Es tut mir leid, dass ich diesbezüglich keine Kenntnisse habe.

Das sollten Sie nicht.

Ist es eine allgemein anerkannte Praxis? Damit Universitäten den Namen und die Adresse von Studenten offenlegen können?

Wie in den Kommentaren erwähnt, hängt dies von Ihren örtlichen Gesetzen und Vorschriften ab. Sie sollten es auf jeden Fall einmal überprüfen. Die Art und Weise, wie Sie die Anwendung beschreiben (Ändern der URL, um die Details einschließlich des Ergebnisses zu erhalten), klingt jedoch wie ein Fehler, der auf jeden Fall gemeldet werden sollte.

Ist dies eine allgemein anerkannte Praxis für Universitäten? Ist eine starke Sicherheit in Bezug auf Name und Adresse nicht wichtig?

Nein, sei es eine Universität oder ein großes multinationales Unternehmen oder ein kleines Unternehmen oder Ihr persönliches Konto, Sicherheit ist IMMER wichtig.

Handelt es sich um einen schweren Angriff und muss ich ihn ihnen melden? Oder kann es einfach ignoriert werden?

Ja, Sie müssen es so schnell wie möglich der Universität melden. Es sollte nicht ignoriert werden.

BEARBEITEN: Wie in den Kommentaren erwähnt, gibt es einige Universitäten, an denen die Adressen von Studenten veröffentlicht werden können.

Dies ist eine Sicherheitsanfälligkeit. Die Art und Weise, wie sie sequenzierte erratene Zahlen für den Zugriff auf Datensätze verwendet haben, ist eine Sicherheitsanfälligkeitsklasse namens Insecure Direct Object Reference, die in den OWASP Top 10 ( https://www.owasp.org) aufgeführt ist /index.php/Top_10_2013-A4-Insecure_Direct_Object_References)

Je nachdem, wo auf der Welt Sie leben, verstößt die Universität möglicherweise gegen Datenschutzgesetze. Zumindest ist es eine schlechte Datenkontrolle und verletzt Ihre Privatsphäre, Sie sollten ihnen dies unbedingt mitteilen.

Da sich die Universität in Großbritannien befindet, ist dies mit ziemlicher Sicherheit ein Verstoß gegen die DPA 1998. Das heißt, dies ist nicht nur ein Sicherheitsproblem.

Eine Studentenadresse würde im Sinne des Gesetzes sicherlich als „personenbezogene Daten“ gelten. Die Tatsache, dass Sie die Daten auf diese Weise abrufen können, ist sicher ein Verstoß gegen Prinzip 7 und wahrscheinlich auch gegen 6 und 8. Die Grundsätze lauten, dass personenbezogene Daten

1. fair und rechtmäßig verarbeitet werden müssen;
2. für begrenzte Zwecke verarbeitet werden müssen;
3. angemessen , relevant und nicht übermäßig;
4. genau;
5. nicht länger als nötig aufbewahrt;
6. gemäß den Rechten der Benutzer verarbeitet;
7. nicht außerhalb des EWR übertragen.
ol>

Die Tatsache, dass Sie dies sehr leicht hacken mussten, um die Informationen zu erhalten, ändert sich nicht Dinge: Es bedeutet, dass es nicht sicher ist. Grundsatz 7 lautet in vollem Umfang: „Es sind geeignete technische und organisatorische Maßnahmen gegen die unbefugte oder rechtswidrige Verarbeitung personenbezogener Daten sowie gegen den versehentlichen Verlust oder die Zerstörung oder Beschädigung personenbezogener Daten zu treffen.“

Abschluss Die Klassifizierung würde als öffentliche Daten gelten, in dem Sinne, dass ein Teil Ihres Vertrags mit der Universität darin besteht, dass sie den Leuten mitteilen, dass Sie Ihren Abschluss gemacht haben. Interne / Zwischenmarken würden wahrscheinlich nicht als öffentliche Daten gelten (und das „wahrscheinlich“ bedeutet, dass es ein positives Argument dafür geben müsste, dass sie als öffentlich gelten, bevor es in Ordnung ist, sie so verfügbar zu machen).

Die Universität sollte ein DPA-Büro / einen DPA-Beauftragten haben, der ballistisch wird, wenn Sie dies ihnen melden (und ich denke, Sie sollten es tun), und in der Lage sein sollte, sehr hohen Druck auszuüben, um dies zu ändern. Sie scheinen als Antwort auf Ihren Bericht nicht viel Aufhebens zu machen, aber ich hoffe, sie werden intern sofort Maßnahmen ergreifen. Wenn sie das Problem nicht sofort beheben (oder wenn Sie keine unmittelbaren Beweise dafür sehen), erstellen Sie, wie vorgeschlagen, einen Bericht an das ICO Der Kommentar von @ daiscog wäre richtig.

In Bezug auf die Frage der Anonymisierung könnten Sie, wenn Sie möchten, aber ich würde hoffen, dass es keine Rolle spielt und dass das DP-Büro angemessen diskret ist ( das ist sehr ihr Problem, nicht deins). Wenn es ein Comeback geben würde, wäre das ICO sicher extrem interessiert, davon zu hören.

