Аналитический центр RPPA

В метро Ташкента запустили систему оплаты при помощи ладони. В его основе лежит технология Palm ID — идентификация на основе рисунка вен.

Чтение на выходные (немного страшненькое).
Анализ трех систем ИИ — Palantir, Premer AI, Clearview AI, — используемых странами НАТО и не только ими, для анализа данных, в том числе идентификации и слежки за людьми.

Госдума во втором, заключительном, чтении поддержала законопроект, предусматривающий ужесточение административной ответственности за нарушения при обработке биометрии. В частности, юридические лица, например банки или МФЦ, за некорректную работу с персональными данными могут быть оштрафованы на сумму до 1 млн руб.
Измнения вносятся в части 2 и 2-1 статьи 13.11 КоАП. Юридические лица за незаконную обработку персональных данных могут быть оштрафованы на суммы от 500 000 до 1 млн руб., должностные лица от 100 000 до 300 000 руб. Граждане за обработку персональных данных какого-либо субъекта без его письменного согласия на это могут получить штраф от 10 000 до 15 000 рублей. В случае повторного нарушения заплатить придется от 15 000 до 30 000 руб.
Текст законопроекта тут

Группа американских сенаторов выступили за запрет на использование технологии распознавания лиц в аэропортах.
Управлению транспортной безопасности США (Transportation Security Administration, TSA) запустила пилотный проект по применению данной технологии в международном аэропорту Лос-Анджелеса в 2018 году. В планах — включить в проект 430 аэропортов США.
Законодатели обеспокоены возможностью TSA собирать биометрические данные пассажиров. Один из авторов документа назвал сбор соответствующих данных агентством первым шагом к созданию государства, где слежка [за гражданами] организована на национальном уровне.

Госдума приняла в третьем чтении законопроект № 487343-8 депутата Антона Горелкина о продлении до 1 января 2025 года периода перехода российских IT-компаний к авторизации пользователей через локализованные в России системы.

Автор проекта объяснял, что принятие закона "даст российским цифровым платформам больше времени на локализацию систем взаимодействия с пользователями", чтобы они успели решить все технические сложности и завершили процессы перехода соответствующих подразделений под российский контроль. Поэтому привычные способы авторизации сохранятся еще на год.

Однако, "мораторий коснется только пункта о российском контроле за системами авторизации", подчеркнул Горелкин. По его словам, "зарубежные системы (например, кнопки входа при помощи Google и Apple ID) с 1 декабря российские сайты и приложения должны будут убрать".

В июле были внесены поправки в 149-ФЗ, по которым авторизация на сайтах и в приложениях с декабря 2023 года будет возможна только по российскому телефонному номеру, через "Госуслуги", ЕБС или иной сервис, полностью или более чем на 50% контролируемый российской стороной. "Мы рассчитывали, что наши крупнейшие цифровые платформы успеют решить все организационные вопросы до 1 декабря этого года. Однако после череды консультаций и совещаний с отраслью выяснилось, что сроки нужно продлять - иначе не будет гарантии стабильного функционирования платформ, что поставит под угрозу комфорт российских пользователей", - сообщал Горелкин.

В регионах 30% чиновников используют личные e-mail-адреса для обращений граждан. Об этом говорится в исследовании поставщика услуг по информационной безопасности Angara Security. Это может привести к утечке ПД, отмечают эксперты.
Также в 60% случаев на региональных сайтах используется небезопасный протокол HTTP, который передает конфиденциальную информацию, например пароли, в открытом виде, говорится в отчете. Современные браузеры оповещают о данной проблеме пользователей, но это приводит к тому, что официальные сайты не воспринимаются в качестве легальных онлайн-ресурсов, принадлежащих организациям.

Росфинмониторинг совместно с Центробанком предотвратили вывод в теневой сектор 320 млрд руб. с помощью механизма «Знай своего клиента», заявил глава Росфинмониторинга Юрий Чиханчин на встрече с президентом Владимиром Путиным.

Петербуржцы получат компенсацию от «Яндекс. Еды» за утечку данных.
Санкт-Петербургский городской суд отменил решение Невского суда, который отказал петербуржцам — Алексею Кулакову и Марии Шпыновой — в компенсации от крупного сервиса «Яндекс. Еда» за утечку персональных данных. Об этом сообщили в объединённой пресс-службе городских судов.
Петербуржцы подали в суд на ООО «Яндекс. Еда». Каждый из них требовал компенсацию в 30 тыс. рублей. Однако Невский районный суд Петербурга отказал в исках. Тогда мужчина и женщина подали апелляционную жалобу.
Суд апелляционной инстанции решил, что петербуржцы действительно являются пострадавшими в этой ситуации и потребовал от ООО «Яндекс. Еда» выплатить им по 5000 рублей.

