Успех внедрения биометрии зависит от того, как выстроен процесс повышения осведомленности

Подчеркну особо, что я не говорю о биометрии как таковой. Она вполне себе применяется на корпоративном уровне, и очень неплохо. Но когда речь заходит о проектах национального масштаба, картина вдруг меняется и, казалось бы, очевидные преимущества перестают быть таковыми.

Положительный опыт

Возьмем недавний инцидент, произошедший в Китае, где биометрическая система выявила убийцу, который пытался получить деньги своей жертвы, подставив под видеокамеру ее труп. Система быстро распознала отсутствие признаков жизни и просигнализировала об этой аномалии уполномоченным сотрудникам, которые и подтвердили, что на видеоизображении мертвый человек. Дальше последовал сигнал правоохранительным органам, которые быстро скрутили убийцу, признавшегося в содеянном. Вот он, яркий пример того, как может работать система в финансовой сфере.

Или, например, "Аэрофлот", который внедрил распознавание голоса в своем кол-центре и тем самым снизил нагрузку на операторов и их число, взяв на автоматизированный контроль первоначальный контакт с клиентами. Тоже положительный опыт.

Обход системы

С другой стороны, на прошедших в августе в США конференциях Black Hat и DefCon было несколько докладов о том, как можно обойти системы биометрической идентификации и выдать себя за другого человека. И эти две американские конференции – не единственные, кто уделяет внимание взлому биометрии.

Самым ярким примером, пожалуй, я бы назвал проект DeepFake, который в шутку позволял менять лицо людей на видеоизображениях на любое другое. Так появились смешные ролики с Николасом Кейджем, который "превращался" то в гнома, то в женщину, то в сказочного героя, при этом качество подмены было достаточно высоким. Лицо Кейджа, а за ним и многих других знаменитостей, делало все то, что изначально делал оригинал: так же говорило, так же менялась мимика, так же двигались губы. Потом стали появляться и аналогичные приложения, которые подменяли личность на более профессиональном уровне. Это явление в целом получило название Deepfake.

В чем проблема ЕБС?

И вот тут я бы хотел вновь вернуться к ЕБС. С ней не все так просто. В утвержденной Банком России и согласованной с ФСБ России модели угроз я не нашел в явном виде упоминания угроз, аналогичных Deep-fake, собственно, как и многим другим угрозам, присущим биометрии. И при этом банки обязаны внедрять у себя компоненты ЕБС, не имея возможности отказаться. Тратятся миллионы рублей, но где отдача от этой системы?

Альфа-Банк недавно заявил, что потратил на внедрение ЕБС $1,5 млн, но никакой отдачи не видит. Банк России обязал всех своих сотрудников сдать биометрические данные для ЕБС. Вообще число граждан России, которые их сдали, измеряется долями процента от целевой аудитории. Почему так?

Вроде бы у системы есть очевидные преимущества – она позволяет получать финансовые услуги, не выходя из дома. Но… Оказалось, что там, где у граждан есть деньги, а это обычно крупные города, им не составляет большого труда прийти в офис банка и совершить нужную операцию. А там, где удаленная идентификация действительно могла бы сэкономить на посещении банковских отделений, денег нет. Но признавать такой просчет никто не хочет, и ЕБС по-прежнему навязывают всем банкам, даже не видящим в этом никакой бизнес-отдачи.

Чья ответственность?

Есть и еще одна проблема с ЕБС. Дело в том, что до сих пор открытым остается вопрос: а кто несет ответственность за все происходящее в ЕБС? Кто отвечает, если кто-то взломал.

ЕБС и внес в нее коррективы или вовсе украл исходные биометрические данные граждан? Банк России? Он дистанцируется от этого. Банк, собирающий биометрию? Так он ее не хранит. Ростелеком? Он тоже не хочет брать на себя эту роль.

