Аналитический центр RPPA

​​ ⚙️ Обезличивание информации в медицине

Для общественного обсуждения представлен проект приказа Минздрава «Об утверждении требований к обезличиванию информации, содержащейся в системе мониторинга движения лекарственных препаратов для медицинского применения, и методов обезличивания такой информации».

Минцифры готовит дополнения к правилам идентификации клиентов хостингов в России, проект которых был опубликован 22 сентября и предусматривает четыре способа идентификации: через инфраструктуру «Госуслуг» и Единой биометрической системы, с использованием усиленной квалифицированной электронной подписи (УКЭП) или путем перевода со счета в банке России или других стран ЕАЭС, а также предоставлением документов лично.
Размещенный проект, уточнили в Минцифры, описывает способы идентификации клиентов, обслуживающихся по договору с хостером: «Но провайдеры хостингов могут предоставлять мощности и на основании принятия публичной оферты. Механизм используется в том числе при взаимодействии с иностранцами». Для таких случаев министерство «вместе с отраслью готовит способы упрощенной идентификации».
Российские провайдеры тоже пока не соответствуют требованиям, которые вступят в силу в декабре, а «для небольших компаний масштаб нововведений выглядит критическим», говорит “Ъ” источник в одном из хостеров.

Московские предприниматели обратились в Минздрав России с просьбой разрешить продажу рецептурных лекарств через вендинговые аппараты с помощью системы электронных рецептов на основе QR-кода.
Сейчас продажа рецептурных лекарств разрешена только в аптеках.
И врачи, и регуляторы скептически относятся к этой инициативе.

👀Что там с проверкой недействительных паспортов? Прочитали очередное письмо от МВД

В нем департамент ИТ, связи и защиты информации МВД в ответ на запрос одной из общественных организаций сообщает:

1️⃣ По указанию Банка России от 4 апреля 2023 года, исключена необходимость использования банками сервиса «Проверка по списку недействительных российских паспортов», размещенного на сайте МВД РФ.

Добавим, что это не новость: реестр с сайта никогда не считался юридически значимым, хоть и был удобным.

2️⃣ Единственный источник правды — сервисы, опубликованные МВД в СМЭВ. В письме ведомство пожурило 26 банков, которые продолжают брать информацию с сайта МВД.

3️⃣ По состоянию на 16 августа 2023 года МВД обработало более 35 млн запросов от 125 кредитно-финансовых организаций. Из них в августе — 15,9 млн запросов, а в июле — 13 млн.

Такой объем данных намекает на проверку только новых клиентов и заявок. Лимиты СМЭВ не позволяют банкам регулярно проверять документы всех активных клиентов-физических лиц.

4️⃣ Подготовка ответа при обработке 90% запросов осуществляется за 1,5 секунды. При этом ожидание извлечения ответов потребителями — около двух часов.

Тут МВД прямо говорит о том, что отвечает быстро, а вот ответ иногда обрабатывается потребителем куда дольше. Отсюда рекомендация — банкам нужно правильно настроить свои информационные системы.

@hflabs_official

🔥 В Правительстве одобрили компенсации пострадавшим от утечек

Правительство поддержало инициативу Минцифры о компенсации пострадавшим от утечек персональных данных в рамках закона об оборотных штрафах.

Если компания, которая допустила утечку, обеспечит финансовое возмещение нанесённого пользователю вреда, это будет признаваться смягчающим обстоятельством. В этом случае к ней будут применяться пониженные оборотные штрафы.

Как это будет работать:
1. Компания должна сообщить пользователю об утечке, прислать ему смс/e-mail на номер/адрес, которые были указаны при регистрации. Если компания готова выплачивать компенсацию — это будет напрямую указано в тексте сообщения. Минцифры также разместит эту информацию на Госуслугах.

2. После этого у пользователя будет 15 рабочих дней, чтобы подать заявку на Госуслугах на возмещение причинённого ущерба.

3. Компания в течение 20 рабочих дней после получения заявок рассчитает объём денежной выплаты и направит через Госуслуги своё предложение всем обратившимся.

4. Пользователь сможет принять предложение или отказаться от него в течение 20 рабочих дней.

5. Если более 80% обратившихся согласятся на компенсацию, то компания должна будет выплатить её в течение 5 рабочих дней.

