информбезопасность персональные данные технологии

3.4.2019

Цифровые профили: плюсы внедрения и риски использования

Сможет ли инфраструктура умного безбумажного документооборота гарантировать безопасность персональной информации?

Концепция цифрового профиля (ЦП) гражданина предполагает автоматизированный сбор и обмен сведений личного характера между государственными информационными системами (ГИС) в рамках одного окна. Эксперты RSpectr критикуют отдельные положения совместной инициативы Минкомсвязи и Банка России (ЦБ). В частности, указывают на недопустимость объединения баз данных, цели обработки которых несовместимы между собой.

НА БАЗЕ ПОРТАЛА ГОСУСЛУГ

Проект закона, подготовленный Минкомсвязью в конце марта 2019 года, вводит в правовое поле понятия цифрового профиля граждан и юрлиц, а также его инфраструктуры. Кроме того, документ регламентирует порядок идентификации и аутентификации.

Прообраз ЦП уже имеют 52,5 млн пользователей Единого портала госуслуг РФ (ЕПГУ), у которых есть подтвержденная учетная запись в Единой системе идентификации и аутентификации (ЕСИА). Об этом рассказал замглавы Минкомсвязи Максим Паршин.

Чиновник обнародовал план создания платформы ЦП:

• Принятие правок в 149-ФЗ «Об информации, информационных технологиях и о защите информации» – IV квартал 2019 года.

• Проведение эксперимента по Национальной системе управления данными (НСУД) и ЦП – II квартал 2019 – II квартал 2020 года.

• Доработка ЕСИА в части создания ЦП – II–IV квартал 2019 года.

• Опытная эксплуатация ЦП, пилотный проект с участниками эксперимента – IV квартал 2019 года – I квартал 2020 года.

• Ввод ЦП в промышленную эксплуатацию – IV квартал 2020 года.

В Минкомсвязи рассчитывают, что закон о ЦП Госдума примет в конце 2019 года.

Система создается в рамках федерального проекта «Информационная инфраструктура» нацпроекта «Цифровая экономика» (ЦЭ). И согласуется с концепцией цифровизации государственного управления на 2018–2024 годы – «Сервисное государство 2.0».

ЭЛЕКТРОННЫЕ СУПЕРСЕРВИСЫ ДЛЯ ГРАЖДАНИНА

Главный принцип «Сервисного государства» состоит в отсутствии физических документов, кроме удостоверения личности.

Такая модель позволит комплексно решать типовые жизненные ситуации граждан на основании автоматизированных бизнес-процессов. Их разработчики ЦП назвали суперсервисами. Государство подскажет пользователю, когда и как, например, получить: налоговый вычет или материнский капитал, разрешение на ведение предпринимательской деятельности.

Перечень суперсервисов, планируемых к реализации до 2021 года:

1. Оформление европротокола онлайн.
2. Цифровое исполнительное производство.
3. Онлайн-помощь при инвалидности.
4. Трудовые отношения онлайн.
5. Социальная поддержка онлайн.
6. Пенсия онлайн.
7. Медицинские справки и документы онлайн.
8. Регистрация нарушений ПДД и правил благоустройства.
9. Регистрационные и паспортные сервисы онлайн.
10. Земля под строительство онлайн.
11. Уведомление и обжалование штрафов онлайн.
12. Правосудие онлайн.
13. Подача заявлений в правоохранительные органы онлайн.
14. Разрешения для бизнеса в цифровом виде.
15. Господдержка бизнеса.
16. Регистрация бизнеса.
17. Цифровое строительство.
18. Поступление в вуз онлайн.
19. Безбумажные перевозки пассажиров и грузов.
20. Цифровые документы об образовании онлайн.
21. Рождение ребенка.
22. Утрата близкого человека.
23. Образование в РФ для иностранцев.
24. Трудовая миграция онлайн.
25. Переезд в другой регион.

Регулятор считает, что перечень из 25 универсальных сервисов – это 90% всех случаев взаимодействия людей и государства. Обсуждение деталей предложенных направлений пройдет в апреле. До конца июня рабочие группы представят дорожные карты по каждой услуге. Такие решения приняты недавно на заседании президиума профильной правительственной комиссии. Там же была утверждена концепция ЦП.

Граждане заинтересованы в максимальном количестве электронных услуг. По словам М. Паршина, пользователи ЕПГУ (90 млн человек) стремятся актуализировать свой профиль для расширения списка возможностей.

Но если сегодня для оформления юридически значимых документов граждане вносят на ЕПГУ личные данные, заполняют заявления, то при внедрении ЦП они будут формироваться автоматически.

