Витоки даних

Управління науковими даними в сучасних умовах — це не лише питання технічного порядку, а передусім етична та безпекова відповідальність. Коли ми говоримо про захист інформації, мова йде не про абстрактні цифри, а про життєздатність цілих інфраструктур та репутацію дослідників.

Контекст загроз: Від глобальної статистики до локальних криз

Сьогодення переповнене історіями про масштабні витоки даних. Візуалізація проєкту Information is Beautiful, яка аналізує найбільші хакерські атаки з 2012 по 2022 роки, демонструє лякаючу тенденцію: обсяги викраденої інформації зростають експоненціально.

Source: McCandless, D., Evans, T. and Barton, P. (2022) World's biggest data breaches & hacks, Information is Beautiful. Information is Beautiful. Available at: https://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/ (Accessed: January 27, 2023)

Реальний кейс: Атака на «Київстар» (12.12.2023) Найяскравішим прикладом того, як вразливість однієї системи може паралізувати країну, стала атака на українського оператора «Київстар».

• Причина: Зловмисне використання доступу до облікового запису одного співробітника.

• Наслідки: Відсутність зв'язку та інтернету тривала майже десять днів (до 21.12.2023). Це спричинило ланцюгову реакцію: припинили роботу системи вуличного освітлення, банківські термінали, а також критично важливі сервіси — Уклон, Тabletki.ua, Нова пошта.

Цей випадок доводить: людський фактор та недбале управління доступом є найслабшою ланкою в ланцюгу безпеки.

---

Ризики для дослідника: Чому «авось» не працює?

Недбале ставлення до конфіденційності в науковій діяльності тягне за собою реальні та болючі наслідки:

1. Руйнація кар’єри: Втрата довіри колег та грантодавців після витоку персональних даних піддослідних може поставити крапку на професійному майбутньому.

2. Удар по інституції: Університет або дослідницький центр втрачають акредитацію, фінансування або міжнародне партнерство.

3. Юридичні та фінансові санкції: Порушення регламентів (наприклад, GDPR в ЄС) передбачає величезні штрафи та навіть кримінальну відповідальність.

---

Етична дилема: Опублікувати чи приховати?

Через страх перед витоками дослідники часто обирають шлях найменшого опору — повне виключення конфіденційних даних з публікації.

Аналіз заяв до інституційних комісій з етичного схвалення (IRB — Institutional Review Boards) показує, що вчені часто керуються такими мотивами:

• Переконання, що публікація таких даних апріорі є неетичною.

• Впевненість, що це прямо заборонено законодавством.

• Уявлення про те, що забезпечити безпеку даних «надто складно».

Наслідок: Величезні масиви цінної інформації стають «мертвим вантажем». Вони недоступні для перевірки, повторного аналізу або використання в нових дослідженнях, що сповільнює науковий прогрес.

---

Як діяти? Планування як засіб захисту

Щоб не обирати між безпекою та науковою цінністю, планування управління даними (DMP) має починатися ще до початку збору інформації.

1. Ідентифікація: Чітко визначте, які дані є дійсно конфіденційними (ПІБ, геолокація, медичні показники).

2. Анонімізація: Використовуйте методи деідентифікації, щоб дані можна було публікувати без ризику для осіб.

3. Контроль доступу: Як показує досвід «Київстару», доступ повинен бути суворо обмеженим та захищеним (двофакторна автентифікація, шифрування).

Висновок: Безпека даних — це не лише технічна задача ІТ-відділу, а професійна гігієна кожного дослідника.

Заходи безпеки: чекліст

Безпека мережі

• Зберігайте конфіденційні дані поза Інтернетом
• У крайніх випадках розмістіть конфіденційні матеріали на комп’ютерах, не підключених до Інтернету

Фізична охорона

• Обмежте доступ до будівель і приміщень, де зберігаються комп’ютери чи медіа
• Дозвольте лише довіреним особам вирішувати проблеми з комп’ютером

Комп’ютерні системи та файли

• Підтримуйте захист від вірусів в актуальному стані
• Не надсилайте конфіденційні дані електронною поштою чи FTP (або, якщо необхідно, використовуйте шифрування)
• Встановіть паролі на файли та комп’ютери
• Перевіряйте достовірність телефонних дзвінків та електронних листів, які нібито надійшли від ІТ-відділу вашої установи
• Робіть резервні копії

Паролі в управлінні даними

У науці ми дбаємо про точність експериментів, але часто забуваємо про найпростіший вхідний квиток до наших даних — пароль. Уявіть, що роки вашої праці можуть зникнути або потрапити в чужі руки лише через те, що вашим паролем було ім'я вашого кота.