@mintsifry

Для общественного обсуждения опубликован разработанный Минцифры проект постановления правительства «Об утверждении Правил идентификации и (или) аутентификации лиц, обратившихся к провайдеру хостинга в целях получения вычислительной мощности для размещения информации в информационной системе, постоянно подключённой к информационно-телекоммуникационной сети «Интернет».
В частности, установлено, что Роскомнадзор ведёт реестр провайдеров хостинга. Включённые в реестр провайдеры обязаны предоставлять услуги хостинга только после прохождения пользователями идентификации и (или) аутентификации в порядке, устанавливаемом правительством РФ.
Так с физлица требуется ФИО, дата рождения, адрес регистрации, реквизиты документа, удостоверяющего личность, номер мобильного телефона и и адрес электронной почты; для юрлиц — все реквизиты.
Для физлиц установлены следующие способы идентификации\аутентификации:
— с использованием ЕСИА и ЕБС;
— с использованием УКЭП;
— предъявление при личном обращении к провайдеру хостинга паспорта или иного документа, удостоверяющего его личность.
Текст документа тут

С 2025 года может вырасти размер платы за запрос сведений у Росреестра о правах на недвижимое имущество, а круг лиц, которые имеют право получить данные бесплатно, будет сужен. Из списка исключат нотариусов и арбитражных управляющих (АУ), которые ведут дела о банкротстве. Такую идею предлагает правительство в пояснительной записке к проекту федерального бюджета, объясняя, что мера принесет казне дополнительные 21 млрд руб. в год.
Также в пояснительной записке говорится о намерении правительства РФ увеличить с 2025 года размер платы за предоставление сведений из ЕГРН. Параметры этого повышения не называются.
Сейчас размер оплаты зависит от вида выписки из ЕГРН. Для граждан бумажная выписка из реестра об основных характеристиках объекта недвижимости и зарегистрированных правах обойдется в 460 рублей, электронная - в 290 рублей, для организаций - в 1270 и 820 рублей соответственно.

Messages in this channel will no longer be automatically deleted

Messages in this channel will be automatically deleted after 1 week

В ЕС вступил в силу закон об управлении данными

С 24 сентября 2023 года в Европейском союзе в полном объеме вступил в силу закон об управлении данными (Data Governance Act, DGA). Кроме прочего DGA:

- регулирует повторное использование персональных данных и коммерческой тайны, хранящихся в информсистемах государственного сектора;

- устанавливает требования к операторам данных;

- вводит правила трансграничной передачи данных;

- предусматривает создание совета по инновациям данных, который будет состоять из представителей Европейского совета по защите данных (EDPB), Европейского инспектора по защите данных (EDPS) и агентства ЕС по кибербезопасности.

Изображение: RSpectr, Adobe Stock

⚡Российские власти проработают вопрос о возможности использования россиянами заграничных паспортов для получения госуслуг, заявил зампред Совета безопасности России Дмитрий Медведев.

🏛️Минобрнауки опубликовало для общественного обсуждения новый проект постановления о государственной информационной системе в области генетической информации «Национальная база генетической информации» (ГИС НБГИ).
🔸В мае министерство представило первый вариант документа, которым создание и ввод ГИС в эксплуатацию поручалось ФГБУ НИЦ «Курчатовский институт». Теперь эти функции передаются Минобрнауки. Также срок вступления проекта постановления в силу перенесён на 1 сентября 2024 года (ранее предполагалось, что документ вступает в силу со дня его официального опубликования).

Правительственная комиссия по законопроектной деятельности поддержала идею Минцифры о включении в законопроект об оборотных штрафах за утечки персональных данных (ПД) положения о выплате компенсации пострадавшим. Выплата таких компенсаций позволит компании снизить размер штрафа.
Изначально за это выступало Минцифры, но комитет Госдумы по информполитике был против.

Как выяснил “Ъ”, в ближайшее время несколько крупных банков (ВТБ, Почта-банк) могут войти в реестр Минцифры по аккредитации для работы с данными из ЕБС. Это дает возможность использовать биометрические данные для предоставления удаленных услуг. Но требования для включения в реестр довольно жесткие. К тому же банкам потребуется получать согласие клиентов, которых они раньше не обслуживали, на получение их данных из ЕБС.
Для работы с ЕБС по векторной модели необходима аккредитация, сейчас ее имеют два российских банка — Россельхозбанк и Альфа-банк

Олег задается рядом вопросов касательно возможной утечки из "Сирена-Трэвел" ✈️ и мне есть что сказать по этому поводу.
🔤Олег пишет, что 16 лет хранения (а именно об этом сроке говорится в утечке "Сирены-Трэвел") - это перебор. Тут, конечно, можно поспорить, так как помимо наших с вами желаний есть еще и требования по транспортной безопасности. И боюсь, что именно ради них все это и хранится так долго. Об этом говорят и поправки в Воздушный кодекс и закон "О транспортной безопасности", которые гласят, что срок хранения информации о пассажирах определяется Минтрансом по согласованию с ФСБ и МВД. И хотя этот закон вступает в силу только с 1-го марта 2024 года, не исключаю, что и раньше ради нацбезопасности данные о перемещениях накапливались достаточно длительное время.
🔤Тот же Аэрофлот в своей политике конфиденциальности не указывает этот срок, ссылаясь на стандартную отписку про "в течение срока, необходимого для достижения соответствующей цели" или "когда закон устанавливает более продолжительный срок хранения". О том же говорит и их политика конфиденциальности в области ПДн. В политике обработки ПДн "Сирены-Трэвел", принятой в мае этого года, аналогичная конструкция.
🔤ИКАО в своих рекомендациях в отношении записей регистрации пассажиров этот срок тоже не устанавливает, отсылая всех к локальному законодательству. Так что вроде запрета на долгое хранение нет.
🔤Система менеджмента ИБ "Сирены-Трэвел" сертифицирована по требованиям ISO/IEC 27001:2013. Сертификат действует с января 2021 по январь 2024 года.
🔤Информационная система персональных данных "Сирены-Трэвел" была в августе 2020-го аттестована по требованиям ФСТЭК. Аттестат закончил свое действие в августе этого года.
🔤В феврале 2023-го "Сирена-Трэвел" была сертифицирована еще и по PCI DSS 3.2.1 (сертификат действует до февраля 2024-го).

