Застосунок "Дія": захист персональних даних і безпек фото

 

Михайло Федоров - віце-прем'єр-міністр – міністр цифрової трансформації України

 

Смартфон кожної людини містить масу персональної інформації – фото, контакти, листування, історія пересувань, банківські картки з можливістю NFC-оплат. Про захист всього цього піклується як сам користувач, так і виробники смартфонів, операційних систем і додатків.

 

Когось з користувачів захист персональних даних хвилює більше, когось – менше. Але вже точно абсолютно байдужих до цього питання людей не існує.

 

Команда Мінцифри – такі ж люди, у яких є смартфони. При цьому ми не тільки розуміємо важливість захисту персональних даних, а й несемо за неї відповідальність перед українцями при розробці своїх продуктів.

 

Днями ми презентували нашу улюблену "дитину" – мобільний застосунок "Дія", завдяки якому українці можуть завантажити в смартфон електронні версії своїх документів: вже зараз – посвідчення водія і техпаспорт, через місяць – ID-карти, біометричні паспорти та студентські.

 

І моє щире бажання, як людини, і обов'язок, як міністра, – розвіяти побоювання з приводу захисту даних в "Дії". Тому, розповім вам, як ми дбаємо про безпеку застосунку "Дія".

 

1. Всі користувачі проходять ідентифікацію через банки, в яких обслуговуються.

 

Коли користувач тільки завантажив "Дію", перше, що він робить – авторизується з програми за допомогою технології BankID. Ця технологія дає громадянину можливість пройти ідентифікацію через свій банк, у якому зберігається необхідна інформація про клієнта. Такий спосіб ідентифікації є досить надійним і його застосування – традиційна практика для багатьох розвинених країн світу.

 

До нашого застосунку підключені популярні Приватбанк, а також система BankID Національного банку України, в яку входять 12 банків.

 

До банківських систем пред'являються високі вимоги безпеки.

 

2. Дія пройшла масштабне тестування.

 

Забезпечити високий рівень захисту застосунку нам багато в чому дозволила співпраця з компанією EPAM – одним зі світових лідерів у сфері IT-розробок. Наш партнер приділяє чимало уваги питанню захищеності інформації.

 

Архітектура "Дії" побудована таким чином, що на серверній частині програми не здійснюється постійне зберігання персональних даних користувачів. При цьому інформація в каналах передачі даних передається в зашифрованому вигляді, а на деяких етапах використовується подвійне шифрування.

 

Захист персональних даних у мобільному застосунку "Дія" виконаний за кращими практиками безпеки для рішень такого типу, використано підхід "глибокого захисту" (defense-in-depth).

 

Крім того, разом з IT-фахівцями EPAM ми серйозно підійшли до тестування нашого за стосунку. Зокрема провели так звані пен-тести, тобто тестування безпеки програми.

 

По суті ми спробували, в тому числі із залученням зовнішніх ІТ-фахівців, "хакнути" "Дію", щоб виявити всі вразливі місця. Це дозволяє мені сказати, що "Дія" на сьогоднішній день є достатньо захищеним застосунком.

 

3. Пред'явника документа можна перевірити.

 

А тепер – важливий момент, на який хочу звернути увагу користувачів. Механізм верифікації документів у "Дії" заснований на QR-коді, що генерується застосунком. Він не містить ніякої персональної інформації і є дійсним лише протягом 3 хвилин.

 

По суті – це такий тимчасовий лінк. А значить, ризик того, що хтось встигне сфотографувати ваш код і тим самим отримає доступ до вашого документа – мінімальний.

 

Важливо, що за допомогою QR-коду перевірити достовірність документів можуть не тільки представники поліції, але і ви самі.

 

За допомогою будь-якого смартфона, зі встановленим на ньому застосунком "Дія", можна зчитати QR-код з іншого смартфона (за допомогою камери або спеціального застосунку для зчитування QR-кодів) і переконатися в достовірності документа.

 

Цікавий факт – з точки зору безпеки, цифрові документи в смартфоні є більш захищеними, ніж фізичні. "Дія" дає можливість завантажити техпаспорт тільки власника авто. У той же час Єдиний транспортний реєстр містить записи-клони – не секрет, що це досить поширена практика в Україні.

 

4. Всі дані користувачів "Дія" знаходяться в Україні.

 

Ще один дуже важливий момент – усі сервери мобільного застосунку "Дія" знаходяться в Україні. Тобто ніяка інформація про користувачів не йде за кордон.

 

Серверна частина системи розгорнута у хмарній інфраструктурі ще одного нашого партнера – компанії De Novo, що має необхідні сертифікати безпеки.

 

Єдиний раз, коли ми залучили закордонну компанію – лише для захисту від атак розподіленого доступу (DDOS-атак). Для цього ми використовуємо інфраструктуру компанії Amazon, яка частково розташована в Німеччині.

 

І наостанок хочу сказати: ми розуміємо, що забезпечення безпеки – це не результат, а процес.

 

Над "Дією" працює крута команда, ми постійно розвиваємо і покращуємо мобільний застосунок. Але на 100% убезпечитися від абсолютно всіх вразливостей неможливо.

 

Велика імовірність, що після всеукраїнського релізу будуть спроби зламати додаток. Проте ми готові до таких викликів і завдяки їм отримаємо додаткову можливість зробити нашу "Дію" ще більш захищеною.

 

 



Загрузка...

Оставьте первый комментарий