|
Биометрия все чаще используется для идентификации россиян в различных сферах
жизни: для получения банковских услуг, онлайн-сдачи сессии в вузах, удаленного
заключения договоров связи и оплаты проезда на транспорте. Почему биометрические
данные считаются "сверхчувствительными", почему нельзя доверять принятие
окончательных решений искусственному интеллекту и почему важно сохранять
бумажные копии документов, в интервью РИА Новости рассказала президент группы
InfoWatch Наталья Касперская. Беседовали Евгения Власова и Дария Ермошина.
– Сейчас в России обсуждаются возможности все большего применения биометрии
для идентификации людей, например, для получения госуслуг. В чем заключаются
риски использования биометрических данных?
– Биометрические данные, в отличие от любых других, использующихся для
идентификации, являются неотъемлемой частью человека, они у вас одни на всю
жизнь. В отличие от используемых сейчас пароля, номера телефона и даже фамилии,
вы не можете при утечке или компрометации данных сменить свое лицо, сетчатку,
фигуру, отпечатки пальцев, форму ушей. То есть это сверхчувствительные, но при
этом неизменные данные, которые достаточно украсть один раз навсегда.
Теперь задумаемся: чтобы человека идентифицировать, нужно эти данные где-то
хранить. Где? Очевидно, в базе данных, как и все остальное.
А теперь давайте вспомним, сколько утечек из баз пользовательских данных было за
прошлый год. Только в российском банковском сегменте таких случаев было более
200, а утекших записей – персональных и платежных данных – 486 миллионов штук.
Количество утечек данных во всех сферах постоянно и неуклонно растет. И это – не
технологическая проблема: большинство утечек происходит из-за человеческого
фактора.
Апологеты биометрии уверяют, что базы данных будут как-то особенно защищены,
будут внедрены криптографические системы. На самом деле нет никаких особых
способов защищать биометрические данные – это обычные данные, которые хранятся в
обычных базах данных. И работают с ними те же люди. Обычные сисадмины и
айтишники, которые получают не очень высокие зарплаты, сами назначают права
доступа – то есть могут настроить себе доступ любого уровня.
Здесь действует старый бухгалтерский принцип: если есть возможность
злоупотреблений – нужно считать, что они уже имеют место.
И действительно, нелегальные услуги "пробива" людей по личным данным существуют
давно, черный рынок данных – большой и бурно развивается. Злоумышленники очень
энергичны и изобретательны, поэтому как только появляется новый вид цифрового
контента, они тут же придумывают, как из этого контента извлечь прибыль. Будут
базы биометрических данных – и из них будут утечки, кражи, продажа данных, нет
никаких сомнений.
– Да и новые технологии бурно развиваются.
– Вот именно. Сейчас набирает обороты технология так называемой глубокой
подделки – deep fake. В интернете вы можете найти массу роликов с заменой лиц
звезд, политиков, известных людей. Но и обычный человек каждый день проходит под
сотнями камер, его лицо, походка, голос попадают в десятки баз данных разного
уровня и разных видов собственности, а из баз они утекают налево и направо.
Тесты в этой сфере показывают удручающие результаты: например, в исследовании
южнокорейских ученых системы биометрической аутентификации Microsoft Azure и
Amazon в 68% и 78% случаев соответственно распознавали фальшивые лица, с очень
высокой степенью уверенности.
Аудиофейки вообще сейчас просто идеальные, а авторизацию по голосу сейчас уже
используют в реальных банковских приложениях. В настоящий момент не существует
надежных технологий распознавания таких фейков.
Поэтому при внедрении биометрии главная опасность заключается в том, что пока
неясно, как защитить и верифицировать эти данные. Граждане сдают отпечатки
пальцев и фото лиц, их лица снимают без их ведома и согласия на улицах, на
транспорте, в офисах и торговых центрах, а потом такую информацию может кто-то
"слить", украсть, перехватить и использовать, например, в крупных сделках с
недвижимостью, при управлении счетом в банке, при проходе на закрытые объекты и
тому подобном.
Моя личная рекомендация: ни в коем случае не сдавать биометрические данные, не
вестись на "удобство". Их практически с гарантией украдут, продадут, "сольют".
Давайте нам сначала объяснят: как эти данные планируется защищать, в том числе
от своих сотрудников. При этом мне лично непонятно, а зачем вообще нужно
использование биометрии?
– Это должно упростить идентификацию пользователей.
– А зачем нужно ее упрощать? Потому что "удобно" и "круто"? Зачем
разменивать безопасность на потворство лени? Неужели это так сложно – пароль
набрать?