Если факт утечки в системе бронирования авиаперевозок ✈️ подтвердится (а семпл позволяет сделать такой вывод), то это будет очередной демонстрацией, что наличие сертификатов/аттестатов никак не гарантирует реальную кибербезопасность и не может служить никаким доказательством, что данные находятся в сохранности. Но и это еще не все.

Пассажиры ✈️ ведь не заключают никаких соглашений с "Сиреной-Трэвел", они свои данные сдают авиакомпаниям, а то и всяким транспортным и туристическим агентствам, которые затем "сдают" их Сирене. И поэтому сразу возникает вопрос ❓ - кому предъявлять претензии, что персональные данные мои или моих детей утекли? Можно ли вообще их предъявлять, если никто официально не подтвердит факт утечки? А что-то пока про это все официальные лица молчат; что тоже понятно, "Сирену" продвигают солидные организации.

ЗЫ. Ну а пока ждем очередных журналистских расследований. Вспоминая то, что писал в свое время Bellingcat (признан иноагентом), опираясь на данные за меньший период времени, утечка об авиаперевозках за столько лет может всякое раскрыть.

В Казахстане внедрили услугу "онлайн оформление нотариального согласия супругов" по видеозвонку

Власти хотят получать больше данных о пассажирах при бронировании авиабилетов в существующую сейчас централизованную систему.
Сейчас туда передаются ФИО пассажира, дата рождения, данные документа, по которому оформлялась бронь, пункты отправления и назначения пассажира, дата поездки, пол и гражданство, номер телефона и адрес электронной почты.
К ним могут добавить;
✔️данные о способе оплаты билета (наименование банка, последние четыре цифры номера счета или карты, с помощью которой производилась оплата);
✔️данные учетной записи пассажира на сайте авиакомпании и адрес интернет-протокола (IP-адрес) компьютера, с которого передавалась информация при бронировании;
✔️данные о багаже;
✔️дата бронирования билета, с кем он бронировал его и вносились ли какие-то изменения в бронь.
Пока точных новых категорий информации, которая будет передаваться властям, нет.
Речь идет об автоматизированных централизованных базах персональных данных о пассажирах (АЦБПДП), они входят в состав единой государственной информационной системы обеспечения транспортной безопасности (ЕГИС ОТБ). Оператором системы является подведомственный Минтрансу РФ ФГУП «Защитаинфотранс».

Сбербанк запатентовал бота, который будет общаться с мошенниками по телефону, пока не определит, что они — мошенники. После этого уведомит пользователя, что атака отбита. У бота есть одна неприятная особенность.
Как следует из текста патента, «заявленный технический результат достигается за счет выполнения компьютерно-реализуемого способа анализа диалога во время аудиовызовов на предмет выявления мошеннической активности, выполняемого с помощью процессора и содержащего этапы, на которых: получают входящий аудиопоток, поступающий от вызывающей стороны» и далее его анализируют.
"Техническим результатом является повышение эффективности и точности распознавания мошеннической активности входящих аудиовызовов, за счет комбинированного анализа аудиопотока и семантики паттерна диалога", — говорится в патенте.
Получается, что бот будет прослушивать все разговоры тех пользователей, кто его установит на свой смартфон.

На этой неделе Госдума рассмотрит в первом чтении законопроект, разрешающий вводить самозапрет на получение кредитов. Идея обсуждается уже больше года, но к документу остаются претензии.
В частности, в законопроекте говорится, что гражданин может подать заявление на самозапрет только через портал госуслуг. «Должны быть разные способы подать заявление, в том числе и лично на бумаге, для этого можно использовать МФЦ или почту»,— подчеркивает вице-президент Ассоциации банков России Алексей Войлуков.
В законопроекте предусмотрена излишняя детализация видов кредитов, кредитных договоров и способов получения кредитов, которые могут запутать гражданина, в результате чего он рискует неправильно оформить самозапрет.
Правозащитники также отмечают, что в законопроекте излишне детально описан и вид электронной подписи. «Здесь имеется в виду "Госключ", который есть у очень малого количества граждан, и оформлять его только для этого заявления довольно странно»,— говорит руководитель проекта Народного фронта «За права заемщиков» Евгения Лазарева.

Реальная жизнь без прикрас. Парень купил личные данные человека, причем даже доступ к аккаунту в госуслугах, за 50 рублей, и оформил кредит на 11 тысяч рублей.