Если данные — это «новая нефть», то персональные данные — «новое золото». По мере развития электронного документооборота стало удобнее обрабатывать персональные данные (ПДн), однако и украсть их или невольно раскрыть третьим лицам тоже стало гораздо проще.

Используя утечки ПДн, мошенники оформляют микрозаймы и поручительства по кредитам на чужое имя, регистрируют фирмы-однодневки, организуют многоэтапные аферы и просто портят репутацию тем людям, от имени которых выполняют неэтичные или незаконные действия.

Масштаб утечек персональных данных

По числу ежегодно фиксируемых утечек данных Россия находится на втором месте после США. За 2020 год специалистами InfoWatch в мире было зарегистрировано 2395 таких инцидентов, из них 404 произошли в России.

Среди всех типов ценной для злоумышленников информации наиболее часто оказываются скомпрометированы именно персональные данные. В мировой статистике 80,6% утечек данных составили ПДн. В сравнении с 2019 годом на 26% выросло число крупных инцидентов с ПДн, каждый из которых нанёс ущерб как минимум одному миллиону граждан.

Например, украденная с сайта «РЖД» база данных содержала ПДн 1,3 млн участников программы «РЖД Бонус». Она включала в себя ФИО, номера телефонов, адреса проживания, логины и хешированные пароли.

В общей сложности за 2020 год в мире было скомпрометировано 11 млрд записей ПДн (включая повторяющиеся), содержащих имена и фамилии, номера телефонов, адреса постоянного места жительства, номера социального страхования и реквизиты банковских карт. 98,2% из них утекли по вине сотрудников компаний, имевших доступ к персональным данным. Общая доля умышленно организованных утечек ПДн в 2020 году достигла 72,5% вместо 60,2% в 2019 году.

Поиск эффективной защиты ПДн

Сегодня в России (как и во всём мире) доминирует централизованная модель работы с персональными данными. Она может быть простой или федеративной.

В первом случае для идентификации клиентов каждая организация запрашивает у пользователей разные наборы персональных данных, самостоятельно проверяет их (при необходимости) и сохраняет в своей базе данных. Это создаёт неудобства (нужно везде регистрироваться отдельно) и повышает риск злонамеренного использования ПДн (они остаются у сотен юридических лиц и контрагентов, а у пользователей нет возможности проверить, как контролируется доступ к их персональным данным).

Федеративная модель более современная и удобная. Идентификационные данные пользователей хранятся у какого-то крупного оператора ПДн. С разрешения пользователя он выдаёт их необходимую часть владельцам других ресурсов, когда требуется подтвердить личность. Широкое распространение федеративной модели сдерживается отсутствием единого стандарта. Попытки его разработать предпринимались неоднократно, и сейчас в мире конкурирует несколько технологий управления цифровой идентичностью.

Наиболее популярные из них представлены ниже.