения хранения ПД,
если услуги станут дороже, но качественнее, то этот размен того стоит. Или лучше иметь дешевые услуги, но когда любой дурак может "слить" ваши данные?
штраф за косяки оператора будет в итоге взят им с тех же абонентов
Это только пока штрафы не превысили некоторый порог, за которым экономически дешевле станет навести порядок. На сотне штрафов по миллиону начнут задумываться, на второй сотне - действовать. Если выбор - повысить тарифы или начать наводить порядок, не все опсосы выберут первое.
Другое дело, что суды у нас... мда...
А можно сделать так чтоб паспортные данные не были чем то ценным для мошенников?
Что это за мода всех штрафовать.
Сотни тысяч рублей? На миллионы долларов как минимум
Замечательная услуга, надо легализовать, но просмотр не должен быть анонимным для того чьи данные вы смотрите.
Самое простое - уведомлять пользователя о том, что к его данным осуществлён доступ. Как о новых логинах во всяких сервисах, о входах на Госуслуги и пр. "Ваша карточка абонента была открыта в Рязани, если это Вы сами заходили там в салон - игнорируйте это сообщение, если нет - сообщите нашей СБ".
Только вот не сделают такого, хотя бы потому, чтобы не засветить огромное количество товарищей следователей и прочих правоохранителей, которые и в рамках выполнения своих прямых функций, и при выполнении "левых" заказов не хотят светиться с официальными запросами.
Интересен был бы кейс пробивай у виртуальных операторов, например, и тинькове. Теоретически, у него нет отделений и операторов в офисе, но есть кол центр, также легко там пробить/перевыпустить симку? Подозреваю, что все тоже грустно. Остается только на левого человека/родственника Симки приобретать, чтобы обезопасить банковские аккаунты, к ним привязанные. Но там свои опасности.
По мегафону, сразу видно что доступ в CRM салонный, т.е. кто то работая в салоне и именно официальный (есть фирменный салон - агент какой либо, есть мультибрендовый салон - агент какой либо). По дате себя спалили. Все логируется, кто когда куда заходил, что смотрел и т.д. Так же по камерам в салонах, можно посмотреть, что когда кто заходил и какой клиент. По шапке знатно прилетит кому то.
По итогам этого текста мы направили запросы всем четырем операторам
Хм, у Вас все основания подать заявление по признакам совершения преступлений, предусмотренных ст. (скопируйте из своего же текста) УК РФ, но… а что но?
И сами пойдут ответчиками-соучастниками :)
является ли преступлением сбор данных о самом себе?
В Финляндии просто так сим-карту не получишь. Приходишь, оформляешь договор. Через какое-то время получаешь.
Есть конечно-же prepaid карты, но они ограничены и ими комфортно не воспользоваться. Они удобны только когда ты турист.
По сути человеку достаточно иметь на себя максимум до 5 сим-карт и принцип оформления должен быть простым: через госуслуги.
Корпоративные сим-карты: только для устройств. Если тебе нужен корпоративный тариф, то проще твой номер присоединить к корп.плану на период твоей работы, чем выдавать неименованную симку.
Пробив сим-карт в принципе в таком случае упрощается с одной стороны, с другой - предложенные автором способы защиты тоже должны применяться.
Но, как известно: строгость наших законов ... .
Есть конечно-же prepaid карты, но они ограничены и ими комфортно не воспользоваться.И что в них ограниченного? Два года пользовался анонимной prepaid, купленной в магазине, никаких ограничений не заметил. Только для роуминга тарифы не очень, а внутри страны полный анлим. Исключительно из-за лучших условий для роуминга в итоге оформил симку по паспорту.
Например сауналахти, которой всегда пользуюсь с неудобным интернет-тарифом и невозможностью роуминга , когда возвращаешься в РФ.
Роуминг в РФ давно уже работает (но конечно безумно дорогой), по самой Финляндии интернет стоит каких-то смешных денег, что-то типа 19.99 €/kk за 50 мбит/с безлимитный 4G с нормальным покрытием. После упрощения роуминга внутри ЕС, в соседних скандинавских странах стало нормально, да и по европе можно передвигаться и пользоваться интернетом.
Например, я живу в Москве, а пробив был осуществлен в Рязани.
Очевидно, что пробивщик будет регионально координировать запросы по своим агентам, чтобы они дольше просидели на своих местах, не вызывая подозрений.