Ось золоті правила цифрової гігієни для сучасного дослідника:

1. Забудьте про особисту інформацію

Ваше ім’я користувача та пароль не мають бути пов’язані з вами як з особою. Жодних дат народження, номерів авто чи імен домашніх тварин. Соціальна інженерія працює швидко: зловмиснику достатньо подивитися ваш Facebook, щоб вгадати пароль.

2. Принцип «Різні замки — різні ключі»

Використовувати один пароль для пошти, університетської мережі та хмарного сховища — це все одно, що мати один ключ від квартири, машини та сейфа з грошима. Вкрали один — отримали все.

3. Створюйте складні паролі (або парольні фрази)

Замість одного слова використовуйте комбінацію:

• Довжина: 12-16 символів.

• Склад: великі та малі літери, цифри, спецсимволи (@, #, $) та навіть пробіли.

• Сучасний підхід: Замість складного слова, яке важко запам’ятати (наприклад, P@ssw0rd!), використовуйте парольну фразу.

Приклад: ЗеленеКріслоСтрибаєВисоко2026! — такий пароль майже неможливо зламати методом перебору, але легко запам'ятати.

4. Менеджери паролів — ваші найкращі друзі

Записувати паролі на стікерах або в блокнотах — це ризик. Використовуйте професійні сервіси, які генерують і надійно зберігають ваші ключі в зашифрованому вигляді:

• Bitwarden (безкоштовний, відкритий код)

• 1Password (потужний корпоративний стандарт)

• KeePassXC (для тих, хто хоче зберігати базу паролів лише локально)

5. Двофакторна автентифікація (2FA) — це MUST HAVE

Навіть якщо ваш пароль дізнаються, 2FA врятує дані. Це додаткове підтвердження через додаток на телефоні.

• Використовуйте Google Authenticator або Microsoft Authenticator замість SMS, оскільки SMS можна перехопити.

6. Гігієна в браузерах та мережах

• Вимкніть автозаповнення: Якщо ви ділитеся комп’ютером або працюєте в публічних місцях, вимкніть функцію збереження паролів у Chrome: Налаштування -> Автозаповнення -> Менеджер паролів -> Пропонувати збереження паролів (Вимкнути).

• Уникайте невідомих Wi-Fi: Ніколи не заходьте в бази даних досліджень через мережу в кафе без VPN. Це відкриті двері для перехоплення ваших даних.

Отже, надійний пароль та менеджер паролів економлять не лише час, а й нерви, захищаючи результати вашої багаторічної роботи.

Вибір місця для зберігання даних

Вибір місця для зберігання даних — це баланс між зручністю, ціною та безпекою. Кожен варіант має свої особливості, тому найкраща стратегія — поєднувати їх.

1. Мережеві диски (Сервери установи)

Це внутрішні сховища вашого університету чи компанії.

• Плюси: Найвищий рівень безпеки. Професіонали регулярно роблять бекапи, дані захищені від сторонніх, а доступ до них є лише у вас та вашої команди.

• Мінуси: Доступ зазвичай обмежений робочим місцем або потребує складного налаштування VPN.

• Рекомендація: Використовуйте як основне місце для робочих копій.

2. Власні пристрої (ПК, ноутбуки, флешки, зовнішні HDD)

Ваш персональний "залізний" архів.

• Плюси: Повний контроль, швидкий доступ без інтернету, низька вартість.

• Мінуси: Пристрої ламаються, губляться і викрадаються. Диски з часом розмагнічуються, а карти пам’яті виходять з ладу без попередження.

• Рекомендація: Ніколи не тримайте тут єдину копію даних. Якщо використовуєте зовнішні диски, обирайте перевірені бренди (наприклад, Samsung, WD, SanDisk).

3. Хмарні сервіси (Public Cloud)

Зберігання даних на серверах великих технологічних компаній.

• Плюси: Автоматична синхронізація, доступ з будь-якої точки світу, історія версій (можна "відкотитися", якщо видалили щось зайве).

