21 июля Администрация киберпространства Китая наложила на компанию-агрегатора такси Didi штраф в размере 8,03 млрд юаней ($1,2 млрд) за нарушение правил кибербезопасности. Регуляторы также оштрафовали председателя совета директоров Didi Чэн Вэя и президента Джин Лю на 1 млн юаней ($147 тысяч) каждого. Штраф Didi стал крупнейшим регулятивным взысканием, наложенным на китайскую технологическую компанию, с 2019 года.
Официальная причина — нарушение конфиденциальности персональных данных граждан Китая, пренебрежение в выполнении требований по управлению данными. Неофициальная — излишняя самостоятельность компании. В июне 2021 года она провела несогласованное с властями Китая IPO в США. И несмотря на объявление о делистинге в мае 2022 года, штрафа избежать не удалось.
Руководство Didi поблагодарило Администрацию киберпространства за проверку компании и соответствующие инструкции, а общественность — за бдительность. Представители компании пообещали провести анализ деятельности, устранить все несоответствия, усилить защиту личной информации и эффективно выполнять социальные обязанности.
Показательная история про то, как ПД становится карательной дубиной.

Intel, Philip Morris, SpaceX и еще более 1 тыс. организаций получили лицензию на использование технологии распознавания лиц, разработанной российской компанией NTechLab, сообщает Business Insider со ссылкой на переданную ему анонимно базу данных.
В нескольких компаниях из перечня подтвердили, что получили от NTechLab лицензию, но сказали, что не пользовались ею на протяжении нескольких лет. Например, представитель табачной компании Philip Morris Дэвид Фрейзер рассказал, что компания несколько лет назад тестировала ПО для «программы по подтверждению возраста», но в итоге сделала выбор в пользу другого поставщика аналогичной услуги.
Другие компании из списка (Intel, Nokia) опровергли, что когда-либо использовали FindFace.

Минцифры РФ предложило провести в 2022-2023 годах эксперимент по допуску пассажиров в зону транспортной безопасности аэропорта с помощью ЕБС.
Эксперимент будет проведен в аэропорту Шереметьево. Задействовать в нем, помимо Минцифры и Росавиации, планируется Минтранс, МВД, ФСБ и Роскомнадзор. Участие в эксперименте могут принять добровольцы старше 18 лет, предоставив согласие на обработку биометрических персональных данных.
Проект постановления правительства РФ тут

"Почта России" признала факт утечки ПД клиентов, но утверждает, что она не представляет опасности для клиентов. Компания заявила, что утечка произошла в результате хакерской атаки.

Samsung позволит скрывать личные фотографии на смартфонах при сдаче в ремонт

🇷🇺💡📸 #биометрия #идентификация #аутентификация #аналитика
Подготовил описание (оригинал) нескольких сценариев юридической квалификации обработки фотографического изображения и иных ПД посетителей организации для обеспечения их однократного и/или многократного прохода на охраняемую территорию.

Минцифры предложило использовать ЕБС при входе на территорию промышленных, оборонных, атомных, ядерных, оружейных и других объектов. Такая норма содержится в разрабатываемом законопроекте о ГИС ЕБС, который министерство намерено представить осенью.
В "Ростехе" предпочитают закрытый контур и считают, что к вопросу интеграции таких систем безопасности с ЕБС можно вернуться после внедрения биометрических общегражданских паспортов.
Цель нововведения — наполнить ЕБС любой ценой, но неясно, для чего.

Криптобиржа Binance потеряла 90% клиентов после внедрения процедуры верификации клиентов. Ввести ее пришлось после расследования Reuters, в котором говорится, через Binance с 2017 года преступники отмыли более 2,35 млрд долларов. Среди них — хакеры из северокорейской группировки Lazaurs и лица, причастные к даркнет-маркетплейсу Hydra.

