Под надзором ФСБ: как уничтожили данные 1,7 млн татарстанцев

Мероприятие беспрецедентное: как сообщили в министерстве, впервые в истории удаление баз происходит публично Фото: пресс-служба министерства цифрового развития РТ

Возможность дальнейшего восстановления исключена

«Мы хотим открыто заявить о том, что никакие личные данные наших граждан не будут использоваться банком или какими-то другими органами. База не будет сохраняться на серверах или где-то еще», — заявила журналистам сегодня пресс-секретарь минцифры РТ Вероника Доронина перед началом процедуры удаления базы данных цифровых пропусков, которые жители республики оформляли для выхода из дома в последние полтора месяца. Мероприятие беспрецедентное: как сообщили в министерстве, впервые в истории удаление баз данных происходит публично, в присутствии специальной комиссии, в которую вошли замминистра цифрового развития Альберт Яковлев, начальник службы безопасности Алексей Бычков, представители Ак Барс Банка, ФСБ по РТ и Роскомнадзора по РТ, а также журналистов, наблюдавших за процессом в режиме онлайн по видео-конференц-связи из здания цифрового министерства. Сама процедура прошла в режимном помещении Ак Барс Банка, поскольку база данных хранилась в приватном облаке ABCloud, созданном IT-специалистами кредитной организации.  

«Платформа защищена в соответствии с жесткими банковскими требованиями и неоднократно проверена на устойчивость к попыткам взлома и компьютерным атакам, — объяснил Яковлев выбор ABCloud. — 12 мая система прекратила свою работу. Учитывая то, что при регистрации использовались паспортные данные, которые позволяют идентифицировать человека, в соответствии с федеральным законом номер 152 „О персональных данных“, база данных должна быть уничтожена».

«Уничтожение базы данных, а также их резервных копий происходило путем очистки и перезаписи занятого дискового пространства, что исключает возможность их дальнейшего восстановления» Фото: пресс-служба министерства цифрового развития РТ

Техническую функцию удаления базы данных вместе со всем сервисом осуществил замначальника управления инфраструктуры АББ Ильнур Латыпов. Процедура заняла около полутора часов, после чего комиссия подписала четырехсторонний акт об уничтожении персональных данных. «В процессе были полностью удалены программные продукты и операционные системы, обеспечивавшие работу сервиса. Уничтожение базы данных, а также их резервных копий происходило путем очистки и перезаписи занятого дискового пространства, что исключает возможность их дальнейшего восстановления», — пояснили в пресс-службе минцифры РТ. А директор департамента по информационной безопасности Ак Барс Банка Вячеслав Яшкин провел презентацию с подробным рассказом о платформе. «На последнем слайде вы видите, что у нас многослойная архитектура, и данные, которые мы сейчас уничтожаем, находятся на самом последнем слое. Мы будем производить и уничтожение баз данных, и удаление всех сервисов выдачи пропусков», — заверил он.

Альберт Яковлев: «Учитывая, что нагрузка на всех была очень высокая, основная работа заключалась в выявлении граждан, которые выходили на улицу без разрешений» Фото: пресс-служба министерства цифрового развития РТ

Как защищали данные татарстанцев

«Персональные данные окружают нас сегодня повсюду: будь то бонусные карты в магазине или на АЗС, будь то регистрация в гостинице. Мы везде оставляем свои данные, не обращая даже на них внимания, в обмен на какие-то блага и сервисы», — напомнил Яковлев, признав, что к цифровым пропускам татарстанцы отнеслись очень внимательно, поэтому процедуру и решено было сделать публичной.

Главный вопрос, который волновал журналистов, — точно ли абсолютно все данные и копии данных будут удалены (тут гарантом выступает комиссия) и как обеспечивалась их безопасность в процессе эксплуатации сервиса. Яшкин заверил, что регулярно проводятся тестирования инфраструктуры и аудиты ЦБ. «Кроме того, у нас есть свой security operation center (центр информационной безопасности — прим. ред.), куда стекаются данные о всех инцидентах. Мы их тщательно отслеживаем», — заверил он, впоследствии уточнив, что минцифры самостоятельно убеждалось в том, что сервисы банка надежны, проводило бета-тестирование. «Они подтвердили, что наши сервисы не имеют критических уязвимостей», — заключил Яшкин, подчеркнув, что и до, и после того, как сервис запустили в эксплуатацию, прорабатывались различные сценарии, которые могли бы привести к тем или иным уязвимостям. «Наши специалисты порекомендовали уменьшить список персональных данных, после этого риски были минимизированы», — заверил он.

Журналистов интересовала, разумеется, и стоимость сервиса. Яковлев пояснил, что для его создания были использованы уже существующие ресурсы платформы Ак Барс Банка. «Ничего дополнительно покупать не пришлось. Для работы системы привлекались дополнительные ресурсы оператора связи — пропуск СМС между технологической платформой и абонентами осуществлялся на коммерческой основе. Но доставку СМС оплачивал банк», — рассказал он. Таким образом, бюджетных средств было использовано ноль, а сумма затрат банка на услуги связи останется коммерческой тайной.

