Съвместно изявление на органи за защита на данни относно извличането на данни

от Нели Огнянова
лиценз CC BY

Службата на комисаря по информацията в Обединеното кралство и единадесет други органа за защита на данните и поверителността от цял ​​свят в съвместно изявление призовават за защита на личните данни на хората от незаконно извличане на данни/data scraping, което се извършва в сайтовете на социалните медии.

Data scraping е автоматизиран начин за извличане на големи количества информация от мрежата.

Капацитетът на технологиите да събират и обработват огромни количества лична информация на лица от интернет поражда значителни опасения дори когато информацията е публично достъпна.

Така информацията, която хората публикуват онлайн, се използва по причини, които хората не са предвидили или разрешили, за кибератаки или за измами, за монетизация чрез препродажба на данни на трети страни, включително на злонамерени лица, за събиране на разузнавателна информация. Компаниите за социални медии и другите доставчици, които хостват обществено достъпна лична информация, имат задължения за защита на данните по отношение на извличане от трети страни.

Съвместното изявление призовава компаниите за социални медии да защитават данните на хората от незаконно извличане на данни. Препоръчват се и стъпки, които хората могат да предприемат, за да сведат до минимум рисковете при споделяне на информация онлайн.

“Организациите трябва да имат законова причина да събират и използват данните на хората, дори когато те са публично достъпни.”

„Компаниите за социални медии имат задължения съгласно законите за защита на данните да защитават информацията, която хората публикуват на техните платформи.”

Съвместното изявление е подписано от дванадесет органа, обединени от Global Privacy Assembly.

  • Служба на комисаря по информацията в Австралия
  • Службата на комисаря по поверителността в Канада
  • Служба на комисаря по информацията в Обединеното кралство
  • Служба на комисаря по защита на личните данни – Хонконг, Китай
  • Федерален комисар по защита на данните и информацията – Швейцария
  • Орган за защита на данните – Норвегия
  • Служба на комисаря по поверителността – Нова Зеландия
  • Управление на промишлеността и търговията – Колумбия
  • Офисът на комисаря по информацията в Джърси
  • CNDP (Национална комисия за контрол на защитата на личните данни) – Мароко
  • AAIP (Агенция за достъп до обществена информация) – Аржентина
  • INAI (Национален институт за прозрачност, достъп до информация и защита на личните данни) – Мексико

DSA от днес се прилага за много големите платформи и търсачки

от Нели Огнянова
лиценз CC BY

 

Законодателният акт за цифровите услуги — #DSA — влезе в сила на 16 ноември 2022 г. и ще се прилага директно в целия ЕС от 17 февруари 2024 г. Много големите платформи и търсачки ще трябва да изпълняват задълженията си по акта още преди това – в рамките на четири месеца след определянето им за такива. Европейската комисия изготви първи списък на много големите платформи на 25 април 2023 г.

Законодателният акт за цифровите пазари— #DМA — влезе в сила на 1 ноември 2022 г., а правилата започнаха да се прилагат от 2 май 2023 г. От 25 август 2023 г. много големите цифрови компании, определени от Комисията, трябва да се съобразяват с новите изисквания.

Как се пише: предавам или придавам?

от Павлина Върбанова
лиценз CC BY-NC-ND
Това са две различни думи, които се употребяват съобразно значението, вложено в тях. Глаголът придавам и съответният глагол от свършен вид придам най-често се употребяват със следните значения:   1.1. Подсилвам или добавям някакво качество.   Стилният блейзър ще придаде елегантност на тоалета ви. Здрачът придаваше на гората някаква загадъчност и тайнственост.   1.2. Правя […]

Как се пише: иновация или инновация?

от Павлина Върбанова
лиценз CC BY-NC-ND
Правилно е да се пише иновация, мн.ч. иновации. Думата е заета от латински – innovatio. Изписването ѝ на български се разграничава от оригиналното изписване. В конкурса може да участвате със своя иновация (продукт, услуга или технология). Министерството на иновациите и растежа работи за изграждане на конкурентоспособна икономика.