Технологии виртуальной реальности, применяемые в том числе в метавселенных, позволяют собирать огромное количество персональных данных в рекордные сроки, выяснили специалисты Мюнхенского технического университета (Technical University of Munich) и Калифорнийского университета в Беркли (UC Berkeley).
При помощи 30 добровольцев исследователи создали и протестировали игру в виртуальной реальности в жанре эскейп-рум — в таких играх пользователю предлагается найти выход из какого-либо здания или помещения.
Оказалось, что подобная игра способна предоставить злоумышленнику ПД пользователя по 25 параметрам — от антропометрической информации до демографической, включая возраст и пол пользователя, родной язык, когнитивные способности, — всего за несколько минут, проведённых в игре.

Комитет Госдумы по информационной политике обратится в правительство для отмены моратория на проверки бизнеса при утечках персональных данных.

А вы знали, что после длительного нахождения в воде (после бассейна или сауны) подушечки пальцев морщинятся? Наверняка знали. А знаете ли вы, что из-за этого часто не срабатывают системы биометрической идентификации по отпечаткам пальцев, например, TouchID? Вооооот!...

Так что не стоит делать вторым фактором только один - отпечатки пальцев; лучше иметь разнообразие. Ну или в политику ИБ и повышение осведомленности пользователей включать пункт о запрете посещения бани перед работой с активами, требующими доступа к узлам с биометрической аутентификацией.

Глава криптовалютной биржи Binance Чанпэн Чжао опроверг заявления своих сотрудников о том, что компания потеряла 90% клиентов и миллиарды долларов после введения процедуры идентификации (KYC). Ранее об этом сказал руководитель комплаенс-команды Тигран Гамбарян в интервью CoinDesk, комментируя расследование Reuters о причастности биржи к отмыванию средств преступниками.

Минцифры и Росреестр разрабатывают сервис для сделок с недвижимостью на портале госуслуг.
Используя госуслуги, граждане смогут размещать объявления о продаже жилья на интернет-порталах, подтверждая права на него онлайн по ЕГРН. "При помощи сервиса можно будет проверить наличие обременений, информацию о зарегистрированных жильцах, наличие задолженностей по оплате ЖКУ и другие существенные параметры", - сообщили в Минцифры.

В The Markup очередная хорошая статья про приватность [1], на сей раз о компаниях которые собирают данные из автомобилей и о автомобилях.

В общей сложности это 37 компаний связанных с индустрией подключений к автомобилям, в оригинале - connected vehicle data industry. При том что этот рынок считают относительно молодым, его оценивают от 300 до 800 миллиардов долларов США к 2030 году [2].

Из автомобиля собирается самая разная информация: местонахождение, скорость, когда нажат тормоз, какая музыка играет, была ли открыта дверь, внутренняя температура и так далее. Всё это собирается, обрабатывается локально и передаётся, например, производителю автомобиля.

В статье немало примеров, особенно компаний создающих хабы данных перепродаваемых, например, страховым компаниям.

Выводы там оптимистичные, в том что производители автомобилей начинают идти по пути Apple и предлагать приватность как часть услуги, давая возможность ограничивать передачу данными другим компаниям. Например, так делает Porshe, в этой индустрии.

Лично я не столь оптимистичен, потому что целью Apple было перестроить рынок под себя и не только повысить приватность, но снизить возможности её нарушения для конкурентов и сохранить такую возможность для себя.

Тем не менее я бы зафиксировал следующее именно в отношении автомобилей:
1. Тренд на усиление сбора данных с автомобилей сохраняется и усиливается. Данных собирается всё больше и с большей частотой и гранулярностью.
2. Технологии позволяют собирать данные хоть со всех машин в мире, ограничения скорее в количестве машин выпускаемых основными вендорами и наличию чипов для них.
3. Учитывая значимость этих данных национальные регуляторы точно будут требовать их локализацию, а полиция захочет иметь к ним доступ.

Ссылки:
[1] https://themarkup.org/the-breakdown/2022/07/27/who-is-collecting-data-from-your-car
[2] https://www.documentcloud.org/documents/22120767-capgeminiinvent_vehicledatamonetization_pov_sep2020#document/p5/a2130948

#privacy #data

🙈Не аргумент! Снова про национальную безопасность

Буря вокруг поправок в закон о рекламе не утихает, я тут пересмотрел эфир на ТВ, где автор этих поправок, депутат Артем Кирьянов вел диалог с экспертами из разных областей. И вы знаете подметил одну особенность, если много раз повторить «Не аргумент», все факты противника будут уничтожены. Причем диалоги с разными людьми, что ратуют за нашу защиту выглядят как под копирку. Это сатира, Артем Кирьянов не говорил всех этих фраз. Но смысловая составляющая именно такова от всех, кто пытается нас "защитить". И мне это не нравится.

