Крупный бизнес просит возможности покупать конкретные сведения из баз МВД

Бизнес просит дать компаниям возможность покупать отдельную информацию из баз данных МВД. Речь идет о сведениях о подозреваемых и обвиняемых по административным и уголовным делам, розыске, учете и дееспособности. Компании считают, что это позволит эффективнее настраивать собственные антифрод-системы, тогда как ИБ-специалисты указывают на риски этой инициативы.

“Ъ” ознакомился с письмом «Ассоциации больших данных» (АБД; включает «Сбер», «Яндекс», VK и т. д.) главе IT-комитета Госдумы Сергею Боярскому от 19 февраля. Из него следует, что АБД предлагает дать компаниям, которые будут обмениваться данными в новой единой антифрод-системе с госорганами (банки, операторы связи, маркетплейсы, соцсети и т. д.), возможность покупать отдельные категории информации, которые содержатся в базах данных МВД. Например, сведения о подозреваемых или обвиняемых, в том числе по административным правонарушениям, о том, объявлен человек в розыск и состоит ли на учете, а также о его дееспособности.

Авторы письма указывают, что доступ к такой информации «позволит кредитным и иным организациям выстраивать более комплексные антифрод-системы, учитывающие большее число параметров и индикаторов».

В частности, пишет АБД, такая информация поможет «вывести на новый уровень риск-профилирование и обеспечить таргетированный мониторинг в отношении лиц, подверженных повышенному риску манипулирования, воздействия со стороны злоумышленников, сознательного или неосознанного вовлечения в противоправную деятельность». «Предложение “Ассоциации больших данных” заслуживает всестороннего анализа и проработки с коллегами из компетентных органов»,— сказал “Ъ” господин Боярский.

В конце прошлого года организации, включая банки, получили возможность покупать у МВД сведения через систему межведомственного электронного взаимодействия. Ранее доступ к информационным системам МВД имели только государственные органы, должностные лица в пределах своих полномочий, зарубежные правоохранители и международные полицейские организации с соответствующими соглашениями. Также в конце прошлого года власти объявили о создании единой госинформсистемы «Антифрод», в которой банки, операторы связи, цифровые платформы и силовые органы будут обмениваться информацией для пресечения мошенничества.

«Такая информация была бы полезной для калибровки моделей по выявлению подозрительной активности, выработки новых критериев работы антифрод-алгоритмов, актуальной информации об изменении мошеннических сценариев»,— говорят в Т2. В «МегаФоне» считают, что обогащение антифрод?систем такими данными позволит «лучше и иногда быстрее выявлять мошеннические схемы». В «Вымпелкоме» согласны с предложениями АБД. «Любой обмен данными, особенно теми, что позволяют верифицировать риски, так или иначе приносит пользу. Вопрос лишь в частотности обмена, скорости и качестве передаваемой информации»,— отмечает руководитель дирекции по предотвращению кибермошенничества Альфа-банка Евгений Винокуров. В МТС отказались от комментариев. В ВТБ, «Сбере» не ответили на запрос “Ъ”.

При этом специалисты по информационной безопасности видят риски в инициативе.

«Чем больше компаний имеют доступ к таким данным, тем выше шансы утечек»,— считают в «Информзащите». «При этом злоумышленник получит не обезличенный или ограниченный профиль пользователя, а всю информацию о нем. Как минимум это дает киберпреступникам возможность придумать правдоподобную фишинговую схему»,— добавляет эксперт программных продуктов «Кода безопасности» Максим Александров. Кроме того, считает представитель «Информзащиты», если в базах была запись МВД о судимости или учете, «она сможет годами влиять на решения о предоставлении такому человеку услуг».

«Передаваемый объем данных не должен быть избыточным. Риски подобных инициатив всегда заключаются в нарушении баланса интересов — субъектов персональных данных, а также публичных и коммерческих»,— считает юрист Lidings Алина Смакова. Для этого необходимы четкие правовые механизмы, которые «позволили бы использовать данные в благих целях с соблюдением соответствующих принципов и гарантий защиты интересов субъектов персональных данных», говорит она.