Ich bin praktisch der DP-Beauftragte in unserer (britischen) Universitätsabteilung und ich weiß, wie ich oder das DP-Büro der Universität darauf reagieren würden.

(Ich habe dies ursprünglich als Kommentar gepostet, aber nach Überlegung zu einer Antwort erweitert)

Es ist möglich, dass dies beabsichtigt ist und nicht als Verlust sensibler Informationen angesehen wird. Wenn Sie sich Verzeichnisse online ansehen, MIT, CMU, Stanford und alle anderen, denke ich an alle öffentlichen Listen von Studenten- und Mitarbeiterverzeichnissen.

Universitäten in den USA sind im Allgemeinen mehr besorgt über FERPA, das die Aufzeichnungen über die Ausbildung von Studenten schützt.

"Verzeichnisinformationen" wie Name, Adresse, Registrierungsstatus und Datum sind standardmäßig nicht geschützt. Hier finden Sie eine gute Liste der Informationen, die als Verzeichnisinformationen gelten und der Öffentlichkeit zugänglich gemacht werden können. Die entsprechende Bestimmung lautet:

Die Verzeichnisinformationen eines Studenten können an einen Fragesteller außerhalb der Universität weitergegeben werden, es sei denn, der Student fordert ausdrücklich an, dass Verzeichnisinformationen zurückgehalten werden.

Wenn ich Sie wäre, würde ich mich nach einer Datenschutzrichtlinie umsehen, bevor ich mich an die Universität wende. Es ist wahrscheinlich beabsichtigt. Ihre Universität hat wahrscheinlich eine Opt-out-Klausel zum Schutz Ihrer Verzeichnisinformationen.

Außerdem haben die meisten Websites ihre Verzeichnisse in Nicht-Crawler-Listen, sodass Ihre Datensätze in Suchmaschinen nicht online sind. Möglicherweise möchten Sie die robots.txt überprüfen.

Allerdings sollten Noten niemals offengelegt werden. In der Praxis beziehen sich Noten in einem seltenen FERPA-Fall auf Brief- / Transkriptnoten und nicht auf einzelne Noten im Klassenzimmer, die manchmal als "Notizen für Dozenten" angesehen werden.

Obwohl eine Antwort akzeptiert wurde und sowohl Priyank als auch Iain einige gute Punkte ansprechen, lohnt es sich meiner Meinung nach, die Frage zu untersuchen, ob es sich um vertrauliche Daten handelt.

Zunächst einmal gibt es etwas Unterschied zwischen Prüfungsergebnissen (normalerweise hat ein Student während seines Studiums viele Prüfungen) und Qualifikationen (dh der endgültigen Auszeichnung durch die Institution). So kann auch gefolgert werden, ob eine Person derzeit Student ist.

Diese Informationen öffnen die Tür für alle Arten von gezieltem Phishing - Personen, die sich als Studentendarlehensgeber ausgeben, eine Refinanzierung anbieten oder sich als offiziell ausgeben Alumni-Organisationen.

Es ist auch ein großer Vorteil für Identitätsbetrug. Obwohl ich noch nie auf eine Wunsch-es-war-zwei-Faktor -Frage zur Hochschulbildung gestoßen bin ("Was war unsere erste Schule?" Scheint immer noch üblich zu sein), würde eine solche Einrichtung betrügerische Job- / Kreditanträge erleichtern

Daher ist die Frage, ob dies unter die Datenschutzrichtlinie des Unternehmens oder die örtlichen Vorschriften fällt, umstritten: Sie stellt eine Verletzung der Sorgfaltspflicht des Anbieters gegenüber seinen Studenten / Absolventen dar.

Aber die Kehrseite davon ist, dass es mir verrückt erscheint, dass ich jemandem, der fragt (z. B. einem potenziellen Arbeitgeber), nur beweisen kann, welchen Abschluss ich habe, indem ich ihm ein Stück Papier zeige (relativ leicht zu fälschen). Ich stelle mir jedoch vor, dass die meisten Leser einfache und effektive Lösungen für die sichere Offenlegung solcher Informationen finden könnten.

Persönlich bin ich hauptsächlich besorgt, dass das System die Registrierungs-ID der Schüler anzeigt.

Ich weiß nicht, wie es an Ihrer Universität läuft, aber in meiner Zeit als Student haben wir das RI auf unsere Prüfungsantwortbögen geschrieben, damit die Schüler nicht wissen, wer wer war.

An Ihrer Universität können die Grader nachsehen, wer wer ist, und das ist meiner Meinung nach eine schwere Sicherheitsverletzung.