Необходимые госданные будут запрашиваться из электронных реестров органов власти по сквозному ID

При этом сведения о гражданах в ИС будут обновляться быстро.

ГДЕ БУДУТ ТЕСТИРОВАТЬ

Пилотный проект по проверке автоматического формирования данныхпроведут в финансовом секторе – при оформлении банковских кредитов и полисов для автомобилистов, ОСАГО и КАСКО. Финтех – наиболее технологичный сектор в российской экономике, пояснила выбор сегмента первый зампред ЦБ Ольга Скоробогатова.

Для граждан, государственных и муниципальных органов доступ к платформе будет бесплатным, сказал М. Паршин. В Минкомсвязи обсуждаются различные сценарии введения платы для бизнеса за пользование сервисом ЦП.

В эксперименте примут участие:

– 16 банков;

– 3 страховые организации;

– 4 ведомства:

• Пенсионный фонд РФ;

• Федеральная налоговая служба;

• Росреестр:

• МВД.

«Проект даст возможность собрать о цифровой личности 57 атрибутов сведений, сегодня ЕСИА позволяет хранить 21 атрибут. Данные будут синхронизированы», – рассказала О. Скоробогатова.

Отчитаться о результатах эксперимента ЦБ планирует в апреле 2020 года.

РЕЕСТР ЦИФРОВЫХ СОГЛАСИЙ

«Мы не планируем собрать в одном месте базу всего и вся – это опасная затея. В ЦП должны храниться ключевые данные о гражданине, а остальные сведения подтягиваться из других автоматических систем по запросу», – уточнила первый зампред ЦБ.

Если пользователю понадобится услуга, он сможет разрешить организации просмотреть весь набор данных о нем, имеющихся в тех или иных ГИС. Это нужно для того, чтобы получить лучшие условия по кредиту или страховке. «Такое согласие сможет быть разовым или пролонгированным. Причем человек должен видеть, кто, зачем и какие его личные данные запрашивает», – отметил М. Паршин.

В случае несогласия конфиденциальную информацию можно будет отозвать.

Таким образом,

важной составной частью ЕСИА станет Реестр цифровых согласий, который позволит управлять своими данными, разрешая или закрывая доступ к ним

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И ЧЕЛОВЕЧЕСКИЙ ФАКТОР

С введением ЦП в законодательство вносится ряд изменений, в том числе и в части защиты персональных данных (ПД).

В вышеупомянутом законопроекте, в частности, говорится, что при обработке ПД с использованием инфраструктуры ЦП пользователь дает соответствующее согласие в форме электронного документа, подписанного простой или усиленной квалифицированной электронной подписью. Вместе с тем остается непонятным, как будут храниться такие данные и кто получит доступ к цифровому профилю.

Возможны ли риски использования информации из ЦП третьими лицами? Как это предотвратить при формировании инфраструктуры проекта? Такие вопросы RSpectr задал экспертам рынка.

Комментарий Алексея Ефремова, ведущего научного сотрудника Центра технологий госуправления РАНХиГС при Президенте РФ:

– Законопроект вызывает очень много замечаний с точки зрения обеспечения информационной безопасности (ИБ) и защиты персональных данных ПД.

1. Нарушены базовые принципы и действующего федерального закона о ПД, и Конвенции Совета Европы 1981 года:

– о запрете объединения баз данных, цели обработки которых несовместимы между собой (концепция ЦП),

– об обязательности письменного согласия лица на принятие решений на основании исключительно автоматизированной обработки ПД (норма о 15-секундном обновлении сведений).

2. Законопроект никак не определяет цели присвоения идентификаторов, не конкретизирует цели обмена данными и их соответствие изначальным целям, для которых эти данные были собраны и обрабатываются госорганами.

3. Документ не называет круг субъектов, которые будут иметь доступ к данным, а также их возможности по обновлению данных. Нормы проекта закона в части запросов организаций на получение сведений о гражданах и юрлицах с использованием инфраструктуры ЦП содержат коррупциогенные факторы.

4. Законопроект не упоминает о том, кто будет оператором инфраструктуры ЦП, и не указывает, кто конкретно будет нести ответственность за достоверность и безопасность данных. При возможности 15-секундного обновления информации неопределенным кругом лиц общая норма об ответственности органов власти (которые несут ее как операторы своих ИС, а не предлагаемой инфраструктуры ЦП) не обеспечит реальной сохранности, достоверности и безопасности ПД.

Соответствующее заключение по независимой антикоррупционной экспертизе законопроекта А. Ефремов направил в Минкомсвязь.

