Тема сбора биометрических данных граждан сегодня в постоянной повестке. На днях СМИ даже умудрились связать её с кадровым вопросом – поиском замены для бывшего руководителя НСПК Владимира Комлева, которого, напомним, уже как полгода нет в НСПК. Как утверждали источники, ему на смену должен прийти один из топ-менеджеров структур Минцифры – специалист в биометрии. Для чего? Ясно для чего – чтобы придать импульс развитию этого направления в НСПК: интенсифицировать усилия по внедрению биоэквайринга, биоаутентификации и прочих «био». Так ли это на самом деле, и сбудутся ли прогнозы – мы скоро узнаем. Ну, а пока реалии таковы, что число граждан, желающих сдать свою биометрию, невелико, а специальные пункты сбора данных, организованные в банках, простаивают. Время от времени оборудование, конечно, включают, тестируют, чтобы убедиться в работоспособности, и отправляют об этом отчёты в Центробанк. В интервью Национальному банковскому журналу (NBJ) Тимур АИТОВ, председатель комиссии по финансовой безопасности Совета ТПП РФ, делится своим «особым мнением» о происходящих процессах. 


NBJ: Тимур Науфальевич, что нас ждёт впереди? Меняется ли отношение граждан к биометрии? Переломят ли ситуацию усилия ЦБ РФ?

Т. АИТОВ: Не сомневаюсь, что усилия ЦБ РФ приведут к результату, и мы в большей мере начнём использовать биометрию для самых разных целей. Другое дело, что мне остаётся неясным, почему именно регулятор старается. Я слышал даже «конспирологические» версии о том, что это крупные банки специально тему сбора биометрии «вбросили» – с тем, чтобы «разорить» малые банки. Дескать, сбор биометрии, включая организацию самого пункта приёма – достаточно дорогостоящая задача, как минимум, 6–7 млн рублей на одну точку приёма, не всем малым банкам это под силу. Тем более, что банки, как объекты критической информационной инфраструктуры (КИИ), обязаны хорошо вложиться в ПО – им следует к 2025 году заменить импортные АБС-ки на российские, задача тоже непростая и тоже недешёвая. В итоге появляется двойная нагрузка. Возможно, такие расходы действительно подкосят часть малых банков.

NBJ: Ну, а вы сами верите в эту версию – могли ли такую «засаду» системообразующие банки подготовить в действительности? 

Т. АИТОВ: Конечно, однозначных свидетельств участия крупных банков нет. Думаю, что не особенно им это и надо – вот почему. Во-первых, у малых банков есть своя твёрдая ниша – «крупняк» в неё не лезет. Во-вторых, текущая геополитическая ситуация дополнительно подняла статус малых банков – сегодня они решают важные для страны задачи по организации трансграничных платежей. Они же малые – значит, незаметные, а раз незаметные, то практически не подпадают под санкции. Именно поэтому до сих пор малые банки не отключили от SWIFT – а у нас их около двухсот, – они совершенно официально пользуются услугами SWIFT, и заменить их на СБЕР в этой части невозможно. Ну, а в-третьих, сама бизнес-идея дать банковскому клиенту возможность уйти в другой банк, да ещё и заплатить за организацию этого мероприятия, – мягко скажем, не очень привлекательная, и точно не нравится ни большим, ни малым банкам – здесь у них интересы едины. 

NBJ: Тема сбора биоданных, тем не менее, не умирает. Новый импульс призван дать биоэквайринг, модная тема с ракурсом на финтех, на поколение Z, на всех любителей новаций. Идёт уже масса конференций на эту тему, обсуждаются плюсы и минусы технологии. Провайдеры не стоят на месте – активно предлагают свои решения банкам…

Т. АИТОВ: Особого энтузиазма в этом направлении у банков я не вижу – да, обсуждают, да, комментируют, но конкретики мало. Процессы внедрения и активного использования новой технологии в банковском бизнесе тормозит то, что достаточной клиентской базы в ЕБС – Единой биометрической системе – на самом деле нет. Напомним, ЕБС, как детище Ростелекома, призвана с октября прошлого года заменить все имеющиеся биометрические базы сторонних организаций – включая ИТ-компании с камерами видеонаблюдения, различного рода ДИТ’ы в крупных городах и так далее. Заменила ли сегодня ЕБС корпоративные базы данных или нет, все ли сдали данные – мы не знаем. У меня такой уверенности, что все сдали данные в ЕБС, нет, потому что до настоящего времени некоторые владельцы биометрических и персональных данных ими подторговывали – по крайней мере, могли подторговывать, оказывая адресные услуги тем же банкам, например, привлекая в банковские офисы клиентов, которые привязаны по геолокации или по времени нахождения вблизи конкретного банковского учреждения. Подозревать телекомы и похожие организации в том, что они действительно не сдали, не будем. Ясно одно, что судя по пустующим офисам приёма биоданных, в ЕБС этих данных немного.

