Берегите(сь) персональные данные!

Наверное лишним будет говорить о важности персональных данных и необходимости их тщательно оберегать. Появление в 2006 Федерального Закона под номером 152 “О персональных данных” было вполне логичным и единственный вопрос, который возник, был: “Почему так поздно”?

При том, что с самого начала массовой компьютеризации, где-то в 90-е, начала процветать торговля этими самыми персональными данными. Пионерами, по всей видимости, в силу наибольшей востребованности, была ГИБДД, чьи базы с регистрационными данными автомобилей продавались даже в подземных переходах.

Следует заметить, что именно компьютеризированные базы данных формировались и собирались государствами всего мира с самого момента появления такой технической возможности. Другое дело, что спереть эти данные было достаточно проблематично. Так как хранились они на носителях, которые было невозможно не только вынести из помещения вычислительно центра, но и считать за его пределами. Тот, кто видел, что представлял из себя “винчестер” у компьютеров системы ЕС ЭВМ, понимает о чём идёт речь.

Даже ленточные накопители, характерные для БЭСМ или Минсков, практически полностью исключали возможность их кражи и на сто процентов - возможность их прочитать за пределами “родного” ВЦ. Одновременно все эти, на современный взгляд, архаичные накопители, тщательно хранились, учитывались и были вполне надёжно защищены от разрушения в результате любых катаклизмов.

Риски несанкционированного доступа к хранившимся таким образом персональным данным, их утраты или внесения изменений сводились к возможности договориться с оператором терминала, расположенного либо в машинном зале, либо на специальных объектах, типа полицейских участков.

Надо отметить, что как раз в начале 90-х у нас развился бизнес у появившихся тогда ЧОПов, имевших контакты по предыдущему месту службы, как правило с действующими сотрудниками КГБ/ФСБ, которые, для поддержания штанов, оказывали услуги по “ответу на запрос”.

Важность и актуальность работы с персональными данными и беззащитность индивидуума перед теми, кто, имея такую возможность, решит их подредактировать, нашло своё отражение во множестве кинофильмов, в основном голливудского происхождения. Которые, по принципу “что вижу, то и пою”, всегда отражали те настроения и направления, в которых живут и собираются двигаться в дальнейшем американские спецслужбы. Тема “подмены идентичности” долго и упорно вдувалась в уши аудитории, приучая её к мысли, что цифровое отражение жизни любого персонажа по факту не принадлежит ему самому.

Был во всей этой истории примечательный, познавательный и любопытный переходный момент. Когда у государства всё хранение и обработка данный происходили на “больших” машинах, а у народа уже появились “персоналки”, было невозможно перебросить данные с одной системы на другую не только из-за физической невозможности прочитать (даже украденный с предприятия полноразмерный жёсткий диск или катушку с лентой), но и из-за несовместимой структуры данных. И вот этот барьер оказался разрушен благодаря появлению промежуточного класса вычислительной техники, названной “Мини-ЭВМ”. То есть это были уже не огромные залы, заполненные гудящими ящиками невероятных размеров, а пара шкафов гардеробного формата, которые могли обрабатывать и хранить у себя данные объёма и сложности от “Больших” машин. И при этом поддерживать те форматы сменных носителей, которые прижились у “персоналок”. Именно на этом оборудовании и началась системная утечка данных из госорганов.

Те же ЧОПы сумели обзавестись не только связями с сидящими на базах сотрудниками, но и собственными копиями фрагментов этих баз, которыми затем самостоятельно приторговывали. Как Вы думаете, кто был основным покупателем этой информации? Всё правильно, банки, которые параллельно начали собирать и наращивать свои собственные массивы персональных данных клиентов.

Вообще говоря, основных точек сосредоточения персональных данных всего три. Это госорганы, не разделяя ФСБ, МВД, Минздрав и прочие “Мои Документы”, операторы сотовой связи и уже упомянутые банки. При этом они не просто обмениваются чувствительной информацией друг с другом законным способом, но и делают то же самое из под полы.

У автора был личный опыт, когда один банк, решив поиграться в рейдеров, выудил из сотового оператора детализированный биллинг, а затем использовал его, рассылая чернуху по абонентам из полученного списка. Наверное лишним будет сказать, что никаких законных оснований у этого банка не было?