• Мінуси: Ризики конфіденційності (якщо дані не зашифровані), залежність від інтернету та юридичні нюанси (зберігання даних за межами країни може порушувати GDPR).

Популярні сервіси:

• Google Drive — зручно для спільної роботи над документами.

• Dropbox — лідер у швидкості та надійності синхронізації файлів.

• OneDrive — найкраща інтеграція з Windows та Microsoft Office.

• pCloud — європейський сервіс, що фокусується на безпеці та приватності.

---

Порівняльна таблиця сховищ

Тип сховища	Надійність	Зручність	Ризик втрати
Мережевий диск	Висока	Середня	Низький (є бекапи)
Зовнішній HDD/SSD	Середня	Висока	Високий (крадіжка, поломка)
Хмарне сховище	Висока	Максимальна	Низький (але є ризик зламу)

---

💡 Золоте правило "3-2-1"

Щоб ніколи не втратити свої дослідження, дотримуйтеся простої формули:

1. Майте 3 копії даних (оригінал + два бекапи).

2. Використовуйте 2 різні типи носіїв (наприклад, комп'ютер + зовнішній диск).

3. Зберігайте 1 копію поза домом/офісом (у хмарі або на сервері установи).

Як створити надійну стратегію резервного копіювання?

Регулярне резервне копіювання є невід’ємною частиною управління даними. Воно запобігає втраті через збій жорсткого диска або випадкове видалення. Ви можете створювати резервні копії даних на персональному комп’ютері, зовнішніх жорстких дисках або на серверах факультету чи університету. Програмне забезпечення, яке автоматично створює резервні копії, може значно спростити цей процес.

Є довгий перелік запитань, які ви повинні задати, обдумуючи стратегію резервного копіювання.

Повна чи інкрементна копія?

Перед початком варто обрати метод копіювання:

• Повне резервне копіювання: Кожного разу копіюються абсолютно всі дані. Це надійно, але займає багато місця та часу.

• Інкрементне резервне копіювання: Повна копія робиться лише один раз, а потім програма додає тільки ті файли, які ви змінили або створили. Це економить місце на диску.

Питання для вашої стратегії:

Щоб бекап не був формальністю, дайте відповіді на ці запитання:

1. Регулярність: Як часто ви будете копіювати дані (щодня чи щотижня)?

2. Тривалість: Як довго ви плануєте зберігати старі копії?

3. Місце: Скільки пам'яті вам знадобиться для всього архіву?

4. Версійність: Як ви будете розуміти, яка копія найновіша, якщо їх декілька на різних пристроях?

Коли ви зрозумієте, що вам потрібно з точки зору резервного копіювання, перевірте, які служби доступні для задоволення ваших потреб.

Також важливо визначити графік резервного копіювання та політику збереження цих централізованих служб резервного копіювання, які ви можете використовувати. 

Перевірте свою систему резервного копіювання. Щоб переконатися, що ваша система резервного копіювання працює, періодично відновлюйте файли даних і підтверджуйте, що можете їх прочитати. Ви повинні робити це під час початкового налаштування системи, а потім – за регулярним графіком.

Архів даних Великобританії містить додаткові вказівки щодо зберігання, резервного копіювання та безпеки даних.

Що ми розуміємо під безпекою даних?

Безпека даних - забезпечення безпеки ваших дослідницьких даних від пошкодження та належний контроль доступу. 

Важливо подбати про безпеку ваших даних, щоб запобігти випадковому чи зловмисному пошкодженню чи модифікації, крадіжці, порушенню конфіденційності та передчасному оприлюдненню даних. Подумайте, кому потрібен доступ до даних, а також коли і як ви будете застосовувати будь-які необхідні дозволи чи обмеження. Ви також повинні мати чітку політику та вказівки щодо того, хто може робити копії даних і чи можна їх зберігати на такому пристрої, як ноутбуки, смартфони або USB-накопичувачі. Це особливо важливо, якщо ви створюєте конфіденційні дані. 

Забезпечення безпеки даних є частиною безпеки інформаційних технологій. На офісному та домашньому комп’ютерах завжди має бути встановлено найновіше антивірусне програмне забезпечення. Якщо у вас є конфіденційні дані, краще зберігати їх на комп’ютері, не під’єднаному до жодної мережі. Якщо це неможливо, слід зашифрувати дані. Тому що не підключений до мережі комп’ютер усе ще вразливий до крадіжки або зловмисного пошкодження чи зміни даних. Конфіденційні дані слід зберігати в закритій кімнаті або в сейфі, коли вони не використовуються.