NBJ: А как насчёт решения другой важнейшей задачи – снижения риска мошенничества? Ведь биометрические данные сложно подделать при аутентификации владельца, нелегко и злоумышленникам в несанкционированных действиях? Клиентам это понравится. В этом направлении явно банкам нужно двигаться… 

Т. АИТОВ: Наших граждан обмануть сложно, и красочным заявлениям о том, что жить им станет проще, сдав свои слепки, они не очень-то и верят. 
Тем, кто сомневается в этом, я рекомендую почитать форумы и мнения клиентов об утечках на популярных банковских маркетплейсах…
Конечно, биометрия как дополнительная аутентификация, полезна. Но именно как дополнительная – подделать биоданные и обойти заслоны можно – нам уже демонстрировали фото отпечатков пальцев известных личностей, снятых с фужера на публичных мероприятиях. Про голос вообще упоминать не буду – даже у не слишком публичных личностей голос легко копируется, а теперь даже и фальсифицируется силами искусственного интеллекта.

NBJ: Чего всё же больше у биометрии – плюсов или минусов? Что в сухом остатке?

Т. АИТОВ: В остатке пока весомые минусы – это и возможность утечки чувствительных данных, которые могут использоваться без согласия владельца. Это и «родовые» проблемы биометрии: сложность замены данных при их потере или компрометации. Если биометрию скомпрометировать, то восстановить надёжность её использования – задача почти нерешаемая. В отличие от классического пароля, данные нельзя изменить – изменить голос или геометрию лица невозможно. 
Конечно, федеральный реестр биометрии, видимо, поможет выявлять лиц в розыске. Возможно, пригодится и для престижа – часто говорим о том, что в России сильно развит финтех. А для тех, кто хочет «заплатить улыбкой», теперь всё это станет реальным. И хотя ситуация неоднозначная – есть и очевидные плюсы от применения биометрии – однако минусов пока больше.

NBJ: Каковы ваши прогнозы в отношении перспектив и рисков технологии в целом по миру?

Т. АИТОВ: В части перспектив, обращу внимание на опыт бывших западных коллег – проблем биометрии они озвучивают ещё больше. Напомню, были и огромные утечки, как в хранилищах, так и в нескольких известных социальных сетях. Пропали и были скомпрометированы огромные объёмы информации – десятки миллионов записей, включая не только дату рождения, но и вероисповедание, тип устройств, используемых для доступа и проч. Конечно, информация в этих сетях была не финансовая, однако весьма полезная для последующей аутентификации и идентификации пользователей в атаках методами социальной инженерии. Всё используется для той самой социальной инженерии, которая и у нас расцвела и не собирается никак исчезать.

В будущем маячат на горизонте более серьёзные атаки – так называемый identity theft, «кража личности». До сих пор в дискуссиях часто считается, что персональные данные украсть – это для того, чтобы взять кредит на подставное лицо или что-то подобное. На самом деле, угрозы здесь более серьёзные и многогранные, а использование украденных цифровых личностей гораздо шире. В текущих условиях, например, это те же террористы, которые у нас появились: этим они могут легализовывать происхождение преступных средств. И это не мои фантазии. Например, после события 11 сентября было установлено: примерно 30 % финансовой поддержки террористы получили за счёт «ненадлежащего благотворительного пожертвования». «Ненадлежащие» пожертвования может совершить украденная цифровая личность, имеющая полный набор атрибутики цифрового профиля.

И всё это – уже реальная угроза, увы!

Отмечу, что в недружественных странах единичная кража личных данных считается преступным деянием, наказуемым лишением свободы на срок до двух лет, а за хищение в террористических целях срок увеличивается до 5 лет. У нас наказания в части пропажи персональных данных тоже собираются усиливать – грядут оборотные штрафы за утечки в 3–4 %, обсуждается наказание в виде лишения возможности занимать должность директора по ИБ на 10 лет – это уже по части лиц, допустивших утечки. Но здесь подчеркну момент: кража личности – это не обязательно массовая утечка, это чаще точечная атака, и за воровство этой личности у нас конкретного наказания до сих пор нет, а оно требуется.

NBJ: Как тогда быть с дальнейшим развитием самой платформы ЕБС? Это и большой профессиональный коллектив, уже много чего вложено. Пригодится ли ЕБС в будущем – возможно, для каких-то других целей?

Т. АИТОВ: Думаю, шансы ЕБС стать полезной стране сильно бы возросли, если бы её (вместе с ЕСИА) инициаторы позиционировали, в первую очередь, не как систему управления биометрией и платформу удалённой аутентификации, а как федеральный реестр субъектов – участников цифровой экономики. 
И государству хорошо и банкам явно пригодится. Задача актуальна, и место вакантно.   


Беседовал Станислав Комаров

Материал также опубликован в печатной версии Национального банковского журнала (май 2024)