Ну вот, теперь давайте попробуем разобраться, чем угрожают утечки персональных данных. С одной стороны можно говорить, что обычному человеку скрывать нечего и бояться этого не стоит. Но это иллюзия. Отвлекаясь от всякой конспирологии с подменой личности, достаточно напомнить про надоедливые звонки “службы безопасности сбербанка”, “следователей с Петровки-38” или торговцев “гербалайфом”. Поскольку уже утёкшие персональные данные находятся в руках мошенников (а кому ещё они нужны?) самого разного калибра, можно было бы расслабиться с одной стороны и не терять бдительности с другой, но так ни у кого не получится. Дополнение этих данных любой расширенной информацией может привести к тяжёлым материальным (в лучшем случае) последствиям.

Для понимания ситуации нужно рассказать одну показательную историю. В жизни одного узкого, но международного сообщества произошло событие. Само сообщество, объединяющее людей, увлекающихся старинными автомобилями, будучи с одной стороны очень закрытым, так как в свой гараж вменяемый человек кого попало пускать не будет, а с другой - очень открытым, так как любимые игрушки, а это старые и красивые автомобили, все любят выгуливать при большом стечении публики, никогда не афишировало свои “сокровища” каким либо системным образом.

Но, как Вы помните, в великом фильме “Берегись автомобиля” была сформулирована максима от том, что каждый не имеющий желает купить, а каждый обладатель имеет желание продать. И вот здесь у одного из не просто членов, а у целого организатора мероприятий, возникла бизнес идея: раз каждый уже имеющий, хочет либо продать своё достояние, либо похвалиться им, то можно организовать процесс, издав красочный справочник со всем достоянием. При этом владельцы должны оплатить некую (не маленькую) сумму и предоставить фотографии и описание того предмета, которым они хотят похвалиться или готовы его продать. А организатор всё это соберёт под одной красивой обложкой, издаст фолиант и распространит его между "членами клуба".

Пикантность ситуации заключалась в том, что никаким образом отследить собственника большинства такого рода автомобилей невозможно. Просто потому, что они либо зарегистрированы не пойми на кого, либо вообще не существуют как объект транспортного учёта. Какая нибудь Alfa Romeo где нибудь 1934 года выпуска могла последний раз быть зарегистрирована как автомобиль в 1959 году в какой-нибудь странной и удалённой юрисдикции, а затем сменить десяток владельцев, отметившись на аукционе уровня Coys ценником в не один десяток миллионов евро.

Первое издание такого каталога с ярмарки тщеславия вышло из печати и, как было оговорено со всеми “пайщиками”, каждый получил свой заветный экземпляр для поставить на полку и хвалиться время от времени. Но поскольку издатель решил заработать ещё чуть чуть, книжки с красивыми картинками попали в открытую продажу. Где их приобрели в том числе и альтернативно заинтересованные люди. Знаете что стало итогом? Резко возросли кражи этих самых автомобилей. То есть объединение информации о факте существования у определённого частного лица (про которого всё известно) предмета с понятной рыночной стоимостью, возбудило любителей отъёма чужих ценностей.

Кстати, тем же самым, на этой же почве, очень полюбили заниматься отечественные силовики. Поскольку принцип “был бы человек, а статья найдётся” никто не отменял, у многих из отечественных любителей таких же автомобилей просто отжали их игрушки, возбуждая откровенно и нагло фальсифицированную “уголовку”.

Теперь, когда на наглядном примере показано, как дополнение вполне невинных персональных данных информацией о наличии у гражданина чего либо, заинтересовавшего не очень чистого на руку индивида, может вызвать зачастую непредсказуемые последствия, начиная от испорченных нервов до утраты собственности, а иногда, как это принято у “чёрных риэлторов”, и жизни.

Давайте теперь разберёмся, какие данные, из собранных ранее упомянутыми структурами, несут наибольшую опасность. Пожалуй самым невинным является набор данных, находящийся в руках сотовых операторов. Собственно кто, когда и откуда кому звонил, сколько интернет трафика он потребляет и сколько денег на всё это тратится, вот собственно говоря и всё. Как это использовать в недобрых целях? Кроме описанного ранее способа “нагадить” или поймать за руку неверную или неверного, мало что приходит в голову. Конечно можно придумать много всяких мелких гадостей, но ценность этой информации может возрасти лишь будучи дополненной из других источников. Кстати, поэтому данные из сотовых операторов, которые одно время вообще не парились их защитой, не так сильно утекают. Просто потому, что не очень то они и нужны.

