O Banco Central publicou recomendações sobre a proteção criptográfica do EBS

EBS. Inferior direito - Scanner de impressão digital

Os bancos russos estão em pleno andamento conectados ao Sistema Biométrico Unificado (EBS) e começam a coletar dados biométricos de seus clientes. As informações são armazenadas em um único banco de dados centralizado gerenciado pela Rostelecom. Por exemplo, o Sberbank informou recentemente que coletou dados biométricos em 20% de suas agências .

Embora o processo de coleta, processamento e transmissão de dados biométricos para o EBS tenha sido regulamentado há muito tempo, o Banco Central publicou diretrizes sobre como proteger essas informações apenas em 14 de fevereiro de 2019.

O Banco Central recomenda que os bancos forneçam proteção de informações aos bancos com a ajuda de ferramentas de proteção de informações criptográficas que estejam em conformidade com o Regulamento PCZ-2005 , aprovado por ordem do FSB. Esta disposição regula em detalhes o desenvolvimento e a produção de ferramentas de proteção de informações criptográficas (ferramentas de proteção de informações criptográficas), que incluem:

• ferramentas de criptografia;
  
• meios de imitação de proteção;
  
• meios de assinatura digital eletrônica;
  
• ferramentas de codificação;
  
• meios de produzir documentos importantes;
  
• documentos importantes.

Além disso, o Banco Central descreve medidas de segurança da informação no processo de coleta de dados pessoais biométricos e no processo de transmissão para a Rostelecom no EBS, bem como os requisitos para a notificação obrigatória de incidentes.

Em particular, para garantir a segurança das informações no processo de coleta de informações, recomenda-se o uso de sistemas de proteção de informações criptográficas de classe não inferior a KB, incluindo meios de assinatura eletrônica de uma classe não inferior a KB2.

Os bancos podem trabalhar com qualquer solução - produção própria, soluções padrão ou nuvem. Para cada um deles, as recomendações são escritas. Por exemplo, se você usar sua própria solução, é recomendável fornecer:

• obter um certificado qualificado de uma chave para verificar a assinatura eletrônica de um banco criada por um centro de certificação credenciado pelo Ministério das Comunicações da Rússia (Instituto de Pesquisa FSBI "Voskhod") usando meios de um centro de certificação de classe não inferior a KV2;
  
• incorporação do software de proteção criptográfica e do módulo de hardware (HSM), certificado como um sistema de proteção de informações criptográficas com uma classe não inferior a KV (meios de assinatura eletrônica de uma classe não inferior a KV2), no subsistema para processamento de dados pessoais biométricos de indivíduos, de acordo com os requisitos estabelecidos na documentação operacional para software módulo de hardware de proteção criptográfica (HSM), internamente, com a licença apropriada do FSB da Rússia ou de organizações de terceiros que possuem a licença correspondente do FSB da Rússia;
  
• criação e uso de um ambiente confiável para o funcionamento de um sistema de informação que interage (chamadas de formulários) com um módulo de proteção criptográfica de software e hardware (HSM) certificado não inferior a HF no processo de assinatura de mensagens eletrônicas contendo dados pessoais biométricos de indivíduos, UKEP implementado pela classe de proteção de informações criptográficas não inferior a KB (por meio de assinatura eletrônica de uma classe não inferior a KB2).

Por sua vez, o ambiente confiável deve:

• trabalhar em um sistema operacional adequado (que atenda aos requisitos do FSB na classe AK3) ou aos requisitos da Comissão Técnica Estadual para a 3ª classe de segurança e o 2º nível de controle);
  
• aplicar firewalls certificados pelo FSTEC da Rússia para conformidade com os requisitos para dispositivos como um firewall de pelo menos a terceira classe de segurança, usando SZI da VVK para uso em servidores de sistemas de informação (tipo "B") e certificados pelo FSTEC da Rússia para conformidade com os requisitos produtos antivírus não inferiores à 2ª classe de segurança;
  
• aplicar proteção contra ataques de computador certificados pelo FSTEC da Rússia para conformidade com os requisitos de software, software, hardware ou hardware, como um "sistema de detecção de intrusão" de pelo menos a 3ª classe de segurança;
  
• aplicar no sistema de informações que interage (chamadas de formulário) com o módulo de hardware e software de proteção criptográfica (HSM), módulos de hardware e software de placas de expansão de nível de inicialização confiáveis ​​certificadas pelo FSTEC da Rússia para conformidade com os requisitos para módulos de hardware e software de carregamento confiável de computador na classe 2 proteção;
  
• usar software aplicativo testado para a ausência de recursos não declarados e que corresponda ao 4º nível de controle para a ausência de recursos não declarados ou certificado no sistema de certificação do FSTEC da Rússia para conformidade com os requisitos de segurança da informação, incluindo requisitos para a análise de vulnerabilidades e controle da ausência de recursos não declarados ou para os quais a análise foi realizada as vulnerabilidades de acordo com os requisitos para o nível estimado de confiança não são inferiores ao OUD 4.

Um ambiente confiável pode ser criado usando um adaptador especializado que fornece interação de informações e tecnologia entre a infraestrutura de informações do banco e o módulo de hardware de proteção criptográfica (HSM) e correspondente à descrição acima, o Banco Central permite.

Provavelmente, agora os cidadãos podem ter a calma de que seus dados biométricos no sistema EBS estão protegidos com segurança.