В итоге ключевой вопрос любой системы безопасности ("кто крайний?") остается без ответа. Это также не вызывает оптимизма, но уже у обычных граждан, в среде которых циркулирует слух, что ЕБС затевалась не для оказания финансовых услуг дистанционным способом, а для сбора биометрических данных граждан России в целях идентификации неблагожелательных личностей на всяких митингах, в местах массового скопления людей, ну и, конечно, для борьбы с терроризмом и экстремизмом. Кто-то даже говорит о том, что Россия хочет внедрить систему социального рейтинга, аналогичную той, которая запускается в Китае, и которая завязана на биометрическую идентификацию граждан.

Удаленная идентификация = личное присутствие?

Третья проблема ЕБС, с которой столкнулись банки в процессе ее внедрения, заключается в том, что до сих пор нет ответа на вопрос, можно ли считать удаленную идентификацию равнозначной той, которая происходит при выполнении транзакций при личном присутствии. В последнем случае клиент всегда ставит свою подпись собственноручно, и это является серьезным доказательством при разборе конфликтных ситуаций, и особенно в суде. А вот как доказать, что клиент осознанно согласился с какой-либо дистанционно проведенной операцией? Что является доказательством прохождения идентификации и аутентификации? Логи ЕБС?

В условиях несложившейся судебной практики этот вопрос сильно волнует банковских юристов и рисковиков, которые пока не знают, как описывать процессы, связанные с физическим отсутствием человека при совершении банковских операций. То есть вновь возникает ситуация: закон разрешил удаленно идентифицироваться, но детально никто не расписал в нормативных актах, как осуществляется данное действие в рамках существующих процессов. И это еще один барьер для, казалось бы, отличной технологии, которая призвана сэкономить людям деньги, время и нервы.

Процесс адаптации

Когда в корпоративной среде внедряется какое-либо новое решение, всегда есть процесс адаптации, когда сначала можно пользоваться и старыми, и новыми методами. Затем постепенно старые подходы замещаются, но все это сопровождается активной работой по повышению осведомленности сотрудников: что это, зачем, как пользоваться, кому задавать вопросы и т.п. Ну, по крайне мере, у нас это так.

Тогда внедрение проходит безболезненно и с наименьшими "потерями" (недовольные всегда будут, но число их незначительно). В случае с ЕБС, к сожалению, регуляторы самоустранились от процесса разъяснения всех нюансов работы с этой системой. Производители решений для нее тупо продвигают свои продукты под соусом “Вы обязаны купить, иначе вас накажет регулятор”.

Вот у потребителя и возникает в такой ситуации отторжение того, что могло бы действительно стать уникальным проектом даже в международном масштабе, где биометрия на национальном уровне преимущественно реализуется только для идентификации граждан по паспорту с биометрическим чипом. Но увы, пока проект буксует, чего не скажешь о корпоративном секторе, где существует немало примеров успешных внедрений систем биометрической идентификации по голосу, изображению лица или иным биометрическим признакам, которых насчитывается пара десятков.

Защита биометрии

Правда, и в этом случае тоже не стоит думать, что это панацея, которая решает все проблемы. Достаточно просто помнить, что подобранный пароль или украденный токен можно легко заменить, а вот утекший биометрический профиль (особенно если он хранился в "сыром" виде, а не в виде свертки) заменить будет проблематично. Поэтому как никогда важна проработка вопросов защиты биометрии от различных угроз, и криптография составляет примерно 10% от общего числа защитных механизмов, которые должны применяться в этом случае.

Именно поэтому многие успешные проекты сегодня рассматривают биометрию не как основной, а как вспомогательный способ идентификации и, как правило, в некритичных кейсах. Например, та же идентификация по голосу в центрах обработки вызовов позволяет сократить время на обслуживание клиентов, что дает вполне серьезную экономию. Но как механизм безопасности она не рассматривается. Чтобы сделать ее таковой, придется не только составить правильную модель угроз и выбрать соответствующее техническое решение (которое в том числе умеет бороться с Deep-fake), но и проработать вопросы защиты вокруг него, а также, что еще важнее, грамотно вписать биометрию (особенно если она удаленная) в существующие процессы и разработать процедуру разбора конфликтных ситуаций. Без этого внедрение биометрии на скорую руку и впопыхах может сформировать у людей стойкое убеждение, что биометрии доверять нельзя.

А это – недопустимо!