Кроме того, надо понимать, что система биометрической идентификации – это
система искусственного интеллекта, у которой не бывает 100% качества. Ей всегда
свойственны ошибки первого и второго рода: то есть она может распознать
"неправильный" объект как правильный или не пропустить правильный объект. То
есть всегда остается вероятность, что система вас не распознает или распознает
вас как кого-то другого, на кого вы похожи.
Качество распознавания лиц сейчас достигает максимум 99% – обычно разработчики
хвалятся показателями в районе 97-98%, при этом не объясняя, какого рода ошибки
таятся в оставшихся 1-3%. А обывателю кажется, что 99% точности – это очень
круто. Но что такое 99%, например, в Москве? В городе проживают или бывают днем
примерно 16-18 миллионов человек, значит, с 180 тысячами лиц москвичей может
произойти ошибка первого или второго рода – то есть они будут не распознаны или
спутаны с кем-то еще. Если применять биометрию широко, то транзакций
распознавания будут миллионы в день – на транспорте, в банках, на проходных и
так далее, – то есть и ошибок будут сотни тысяч или миллионы. А нужны ли нам
такие риски? Поэтому прежде, чем широко внедрять биометрию, мне кажется, нужно
десять раз подумать.
– А в будущем возможна разработка систем защиты против deepfake?
– В будущем возможно все, но пока таких систем нет, хотя сейчас разработки в
этой сфере ведутся очень активно. А тем временем "глубокий фейк" уже стал
"кухонной технологией", когда сделать убедительный видеофейк, способный ввести в
заблуждение массы зрителей, пробить систему авторизации банка или
интернет-сервиса, может сделать на коленке любой студент с начальными навыками
программирования.
– Вопрос про электронные услуги. Если мы окончательно перейдем на электронные
версии документов, каким образом можно будет отличить подделку от оригинала?
– С электронными услугами тоже все довольно сложно. Мое глубокое убеждение:
обязательно надо сохранять параллельную бумажную систему. Сколько бы лет ни
прошло, нужно хранить бумагу, как раз на случай сбоев в электронной системе.
– Есть же резервные системы хранения данных?
– Резервные копии, конечно, делаются. Но, как вы правильно заметили,
электронная подделка документов все равно возможна, например, в результате
целенаправленного взлома. И более того, такая подделка проще и с ней легче
замести следы: если документы подделывает айтишник с высокими правами доступа,
то он и журналы своего доступа тоже подделает. Кроме того, все форматы и
носители данных живут не более 15-20 лет, например, сейчас огромная проблема
прочесть дискеты 1990-х годов. Ну и проблема отключения электричества в случае
ЧП, катастроф, войн – никуда не девается.
Поэтому, на мой взгляд, нельзя делать электронную копию оригиналом. Бумажные
носители нужно по-прежнему считать оригиналами и сохранять как базовый
инструмент. Конечно, для электронных документов должны быть многоуровневые
системы защиты, перекрестные системы хранения, автоматическое резервирование;
должны использоваться методы связанных списков, когда в документ включается его
криптографический отпечаток – контрольная сумма, чтобы если в документе были
произведены изменения, это было видно. Это все энтузиасты электронного
документооборота нам обещают, конечно; но факторы риска – человеческий фактор,
коррупция, постоянные утечки, ненадежность носителей и недолговечность форматов
– остаются.
– Если говорить об искусственном интеллекте, на ваш взгляд, какие есть риски
использования этой технологии с точки зрения этики, техники, права?
– Об этом можно рассуждать часами, я постараюсь коротко. Там много разных
проблем. Первая – доверять ли решениям искусственного интеллекта и передавать ли
ИИ право автономного принятия решений. Предположим, медицинская система ИИ вас
продиагностировала, поставила диагноз, однако он оказался ошибочным. Кто
виноват? Когда диагноз ставит "живой" врач, то вероятность ошибки тоже есть, но
тогда есть ответственный субъект. А здесь что? Никто не виноват в вашей
инвалидности, мы уже поставили новую версию?
Или, например, возьмем беспилотный транспорт. Одна ситуация, когда человека
задавил живой водитель – это очень печальное событие, но здесь есть тот, кто
понесет за это ответственность. И другое дело – беспилотник-убийца, а таких
случаев, когда беспилотные автомобили сбивали людей, за последние три-четыре
года уже больше 40. Кто несет при этом ответственность? Разработчик системы?
Нет, он просто разработал систему. Эксплуатант системы? Тоже вряд ли, он лишь
использует результат труда разработчика. То есть ответственного – нет, пока
законодателям непонятно, что с этим делать. А деньгами – страховкой, как
предлагают на Западе, вопросы жизни и смерти не решаются.