Да даже если моей симки нет в соте салона, это уже повод для службы безопасности позвонить мне и спросить, запрашиваю ли я информацию по собственному номеру.
То есть в течение десяти минут данные должны прийти с соты не только на биллинг, но и в отдел безопасности, а операторы - обработать звонок? Мне кажется, это дорого. Просто безусловный робозвонок при запросе с такого ПО проще, но как оно бьётся с бизнес-процессами - непонятно, может, оно всех задолбает.
Опять же, если оператора салона начинает интересовать куча людей из разных регионов, разве это не повод задуматься?
Повод, но постфактум всё равно.
Если они будут выводиться частями и с персональным паролем, например, показывается адрес — исчезает ФИО и т.д.,
В связи с этим меня интересует назначение зелёного таймера на одном из скриншотов.
Если бы не было привязки телефона к паспорту, то не было бы и проблемы. Эта привязка не защищает никого ни от мошенников, ни от других преступников, а лишь дает государственным органам дополнительный контроль над гражданами, которым успешно пользуются опять всё те же преступники.
Давно в 90х я получал свой первый сертификат по информационной безопасности. И тогда в нас вбивали правило - надежность защиты определяется 3мя элементами - кадрами,нормативной базой и техническими средствами. Прочность этой цепочки определяется прочностью самого слабого из 3х звеньев.
Глупо надеяться на программное обеспечение, если за компами сидят, грубо говоря, люди с улицы. Тем более если разграничение доступа к информации для этих людей проектировал тоже человек с улицы.
Как то в последнее время роль технических средств защиты незаслуженно выпячивается. Всего 50 лет назад информацию умели и предоставить тому, кому надо и не давать тем, кому не надо. И четко себе представляли что, кому и как. Без электронных подписей, vpn или навороченныхфайрволлов.
Тоже 90-е, ВМК МГУ. Курс по инфобезу читает капитан Службы внешней разведки. Помню формулировку "Смысл защиты любого канала потенциальной утечки информации состоит в том, чтобы ее было дешевле (быстрее, безопаснее) украсть по другому каналу"
Если последствия утечки информации ничего не стоит для опсосов, как в финасовой, так и в репутационной части, никто из них и не станет вкладываться в ее защиту. Экономика, ничего личного
Эм. Мне действительно интересно. Ну вот сделаем нормально техническую часть для обычной услуги - проверить, принадлежит ли паспорт телефону. Для этого не будем выдавать эти данные на экран, а потребуем их ввести, а на экран выдадим только "да" или "нет". Чисто техническое средство. И как такой вариант можно взломать даже если кадры или нормативная база самое-самое дно?
Когда кадры и регламенты самое дно, то ломать ничего не надо. Надо просто купить у админа архив базы данных. Что в уже дважды упомянотые 90е Савеловский рынок и демонстрировал. Там постоянно продавались cd диски с актуальными базами телефонов, паспортов, автомобилей и тд. Забавно, что среди этих баз данных были и базы некоего опсоса. Забавно, потому что для этого опсоса в то время проект КСИБ разработали вполне себе грамотные и опытные люди. Я с ними в Информзащите сталкивался. И это был хороший проект. Но вот проект был, а информационной безопасности не было. Потому что был конвейер - устраивается очередная девочка,тащит пиратам ленты с резервной копией , получает 3 своих годовых зарплаты. Ее выгоняют и ждут следующую девочку. А проект КСИБ лежит на полке свидетельством для проверяющих того, что компания меры по защите предпринимает.
Паспорт меняется в 20 и 45 лет. Или чаще, в случае утери. Нового номера паспорта в базе нет, стало быть система ничего выдать не сможет.
Или чаще, в случае утери.
Не только. Я лично менял в связи с "изменением внешности". Можно ещё в связи с порчей. И наверняка - в случае изменения титульных данных (ФИО, дата рождения и пр)
В новом паспорте проставляется номер-серия старого.
Это уже не обязательно:
184.5. О ранее выданных паспортах и о выданных действительных заграничных паспортах путем проставления оттиска штампа[…]
[…] Отметки, предусмотренные подпунктами 184.3 - 184.6 пункта 184 Административного регламента, вносятся в паспорт по желанию гражданина и при наличии заявления о внесении отметок в паспорт.
(п. 190 в ред. Приказа МВД России от 08.11.2021 N 854)
Будет очень много ошибок отказа для легальных пользователей, просто из-за опечаток при вводе. Это больше людей отпугнёт чем потенциальные утечки данных.