Напомним, впрочем, как выяснил «БИЗНЕС Online», короткий номер 2590 принадлежит московскому ООО «СМС Трафик», но, как сообщили в коммерческой компании, он временно в аренде у разработчика сервиса — «Ак Барс Цифровые технологии». «Номер 2590 находится у банка в выделенной аренде, тарификацию выбирали они самостоятельно и сервисы так же подключают на своей стороне, используя нас лишь как канал передачи сообщений по заданным банком настройкам», — рассказали нам в компании. Финансовые детали «СМС Трафик» тоже не раскрывает, но несколько экспертов отрасли, опрошенные нашей газетой, в один голос утверждают, что среднерыночная цена одного СМС-сообщения в таких рассылках — от 1,5 рубля. Окончательной статистики о том, сколько всего СМС было отправлено для получения пропусков, нет.

Кроме банка и министерства доступ к данным был и у силовиков: проверка кодов пропусков, например, осуществлялась с помощью системы «Цифровой гвардеец» Фото: «БИЗНЕС Online»

Доступ к данным у «СМС Трафика», кстати, тоже был, но существует закон о связи, в рамках которого операторы обязаны сохранить тайну связи. Яковлев пояснил, что дополнительного контроля со стороны минцифры в этой части не было. «Каких-то новых инструментов мы здесь не применяли, это все те же СМС-сообщения, которые операторы связи отправляют населения с самого начала предоставления услуг мобильной связи. Данные защищает закон о связи», — сказал замминистра цифрового развития, отвечая на вопрос «БИЗНЕС Online». В ведомстве также уточнили, что постарались быстро подключить личный кабинет, «который является более защищенным».

Кроме банка и министерства доступ к данным был и у силовиков: проверка кодов пропусков, например, осуществлялась с помощью системы «Цифровой гвардеец». Отдельной базы данных для правоохранителей не создавалось, для сотрудников МВД был создан доступ в существующей инфраструктуре. «Учитывая, что нагрузка на всех была очень высокой, основная работа заключалась в выявлении граждан, которые выходили на улицу без разрешений», — пояснил Яковлев.

Однако, как рассказали нам источники в силовых структурах, система цифровых пропусков помогла обнаружить людей, которые были в федеральном розыске и раскрыли свое настоящее местоположение, а также граждан, которые находятся в оперативной разработке, и установить за ними контроль было невозможно, пока они добровольно не вписали адрес самоизоляции.

За время действия сервиса было выдано 13,7 млн цифровых пропусков. Только в последний день работы сервиса, 11 мая, татарстанцы запросили 464,7 тыс. разрешений на выход из дома Фото: «БИЗНЕС Online»

3,8 млн обращений татарстанцы отправили не по шаблону

Напомним, татарстанская пропускная система, разработанная минцифры совместно с центром цифровой трансформации и цифровой командой Ак Барс Банка, стала самой первой в России — она заработала уже 1 апреля. За неполные полтора месяца (сервис прекратил работу 12 мая) в ней зарегистрировались 1,7 млн жителей республики. За время действия сервиса было выдано 13,7 млн цифровых пропусков. Только в последний день работы сервиса, 11 мая, татарстанцы запросили 464,7 тыс. разрешений на выход из дома. В общей сложности (и через СМС-сообщения, и через личный кабинет) было зарегистрировано 19,3 млн обращений, однако из них 3,8 млн были оформлены некорректно — не по шаблону.

В процессе эволюции сервиса была упрощена процедура регистрации в системе, запущен личный кабинет на сайте covid19.tatarstan.ru (в настоящее время сайт уже прекратил работу), а перечень целей и время действия каждой из них регулировались в соответствии с текущей ситуацией. По данным минцифры, самой востребованной целью для выхода из дома на протяжении всего периода работы сервиса оставалась цель 6 — «Поездка на дачу / возвращение с дачи» — по ней жители запросили 7,2 млн разрешений на выход, это 53% от общего количества. На втором месте по популярности расположилась цель 8 — «Доставка лекарств, продуктов питания и предметов первой необходимости, оказание помощи нетрудоспособным родственникам», — которой воспользовались 3,6 млн раз. Третье место заняла цель 7 — «Посещение кредитных организаций и почтовых отделений», по которой запросили чуть больше миллиона пропусков.

Кроме того, с 13 апреля цифровые пропуска в сервисе смогли получить и самозанятые — по четырем дополнительным целям. Опцией воспользовалось почти 4 тыс. вышедших из тени налогоплательщиков. По итоговым данным, общее количество запрошенных ими разрешений на выход подобралось к 32 тысячам. Чаще всего самозанятые оформляли пропуска для проезда к производственному помещению (приблизительно 40% от общего числа выданных пропусков). Впрочем, как рассказал Яковлев, отвечая на вопрос корреспондента нашего издания, в планах было запустить регистрацию и юридических лиц через эту систему. Он напомнил, что сервис развернули буквально за 24 часа, программисты и руководство министерства сутки не спали, чтобы его реализовать. Теперь, по его словам, если такая потребность вдруг возникнет снова, пропускную систему можно будет развернуть с нуля чуть ли не за полдня.

На горячую линию цифровых пропусков, запущенную одновременно с сервисом, в общей сложности поступило порядка 260 тыс. звонков. На ней, кстати, работает и робот Лилия, которая, несмотря на отмену пропускного режима, продолжает консультировать всех желающих по вопросам профилактики коронавируса.