Комментарий Антона Немкина, члена совета директоров AT Consulting, лидера проекта Sochi. Digital Valley:

– У мошенников и без ЦП достаточно возможностей получить ПД данные человека.

Если говорить про злоупотребление коммерческими структурами, то доступ к личной информации возможен только с согласия обладателя – это предусмотрено законопроектом.

Документ гарантирует государственный контроль, поэтому не стоит волноваться, что кто-то завладеет частными данными.
Стопроцентную защиту ПД не может дать ни одна технология. Но при этом мы не отказываемся от использования, например, мобильного банка. Хотя там тоже есть риск мошенничества, как и в целом в цифровой среде.

Комментарий Алексея Парфентьева, руководителя отдела аналитики «СёрчИнформ»:

– ЦП задумывался как единая площадка хранения ПД о россиянах. Поэтому под возможный удар попадает сразу вся критическая информация. Разработчики проекта заверяют, что предусмотрели риски: сведения не будут храниться на одном сервере, но это обезопасит разве что в случае физической кражи оборудования или хакерской атаки.

Угрозой становится тот, кто работает с ЦП. Тысячи госслужащих смогут «в один клик» получить исчерпывающую информацию о гражданах, собранную из разных баз данных и удобно упакованную в один документ. Зарплаты на госслужбе небольшие, возможность заработать на продаже данных на черный рынок создает коррупциогенную обстановку. Но почему-то авторы инициативы не берут в расчет человеческий фактор и видят опасность только в потенциальных хакерских атаках.

На сегодня возможные меры наказания неадекватны возможному вреду от «сливов». Серьезная ответственность наступает в случае неправомерного доступа к информации, но должностные обязанности госслужащих дают им такое право.

Спасет проект только жесткая директива, как хранить, защищать и работать с ЦП

Не помешает зарегламентировать действия сотрудников госструктур, имеющих доступ к данным, и обязать работодателей контролировать движение этих данных в организации. Благо программные средства для этого есть – на рынке широко представлены отечественные DLP-системы, защищающие от утечек.

Комментарий адвоката Виктора Камалдинова:

– Принятие обществом новых форм идентификации личности всегда привлекает внимание мошенников, поскольку на время затрудняет их доступ к чужим денежным средствам.

Как и любые системы безопасности, использование ЦП имеет свои недостатки. В первую очередь это связано с доверчивостью граждан, которые могут передать недобросовестным лицам доступ к своим идентификационным данным (ИД). Это позволяет преступникам действовать от имени потерпевших с целью хищения имущества или приобретения права на него.

Самым эффективным способом противодействия недобросовестным третьим лицам будет наличие нескольких степеней контроля. Это позволит предотвратить умышленное хищение ИД.

Еще одной из возможных опасностей введения ЦП может быть хищение преступником квалифицированной подписи потерпевшего при взломе аккаунта. Используя ее, мошенник может дистанционно заключать сделки, в том числе кредитные договоры, получать средства на сторонние счета и обналичивать их. При этом вопрос ответственности банков или физических лиц в проекте не определен. Обязательства лиц при неэффективном хранении ПД следует просчитать и прописать.

Комментарий Елены Агеевой, младшего консультанта Центра информационной безопасности компании «Инфосистемы Джет»:

– Столь масштабная инфраструктура, безусловно, будет иметь свои слабые точки. Сведения о гражданах (включая такие ПД, как паспортные данные, ИНН, СНИЛС, информацию о предоставленных государственных и коммерческих услугах, а также данные из ГИС в виде ссылок и реестра согласий на обработку ПД) и организациях (юридический адрес, ИНН, ОГРН и др.) будут размещены в единой централизованной системе, которой будет уделяться повышенное внимание в том числе и со стороны злоумышленников.

Для предотвращения рисков, связанных с несанкционированным использованием ЦП, необходимо исключить возможность возникновения уязвимостей на этапах разработки и доработки сервиса. Действенным способом здесь станет предъявление требований к безопасности и использование положений лучших практик и стандартов, описывающих безопасное программирование. Речь идет, например, о нескольких методологиях:

– SDL от компании Microsoft;

– российский стандарт ГОСТ Р 56939-2016 «Защита информации. Разработка безопасного ПО. Общие требования».

Снизить риски в случае утечки позволит децентрализованное хранение данных в зависимости от их критичности. Также на этапе эксплуатации важно предъявлять к коммерческим организациям и пользователям дополнительные требования по обеспечению безопасного взаимодействия с сервисом.

Изображения: RSpectr, Freepik.com