Банк России может несколько усилить требования к МФО по части проверки личности клиента при оформлении онлайн-займов. Об этом сообщил глава службы ЦБ по защите прав потребителей и обеспечению финансовых услуг Михаил Мамута на XХII Национальной конференции по микрофинансированию и финансовой доступности.

"Тема мошенничества, связанного с выдачей онлайн-займов на имя другого лица, нас очень сильно беспокоит. И мы точно будем принимать меры, направленные на некоторое усиление требований к идентификации. Да, стандарт заработал, мы смотрим, как он в этом смысле реализуется, но, возможно, его окажется недостаточно", - сказал он, добавив, что в случае, если рынок будет в состоянии самостоятельно усилить требования к идентификации, то у регулятора и законодателя будет меньше необходимости вводить их на уровне закона.

Мамута отметил при этом, что если рынок сможет самостоятельно усилить требования к идентификации, то необходимости в законодательных нормах будет меньше. Проблема с мошенничеством при выдаче МФО онлайн-займов носит достаточно массовой характер, подчеркнул он. В 2022 г. в общей структуре жалоб доля обращений на МФО в категории «Мошенничество» составило 14,2%, а за первые десять месяцев 2023 г. – 11,2%. Всего за этот период регулятор получил 39 000 жалоб на МФО, что на 15% больше, чем за аналогичный период прошлого года.

🗓5 декабря во ФРИИ пройдёт Форум перспективных технологий — главное мероприятие года для предпринимателей, которые хотят масштабировать свой бизнес и находятся в поиске новых идей и инвестиций.

Вместе с институтами развития, представителями власти и бизнеса рассмотрим новые меры поддержки, сценарии развития отрасли, расскажем про успехи и ошибки технологических стартапов, ответим на вопросы участников и покажем, как сделать вашу работу прибыльней.
Форум проходит при поддержке Минцифры России.

✅ Участие бесплатное, но регистрация обязательна по ссылке.

Количество россиян, зарегистрировавших биометрические данные в Единой биометрической системе (ЕБС), приближается к полумиллиону, об этом сообщили в ЦБТ, который является оператором системы.
В ЦБТ отметили, что в последние несколько месяцев отмечается наибольший приток пользователей: упрощенную биометрию каждый день регистрируют порядка 1,2 тысячи человек, а подтвержденную – около 2 тысяч.

В Думу 4 декабря внесут законопроект об оборотных штрафах за утечку персональных данных.
Поправки внесут в КоАП и УК РФ.
Как ранее сообщал депутат Хинштейн, поправки к КоАП устанавливают штрафы до 15 млн рублей за утечку персональных данных. При повторном правонарушении предлагается установить оборотный штраф в размере до 500 млн рублей.
По словам Хинштейна, в среду депутаты провели "итоговое завершающее совещание перед внесением пакета законопроектов" c участием сенаторов, представителей Минцифры, Роскомнадзора и бизнес-сообщества, а также экспертов. "Концептуально обо всем договорились, остался неразрешенным вопрос со снижением ответственности в случае принятых нарушителем мер, компенсации потерпевшим, а также реальных инвестиций в систему своего инфобеза. Окончательно этот вопрос будем решать при обсуждении законопроекта ко второму чтению", - отметил Хинштейн.

Что по дипфейкам? Джейсон Стэйтем приглашает на АнтиФрод 2023 обсудить кибербезопасность
 
📆 6 декабря в Цифровом Деловом Пространстве пройдет XIV Всероссийский форум «Борьба с мошенничеством в сфере высоких технологий», организатором которого выступает Академия Информационных Систем.
 
Форум соберет на одной площадке руководителей и экспертов в области кибербезопасности.
 
Среди тем для обсуждения:
▪️ нововведения в законодательной системе;
▪️противодействие мошенничеству в сетях сотовой связи;
▪️фрод в кредитно-финансовой сфере, ритейле, электронной коммерции;
▪️социальный инжиниринг.

Программа форума и регистрация доступны по ссылке: https://antifraudrussia.vipforum.ru

Правительство утвердило правила обязательной идентификации клиентов хостинг-провайдерами. Предусмотрены несколько вариантов идентификации и их сочетание:
✅ через ЕСИА;
✅ через ЕБС;
✅ при личном обращении с предъявлением паспорта;
✅переводом денег провайдеру со счета в российском банке;
✅с использованием информационной системы провайдера или иной компании, если она контролируется российским юридическим лицом;
✅с применением платежной карты, выданной банком, работающим в национальной платежной системе;
✅с помощью сервиса быстрых платежей Банка России;
✅ с использованием номера мобильной связи.
Правила начинают действовать с 1 декабря 2023 года.

Премьер-министр Франции Элизабет Борн запретила членам правительства пользоваться мессенджерами WhatsApp, Telegram и Signal.
Вместо этого предлагается суверенный французский мессенджер Olvid. @banksta

Чем закончилась утечка из «Здравсити»

Если компания заявляет, что утечки данных не было, стоит ли ей верить на слово?

