«Запаситесь валерьянкой»: Эксперты раскритиковали законопроект «О цифровом профиле»

Законопроект о создании цифровых профилей граждан России подвергся критике со стороны Федеральной службы безопасности. По её мнению, обработка данных в рамках единой инфраструктуры значительно повысит риски утечек информации. Кто будет нести ответственность за утечки? Будут ли предусмотрены штрафы? Какая польза для человека от цифрового профиля?

Большой и, можно даже сказать, влиятельный скандал разгорается в России вокруг создания цифрового профиля гражданина. С одной стороны – ЦБ, Минкомсвязь и «Ростелеком», ответственные за реализацию нацпроекта «Цифровая экономика», а с другой – Федеральная служба безопасности. ФСБ в пух и прах раскритиковала идею создания цифрового профиля, обосновывая это повышением риска утечек информации.

Обработка данных в рамках единой инфраструктуры значительно повышает риски их неправомерного сбора и распространения, а также разглашения информации о лицах, подлежащих государственной защите (например, судьи, прокуроры, следователи, представители силовых ведомств и их близкие. В законопроекте так и не были учтены замечания, направленные ФСБ еще 24 июля, он нуждается в доработке,

– говорится в письме руководителя службы оперативной информации и международных связей ФСБ Сергея Беседы начальнику государственно-правового управления президента РФ Ларисе Брычевой.

Фото: Ovchinnikova Irina / Shutterstock.com   

Законопроект о цифровом профиле представляет собой поправки сразу к четырём законам: «Об информации, информационных технологиях и о защите информации», «О персональных данных», «О связи» и «Об основах охраны здоровья граждан в Российской Федерации». Предполагается свести воедино все имеющиеся в ведомствах данные о каждом гражданине. В частности, это паспортные данные, адрес, ИНН, водительские права, место работы, перечень собственности – всего 57 видов юридически значимых данных. Поправки были включены в программу осенней сессии Госдумы, что предполагает их рассмотрение в ноябре. Эксперты, опрошенные телеканалом «Царьград», предостерегают от спешки в принятии закона и соглашаются с ФСБ: объединение информации в единый цифровой профиль приведёт к утечкам.

«Ни одна стратегия не гарантирует того, что какая-то утечка персональных данных не случится, – рассказывает координатор Центра безопасного интернета Урван Парфентьев. – Мы можем повесить на сейф семь замков, поставить линию Маннергейма вокруг, но всё равно данные так или иначе утекут».

Пока законодатели готовят плацдарм для единой платформы, банки стараются завладеть как можно большим количеством «цифровых душ», собирая биометрические данные клиентов. Юрист Георгий Солдатов в интервью Царьграду рассказал, что его маму, которая пришла в Сбербанк для того, чтобы оформить новую карту, обманом вынудили сдать биометрию. Точнее, о сборе биометрических данных просто не посчитали нужным предупреждать.

Сотрудница Сбербанка предложила пройти идентификацию. Попросила паспорт. Мать дала паспорт. Сотрудница дополнительно попросила посмотреть в объектив небольшой камеры. Мама краем глаза увидела, что на экране написано «согласие на передачу биометрических данных», а на компьютере сотрудницы находится её фотография,

– рассказывает Георгий Солдатов.

Фото: Nikolay Gyngazov / Globallookpress    

На требование отозвать биометрические данные в Сбербанке заявили, что в таком случае они оставляют за собой право закрыть выданную ранее карту, что в итоге и произошло.

«Сотрудница сказала, что тогда вы не сможете пользоваться картой, потому что защита у карты плохая, поэтому биометрия обязательна, – продолжает сын клиентки банка. – Мать всё равно отказалась, и тогда ей сказали, что придётся закрыть карту».

Координатор Центра безопасного интернета Урван Парфентьев уверен: банки не имеют права принуждать к сдаче биометрических данных своих клиентов и шантажировать неоказанием какой-либо услуги. Подобные действия носят криминальный характер.

«В данном случае можно говорить о признаках преступления, содержащихся в действиях сотрудников отделений Сбербанка, – отмечает специалист. – В таких случаях нужно обращаться не только в ЦБ или полицию, нелишним будет написать заявление в Прокуратуру. Так можно скорректировать политику отдельных банков».

Фото: Silas Stein / Globallookpress    

Сначала банки вынуждают клиентов сдавать данные, а потом посыпают головы пеплом, когда происходят громкие утечки. В октябре СМИ распространили информацию о том, что в интернете выставлена на продажу база данных Сбербанка, в которой содержится информация о держателях 60 миллионов кредитных карт. В финансовой организации утечку подтвердили, хотя с цифрой не согласились. Клиентам от этого не легче. Некоторые после попадания данных в Сеть заметили, что деньги с их карт куда-то улетучились.

«Можно обратиться в суд и попробовать опротестовать незаконную транзакцию, – рассказывает  зампредседателя подкомитета по платежным инструментам и информационной безопасности Комитета ТПП России по финансовым рынкам Тимур Аитов. – Однако добиться справедливости практически невозможно, по крайней мере, в суде первой инстанции. У банка получается доказать, что клиент виноват. Но если клиент идёт дальше и подаёт кассацию, то шансы есть. Но для этого, сами понимаете, нужно запастись деньгами на юриста, терпением и таблетками – валерьянку придётся пить, потому что это огромные переживания».

С утечками данных сталкиваются не только физические лица, но и юридические. За 2019 год с этим пришлось столкнуться 27% небольших и 34% крупных компаний в России. Этот показатель вырос на 12% по сравнению с предыдущим годом.

Защищающаяся сторона сейчас очень серьёзно уступает стороне атакующей, – заявляет эксперт в области информационной безопасности Дмитрий Кузнецов. – Прежде всего речь идёт о формальном соответствии требованиям регулятора. Этого, естественно, не хватает для полноценной защиты. На разработку действенных механизмов компаний от хакерских данных нужно, по моим оценкам, от 5 до 10 лет. Не меньше.

Компании, исполняя требование Роскомнадзора формально, преследуют коммерческие интересы. По словам директора консалтинговой компании по кибербезопасности Алексея Раевского, штраф за утечку данных в настоящее время не сильно бьёт по карманам организаций.

«Закон о персональных данных не предусматривает какой-то существенной ответственности для организаций, – поясняет эксперт. – Максимальный размер штрафа по этому закону составляет 75 тысяч рублей. Согласитесь, это смешно. Это меньше одной месячной зарплаты специалиста по информационной безопасности. Для организаций, и в первую очередь банков, создание барьеров безопасности – это ненужный и очень затратный проект».

Для сравнения – за рубежом компании за утечку данных штрафуют на десятки и сотни миллионов долларов в зависимости от размера информационного ущерба. Эксперты уверены: в России штрафы следует увеличить кратно. Пока Россия не готова к цифровому профилю. И в первую очередь по причине невозможности обеспечить должный уровень безопасности.