След разкритията за два козметични салона в Бургас и гинекологичен кабинет в София , от които са изтекли видеозаписи на клиентки по време на интимни процедури, страхът и възмущението сред жените нарастват. Кадри, заснети в уж защитено и професионално пространство, се оказаха публикувани в порнографски сайтове, а въпросите за контрола, сигурността и злоупотребите с видеонаблюдение стават все по-остри.

Къде се къса веригата – при техниката, при хората или е умишлено престъпление? Колко лесно може да бъде хакната една камера и кой носи реалната отговорност за изтичането на подобно съдържание? 

Най-малко 64 хиляди камери за видеонаблюдение в България са достъпни през интернет - това показа бърза справка в специализираната платформа Shodan. 64 хиляди камери само от двете най-популярни марки, които всеки начинаещ хакер може да опита да пробие - през известни уязвимости, през несменени пароли по подразбиране или през елементарни пароли за налучкване, коментира бившият министър на електронното управление и депутат от ПП-ДБ Божидар Божанов.

За коментар по темата TrafficNews потърси Александър Папратилов, член на Управителния съвет на Българската асоциация на софтуерните компании /БАСКОМ/ . В интерюто той обяснява механизмите на подобни атаки, ролята на човешкия фактор и какви рискове крие масовото използване на камери в чувствителни пространства.

- По какъв механизъм най-често изтичат видеа от камери в козметични салони и гинекологични кабинети – хакерска атака или човешка злоупотреба?

 - Предполагам проверките ще установят, като и двете възможности са налице.

По-важния въпрос е доколко са вероятни. Целенасочена хакарска атака би изисквала ресурс несъизмерим с материалния интерес от подобно начинание. В допълнение изглежда, че част от камерите са били позиционирани на специфични места предоставящи експозиция за целенасочено заснемане на конкретни дейности.

Накрая, но не по важност, осъществяването на видеонаблюдение изисква поставяне на достатъчно видими  информационни табели и се избягва в помещения като съблекални, бани, и други места с възможност за заснемане на чувствителни кадри.

Сигурността на този тип оборудване е сравнително висока, когато се конфигурира правилно, точно поради възможност за изтичане на чувствителна информация от незащитени устройства. Особено през последните години се обръща особено внимание на камерите за да се избегнат възможности за неоторизирано видеонаблюдение. От друга страна, въпроса е доколко обурудването е правилно конфигурирано и съответно защитено.

- Но случаите в Бургас и София не са изолирани, в тези сайтове има подобни кадри и от други държави. Възможно ли е кадрите да бъдат изтеглени дистанционно, без собственикът на обекта да разбере?

 - Да, това е възможно за камери и оборудване за видеонаблюдение свързани към интернет.

 - Възможно ли е да  става дума за вътрешен човек – служител или техник, отколкото за външен пробив?


- Възможно е, и точно поради тази причина трябва да се установи дали използваното оборудване е било свързано към интернет.Също новите наематели на обекти със заварени системи за видеонаблюдение трябва да бъдат внимателни , да направят профилактика , да се сменят паролит, а по възможност и цялото оборудване. 

- Как може технически да се докаже откъде точно е изтекло видеото и кой е имал достъп до него?

- Повечето системи за сигурност пазят в себе си регистър на събитията, и съответно при проверка може да се установи дали е имало отдалечен достъп до съответното устройство. Въпросния регистър обикновено включва информация за време, потребител, интернет адрес, от който се осъществява отдалечения достъп, както и друга служебна информация.

- Как кадрите от охранителните системи стигат до порносайтове?

- Записващите камери или устройства за съхранение на записите предоставят възможност за “сваляне” на записа на компютър. След което притежателя на записа може да “качи” съответното видео съдържание в произволен сайт предоставящ такива възможности.

- Могат ли подобни видеа да бъдат премахнати напълно от интернет, или щетите са необратими?

- Трудно е да се отговори еднозначно на този въпрос, защото сайтове към които е подаден сигнал за премахване на съдържанието биха могли да не се съобразят със сигнала. Реално зависи под каква юрисдикция оперира въпросния сайт, и съответно дали съдържанието не е разпространено на множество сайтове или сървъри. При по-широко разпространение на съдържанието би било трудоемка и времеотнемаща задача пълното премахване на съдържанието от интернет. 

- Какви са минималните задължителни мерки за сигурност, които всеки такъв обект трябва да има?

- Доколкото ми е известно този тип обекти не попадат под специална регулация, като тук са приложими общите разпоредби за защита на личната информация. В този смисъл обработване на лични данни изисква пропорционални мерки за сигурност, но доколкото ми е известно няма специфичен списък от такива мерки, които да се прилагат задължително. В такъв тип ситуации се разчита на познатите добри практики в сигурността на данните, но те не са задължителни.

- От гледна точка на Закона за защита на личните данни оправдано ли е изобщо поставянето на камери в толкова чувствителни пространства?


- Това е тема, която трябва да се коментира от компетентните органи. Все пак ЗЗЛД почива на няколко важни принципа:

 Принцип на пропорционалност - Камерите трябва да са насочени така, че да заснемат възможно най-малко от личната сфера на хората.

Информиране - Задължително е поставянето на ясно видими стикери/табели, които уведомяват за видеонаблюдението, администратора на данните и целта.

Легитимен интерес - Защитата на собствеността и лицата е основание за поставяне на камери, но то не е абсолютно.

Достъп до данни - Всяко лице има право да изисква достъп до видеозапис, съдържащ неговия образ. При присъствие на трети лица, образът им трябва да бъде замаскиран/заличен преди предоставяне на записа.

Видеонаблюдение на работното място - Допустимо е за контрол на трудовата дисциплина или защита на живота/здравето, но не и в помещения за почивка или съблекални.

Камери не трябва да се слагат на места, където вероятността от прекомерно навлизане в личното пространство е висока. Това включва салони за епилация, лекарски кабинети, тоалетни, съблекални, хотелски стаи. При обработка на лични данни трябва да има баланс. В тези случаи няма легитимна цел, която да налага поставянето на камери. А ако някъде има камери, те не трябва да са достъпни през интернет.

В този смисъл и КЗЛД е предоставила становище публично относно правата на гражданите в зони под видеонаблюдение.

 - Какво бихте посъветвали хората, които подозират, че са били заснети и разпространени без съгласие?

- Имайки предвид, че видеозаписите от средствата за наблюдение съдържат "лични данни",  то сигнали за нарушения би следвало да се подават към Комисията за защита на личните данни. Доколкото съм запознат КЗЛД се е самосезирала и са образувани производства с извършване на проверки на място. 

Асоциацията на козметиците: Недопустимо е да има камери в зоните, където клиентите се събличатПринципът "с цел сигурност" не може да бъде оправдание