А вот данные, собранные госорганами, представляют очень большой интерес. Здесь и собственность, в виде движимого и недвижимого имущества, и сетка родственных связей, всё про здоровье и болезни, документы и сделки, не говоря уже о взаимоотношениях с органами налоговыми и защиты правопорядка. Конечно данные эти сильно фрагментированы и распределены между пока ещё не связанными между собой структурами, но надеяться, что никто ими не воспользуется, достаточно наивно. Тем более, что те же, имеющие право доступа ко всему массиву по долгу службы полицеские и иные силовики, зачастую пользуются этим правом в личных целях. Примеров и последствий можно привести тонны, но это явно раздует размер данной статьи до невероятного размера.

Вот мы и добрались до самого опасного (и самого дырявого) источника накопления персональных данных, до банков.

Следует заметить, что отечественные банки, с самого начала своего появления в новейшей истории, относились как к деньгам клиентов, так и к их “досье” ровно как к своей персональной собственности, то есть делали с ними всё, что хотели. То есть не только председатель правления или начальник службы безопасности мог свободно покопаться в этом во всём, но и практически каждый рядовой сотрудник.

Сомневающимся следует напомнить, с чего и каким образом начиналась “борьба с коррупцией” ныне запрещённого иноагента ФБК. Поскольку среди молодёжи на юношеском нигилизме навальнистам соратников вербовать всегда было несложно, неисчерпаемым и совершенно бесплатным источником данных о личных финансах были молодые операционисты. Мальчик или девочка, сидящие на ресепшн в отделении банка могли легко выудить любую информацию о движении денег по счетам каждого клиента.

Поскольку по внутренним регламентам делать это нельзя, но фактического контроля и ограничения прав доступа сами банки и их службы безопасности не вводили, остаться незамеченным слившему компроматик было довольно просто. Главное было не делать глупых ошибок, за которые могла бы зацепиться проснувшаяся СБ.

А вот теперь мы вернёмся к теме настоящей статьи, а именно ФЗ “О персональных данных”. В котором сформулированы меры по обеспечению их безопасности. Цитирую статью 19 п.1: “Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.”

Желающие могут почитать эту главу до конца, тем более что в ней собрано всё, что только можно придумать для обеспечения безопасности и сохранности информации. На всякий случай напомню, что закон принят аж в 2006 году. И мы поговорим о том, что как раз в это время проделывали наши любимые банки.

Тогда начали активно развиваться банковские колл-центры. Появляться и развиваться они начали задолго до, но как раз к середине 2000-х банки начали фактически навязывать эти услуги. Развивая при этом сами колл-центры, как отдельное направление бизнеса. Пооткрывав их в самом начале в головных офисах, банки достаточно быстро смекнули, что содержание кучи народа в помещениях с дорогой арендой да ещё за среднестоличные зарплаты стоит непотребно дорого.

И та же девочка (или мальчик) в удалённом райцентре (хорошо если не в деревне Гадюкино), при активном развитии всей цифровой связи с виртуальными АТС, обойдётся намного дешевле. И колл-центры поехали в города и веси. Скорее даже в сильно удалённые веси. И пользующиеся их услугами стали замечать, что говорок отвечающих операторов стал довольно разнообразным. А что, страна у нас большая, язык великий и могучий, а произносительных норм у него не перечесть. Лингвисты, они конечно точно знают сколько. Обыватель же отличит максимум Вологодское оканье от Курского фрикатива.

Но речь не об этом. Дистанционно удалённая от головного офиса барышня так или иначе подключена к информационной системе банка, которая открывает ей доступ ко всей клиентской информации. И даже если банковские айтишники всё сделали по-уму и утечка информации из выделенного канала связи исключена, барышня оператор имеет возможность выудить любую информацию о любом клиенте по ранее описанному “навальнистскому” сценарию. При этом возможностей выявить и наказать допустившего утечку сотрудника на удалёнке многократно сложнее.

Поскольку пропускной способностью линий связи в те годы было не так радужно, уже упомянутым айтишникам пришлось использовать технологии так называемой репликации. То есть выносить копии баз данных на сервера, максимально приближенные к точкам доступа к информации. В итоге данные расползлись по сотням (в случае маленького регионального банчика) до десятков тысяч удалённых серверов ( в случае того же Сбера). Если Вы считаете, что вероятность утечек от этого не изменилась, то Вы и есть тот самый наивный чукотский юноша из народного фольклора. С чего бы, как раз в тот исторический момент, так участились звонки “службы безопасности сбербанка”, совершаемые из мест не столь отдалённых?