Вторая проблема: нужно ли наделять искусственный интеллект субъектностью,
предоставлять ему какие-то права? Мне кажется, ответ на этот вопрос очевиден:
конечно, нет. Искусственный интеллект – это робот, раб человека. И если мы
предоставим ему хоть какие-то "права", мы не сможем справиться с возможными
неприятными последствиями "расчеловечивания" человека.
Третье – умышленное нанесение вреда человеку с помощью ИИ. Должно быть прямо
постулировано, что искусственный интеллект не должен вредить человеку, должен
работать исключительно на благо человека. Нельзя использовать ИИ для
дискриминации людей – по любым основаниям, дохода, возраста, расы, пола,
здоровья и так далее – потому что по Конституции РФ мы все равны, если иное не
установлено судом или законом.
Ну и есть проблема прозрачности ИИ: алгоритмы принятия решений и политики ИИ,
заложенные в систему ИИ разработчиками, должны быть открыты и прозрачны. В этом
году на панельной дискуссии на форуме "Армия-2021" высказывалась идея о том, что
при любом взаимодействии с ИИ нужно ясно информировать пользователя об этом и
все решения ИИ нужно маркировать "сделано искусственным интеллектом". Чтобы
понимать, кем это решение было принято – человеком или машиной.
Технологии ИИ отличаются тем, что они обучаемы на данных, совершают миллионы
операций и не дают объяснений того, как и почему решение принято. Обученная на
данных нейронная сеть – это набор готовых фильтров, в которых нет информации о
том, на каких данных делалось обучение, какие объекты и каким образом система
обучена распознавать. Миллионы операций нейронной сети нельзя проверить вручную,
невозможно понять, на основе чего принято то или иное решение. Сейчас в
большинстве случаев даже разработчик не может этого объяснить и обосновать.
Это так называемая проблема "черного ящика" искусственного интеллекта, которая в
свою очередь порождает проблему доверия к решениям ИИ и оспаривания их.
Сейчас решение ИИ в отношении людей, как правило, имеет статус финальности.
Например: система скоринга клиентов в банке почему-то отказала заемщику в
кредите, сочтя его недостаточно надежным. Как гражданину выйти из этой ситуации
– непонятно, потому что непонятны причины принятия именно такого решения – и
сейчас нет способа оспорить решение ИИ.
Далее, у него в бюро кредитных историй фактически появляется клеймо
"подозрительный заемщик", ведь ему уже хотя бы раз отказали. И этого по сути
также нельзя оспорить.
Подобных проблем много, поэтому конечное решение всегда должно оставаться за
человеком, например, как это сейчас реализовано в ГИБДД – вам приходит извещение
о нарушении правил дорожного движения, где сказано: "Я, капитан полиции
такой-то, зафиксировал с камеры видеонаблюдения, что ваш автомобиль нарушил
такие-то правила". И стоит подпись. Понятно, что это формальность – но как
минимум здесь есть субъект права, которому вы что-то можете предъявить. И это
правильный подход. А если искусственный интеллект будет принимать решение
совершенно самостоятельно – это неправильно.
– Но в будущем ИИ будет использоваться все больше. Как вы к этому относитесь?
– Да, некоторые чиновники нас прямо загоняют в сторону цифровизации. Но они
не до конца понимают, что помимо всяких прочих рисков есть следующий,
структурный: в стране появится новая теневая власть, а именно, власть людей,
создающих и использующих цифровые системы – айтишников, цифровых клерков, их
начальников.
Приведу пример: предположим, город N разрабатывает систему распознавания лиц,
которая должна "узнавать", скажем, 10 тысяч лиц для допуска, например, на важные
объекты, а также не должна узнавать на улице 5000 других, "секретных" лиц –
например, сотрудников спецслужб или высокого начальства. Вы думаете, разработчик
устоит перед соблазном дать своему лицу в базе особый статус – разрешить себе
допуск куда угодно или, наоборот, сделать себя "невидимкой"? А своего
начальника? Коррупция и компрометация данных возникнет моментально – а
обнаружить ее трудно, нужна очень высокая квалификация.
Или, например, система распознавания номеров автомобилей на шлагбаумах. Что
помешает разработчику решить: "Добавлю-ка я свой номер авто в систему. Пусть все
дворы открывают мне шлагбаумы, а что такого". Уже не говоря о шантаже на основе
слежки: например, разработчик или оператор системы ИИ может собирать
компрометирующие данные о своем начальстве и сослуживцах и, когда его захотят
уволить, или он захочет повышения, он эту подноготную сможет использовать.
Естественно, его начальник также будет использовать личные данные граждан и
коллег в своей карьерной деятельности. Таких рисков – масса, потому что это же
люди, а не просто технологии, в цифровой среде гарантированно будут возникать
непредвиденные цифровизаторами мощные социальные эффекты. Вот этого
цифровизаторы зачастую не хотят понимать.
