ЦБ указал ФСБ на невозможность в полном объеме выполнить требования службы по защите собираемых банками биометрических персональных данных граждан, пишет «Коммерсант». Первый заместитель главы департамента информационной безопасности ЦБ Артем Сычев на прошедшем 27—28 ноября SOC-форуме отметил, что сейчас нет необходимого рынку отечественного криптографического оборудования, которое может обеспечить защиту собранных у граждан биометрических данных по классу КВ. Именно такой класс защиты — на уровне гостайны — определен приказом ФСБ № 378. Заместитель начальника восьмого центра ФСБ России Игорь Качалин при этом высказал надежду, что ЦБ «займет жесткую позицию» по всем средствам защиты при работе с биометрическими данными граждан.
Но банкиры подтверждают, что выполнить требования ФСБ не могут. «Чтобы шифровать направляемые в единую биометрическую систему (ЕБС) собранные образы, необходимо интегрировать в системы специальное оборудование (HSM-модуль), а после этого получить ключи сертификатов электронной подписи класса КВ», — отметил собеседник газеты в крупном банке. Ключи класса КВ выпускает только ФГУП НИИ «Восход», а порядок выдачи ключей утвердили лишь в середине октября. Как сообщили в «Ростелекоме», «Восход» обладает нужным количеством ключей. «Однако методики корректного встраивания HSM нет, после интеграции модуля нужно получить заключение ФСБ, — отмечает собеседник издания в другом крупном банке. — Но без методики получить заключение ФСБ нереально». По данным «Ростелекома», внедрение HSM идет в 26 банках, но нигде не закончено.
ЦБ готов предложить банкам несколько вариантов решений по информбезопасности при сборе биометрии. Как пояснил Сычев, в настоящее время есть стандартизированное решение, которое отвечает требованиям информационной безопасности для подключения к ЕБС. «Часть кредитных организаций уже его внедрила, а часть находится в процессе, — отметил он. — Банк России совместно с ФСБ также проработал вариант облачного решения и типового решения по подключению банков к ЕБС с выполнением всех необходимых требований». По его словам, вариант облачного и типового решения по подключению банков к ЕБС является дополнительным и разрабатывается в целях снижения издержек банков. Выполнить требования по информационной безопасности банки должны к концу 2019 года, отметил Сычев.
Впрочем, с предлагаемыми ЦБ решениями все непросто, отмечают эксперты. По словам собеседников газеты в банках, уже работающих по стандартному решению, шифрования по классу КВ нет: биометрия отправляется по шифрованному каналу, но без дополнительного шифрования на уровне КВ. Типовое решение «Ростелекома», по которому коммерческое предложение было направлено банкам несколько дней назад, еще не сертифицировано. В «Ростелекоме» сообщили, что их типовое решение согласовано с ФСБ и предусматривает наличие шифрования класса КВ. Облачное решение и вовсе находится на стадии проработки. Банкиры говорят, что готовы выполнить требования ФСБ, когда появится хоть одно полноценное решение.