Третий пакет антимошеннических мер «Антифрод 3.0» может многое изменить к лучшему в цифровой среде, но и неизбежно приведет к дополнительным расходам. Больше всего бизнес беспокоит требование о блокировке всех сим-карт пользователя, даже если всего один его номер скомпрометирован и подозревается в использовании мошенниками. В этом представители разных отраслей видят риски для корпоративной связи. Все это Бизнес ФМ обсудила с экспертом по информационной безопасности, генеральным директором компании Phishman Алексеем Горелкиным. С ним беседовала Диана Чабанова.

Пакет антифрод-мер 3.0 вызвал много вопросов у бизнеса. Какие основные риски видит бизнес?
Алексей Горелкин: Естественно, телеком-операторы и прочие участники видят определенные сложности в том, что им нужно будет, во-первых, внедрить новые процессы, какие-то технологии, проинвестировать в приобретение определенного оборудования, чтобы соответствовать данному пока еще законопроекту. И явно не нравится, что будет сложнее абонентам получать номера. К примеру, одной из инициатив была четкая связка с абонентом, с фактическим пользователем, чтобы не было перекупов, как сейчас, когда какая-то компания может купить кучу номеров на себя, а потом их перепродавать. Понятно, что операторы связи бьются за свою выручку.
Не только операторы — много разных отраслей высказались. В частности, представители авиации, возьмем компанию «Аэрофлот». У нее есть много разных сим-карт. Например, у пилота есть планшет, который тоже работает от сим-карты, на который грузится важная информация для полета, документы. Якобы опасность возникает, если вдруг какая-то из симок скомпрометирована, и тут же и симка на этом планшете тоже вдруг блокируется, и он не получает документы вовремя.
Алексей Горелкин: Да, но все эти сим-карты должны быть приземлены на пользователя. Есть так называемые M2M-сим-карты — Machine to Machine, когда связь между устройствами, ими не должен пользоваться человек. Это как поставить в какой-то умный холодильник сим-карту, чтобы он отсылал информацию, получал обновления. M2M-сим-карта — это отдельный тип сим-карты. А если мы говорим про сим-карту, которой пользуется человек, у которого есть планшет, куда он тыкает пальцем, этот номер должен быть приземлен на физическое лицо.
Возьмем ситуацию: пилот зарегистрировал через «Госуслуги» эту сим-карту. Еще одна на планшете, тоже его. Эти сим-карты используются для работы, корпоративной связи. Дальше происходит следующее: у него есть еще какая-нибудь сим-карта, она нечаянно скомпрометирована. Бывает же, что по ошибке номер попадает в систему антифрод. И принимаются меры по блокировке всех приземленных на него карт. И получается, что его планшет будет заблокирован в самый неподходящий момент. Правильно?
Алексей Горелкин: Да, риск есть. Как с этим риском работать? У вас есть всегда запасной комплект — поэтому есть два пилота в самолете, у которого есть также своя сим-карта. И этот пилот вставляет свою сим-карту. В целом эта история решается. Да, это риски, но они управляемы и не влекут за собой серьезных последствий. Это влечет за собой финансовый расход. Я не говорю о том, что можно планшет сразу с двумя сим-картами купить, можно иметь даже третью сим-карту, которая просто будет в самолете, например, на борт-инженера. В общем, все это решаемые вещи — просто организации хотят сэкономить, это нормально. Когда у вас один планшет на миллион самолетов и вы их передаете между собой, это очень удобно. Но когда выходят новые требования, теперь необходимо все более жестко персонифицировать. Это, конечно, не нравится бизнесу, потому что это дополнительные траты. Не космические. Опять-таки планшеты сейчас стоят недорого, связь стоит недорого. Но все равно это доптрата. А учитывая объемы того же самого «Аэрофлота», довольно серьезные деньги могут получиться.
Вы видите, что в этом новом пакете антифрод-мер нужно изменить, поправить?
Алексей Горелкин: Самое главное — нет механизмов обжалования выхода из пула блокировки. Как вы сказали, а вдруг это случайная блокировка. Нужен механизм, при котором физическое лицо в случае блокировки может быстро разблокировать весь пул своих других номеров, за исключением того, который был замечен за нехорошей деятельностью. Сейчас это законопроект, вероятно, в нем будет указан механизм выхода из этой блокировки, этого более чем хватит, чтобы успокоить все опасения бизнеса. Также есть еще история про хранение логов.
Это обязательство по хранению логов на кого накладывается?
Алексей Горелкин: А это самое интересное. Обязали хранить логи, то есть на каких сайтах человек авторизовался, что он делал. К примеру, ты под своим номером зашел на новый сайт, и сайт должен хранить, что ты туда заходил, три года. Вы где-то зарегистрировались с этим номером, например в программе лояльности, и все эти шаги надо хранить.
Кому и зачем это нужно?
Алексей Горелкин: Это нужно, чтобы можно было легко построить цепочку. Если вы вдруг злодей, у вас есть номер телефона и вы хотите монетизировать свои злодеяния. Вы можете начать регистрироваться с этого номера в различных сервисах, отправлять туда эсэмэски, пытаться деньги либо вывести, либо с помощью этих сервисов деньги выводить. То есть это просто допспособ аутентификации человека, что конкретно эта личность совершала те или иные действия на тех или иных сайтах. Сейчас это не хранится, нет такого обязательства, и хотят его внедрить.