1 февраля на одном хакерском форуме появилось сообщение о взломе онлайн-сервиса по заказу лекарств «Здравсити». Злоумышленник выставил на продажу данные почти 9 миллионов клиентов, включая имена, даты рождения, телефоны, email'ы и пр. Для подтверждения был опубликован небольшой фрагмент похищенной базы.

2 февраля об утечке сообщил телеграм-канал «Утечки баз данных». На это обратили внимание СМИ, а вскоре отреагировал и руководитель маркетплейса:

«Информация о взломе онлайн-сервиса "Здравсити" не соответствует действительности. На текущий момент мы проводим тщательное расследование инцидента. Первые выводы свидетельствуют о том, что появившаяся информация носит провокационный характер. Из пробных строк выгрузки, приведенных в качестве примера подтверждения, определенно видно, что база неактуальная».

На этом опровержении публичная история утечки закончилась. Ничего интересного.

Но не расходитесь. Из материалов судебного дела можно узнать, что было дальше.

14 февраля, спустя почти две недели, компания «Проаптека», которая, очевидно, отвечает за развитие сервиса, уведомила Роскомнадзор «о неправомерной или случайной передаче персональных данных, повлекшей нарушение прав субъектов персональных данных», а 17 февраля направила в ведомство ещё одно уведомление. Причиной инцидента был назван «несанкционированный доступ к базе данных, расположенной у внешнего подрядчика, скачивание базы данных пользователей – участников программы лояльности клиентов через создание пользователя с административными правами посредством команд API».

Через пять месяцев, 17 июля, Роскомнадзор составил по этому поводу протокол об административном правонарушении. А ещё через два месяца суд признал компанию виновной по ч.1. ст. 13.11 КоАП и назначил штраф в 60 тысяч. Представитель компании в суде с правонарушением согласился, правда, как часто бывает в таких делах, просил ограничиться предупреждением.

Но, напомню, публичная история утечки закончилась опровержением. Теперь вот и вы в курсе.

К сожалению, это, скорее, типичная история, чем исключение. Организации могут говорить что угодно, уточнять информацию их никто не обязывает, оповещать клиентов тем более. Наиболее распространённая стратегия реагирования — сидеть тише воды, ниже травы. А пока подробности инцидента остаются тайным знанием узкого круга, злоумышленники аналогичным образом ломают и другие организации. Не особо способствует повышению осведомлённости о причинах и последствиях утечек и Роскомнадзор, в основном ограничиваясь рапортами о количестве составленных протоколов (то есть о своих успехах).

Стоит ли удивляться скепсису граждан относительно способности государства и бизнеса защищать персональные данные?

В России распространяется новая схема, которую используют мошенники для получения доступа к аккаунтам граждан на портале «Госуслуги». К традиционным методам прибавилась социальная инженерия. Новая схема нацелена на обход двухфакторной верификации, которая в обязательном порядке начала действовать с конца октября.

Минцифры намерено отложить до 1 июля часть требований закона об обороте биометрических данных, затрагивающую терминалы для контроля доступа — например, используемые на контрольно-пропускных пунктах (КПП). Причина в том, что китайские биометрические терминалы не поддерживают российские стандарты криптографии.

В России судебные приставы могут получить новые полномочия, включая возможность использования геолокации мобильных телефонов для поиска должников и создания единого долгового досье. Об этом рассказал Владимир Ведерников, директор департамента государственной политики в сфере принудительного исполнения Минюста России, в рамках международной конференции «Державинские чтения». Данные инициативы включены в концепцию развития системы принудительного исполнения до 2030 года.
Одной из ключевых мер является предоставление приставам доступа к геолокационным данным мобильных устройств должников и их детей, например, в случаях передачи ребенка другому родителю. Также приставам может быть предоставлено право вскрывать помещения, если существуют основания полагать, что в них скрывается ребенок, разыскиваемый в рамках исполнительного производства.
Другим важным аспектом является создание единого долгового досье – облачного хранилища данных о должниках, которое упростит процесс идентификации и поиска их имущества. Планируется также переход к реестровой модели принудительного исполнения, основанной на едином реестре записей требований на основании судебных решений.

🔥Отличные новости!

Мы проводим четвертое исследование рынка защиты безопасности ПДн при участии Актион Право и Yandex Cloud!

📊 Мы определяем востребованность
Privacy-специалистов, уровень зарплат, ожидания работодателей и прочие интересные каждому DPO моменты.

Чтобы принять участие в исследовании необходимо заполнить анкету

✔️ Исследование анонимное
✔️ Заполнение анкеты займет не более 7 минут
✔️ Результаты будут доступны вам бесплатно

Смотреть результаты исследования 2022 года