Доклади на VLOP u VLOSE по чл.24 (2) DSA

от Нели Огнянова
лиценз CC BY

Чл. 24, ал. 2 DSA изисква най-малко веднъж на всеки шест месеца доставчиците да публикуват в публично достъпен раздел от своя онлайн интерфейс във връзка с всяка онлайн платформа или онлайн търсачка информация за средномесечните активни получатели на услугата в Съюза, изчислена като средна стойност за периода от последните шест месеца, и в съответствие с методиката, определена в делегираните актове, посочени в член 33, параграф 3, когато тези делегирани актове са приети.

На 16 август 2023 е публикувана такава информация за услугите Google Maps, Google Play, Google Search, Shopping и YouTube, всяка от които е VLOP или VLOSE по смисъла на 42(3) DSA. Отчетният период е февруари – юли 2023.

Ето каквo публикува Twitter/X за същия период, потребители на мрежата обсъждат, че докладът нe изпълнява изискванията на DSA.

Тук са докладите на Facebook.

.

New York Times vs Open AI: използване на медийни публикации за обучение на генеративни AI инструменти

от Нели Огнянова
лиценз CC BY

New York Times забранява съдържанието на публикациите в изданието да се използват за обучение на модели с изкуствен интелект. Медията актуализира своите Условия за ползване на 3 август 2023, за да забрани съдържанието — включително текст, снимки, изображения, аудио/видеоклипове, метаданни или компилации – да се използва в разработката на „всяка софтуерна програма, включително, но не само, обучение на система за машинно обучение или изкуствен интелект (AI).“

Актуализираните условия уточняват, че автоматизирани инструменти като роботи на уебсайтове, предназначени да използват, имат достъп или събират такова съдържание, не могат да се използват без писмено разрешение, а несъобразяването с тези нови ограничения може да доведе до санкции, информира The Verge.

Изданието предполага, че мерките може да са в отговор на актуализацията на политиката на Google, според която търсачката може да събира публични данни от мрежата, за да обучава различните си AI услуги, като Bard или Cloud AI. Много големи езикови модели, захранващи популярни AI услуги като ChatGPT също са обучени върху данни от защитени материали, извлечени от мрежата без разрешението на автора.

Организации като The Associated Press призовават за правила, които ще изискват прозрачност и съгласие на носителите на права за използване на данните за обучение.

Според друга публикация в NPR от миналата седмица New York Times обмисля да заведе съдебно дело срещу създателя на ChatGPT. Отначало са водени преговори за сключване на споразумение, по силата на което OpenAI да плаща възнаграждение, но на този етап нещата вървят към съд.

“ChatGPT в известен смисъл се превръща в пряк конкурент на медията, като създава текст, който отговаря на въпроси въз основа на оригиналните доклади на автори от медията. Допълнителен аргумент е практиката на технологичните компании, които вече използват генеративни AI инструменти в търсачките – напр. Microsoft инвестира милиарди в OpenAI, а сега захранва своята търсачка Bing с ChatGPT. Ако, когато някой търси онлайн, получи отговор с дължина от абзац от инструмент с изкуствен интелект, който използва репортажи от Times, необходимостта от посещение на уебсайта на издателя значително намалява, казва един от участниците в разговорите.”

Ако в съдебния спор съдът се произнесе, че OpenAI незаконно е използвал статиите на Times, за да обучи своя AI модел, съдът би могъл да нареди на компанията да разпореди компанията да работи само с данни, която може законно да използва, пише NPR.

Methodology for Return on Security Investment

от Божидар Божанов
лиценз CC BY

Measuring return-on-investement for security (information security/cybersecurity) has always been hard. This is a problem for both cybersecurity vendors and service providers as well as for CISOs, as they find it hard to convince the budget stakeholders why they need another pile of money for tool X.

Return on Security Investment (ROSI) has been discussed, including academically, for a while. But we haven’t yet found a sound methodology for it. I’m not proposing one either, but I wanted to mark some points for such a methodology that I think are important. Otherwise, decisions are often taken by “auditor said we need X” or “regulation says we need Y”. Which are decent reasons to buy something, but it makes security look like a black hole cost center. It’s certainly no profit center, but the more tangibility we add, the more likely investments are going to work.

