В начале 2021 года вступил в силу закон от 29.12.2020 о расширении сфер применения биометрии №479-ФЗ. Благодаря принятым в нем изменениям физические лица смогут получать по биометрическим данным широкий спектр услуг без предъявления паспорта как в дистанционных, так и в очных каналах. Также принятый закон утверждает обязанность банков с универсальной лицензией и право банков с базовой лицензией регистрировать биометрию граждан в Единой биометрической системе. По закону банки с универсальной лицензией обязаны обеспечить возможность клиентам-физическим лицам открывать счета и вклады в рублях, а также получать кредиты по биометрии с 1 января 2022 года.  О том, как финансовым организациям работать с биометрическими данными согласно законодательной базе, специально для NBJ рассказывает Дмитрий Улыбин, директор проектов блока цифровой идентичности ПАО «Ростелеком».

Основные документы

Единая биометрическая система появилась в 2018 году, поэтому основной массив нормативных правовых актов, относительно обеспечения безопасности при работе с биометрией был разработан в это же время. Основные документы, регулирующие обеспечение безопасности при работе с биометрией:

Указание банка России № 4859-У/01/01782-18 от 09.07.2018 г. «О перечне угроз безопасности, актуальных при обработке, включая сбор и хранение, биометрических персональных данных, их проверке и передаче информации о степени их соответствия». Согласно этому документу, угрозы информационной безопасности при работе с биометрией в целом можно разделить на два основных типа:

1. Угроза нарушения целостности биометрических данных – риск того, что на различных участках пути от организации до Единой биометрической системы некто может вмешаться и подменить биометрические образцы или результат идентификации

2. Угроза нарушения конфиденциальности биометрических персональных данных  — риск того, что передаваемые  данные будут разглашены третьим лицам.

Еще один важный документ также необходимо упомянуть. Это методические рекомендации № 4 МР от 14.02.2019 г. «Методические рекомендации по нейтрализации банками угроз безопасности, актуальных при обработке, включая сбор и хранение, биометрических персональных данных, их проверке и передаче информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации».

В нем подробно расписаны рекомендации по обеспечению информационной безопасности для различных процессов работы с биометрией (сбора биометрических образцов, и их использовании для идентификации), описаны технологические участки процесса и классы средств криптографической защиты информации, которые должны применяться в тех или иных ситуациях.

Также важно учитывать ряд более ранних законодательных актов, которые имеют отношение к работе с персональными данным в общем и с биометрией в частности:

1. ФЗ № 152-ФЗ от 27.07.2006 г. «О персональных данных».
2. Постановление Правительства РФ № 1119 от 01.11.2012 г. «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
3. Приказ ФСТЭК от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
4. Приказ ФСБ России от 10.07.2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».
5. ГОСТ Р 57580.1–2017. «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер».
6. Приказ Министерства цифрового развития, связи и массовых коммуникаций РФ от 25.06.2018 г. №  321 «Об утверждении порядка обработки, включая сбор и хранение, параметров биометрических персональных данных в целях идентификации, порядка размещения и обновления биометрических персональных данных в единой биометрической системе, а также требований к информационным технологиям и техническим средствам, предназначенным для обработки биометрических персональных данных в целях проведения идентификации».

Обеспечение требований информационной безопасности

Требования регуляторов в части безопасности при работе с биометрическими данными очень высоки. Они подразумевают:

1. Создание комплексной системы защиты и обеспечение мониторинга инцидентов ИБ в режиме 24/7.
2. Обеспечение контроля целостности и шифрование биометрических образцов по уровню криптографической защиты КВ2.
3. Согласование всех решений по информационной безопасности с ФСБ России.
4. Использование только сертифицированных ФСТЭК России и ФСБ России средств защиты информации.
5. Аттестацию по требованиям ФСТЭК России.

Финансовые организации, которые планируют работать с Единой биометрической системой должны выполнить следующие требования:

1. Использовать внутри банка каналы связи с уровнем защиты КС3 для взаимодействия внутри кредитной организации;
2. Расположить системы, занимающиеся обработкой биометрии в защищенном контуре, по требованиям ИБ по 2-му уровню защиты информации (системно значимые банки должны обеспечить 1-й уровень защиты) в соответствии с ГОСТ Р 57580.1–2017;
3. Использовать при взаимодействии с ЕБС через СМЭВ средство электронной подписи, сертифицированное по классу КВ2 HSM (Hardware Security Module).

Коммерческие биометрические системы

В законе о расширении сфер применения биометрии №479-ФЗ было впервые введено понятие коммерческих биометрических систем – информационных систем организаций, осуществляющих идентификацию и/или аутентификацию с использованием биометрических персональных данных физических лиц – собственных биометрических систем банков и иных организаций, которые используются наряду с Единой биометрической системой. По закону предполагается, что при использовании коммерческой биометрической системы в целях идентификации организация будет сверять данные с Единой системой идентификации и аутентификации и получать степень соответствия из Единой биометрической системы.

Для обеспечения безопасности использования коммерческих биометрических систем в законе предусмотрена обязательная для них аккредитация. Требования к аккредитации устанавливаются для систем, которые проводят идентификацию (т.е. определяют наличие субъекта в информационной системе), и для систем, которые проводят аутентификацию (т.е. проверяют подлинность пользователя).

Кроме того, в соответствии с положениями закона №479-ФЗ коммерческие биометрические системы размещают в Единой биометрической системе данные, при соответствии их установленному качеству и при наличии согласия субъекта.

Что касается требований к безопасности данных в коммерческих биометрических системах – на данный момент соответствующие нормативные правовые акты также находятся на стадии проработки.

Решения по информационной безопасности

На сегодняшний день существует три пути обеспечения информационной безопасности при работе с биометрией:

1. Собственная разработка решения по информационной безопасности – наиболее долгий, трудозатратный и дорогой способ. Необходимо пройти путь от создания и согласования системного проекта решения до получения заключения ФСБ России о соответствии решения требованиям информационной безопасности, а также методическим рекомендациям № 4-МР о методах нейтрализации банками угроз безопасности при работе с биометрическими данными.  

2. Типовое решение по информационной безопасности – финансовая организация может приобрести готовое сертифицированное решение по информационной безопасности, в которое входит оборудование (криптомаршрутизаторы, межсетевые экраны, сервера, сетевые маршрутизаторы), специализированное ПО и услуги по его внедрению и поддержке.

3. Облачное решение по информационной безопасности – наиболее дешевое и простое во встраивании решение. Облачное решение представляет из себя несколько сервисов, которые могут использоваться для подписания биометрических образцов, из которых в Единой биометрической системе будут созданы биометрические контрольные шаблоны, для удаленной идентификации и аутентификации пользователей. Практически все оборудование для обеспечения информационной безопасности располагается на территории провайдера, для взаимодействия с ним была создана защищенная криптографическая сеть. Решение предоставляется по подписке. В зависимости от предполагаемого количества регистраций биометрических образцов и/или удаленных идентификаций по биометрии, которые организация планирует проводить, существуют различные тарифы.