Источник, 06.10.2021г.
Пассажирам в метро Петербурга предложат скидки за проезд при его оплате при
помощи биометрии, сообщил разработчик технологии, глава ЦБТ Владислав
Поволоцкий.
"У нас на очереди ещё два региона. По плану к концу года сервис оплаты по
биометрии будет доступен во всех метрополитенах страны. В Санкт-Петербурге и
Новосибирске мы также предложим пассажирам сэкономить на поездках",
— заявил Поволоцкий в интервью ТАСС.
Глава Центра биометрических технологий (ЦБТ, входит в "Госуслуги") уточнил, что
в планах компании сделать оплату проезда лицом основой для платёжной операции,
также появится возможность подключить к биометрии проездной, региональную или
социальную карту.
На двух станциях метро в Петербурге начали тестирование нового способа оплаты
проезда в середине декабря 2024 года. Для того, чтобы оплатить поездку в метро,
пассажиру будет достаточно посмотреть в камеру на турникете.
Такие турникеты уже установили пока на двух станциях метро в центре Петербурга
—"Гостином дворе" и "Площади Восстания". Оператор платёжной инфраструктуры, банк
ВТБ, пообещал после тестирования масштабировать систему оплаты в подземке в 2025
году.
Соглашение о реализации этого проекта было подписано городскими властями и
представителями банка в июне 2024 года на полях ПМЭФ-2024. При этом в московском
метрополитене аналогичный сервис был запущен на всех станциях ещё в 2021 году.
Платить лицом или улыбкой не только в метро, а при любой операции с платёжными
терминалами в точках продаж можно будет, вероятно, во второй половине 2025 года.
К этому моменту Сбер и НСПК, владеющие крупнейшими базами данных по биометрии,
объединят сервисы оплаты. Клиенты смогут использовать мобильное приложение
любого подключённого к системе банка.
По данным ЦБТ, число регистраций в единой биометрической системе, где хранятся
сданные в банках и на "Госуслугах" лица и голоса россиян, приближается к 3 млн.
При этом порядка 80% пользователей подключились к системе в 2024 году.
Источник, 30.01.2025г.
В России с 1 сентября 2025 года разрешат использовать биометрические
данные при посадке на поезда дальнего следования. Соответствующее
постановление подписал премьер-министр Михаил Мишустин.
В документе уточняется, что пассажиры смогут использовать биометрию при
посадке на поезд только при наличии необходимой техники. Предоставлять ее
будут перевозчики. Стандартные методы посадки на поезд сохранятся.
Также биометрические данные пассажиры смогут использовать при покупке
билетов.
Источник, 22.02.2025г.
В ноябре 2024 года сообщалось, что
Госдума приняла во втором и третьем чтении пакет проектов, усиливающих
наказание за утечки персональных данных. Член комитета Госдумы по
информационной политике, информационным технологиям и связи Антон Немкин в
беседе с "РГ" подчеркнул, что цель принятых изменений - побудить бизнес
развивать системы электронной безопасности. По его словам, подвижки в этом
направлении уже есть.
Соответствующие поправки предлагается внести в УК и КоАП.
19 ноября 2024 года: Личные данные всех россиян уже утекли в сеть. Такое мнение высказал на
конференции "Безопасность клиента на первом месте" президент "Ростелекома"
Михаил Осеевский. По его словам, которые приводит ТАСС 19 ноября, в основе массированных атак
лежит то, что
"персональные данные всех россиян уже утекли".
"Если мы зайдем в даркнет, то там есть консолидированная украинскими
спецслужбами или хакерами информация по каждому из нас", - отметил он и
добавил, что даже его личные данные есть в сети.
• 30.08.25г.: Касперская
сообщила о подготовке законопроекта о регулировании ИИ в России
• 31.05.25г.: Минцифры
предложило ввести биометрию для продажи алкоголя и табака через вендинг
• 13.05.25г.: В Минпромторге
предложили использовать биометрию при продаже алкоголя
• 07.05.25г.: Большинство петербуржцев не готовы отказаться от «налички»
• 24.04.25г.: Использование
биометрии в телемедицине закрепят законодательно
• 20.04.25г.: Инструмент
цифрового контроля: Сидоренко о биометрических проверках в Discord
• 20.03.25г.: Более 24 млн записей о
россиянах «утекли» в открытый доступ с начала года
• 08.02.25г.: Материал 2019 года. "Научим Родину любить": как работает китайская система социального рейтинга
• 19.01.25г.: В 2024 году Роскомнадзор зафиксировал 135 утечек данных
• 12.01.25г.: В Росреестре опровергли утечку данных из ЕГРН
|
