Общество

24 августа 2020, 15:24

Слабая защита — угроза биометрии. Чем опасны сливы данных с камер городской системы видеонаблюдения?

Freepik

Московская телекоммуникационная корпорация выиграла пятилетний контракт Департамента информационных технологий (ДИТ) Москвы на установку четырех тысяч камер в больницах. На первом этапе подрядчик разместит устройства, на втором организует передачу данных в Единый центр хранения и обработки данных.

Журналисты «Коммерсанта» обнаружили, что по условиям контракта видео с камер может транслироваться в интернет. А доступ к данным могут продавать, то есть, как сказано в контракте, предоставлять «пользователям ЕЦХД, в том числе на возмездной основе». Аналогичные условия есть и в других контрактах по видеооснащению Москвы.

По данным общественной организации «Роскомсвобода», защита системы от утечек крайне слабая. Бывают случаи неавторизованного доступа людей, которые сливают данные. Например, в декабре 2019 года пятидневный доступ к трансляции камеры «Безопасного города» в даркнете можно было приобрести за три тысячи рублей, а за тысячу — купить 30-дневную выписку из системы распознавания лиц с адресами камер, которые фиксировали объект слежки.

После поднятой тогда в СМИ шумихи доступ компетентных сотрудников к ЕЦХД ужесточили. Проблему утечек это не решило, но расценки на услугу взлетели до 15 тысяч. Запрашивая у продавцов «портфолио», общественники собрали семь PDF-выписок слива данных москвичей.

Продажа доступа

Информация о том, что ДИТ Москвы планирует продавать записи с камер, не соответствует действительности, заявили «360» в пресс-службе департамента. Доступа к записям с камер на коммерческой основе нет и предоставлять его не планируют.

«Формулировки, изложенные в контракте — типовые, они связаны с тем, что возможность предоставления этих изображений на возмездной основе с 2014 года предусмотрена Положением о ГИС „Единый центр хранения и обработки данных“», — подчеркнули в пресс-службе.

По запросам доступ в ЕЦДХ предоставляют уполномоченным сотрудникам государственных органов и правоохранителям. Несанкционированного доступа в ДИТ не фиксировали.

«Продажа доступа к ЕЦХД, о которой идет речь в материалах СМИ, производится в рамках санкционированного доступа уполномоченных сотрудников. Данные случаи единичны, информация о каждом из них передается в правоохранительные органы для проведения проверок», — заключили в пресс-службе.

80% взломов происходят не снаружи, а изнутри, рассказал «360» эксперт в области информационной безопасности Александр Власов. Это могут быть люди, которые работают с системой: недовольные чем-то сотрудники компаний-разработчиков или работники госорганов. Именно они, уверен Власов, «сливают базы куда-то налево».

«Техническими средствами взломать базу или систему городского видеонаблюдения сейчас невозможно. Все основные усилия властей направлены на то, чтобы бороться с инсайдерами — человеческим фактором, который может проникнуть в систему», — сказал Власов.

Угроза данным

Записи с камер — это просто изображение, на котором нет персональной информации о гражданах. Возможность трансляции записей в интернете необходима во время значимых городских мероприятий на портале «Окно в город» или с избирательных участков при проведении выборов, уточнили в пресс-службе ДИТ. Трансляция из учреждений здравоохранения не проводится и не планируется.

С охраной биометрии в России дела обстоят неважно, а ответственности за утечки практически нет, пояснил «360» глава юридической практики организации «Роскомсвобода», адвокат Саркис Дарбинян. Получив доступ к системам, любая структура сможет сопоставлять лица с фотографиями из соцсетей и отслеживать перемещения граждан.

«Условия контракта ставят под угрозу безопасность биометрических персональных данных человека. Эти данные могут быть использованы для мошенничества, слежки, социнжениринга», — на исключил Дарбинян.

До сих пор в России нет контролирующего органа, который смог бы проверять как учреждения и коммерческие компании обращаются с этими данными. А у москвичей нет возможности отслеживать, как используются их персональные данные и фотографии. Не исключено, что из-за этого и отсутствия прозрачных регламентов предоставления доступа данные свободно продаются в даркнете.

«Поэтому мы и стоим на том, что нужно сделать публичными все регламенты, провести широкое общественное обсуждение и создать надлежащий надзор для доступа к системе распознанная лиц и системе „Умный город“», — заключил Дарбинян.

Работа по ТЗ

По мнению же Власова недочетов в системе видеонаблюдения нет. Ни один город или даже государство не могут обеспечить в рамках своих бюджетов 100% защиты от проникновения, поэтому возможны утечки. Система работает в соответствии с техзаданием. Сервера хранения защищены стандартными средствами от хулиганов и минимально допустимыми от хакеров. При этом в ТЗ не указано, что система должна быть «защищена на 200%», в противном случае стоила бы она «как ядерный бомбардировщик».

Но, по большому счету, доступ любого к трансляциям с камер добропорядочным горожанам ничем не грозит. Опасность есть для тех, кто нарушает законодательство или морально-этические нормы: водит домой любовниц и так далее.

«То, что мэрия приторговывает доступом к базам видеонаблюдения, поверить сложно. Это запрещено. Только по запросам других органов госвласти или в рамках договорных отношений с какими-то субъектами оперативно-розыскной деятельности или какими-то структурами, которые занимаются выпиской штрафов», — пояснил Власов.

Система распознавания лиц, по словам Власова, работает только одним образом — сравнивает лица с теми, кто содержится в базе данных разыскиваемых лиц. Если человека в ней нет, то система не сможет его распознать и выслеживать.