В шоке от Мегафона.
1) Сотрудник салона идентифицировал меня как клиента на основании устного сообщения номера паспорта, без предъявления самого паспорта! После чего был готов внести любые изменения в базу относительно меня, вплоть до смены кодового слова.
2) Но при этом отказался принять заявление о запрете перевыпуска симки по довеоенности. При этом позвонил в Москву, в головной Мегафон, и там ему якобы сказали, что именно для моего региона нет для этого "тезнической возможности".
Получается, что Мегафон - очень дырявый оператор, исподьзовать который для мобильного банкинга опасно (((
Билайн сначала распечатал экран, а потом только сфоткал. Прятался от камер?
что мешает передавать данные госорганам через отдельную программу/отдел с более жёсткими требованиями безопасности?
Какая разница как выдавать сведения, если вы обязаны это делать по закону?
«Подтвердите, что вы сейчас находитесь в салоне и запрашиваете информацию»
А то что?) Это невозможно реализовать, система все равно импотентна, вычислить мента торгующего в телеге можно с 5 пробивок меченных людей, сейчас это все можно делать и так. Это никого не волнует.
Вы все сконцентрировались на утечках из салонов. Не забывайте, что есть саппорт, есть бэкофис, есть менеджеры среднего звена. Что Вы так к продажникам прицепились?..
Я кстати не разглядывал, но потенциально это может быть любой сотрудник с доступом в базу.
Интересовался в своё время подобными услугами. Работниками салонов там не ограничивается, есть, например, услуга "зеркало почты" для любого известного российского почтаря - по запросу vasya@mail.ru вам выдают логин-пароль от vasya-kopiyamvd@mail.ru, где в реальном времени идут те же входящие-исходящие письма, что и в основном ящике, без каких-либо видимых изменений в нём.
А к какой части базы должен иметь сотрудник? И кто будет эти части определять и администрировать?
И вот человек пол страны проехал, у него возникла проблема с симкой, а ему откажут только на основании того что у сотрудника нет доступа к той части базы где находится клиент. Весело будет.
Напрямую с базой сотрудник не работает, а через АРМ. И вот сам АРМ регулирует зашитыми в него алгоритмами - какие именно данные и в какой момент времени будет видеть сотрудник оператора.
С самой базой могут напрямую работать аналитики и прочий айтишный персонал, но обычно у них и доступ через определенные ПК со средствами контроля и записи сессий, например, и механизмами DLP...
Именно потому на фото не замазаны фио сотрудников, кто делал фотку экрана. Потому что они выполняли свои рабочие обязанности — выдавать сведения органам.
Поймать своего сотрудника, который торгует персональными данными не так сложно, представившись очередным клиентом сотрудник берётся с поличным, а так сам себя ловить не будешь))
Вот я подумал об этом же. Что с точки зрения оператора ничего незаконного не произошло. Возможно, даже фотал не сотрудник офиса сотовой связи.
Именно потому на фото не замазаны фио сотрудников, кто делал фотку экрана. Потому что они выполняли свои рабочие обязанности — выдавать сведения органам.
Кстати интересно замечание. Там даже может быть еще прозрачнее - коллега звонит другому, мол на обеде и просит скинуть данные по абоненту, мол ему срочно надо, тот звонит на личный, важные вопросы решают.
Либо просто в сговоре работают. А может и менты...
Они могли выполнять свою рабочую обязанность не менту, а коллеге - пишу я. И я описал, что не обязательно сговор. То есть варика три: сговор коллег, использование коллеги, сговор с ментами. Если не запутанней...
Можете повторять свою мантру сколько угодно, только в теле2 СБ просит больше, хоть и справляется лучше, но результат тот же.
Может вы работайте в этих структурах, знайте ситуацию и поэтому так уперлись, но я от своих версий не откажусь, ибо это разумно - иметь их несколько, вы можете ошибаться, ест примеры, когда наркотрафик в стране держут не только лишь одни оборотни в погонях или сотрудники спец/служб.
коллега звонит другому, мол на обеде и просит скинуть данные по абоненту, мол ему срочно надо
Менеджерам достаточно довести до всех, что в этом случае будут уволены немедленно оба и тот кто попросил и тот кто скинул. Особенно, если сделали это за пределами корпоративной почты/корпоративных мессенджеров.
Что я прпредлагаю...