• «Акционер Авито – Naspers, - компания из дружественного ЮАР». – «Не аргумент».
• «Классифайды ни разу не допускали взломов и утечек данных», - «и это Не аргумент».
• «Системы модерации классифайдов являются барьером для мошенников. Их исчезновение напрямую вытолкнет пользователей в незащищенные каналы связи – whatsapp, telegram», - «Какой же это аргумент.
• «Авито первым ввел систему верификации через Госуслуги и приложение «Госключ», - «нет, Не аргумент».
• «Для большинства россиян Авито - это крупнейший источник постоянной работы и дополнительного дохода», - «Не аргумент точно ».
• «Прекращение работы досок объявлений ударит в первую очередь по малозащищенным слоям населения, которые используют платформу для дополнительного заработка и поиска более доступных товаров», - «Не аргумент совсем ».
• «Прекращение работы существующих платформ к серьезному удару по бизнесу МСП, от которого он может не оправиться», - «да, но Не аргумент».
• «Работу потеряет до 20 тысяч сотрудников классифайдов. Значительная часть этих работников – это высококвалифицированные ИТ-кадры, за удержание которых бьется Правительство», - «нет, Не аргумент».
• «Государственный бюджет потеряет миллиарды налоговых отчислений», - «разве? Нет, Не аргумент».

Сатира, но в ней даже не зерно, а огромный булыжник рационального. Может начнем разбираться в рамках фактов, а не верований и убеждений?

Власти Индии в общей сложности заблокировали 348 приложений за несанкционированный сбор персональных данных граждан

👁 Минцифры предлагает подключать информационные системы банков к ЕСИА для двухфакторной аутентификации на Госуслугах

Минцифры РФ предлагает подключать информационные системы банков к Единой системе идентификации и аутентификации (ЕСИА) для двухфакторой аутентификации на портале Госуслуг.

Соответствующий проект постановления правительства опубликован в среду на федеральном портале проектов нормативных правовых актов.

Как говорится в пояснительной записке к документу, в целях расширения способов двухфакторной аутентификации, информационные системы банков, хранящие данные граждан, предполагается подключать к ЕСИА в порядке, предусмотренном правилами присоединения информационных систем организаций к инфраструктуре электронного правительства.

Как уточнили «Интерфаксу» в пресс-службе Минцифры, этот способ планируется добавить к уже существующим методам дополнительной идентификации (через Единую биометрическую систему (ЕБС) и через код подтверждения).

«Подключение кредитной организации к такой ЕСИА является правом, а не обязанностью», - подчеркнули в пресс-службе.

В настоящее время крупные российские банки собирают биометрию своих клиентов для оказания услуг.

В июле президент РФ Владимир Путин подписал закон, разрешающий банкам передавать в ЕБС персональные данные россиян без их согласия, но с уведомлением.

У индусов с защитой ПД все просто — отозвали под влиянием лобби технологических компаний законопроект, провалявшийся в парламенте с 2019 года.
Законопроект предусматривал, что предприятиям следует сообщать пользователям о своих методах сбора данных и запрашивать согласие клиентов, а также собирать и хранить доказательства того, что такое уведомление было направлено и согласие было получено. Поскольку законопроект давал потребителям право отозвать свое согласие, предприятиям также пришлось бы разработать системы, позволяющие потребителям делать это. Такие предложения вызвали серьезное противодействие технологических компаний.

Германия запретила использование электронных подписей и безбумажных договоров при трудоустройстве. Сделано это для защиты работников с низкими доходами. Такие сотрудники могут позволить себе купить лишь смартфон. Но у них нет дома ни принтера, ни широкополосного доступа к Интернету, они не всегда просматривают электронную почту или заходят во внутренние корпоративные сети работодателей.