Продолжаем про Антифрод-3. Теперь про новые правила авторизации – они могут затронуть буквально всех.

Итак, статья 8 ФЗ «Об информации» будет переосмыслена:

1️⃣ Главное – требования впервые затронут зарубежных владельцев ресурсов.
Пока что авторизация затрагивает лишь российских лиц и потому является проблемой в основном для «дочек» зарубежных компаний.

Одновременно способы авторизации для иностранных владельцев сайтов и приложений будут сильно ограничены. Точнее, способ авторизации останется один – по номеру телефона.

А вот российским субъектам сохранят «меню» из 4 вариантов: телефон, ЕСИА, ЕБС и «иная система» под российским контролем.

2️⃣ Вишенкой на торте может стать обязательное хранение логов авторизации в течение трех лет. Их нужно будет передать по запросу угадайте-каких-органов. В том, что именно эта поправка доживет до третьего чтения, сомневаться не приходится.

Сейчас хранение логов и подключение СОРМ касается субъектов «Закона Яровой» – соцсетей, мессенджеров и даже каршеринга – лишь бы у сервиса был функционал обмена или обработки сообщений, который трактуется все шире. Похоже, в 2028 г. хранение данных для запросов правоохранителей коснется почти всех, т.к. будет достаточно иметь функционал авторизации.

❕Тем самым Антифрод-3 в текущем виде создаст новую нагрузку не только на финансовые сервисы, но и вообще на любых игроков, сайт которых чуть сложнее «визитки».

Но при этом проект не отвечает на наболевшие вопросы. Например, следующие:

🔵Как бизнесу проверять бенефициаров владельца сервиса авторизации? И тем более их двойное гражданство, о котором и родное МВД может быть не в курсе? Ведь если компания предлагает авторизацию по логину-паролю, она должна быть уверена, что провайдер сервиса авторизации «или она сама» контролируется исключительно российскими лицами.

А это не так просто. Представьте, что вы используете сервис Рус-ID, которым владеет непубличное акционерное общество или НКО. Официальных открытых источников об их акционерах и членах может и не существовать. Да и, зная бенефициаров, как убедиться в том, что у них нет паспорта Вануату? На соучредителя вашей собственной компании тоже не всегда можно положиться.

🔵Авторизация по телефону, похоже, станет мейнстримом. Но до конца не ясно, допускается ли она для зарубежных номеров. Есть разные мнения на этот счет, и, в отличие от запрета зарубежных электронных почт (которого нет), вопрос дискуссионный.

Напомним статус законопроекта – он лишь на стадии межведомственного обсуждения, и все может измениться в лучшую или худшую сторону. Но, что примечательно, обозначенные выше проблемы будто бы никто и не обсуждал. А на авторизацию госорганы, похоже, смотрят лишь в контексте финансовых сервисов и того самого фрода, хотя и формулируют букву закона гораздо шире.

📍 Вступление Антифрод-3 задумано с 1 марта 2028 г. И, хотя у него не будет обратной силы, никто не захочет в один момент отключать привычную авторизацию для половины аккаунтов. Поэтому стоит заранее продумать, как выполнять требования закона и переводить пользователей на рельсы комплаентной авторизации.

#Comply #IP #IPМнение

🙂 MAX | YT | RT | LI | Комплайтека