отключить PrintScreen и запретить средства фото-видео фиксации, - пусть на промокашки записывают, как в ХХ веке. А да, еще камеры над головой поставить и нейросети, чтобы следили и алертили медераторам(службе безопасности), если заметят подозрительные действия. Так шо никаких смартфонов на рабочем месте, и автоматная вышка над головой. Ну и з/п поднять, за работу в таких условиях.
Продавцам в салоне связи запретить телефоны? RLY?
Ну тогда просто увеличится цепочка получающих мзду, и соответственно ценник за услугу лишь вырастет...
Всегда будут люди, которым нужна информация, и те, кто готовы её предоставить.
Ну это как средства by-default, а в остальном - высокие оборотные штрафы компаниям.
Пока существует "человеческий фактор" - ничего не изменится. Никакие штрафы не помогут. В китае смертная казнь, но всё равно "желающих" купить пулю за свой счёт достаточно.
Минимизировать можно. Тут важно понимать культурный контекст. В Европах и США нет таких проблем, на таком уровне... Думаю...
Ну, да, там кремень, не люди, работают за идею... а мы тут так, дикари-с, за жалкие бумажки :=)
Может я не в теме, но особо не вижу скандалов такого рода с тех берегов. Связываю это с культурным кодом.
С другой стороны выше упоминали Китай, но забыли про Сингапур стрельнуть. Что подтверждает тезис о культурном коде, ток методы его достижения бывают разные.
А в остальном - да! Западная расса убогая, а наша: " Великая ". При чем не все славяне, а только те шо из под Новгорода и ее потомки. А те шо смоляки да западенцы - те продались Маре.. Я правильно Вам понимаю?
PS: ток они забывают, что восточные славяне пришли с запада во времена великого переселения народов(IV-VI века нашей эры) и у нам по дефолту заложены глубокие связи, как с германцами так и собственно поляками и остальными. Поэтому жалко видеть этих неонацистов латентных, которые как лошадь видят только прямо. /прости за отступление/, если Вы об этом?...
Вообще-то я с Дальнего Востока. А тут у нас в своё время понамешалось всякой крови.
В общем я хотел сказать, что нет плохих народов, есть плохие люди.
А наша Великая (без всяких каввычек) - так я тут живу и как-то другой Родины у меня нет. Хотя за мою жизь она название поменяла. Кому не нравится, так щас не то время, чтобы силком держали, да и в СССР кто хотел, тот уезжал...
Так и это нормально. Я сам: русский белорус, украинец с одной стороны м молдован с другой стороны, котрый родился и являеется резидентом Молдавии. То есть смесь гремучая п бате а по маме, вплоть до римлян можно искать, которе завоевали Фракию(Гето-Дакию) в 103-106 году нашей эры. Если честно я этим пользуюсь - считаю себя гражданином Земли, как ментально, так и генетически.
А в остальном, - хорошо, чо Вы уточнили, бо я начал не в ту степь копать.
Я понимаю, что вы зацепились за то чт я всех под одну гребенку, но блин - это факт! Я сам себя ощущаю крепким русским, бо культурно и генетически пронизан этим кодом, но я не могу отрицать того, что в нашей культуре повальное бухалово(но с этмм кстати уже есть подвижки), тотальная коррупция, невежкство на местах. Притэтом мы "душевные", у нас богатый языковой пласт, мозги есть. Нехватает малого - причесать это все, минимизировать проявление безеудьтурия на дорогах, в политике, и тд. Кстати, не сказать что амеры сильно оттнас отличаются, так же бухают, так же есть бомжи, так же имеют огронмый культурный-языковой пласт, но блин, - нет у них коррупции в больницах, на дорогах. Если звежа гооливуда забухала щв рулем и спалилась - гоу исправляться! А у нас... Сами Знайте....корупуия есть везде. Но блин, пора ее с низов выключать. А у нас не с низов ее не выключает, ни с верхов. А все эти показные расстрелы губернаторов - это пщик. Убирают не угодных, проивнившихся перед властью чиновников, не перед народом проивнившихся. Схема стара как мир: собирают досье на человечка, позволяя ему воровать, а в нужный момент опа - досье отправляется в суд, и профит в пропаганду..
И все эти схемы напрямую связаны с темой которая заявлена в статье, и с культурным кодом. Надо немного вырасти.
Удалось получить детализацию разговоров, геолокацию итп? То что паспорта доступны работникам в салонах и так понятно было и то что Муртазин звездобол 80лвла тоже.
Пришел человек на работу устраиваться завхозом.
