Mennyi energiát használ az AI? Egyre fontosabb kérdés az adatközpontoknál

A Pentagon közlése szerint 2,8 millió élő ember személyzeti adatait érinthette az a behatolás, amely egy, a védelmi minisztérium nyilvántartásait kezelő rendszerben zajlott. A tárca több mint kétmillió jelenlegi és korábbi katonai szolgálatot teljesítő személyt értesít. Már önmagában a lépték is figyelemre méltó, de az ügy nehezebb kérdése nem pusztán az, hogyan történhetett meg a támadás, hanem az is: mennyi részletet célszerű nyilvánosságra hozni egy ilyen esetben?

A válasz azért nem egyszerű, mert az adatszivárgás érintettjeinek joggal fontos a pontos információ, miközben a részletes technikai vagy személyzeti adatok további kockázatot is jelenthetnek. A Pentagon egyelőre több lényeges kérdésre sem adott részletes választ.

Milyen adatok lehettek a rendszerben?

A támadók tavaly októbertől férhettek hozzá a Defense Manpower Data Center rendszeréhez. Ez a szervezet a Pentagon személyzeti nyilvántartásait összesíti, és saját tájékoztatása szerint több mint 60 millió „személyi rekordot” kezel. A körbe katonák, civil alkalmazottak, szerződéses partnerek, nyugdíjasok, veteránok és családtagjaik is tartozhatnak.

Egy Redditen közzétett értesítőlevél alapján az érintett nyilvántartásokban társadalombiztosítási azonosító, név, cím, nem, rassz és szolgálati vagy foglalkozási szakterület is szerepelhetett. Ez utóbbi nem csupán adminisztratív adat: segíthet azonosítani, ki milyen területen dolgozik vagy dolgozott. Emiatt az ilyen információ különösen érdekes lehet bűnözői csoportoknak vagy külföldi hírszerzési szereplőknek.

A Pentagon illetékesei azt közölték, nincs tudomásuk arról, hogy a megszerzett adatokat visszaélték volna. Azt ugyanakkor nem magyarázták el, milyen vizsgálati eredmények alapján jutottak erre a következtetésre.

Miért kevés a megnyugtató mondat?

Az érintettek szemszögéből érthető igény, hogy világosan megtudják: pontosan mely adatok kerültek ki, mikor értesült erről a hivatal, és mit tesz az intézmény az esetleges visszaélések felderítésére. Egy általános közlés, miszerint eddig nem észleltek visszaélést, nem ugyanaz, mint annak bemutatása, hogyan ellenőrizték ezt.

Ez nem bizalmatlansági reflex. Ha egy név, cím és azonosító egyszerre kerül illetéktelenekhez, az érintett legalább annyit szeretne tudni, hogy milyen jellegű kitettséggel számolhat. A tájékoztatás részletessége ilyenkor a személyes biztonságérzet része is.

Ráadásul ez rövid időn belül a második jelentős amerikai szövetségi személyzeti adatokkal kapcsolatos ügy. A ShinyHunters nevű zsarolóvírusos csoport a múlt hónapban azt állította, hogy FBI-rendszereket tört fel, és jelenlegi vagy korábbi dolgozók ezreinek adatait szerezte meg. A Reuters szerint a megszerzett nyilvántartásokban Kínával vagy Oroszországgal kapcsolatos nyomozási munkakörök is feltűntek. A csoport azt állította, nem tervezi az adatok közzétételét, de egy olyan szervezet ígérete, amely számos intézményt tört fel és zsarolt meg, aligha tekinthető biztosítéknak.

Mi szól a visszafogottabb közlés mellett?

A másik oldalon valós biztonsági szempont áll. Egy folyamatban lévő incidensnél a túl részletes nyilvános beszámoló elárulhatja, hogyan működött a rendszer, hol volt a védelem gyenge pontja, vagy mit tudnak már a hatóságok az elkövetőkről. Ezek az információk egy következő támadás előkészítését is könnyíthetik.

Ugyanez igaz a személyzeti adatokra. Ha a hatóságok túl pontosan ismertetik, mely munkakörök, egységek vagy csoportok érintettek, az akaratlanul is segíthet összerakni a támadók számára értékes képet. A nyilvánosság tehát nem kaphat meg minden technikai részletet azonnal, és nem is feltétlenül lenne helyes, ha megkapná.

A különbség mégis fontos: a támadás módszerének részletes ismertetése és az érintetteknek adott egyértelmű tájékoztatás nem ugyanaz. A Pentagon eddig nem közölte, hogyan jutottak be a támadók, kapcsolatba léptek-e velük, illetve érkezett-e váltságdíjkövetelés. Ezek egy része valóban indokolhat óvatosságot, ám a tájékoztatás kereteinek hiánya könnyen bizonytalanságot hagy maga után.

A bizalomhoz nem minden részlet kell, hanem világos határ

Az ügy emlékeztet a 2015-ös, amerikai Személyzeti Menedzsment Hivatalt érintő támadásra, amikor a forrás szerint 22,1 millió, állami alkalmazottakhoz vagy átvilágításon átesett emberekhez kapcsolódó rekord került kínai állami hackerekhez. Akkor a személyes adatok között milliók ujjlenyomatai is szerepeltek. A mostani eset mérete kisebb, de a személyzeti információk érzékenysége miatt a következményei így sem bagatellizálhatók.

A vita talán nem arról szól, hogy teljes csend vagy korlátlan nyilvánosság a jobb. Inkább arról, hol húzható meg az a határ, amely mellett az érintettek konkrét és ellenőrizhető információt kapnak, de a hivatal nem ad használható útmutatót újabb támadóknak. Egy ilyen adatszivárgás után Ön szerint elegendő-e, ha a hatóság közli, hogy nincs ismert visszaélés, vagy azt is meg kell mutatnia, milyen ellenőrzés alapján állítja ezt?