Выступал я вчера на Саммите Развития на тему биометрии (
видео моего выступления смотреть с 57-й минуты). И хотел бы тезисно повторить свою мысль, которая прозвучала после выступлений представителей власти и бизнеса, которые ратовали за активное внедрение биометрии, которая должна защитить нас от мошенников и вообще сделать нашу жизнь более безопасной:
🔤 Биометрия - это не про безопасность. Это про удобство идентификации граждан, но ни в коем случае нельзя считать, что этот механизм поможет улучшить безопасность сам по себе. Только в совокупности с другими факторами и не как основной инструмент, и при наличии мер мониторинга и антифрода, который, кстати, существует далеко не во всех сценариях, куда хотят прикрутить биометрию.
🔤 Утекший пароль можно поменять. Скопрометированный сертификат ЭП можно перевыпустить. Даже украденный паспорт можно получить новый. А биометрию поменять невозможно!
🔤 Когда мы слышим про аттестацию ЕБС или использование самой крутой русской криптографии - это подмена понятий и попытка переложить ответственность на других. Аттестация - это бумажка с печатью, которая не гарантирует реальной безопасности (достаточно вспомнить, что все крупные взломанные ГИСы в последнее время тоже имели аттестаты). А в лоб криптографию никто не ломает. И когда кто-то называет систему невзламываемой, то сразу находятся желающие продемонстрировать обратное. Вопрос стоит не "если взломают", а "когда взломают".
🔤 Говоря про безопасность биометрии все смотрят на проблему точечно, со своих позиций (банк, ЦБТ, МФЦ, оператор связи и т.п.), а смотреть надо на весь жизненный цикл. Если кто-то придет в МФЦ с фальшивым паспортом на мое имя и сдаст за меня биометрию, то для ЕБС именно мошенник будет Алексеем Лукацким, а не я сам. И доказывать потом, что я не верблюд, будет очень сложно.
🔤Безопасность биометрии определяется не тем, насколько хорошо все работает, а тем, что произойдет, когда случится что-то плохое. Если я внезапно получу уведомление, что кто-то от моего имени и с "моей" биометрией получил кредит и приду в банк разбираться, то как я докажу, что я этого не делал? Почему меня будут футболить банк, который выполнил все регламенты и соответствует требованиям по ИБ, ЦБТ, который выполнил все регламенты и тоже соответствует требованиям по ИБ?
🔤 Кто несет ответственность за неверное принятие решений на базе биометрии? Какова процедура разбора конфликтов и куда обращаться гражданину, чтобы его не отправляли в суд или "где биометрию сдавали, туда и идите"? Почему все государственные проекты по безопасности не имеют никакой процедура разбора конфликтов и вообще плана реагирования на нештатные ситуации и на инциденты? Почему государство и его структуры не несут никакой ответственности за результат и за проекты, которые часто не носят добровольного характера?
🔤 Почему государство, утвердив различные модели угроз биометрическим персональным данным, "забыло" включить в него дипфейки? Ведь если мошенники уведут у меня деньги с помощью дипфейка, то предъявить претензии я не смогу. Формально угроза дипфейка не считается актуальной и защищаться от нее никто не обязан.
#биометрия #дипфейк