Ему показывают склад:
Здесь у нас гвозди, здесь молотки лежат и т.д... только зарплата не очень большоая
Как! Здесь еще и зарплату платят?
И да не замиинусует меня хабр всемогущий!
Мне вот больше всего интересно: от всех этих бурлений хоть какой-то след аромата до опсосов долетает?
Или на Хабре только их вбросы рекламные возможны?! (задумался...)))
Вот и я об этом подумал, тут же есть их представители, ау, ответьте нам, да не по своей методичке "Ответы пользователям в соцсетях"
Оно и доходит и все всё прекрасно понимают, но комплектность проблемы ее устранения огромна: неповоротность компаний, высокая бюрократия, слабость наказания, ментальность...
У крупных операторов связи есть логи в которых указывается кто зашел в карточку абонента и когда зашел. Принимаются меры со стороны Компании о пресечении подобного. Есть отработанные механизмы обнаружения. Есть отдельная команда которая переодически заглядывает с проверкой.
Основная проблема, как мне кажется, это человеский фактор. Сливают данные рядовые сотрудники - операторы колл центра, или операторы на подключениях с самой низкой зарплатой в компании и самой большой текучкой. Руководители этим заниматься не будут, так как понимают все риски. Бизнесу проще уволить любопытного наглеца шпиона и нанять на его место нового, чем платить наглецу кучу денег чтобы он усмерил свое любопытство не лазить в карточки абонентов.
Основная проблема, как мне кажется, это человеский фактор.
А где здесь человеческий фактор?
Простите, если у вас, допустим,в банке, есть позиция "уборщицы", с текучкой кадров в духе "нанимаем с улицы, никаких проверок, сотрудники меняются каждые две недели" и банк этой уборщице выдаёт ключи от абсолютно никак не контроллируемого деньгохранилища - то, что каждый второй уборщик попытается положить в карман денег и скрыться - это не "человеческий фактор".
Понимаю, что сейчас нахватаю кучу минусов, но не могу не написать ещё один метод (так как автор спрашивал про все возможные идеи) борьбы с данным злом, это борьба с дарквеб (только через который и удалось осуществить(найти и оплатить) данный пробив из-за его анонимности). Да, эта тема здесь(на хабре/в интернете) непопулярная, но, к сожалению (сам не рад), многое решающая (и не только по поднятой выше теме но и многим другим криминальным темам).
До эпохи интернета криминал был. Не в этом дело и проблема.
Если есть средство связи, надо ли бороться со средством связи, или все таки с теми кто его использует в нелегальных целях и пойман с поличным?
Пускай siloviki работают, внедряются, а то они только запрещать горазды (причем я не только про наших, в германии слышал собираются бодаться с телеграмом). Хотят как им попроще. А не должно быть им проще, их работа связана с ограничением и нарушеним прав граждан, и поэтому осложнена должна быть максимально.
На территории Российской Федерации гарантируется...
А кто является гарантом? Государство или ООО ОПСоС?
Закон о персональных данных написан так, что сохранность (в обывательском понимании) данных не гарантируется ничем. Оператор персональных данных обязан принять меры к защите данных, а какие меры и какие угрозы - это он всё определяет сам. Выработал меры и внедрил - всё, выполнил. Больше ничего не должен и ничего не нарушил.
Закон странный, но он такой есть.
Так что за все хорошее против всего плохого биться дело благое, но если вас интересует ваша безопасность, вам ее никто обеспечивать не должен, обеспечивайте сами :(
Не совсем так. Контролирующий орган за соблюдением этого закона - Роскомнадзор. И у Роскомнадзора есть и требования и рекомендации по соблюдению закона. И ФСТЭК в их выработке поучаствовал. Угроза жалобы в Роскомнадзор знающих и понимающих свою ответственность людей напрягает серьезно.
Но тут такое: одни плохо знают свои права и не жалуются, другие плохо знают свои обязанности и их не исполняют, третьи стоят перед необходимостью остановить бизнес у 90% предприятий страны и пока просто ругаются и штрафуют... как обычно, вообщем.
Так все же давно придумано, нужно также как с паролями поступить, не выводить на экран, а проверять введеные паспортные данные с хешем. Да, это замедлит обслуживание, но можно и распознование прикрутить, чтобы вручную операторы не вводили.
Пожаловались на мошенничество в «Сбер», конечно.
А там что? Посоветовали написать заявление в милицию и судиться?