А как же шифрование данных? Спросите Вы. Вопрос конечно же справедливый, но наивный. В первую очередь потому, что для нормального сисадмина, получившего физический доступ к серверу, никакого шифрования не существует. Не в последнюю очередь потому, что страшно и безопасно выглядящие результаты хеширования по распространённому MD-5 алгоритму (да и для более продвинутого SHA-2) на самом деле легко вскрываются тем же админом, который знает, где лежат ключи. Либо в каком месте подменить требуемый логин с паролем.

В качестве справки: собственно данные внутри СУБД, к которыми напрямую обращаются SQL запросы, а по другому базы просто не работают, шифровать не получится. Именно из-за того, что найти ответ на структурированный запрос будет невозможно. Либо это потребует невероятных вычислительных затрат. А поскольку для обеспечения сохранности данных и их восстановления после аварии, необходимо хранить резервные копии на отдельных физических носителях (об этом и в рассматриваемом нами ФЗ много написано), не является большой проблемой умыкнуть бекап (даже за позавчера, в нём всё равно много чего интересного) и восстановить базу на специально склонированном сервере.

Надеюсь Вы поняли, что вместо обеспечения сохранности данных банки устроили большую дырку. Получилось, что “бери - не хочу” при небольших материальных и организационных затратах. Но дальше всё пошло ещё более чудесатее.

Неожиданно выяснилось, что с началом 2010х оказалось намного дешевле содержания тысяч и сотен тысяч, даже сильно удалённых колл-центров с приближенными к ним  серверами, просто отдать всё это хозяйство на аутсорсинг. Как Вы думаете куда? Именно в незалежную. Помимо того, что народ там обходится ещё дешевле, чем в упомянутом Гадюкино, так и расходы на it-инфраструктуру оказались в разы ниже, чем на Родине.

Какой банк может удержаться от такой экономии? Никакой и не удержался, и тот же Сбер был в числе первых, наоткрывав заодно своих собственных отделений по территории сопредельного тогда ещё государства. Как Вы думаете, с чем был связан соседский аттракцион невиданной щедрости?

Всё более чем очевидно. Наши бывшие “партнёры” и лидеры IT индустрии давно поняли, что в концепции BIG DATA наши персональные данные являются не только товаром, но и стратегическим ресурсом. За предоставление такого огромного ресурса можно и немножко приплатить. Хотя это скорее классифицируется как “чуть меньше заработать”.

Деятельность по сбору всей чувствительной персональной информации, которая при проведении комплексного её анализа гарантированно даст механизмы для точечного воздействия на каждого отдельно взятого индивидуума, ведётся спецслужбами, в первую очередь США, давно и успешно. И не только в отношении нас. Довелось наблюдать как целенаправленно в одной из всемирных некоммерческих организаций буквально насильно заставили всю персональную информацию подпадающих под её сферу интересов граждан, из зоны регистрации этой организации (штаб квартира в Бельгии собирала и хранила всё в бумажном виде), перевести в облачную базу данных, хранящуюся угадайте где?

Тем временем российские банки просто отдали весь массив, как персональной информации наших граждан, так и бизнес информации нашему противнику и ещё приплатили за это. В дополнение к этому, есть ещё даже не вишенка на торте, а его начинка. Как Вы думаете, кто разрабатывал, разрабатывает и будет разрабатывать программное обеспечение для информационных систем отечественных банков? Конечно же, аутсорсинг. Оттуда, где дешевле. Нет, официально подрядчики российские юрлица. Но субподряд! Если критически посмотреть на публикации на habr и материалы github, то невооружённым глазом видно, что разработчики в подавляющем большинстве из “незалежной”. Интересно, мы будем, сложив ручки на животике, ждать наступления коллапса платёжных систем, ровно так же, как дождались разноса турбины на Саяно-Шушенской?

Вернёмся ка мы от глобальных проблем к первоначальной теме нашего ФЗ. Который возлагает на оператора персональных данных объёмный набор технических и организационных требований ради соблюдения сохранности и безопасности этих данных.

Если коротко набросать это набор, то получится приблизительно следующее:

Программно-аппаратный комплекс, собирающий, обрабатывающий и хранящий персональные данные должен быть надёжно защищён от любых попыток несанкционированного доступа; То есть любое устройство, подключённое к интернету, должно находиться за правильно настроенном файерволлом. Обязательно резервирование как питания, так и дисковых носителей, то есть RAID.