Хранить три года должны будут владельцы этих сайтов. Из-за этого, я так понимаю, всполошилась Ассоциация компаний интернет-торговли, потому что это еще одни затраты.
Алексей Горелкин: Я не могу сказать, что это затраты. Логи — это текст. Много текста за три года не набежит. Есть определенные способы оптимизации логов. У всех главный вопрос: а что логировать? Если просто факт входа, что пользователь с таким-то номером телефона зарегистрировался, зашел, вышел из системы, — это вообще можно хранить и не заморачиваться. А если мы говорим про какие-то более серьезные логи — что делал в системе, откуда заходил, это намного более серьезные логи. Это небольшие объемы данных, но все равно их надо где-то хранить.
Какие мои шаги как бизнеса? У меня есть сайт, что я должна буду делать? Можете по шагам рассказать?
Алексей Горелкин: Это самое интересное, что и все требуют сделать: уточнить, что мне хранить. После того как уже станет понятно, что хранить, это будет довольно простая история, связанная с кодом сайта, чтобы логин каждого пользователя и его данные, которые требуются, собирались и просто записывались в отдельную базу.
И желательно, чтобы она не грохнулась.
Алексей Горелкин: Кстати, тоже интересно, какая будет ответственность за то, что я это не смог сделать. Я хранил три года, но произошло политическое событие, с ЦОДом что-то случилось, данные погибли. Что делать? Это хороший вопрос, он тоже требует уточнения. Какая ответственность за то, что я физически не смог обеспечить хранение логов в течение трех лет?
Не кажется ли вам, что это слишком большая ответственность для обычного владельца сайта?
Алексей Горелкин: Тут сразу можно схитрить. Необходимо хранить сведения о регистрации и авторизации. Просто вы убираете с сайта форму регистрации и авторизации — и все, ваш сайт-визитка продолжает работать. Вам могут позвонить, могут заказать обратный звонок, но при этом нет ни регистрации, ни авторизации. И таким образом вы проходите сквозь щели данного федерального закона.
Получается, сейчас владельцы сайтов будут перестраиваться и будет действовать вообще другой механизм взаимодействия с клиентами.
Алексей Горелкин: Да, я к этому и клоню. Мне кажется, все начнет двигаться в соцсети, где уже произведена авторизация пользователя, обязанность все это хранить ложится на владельца той или иной соцсети. Поэтому, мне кажется, просто будет небольшое изменение бизнеса. И это неплохо, потому что еще одна интересная особенность добавляется в данном антифроде: человек наконец-то может управлять всеми своими персональными данными. Мы, конечно, опаздываем — хотелось бы, чтобы это давно уже существовало. Мы везде даем согласие на обработку персональных данных. Но если спросить у любого человека, где он оставлял свои персональные данные, никто не скажет, потому что никто не знает. Сейчас как раз есть мысль централизовать сбор и возможность отзыва персональных данных, что очень хорошо. Наконец-то мы начинаем владеть своими персональными данными, а не просто их раздавать направо-налево. Сайты, на которых реально не нужна регистрация, естественным путем от нее откажутся и тоже перестанут быть операторами персональных данных.
Можете привести пример для пользователя?
Алексей Горелкин: Вы приходите в бизнес-центр, у вас там встреча. На входе вы всегда заполняете бланк, что согласны на обработку персональных данных. Сколько вы их оставили, если у вас много встреч, вы знать не знаете. А в данном случае вы будете давать разрешение, в том числе через «Госуслуги», то есть довольно быстро, в одну кнопку. Вы заходите, проводите свою встречу, потом выходите и можете сразу свои персональные данные отозвать, чтобы больше никто ими не пользоваться не мог. Вы дали право, прошли на территорию, все сделали и забрали право использовать ваши персональные данные. Хорошее нововведение, которое началось с закона о биометрии, где также можно всегда отозвать свою биометрию у всех, у кого мы захотим.
Я правильно понимаю, что отозвать персональные данные можно и у банка, и у оператора связи, с которым ты больше не хочешь сотрудничать, и тебе не будут больше присылать рекламу, рассылку и все прочее?
Алексей Горелкин: Да, когда ты отзываешь персональные данные, с тобой уже больше не могут официально в правовом поле взаимодействовать. Если с тобой взаимодействуют, ты имеешь право подать через суд иск, что твои персональные данные используются неправомерно в этой организации, потребовать компенсацию. Ты уже четко знаешь, что не оставлял свои персональные данные, а тебе из этой компании позвонили. Движение в сторону правового общества не только в физическом мире, но и в цифровой среде.
И в цифровой среде, как я понимаю, это даст меньше спама, меньше непрошенных рассылок.
Алексей Горелкин: Самое главное — меньше утечек. Если твои персональные данные находятся неизвестно где, потому что ты просто всем их раздал, откуда утекло, ты не знаешь. Когда ты контролируешь, кто работает с твоими персональными данными, если будет какая-то утечка, ты точно знаешь, кто это. И государству проще идентифицировать, откуда утекло, чтобы наказать юрлицо, через кого утекло, и вам как человеку проще понять, какая из организаций допустила оплошность. А также я вижу главный плюс в том, что это воспитает ответственность, открытость компаний. Компании будут теперь не заинтересованы умалчивать о тех или иных инцидентах — они будут заинтересованы о них говорить, чтобы их клиенты, которые точно знают, что их персональные данные у них находятся, не уходили из компании, потому что компания умолчала. Кибербезопасность как конкурентное преимущество.