Wenn die Informationen zu den Noten der Schüler eine Person persönlich identifizieren können, ist dies mit ziemlicher Sicherheit ein Problem. Wenn Sie andererseits nur die Verbesserungen sehen können, die einer unbekannten Person zugeordnet sind, dh einer bestimmten Nummer, aber Sie können nicht genau bestimmen, wer diese Nummer darstellt, kann dies möglicherweise nicht als Sicherheitsproblem angesehen werden, da argumentiert werden könnte, dass die Daten anonymisiert wurden . Viel hängt von der geltenden Datenschutzgesetzgebung ab (höchstwahrscheinlich von der britischen Gesetzgebung, dies kann jedoch durch das Land, in dem die Daten gespeichert sind, und die Datenschutzrichtlinien der Institution beeinflusst werden. Beispielsweise müssen die Studierenden möglicherweise zustimmen, ihr Ergebnis zuzulassen Daten werden im Rahmen der Registrierungsbedingungen veröffentlicht. Dies ist jedoch unwahrscheinlich.

In den meisten Ländern gibt es Datenschutzgesetze, die festlegen, was als private oder persönliche Informationen angesehen wird, und in einigen Fällen dem Hosting zusätzliche Verantwortlichkeiten auferlegen Organisation in Bezug darauf, welche Berechtigungsstufe sie von der Person erhalten müssen, um Daten zu veröffentlichen, und welche Maßnahmen sie ergreifen muss, wenn Daten versehentlich offengelegt werden oder gegen eine viasome Art von Sicherheitsmangel verstoßen. Zum Beispiel in den USA, wenn ein Unternehmen einen Vorfall hat, bei dem personenbezogene Daten vorliegen entweder absichtlich oder versehentlich kompromittiert wird und dass Daten mögliche finanzielle Auswirkungen haben, wie die Offenlegung von Kreditkartendaten, die Die Organisation muss für einen bestimmten Zeitraum Kreditüberwachungsdienste für betroffene Personen bereitstellen. Einige Länder haben auch verbindliche Gesetze zur Meldung und Benachrichtigung von Datenverletzungen, nach denen die Organisation Einzelpersonen und häufig eine zentrale Behörde benachrichtigen muss, wenn Daten kompromittiert wurden.

Leider haben die Regierungen Schwierigkeiten, eine klare und konsistente Gesetzgebung in Bezug auf den Datenschutz zu entwickeln und aufrechtzuerhalten Gesetzgebung, die mit der Technologie Schritt halten kann. Es gibt signifikante Unterschiede zwischen den Ländern mit unterschiedlichen Schwerpunkten und Zielen. Zum Beispiel haben die USA erhebliche Richtlinien in Bezug auf den Datenschutz und die Meldepflicht, aber sie haben auch eine Rechtsvorschrift in Bezug auf die innere Sicherheit und die Terrorismusbekämpfung, die nach Ansicht einiger den Datenschutz gefährden. Deutschland und eine Reihe anderer europäischer Länder haben unterschiedliche strenge Gesetze zum Schutz der Privatsphäre erlassen. Australiahas hat vor relativ kurzer Zeit die Datenschutzgesetze aktualisiert, hat jedoch Schwierigkeiten, verbindliche Gesetze zur Meldung von Datenschutzverletzungen usw. einzuführen.

Aus Ihrer Beschreibung geht hervor, dass Sie tatsächlich eine Sicherheitslücke in Bezug auf den Datenzugriff entdeckt haben und diese mit ziemlicher Sicherheit der Universität melden sollten. Leider ist es nicht immer einfach herauszufinden, wie solche Probleme zu melden sind. Der erste Ort, an dem dies überprüft werden muss, ist ein Blick auf die Privatsphäre der Organisation. Es ist auch wahrscheinlich, dass das Vereinigte Königreich über eine zentrale Behörde verfügt, z. B. einen Datenschutzbeauftragten, dem Sie dieses Problem ebenfalls melden können.

Sie sollten sich auch darüber im Klaren sein, dass Sie beim Zugriff auf diese Daten, insbesondere bei der Verwendung, vorsichtig vorgehen müssen die von Ihnen beschriebene URL-Manipulationstechnik oder spezifische Details zum Zugriff auf die Daten. In einigen Ländern könnte argumentiert werden, dass Sie gegen das Gesetz verstoßen haben und wegen „Hacking“ angeklagt werden könnten. Das Tempo des technischen Wandels in Verbindung mit einem Unverständnis innerhalb des Gesetzgebungs- und Justizsystems hat zu einer schlecht formulierten Gesetzgebung und rechtlichen Auslegung dieser Gesetzgebung geführt. Es gab eine Reihe von Fällen, in denen Einzelpersonen wegen der Veröffentlichung von Sicherheitslücken bei Datenzugriffen angeklagt wurden. Während solche Anklagen normalerweise nicht zu einer Verurteilung führen, werden die potenziellen Probleme, die diese Art von Anklage mit sich bringt, am besten vermieden.

In der Tat. Insbesondere wenn die Universität sich bereit erklärt, solche Informationen geheim zu halten, könnte dies einen großen Verstoß gegen ihre eigenen Richtlinien darstellen.

In den USA kann das bloße Schreiben eines einfachen Skripts, das solche Informationen abkratzt, zu einer 3,5-jährigen Haftstrafe führen. Wenn die Universität nicht beabsichtigt hat, diese Informationen zu veröffentlichen, wird dies als Sicherheitslücke angesehen.