Обязательно не просто резервное копирование, но безопасное хранение, исключающее утрату или уничтожение, и учёт сменных физических носителей резервных копий. Это называется "здравствуйте дата-сейфы".

Система должна вести полный мониторинг доступа к данным, логирование и протоколирование. Ну и хранение всего этого счастья. Где-то здесь наступает пересечение с законом “Яровой”, о технической невозможности реализации которого не так давно крокодиловыми слезами плакали сотовые операторы.

Среди всего перечня мер и средств есть интересный пассаж о согласовании с “федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации”.

Автору этих строк доводилось, ещё в советское время, взаимодействовать с этим самым ПДИТР. Это, доложу я Вам, квест ещё тот. С точки зрения “противодействующих” функционеров, единственно безопасным оборудованием являются счёты, механический калькулятор “Феликс” и механическая же печатная машинка. Вы спросите, чем им не угодила электрическая пишмашка? А тем, что импульсы от срабатывания может перехватывать вражеский спутник.

Контроль за соблюдением всего немаленького пакета требований возложен на Роскомнадзор. Достаточно своеобразным способом. “Оператор” персональных данных должен в Роскомнадзоре зарегистрироваться, доложить о всех предпринятых мерах по защите, а потом, в постоянном напряжении ждать, когда его будут проверять.

А вот теперь самое интересное. До 1 сентября 2022 года всем этим весельем должны были заниматься перечисленные в начале статьи три группы организаций. А уже после, вообще все. И организации, и даже граждане. Дословно: “Действие настоящего Федерального закона не распространяется на отношения, возникающие при: -обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных”.

То есть любое юридическое лицо, имеющее хотя бы одного наёмного сотрудника, чьи персональные данные так или иначе внесены в зарплатно-кадровый раздел бухгалтерской программы (тот же 1С, как у 90% предпринимателей, в том числе и индивидуальных), должно зарегистрироваться с Роскомнадзоре и начать соблюдать требования ФЗ, которые, вообще говоря, уж для малого бизнеса точно неподъёмны.

Если Вы думаете, что дети и пенсионеры выпали из действия этого милого закона, то Вы уже ошиблись. Каждый имеющий смартфон с телефонной книгой, содержащей более нуля записей, по факту является оператором персональных данных. А если Вы, к примеру переслали контакт из своей телефонной книги кому нибудь ещё, то закон уже нарушен. Так как права того, чей контакт был переслан, уже нарушены. Читайте статью 14, там много всего интересного.

В продолжение всего этого мерлезонского балета следует обратить внимание на 12-ю статью “Трансграничная передача персональных данных”. В которой есть вот такой пассаж: “Оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных, до начала осуществления трансграничной передачи персональных данных.”

Вот теперь ответьте, когда Вы что-либо сохраняете в облако или делаете резервную копию с телефона, Вы до этого убедились, что защита адекватна? Или сразу ФЗ нарушили? Это ещё не говоря о том, что Вы вообще могли не подозревать, что из Вашего телефона сливается в облака Гугла или Эппла. Которые, кстати, для того и были придуманы и по сути бесплатны для пользователей, чтобы все эти данные как пылесосом в себя всасывать, а затем перепахивать всем массивом суперсерверов АНБ или ещё кого.

Хотелось бы передать отдельный привет пользователям Google Docs и Microsoft Office 360, и между делом спросить у Яндекса, где физически расположены его облака?

Это мы ещё про интернет-магазины не вспомнили. Кстати, одна из самых распространённых платформ (она же cms) от отечественного разработчика, отличаясь высокой сложностью в настройке серверной “цветомузыки”, у подавляющего большинства магазинов передана на облачную хостинг-платформу, которой управляет как Вы думаете кто? Правильно, IT компания из 404.

Представьте себе, что произойдёт с Роскомнадзором, если на него свалится поток миллионов законопослушных граждан, которые начнут регистрироваться и докладывать о выполнении требований? Ответ кажется очевидным. Всё встанет.

То есть произойдёт именно то, что происходит при атаке, к примеру на систему ПВО, то есть отключение всей системы из за перегрузки ложными целями. А кому это выгодно и нужно? Высказывая личное оценочное суждение, обвал системы контроля больше всего нужен сильно “накосячившим” на этом поле банкам и “бывшим партнёрам”, пытающимся сохранить статус-кво полного контроля над нашими персональными данными. А дальше думайте сами....