Хто відповідає за управління та контроль даних?

• Хто контролює дані (наприклад, PI, студент, ваша лабораторія, ваш університет, ваш спонсор)? Перш ніж витратити багато часу на те, як зберігати дані, ділитися ними, називати їх тощо, переконайтеся, що у вас є на це повноваження.

Для чого або кого призначені дані?

• Хто є цільовою аудиторією даних? Як, на вашу думку, вони використовуватимуть дані? Як довго слід зберігати дані?

• Чи є якісь вимоги щодо збереження даних? Якщо так, то як довго? 3-5 років, 10-20 років, постійно? Не всі дані потрібно зберігати, а деякі дані, які потрібно зберігати, не потрібно зберігати нескінченно довго. Добре розумійте свої зобов’язання щодо збереження даних.

Принципи резервного копіювання

1. Основний принцип резервного копіювання 3-2-1 полягає в тому, що у вас є три копії ваших файлів принаймні на двох різних носіях, при цьому одна копія віддалена на випадок локальних проблем. Ви також повинні регулярно тестувати свої резервні копії, щоб переконатися, що ви можете відновити їх за потреби.

2. За схемою “дідусь, батько, син” файли можуть бути доступними лише протягом двох-трьох місяців, перш ніж простір для зберігання буде перезаписано. Тобто повне резервне копіювання виконується в один і той же день кожного місяця (наприклад, в останній день кожного місяця. Або в четверту п’ятницю кожного місяця - обирайте самі). Це дідусів цикл. Рекомендується зберігати цю резервну копію поза офісом або в облаці. Це також допомагає задовольнити вимоги стратегії 3-2-1 про зберігання поза офісом (треба мати три копії принаймні у двох місцях: оригінал + зовнішня/локальна резервна копія + зовнішня/віддалена резервна копія).

Потім налаштовується більш часте виконання ще одного повного резервного копіювання, наприклад, щотижня. Знову таки, ви можете визначити, коли саме має виконуватися це повне резервне копіювання, враховуючи вимоги вашого дослідження. (Оскільки процес створення повної резервної копії обов’язково зв’яже ваш набір на якийсь час!). Це «батьківський» цикл, і в ідеалі ваша резервна копія повинна зберігатися локально та/або в «гарячому» хмарному сховищі, де вона може бути швидко й легко доступна за необхідності. Географічно поширюйте свої локальні та віддалені копії, щоб зменшити ризик лиха в одному місці (відключення електроенергії, повінь, пожежа тощо).

Зрештою, плануйте закривати свої бази щоденними додатковими резервними копіями. Це резервні копії «сина», і вони повинні зберігатися в тому ж місці, що і резервні копії «батька».

Чи завжди треба дотримуватися цих підходів? 

Ні, все залежить від вартості ваших даних, з одного боку, і критичності (вартості потенційної шкоди) та ймовірності загроз даних, з іншого боку. Будь-який захист не повинен перевищувати за вартістю об’єкт, що захищається. Тому, якщо у вас зберігаються не надто цінні дані, чи загрози низько критичні чи малоймовірні, можна реалізовувати правило «3-2-1» частково. Головне — все ж таки скласти матрицю загроз даним (тобто скласти список усіх можливих загроз, оцінити їхню ймовірність і критичність) і провести процес їхньої деактуалізації (тобто у кожної загрози або написати в таблиці “деактуалізовано таким-то технічним заходом”. або “визнати не актуальною з погляду характеру дослідження”). Після опрацювання матриці небезпек, буде зрозуміло якою мірою слід використовувати правило 3-2-1, і який бюджет в результаті буде потрібний.

Безпека даних

Безпека даних означає убезпечення ваших дослідницьких даних від пошкодження та належний контроль доступу. 

Як ми знаємо, техніка не завжди надійна на 100%. Якщо дослідник має відповідні стратегії резервного копіювання та зберігання, це допоможе захистити дані від втрати з самого початку проєкту. Найкраще обговорити варіанти безпечного резервного копіювання та зберігання з ІТ-відділом закладу.

Якщо дані конфіденційні, необхідно вжити відповідних заходів, щоб забезпечити їх безпечне зберігання та доступ до них лише авторизованих осіб.