10 лет назад, в операторе где я работал, какой-то чувак написал прогу, которая окрывала карточки абонентов по порядку и скринила данные. Вообщем он успел стянуть не мало данных, пока СБ не просекла.
А тут походу скрин на телефон, обмельчали мошенники.
Полностью такой пробив не пропадёт. Он как минимум необходим для спецслужб - чтобы выявлять потенциальные теракты, угрозы нарушения закона и пресекать преступную деятельность. Вы бы стали защищать персональные данные преступника если от этого зависит жизнь сотен людей? Нет конечно, тут важна расстановка приоритетов. А вот то, что любой может за деньги купить такой пробив - это конечно плохо. Нужно исключать человеческий фактор. Вместо консультантов в салонах связи ставить роботов.
В B2C всегда есть проблема "человека на кассе", и даже повсеместная цифровизация не спасает.
Если есть возможность жульничать, всегда будут те, кто жульничает, и далеко не всегда возможно предотвратить это без ущерба для бизнеса. Бармен, который не доливает, может быть пойман за руку администратором или контрольной закупкой, но если он разливает собственные напитки вместо складских, продаёт друзьям со скидкой для сотрудников и пр., поймать его становится очень сложно.
Помимо пробива есть, например, обратная сторона, продажа сим-карт. Их может продавать кто угодно, от руки вписывая паспортные данные. Это часто студенты (не обязательно вузов), гастарбайтеры, разные маргиналы. За 300-500 рублей он продаст вам карту на выдуманный паспорт, и можете смело вставлять её в ворованный телефон.
Салоны связи вообще часто работают по договору с оператором как отдельное юрлицо, вы как оператор даже их сотрудника наказать не можете.
Отдельный вопрос — суды, которые в споре работодателя и сотрудника, как правило, предпочитают вставать на сторону сотрудника, даже если он сам признал вину. У нас же трудовое законодательство защищает работника, но не работодателя.
Ну и, конечно же, доблестные органы. Любой участковый имеет доступ к вашим данным, и если в вашем городском микрорайоне он не купится (ибо проверяют и наказывают), то в сосдеднем пригороде или посёлке городского типа договориться намного проще. А уж если он ваш родственник, то и вовсе никаких проблем.
Ну и сотрудники СБ самих операторов тоже люди и тоже несовершенны. Там свои инструменты контроля, но если Петя ревнует Машу к Виталику, посмотреть доступные ему данные на Машу и Виталика не помешает никто. Да, это незаконно. Но сделать это он может.
Так что одни только штрафы тут бессильны, было бы так просто, давно бы сами сотрудника штрафовали. Но это в малом бизнесе можно серую зарплату недодать, штрафы так-то тоже регулируются трудовым законодательством.
Короче, проблема должна решаться комплексно, и часто ситуация такова, что оператор просто не может ограничить доступ, потому что он сотруднику для оформления процедуры по закону требуется. Да ещё и процедуру он может не соблюдать просто потому что дурак, а это вообще никак ничем не исправить.
Короче, проблема должна решаться комплексно, и часто ситуация такова, что оператор просто не может ограничить доступ, потому что он сотруднику для оформления процедуры по закону требуется. Да ещё и процедуру он может не соблюдать просто потому что дурак, а это вообще никак ничем не исправить.
может ограничить. Как минимум придумать средства, которые позволят, во-первых, не сливать базу, а, во-вторых, контролировать доступ (например, для входа в карточку клиента необходимы полные ФИО + паспорт или ФИО + кодовое слово, которое оператор изначально знать не должен + оператор подтверждает вход в карточку личным одноразовым кодом или типа того).
Интересно узнать, как в других странах обстоят дела с подобными схемами "пробива" клиента?
Водафон Украина. У жены заглючила симкарта. Я пришел в центр обслуживания абонентов, говорю - мне надо карту восстановить. Мне, вежливо так, назовите номера с которыми вы часто общаетесь, я назвал свой и дочери. Через пару минут получил новую симку с номером жены. То есть берешь пару номеров звонишь нужному человеку несколько раз в день с этих номеров и все получи новую карту.
На мой взгляд вы очень показательно написали финал статьи.
Для ответа на вопрос "что нужно сделать" - достаточно бегло сравнить объём абзацев "Про ответственность оператора" и "Что нарушает пробивающий?" ну и все вопросы отпадут сами собой.
Спасибо за статью.
Мобильный пробив: что, где, почем. И главное — доколе?