I think the leading metric is “likelihood of critical incident”. Businesses are (rightly) concerned with this. They don’t care about the number of reconnaissance attempts, false positives ratios, MTTRs and other technical things. This likelihood, if properly calculated, can lead to a sum of money lost due to the incident (due to lack of availability, data loss, reputational cost, administrative fines, etc.). The problem is we can’t get company X and say “you are 20% likely to get hit because that’s the number for SMEs”. It’s likely that a number from a vendor presentation won’t ring true. So I think the following should be factored in the methodology:

  • Likelihood of incident per type – ransomware, DDoS, data breach, insider data manipulation, are all differently likely.
  • Likelihood of incident per industry – industries vary greatly in terms of hacker incentive. Apart from generic ransomware, other attacks are more likely to be targeted at the financial industry, for example, than the forestry industry. That’s why EU directives NIS and NIS2 prioritize some industries as more critical
  • Likelihood of incident per organization size or revenue – not all SMEs and not all large enterprises are the same – the number of employees and their qualification may mean increased or decreased risk; company revenue may make it stand out ontop of the target list (or at the bottom)
  • Likelihood of incident per team size and skill – if you have one IT guy doing printers and security, it’s more likely to get hit by a critical incident than if you have a SOC team. Sounds obvious, but it’s a spectrum, and probably one with diminishing returns, especially for SMEs
  • Likelihood of incident per available security products – if you have nothing installed, you are more likely to get hit. If you have a simple AV, you can the basic attacks out. If you have a firewall, a SIEM/XDR, SOAR, threat intel subscriptions, things are different. Having them, of course, doesn’t mean they are properly deployed, but the types of tools matter in the ballpark calculations

How to get that data – I’m sure someone collects it. If nobody does, governments should. Such metrics are important for security decisions and therefore for the overall security of the ecosystem.

The post Methodology for Return on Security Investment appeared first on Bozho's tech blog.

Как се пише: тазгодишен или таз годишен?

от Павлина Върбанова
лиценз CC BY-NC-ND
Правилно е да се пише слято – тазгодишен, също и тазгодишна, тазгодишно, тазгодишни. Главата ми се мотае, все едно съм препил с тазгодишно вино. Според тазгодишната класация най-конкурентоспособна е швейцарската икономика. Стажант-репортерът от БНР Спас Крайнин е един от носителите на тазгодишните награди за разследваща журналистика на Фондация „Радостина Константинова“.

Как се пише: парвеню или първеню?

от Павлина Върбанова
лиценз CC BY-NC-ND
Правилно е да се пише парвеню, мн.ч. парвенюта. Думата е заета от френски – parvenu. В новата театрална постановка Бай Ганьо не е демонстративен парвеню, а предпочита задкулисните борби и удари. Парвенютата никнат (като гъби) в мътни времена, във времена на стопанска и политическа контрабанда, когато общественият живот дава възможност за бързо успяване. („Оптимистична теория […]

Заобикалянето на санкциите срещу прокремълската пропаганда, епизод пореден

от Нели Огнянова
лиценз CC BY

Според съобщения в Twitter/Х  компанията-майка на RT –  TV Novosti –  регистрира на 31 юли 2023 г. три  нови имена на домейни, позволяващи достъп до немскоезичния сайт на групата, RT DE. Между тях по-специално е домейн  freeassange.tech.

RT DE е част от мрежата RT, руска държавна международна медийна мрежа, финансирана от руското правителство. Медията RT DE е забранена в Германия през февруари 2022 г., но все още има достъпно интернет присъствие в Германия.

Заобикалянето на санкциите показва за пореден път, че противодействието на пропагандата и дезинформацията става най-сигурно чрез работа с хората, чрез убеждение и информиране с факти. Това е дълъг процес, отнема време и иска постоянство и държавна политика. Техническите средства дават незабавен ефект, ограничават донякъде разпространението на дезинформацията, но се намират начини те да бъдат заобиколени – в случая чрез достъп до огледални сайтове – копия  на уебсайта на RT, до които може да се стигне чрез други уеб адреси.