Ирина Лагунина: На прошлой неделе Британию потряс масштабный скандал, связанный с потерей персональных данных 25-ти миллионов человек. Об этой самой крупной в истории потере сообщил в парламенте министр финансов страны Алистер Дарлинг. Конечно, инцидент такого масштаба не мог не вызвать вопрос: а может, что-то неладно с системой хранения информации, которая должна быть конфиденциальной. За дискуссией в Лондоне следит Елена Воронцова.
Елена Воронцова: Речь идёт о конфиденциальной информации о людях, имеющих право на детские пособия. Имена, даты рождения, адреса, личные страховые номера и - в некоторых случаях - детали банковских счетов 25 миллионов человек пропали при пересылке 18-го октября. В датабазе содержатся сведения о более чем семи миллионах британских семей. Информация записана на компакт-диски, которые были отправлены простым письмом через курьерскую службу TNT из офиса Налоговой и таможенной службы Великобритании в городе Вашингтон на севере страны в Национальное бюро аудита в Лондоне.
Объявление министра финансов в Парламенте о масштабе происшествия сопровождалось эмоциональными возгласами. Зачитав сообщение о пропаже, Алистер Дарлинг добавил:
Алистер Дарлинг: Я рассматриваю это происшествие как чрезвычайно серьёзный проступок и пренебрежение ответственностью перед гражданами со стороны Налоговой и таможенной службы Её Величества.
Елена Воронцова: Когда отправляющей стороне стало ясно, что посылка не достигла адресата, диски были отправлены повторно, заказным письмом, которое было доставлено благополучно. Тем не менее, такой способ передачи персональной информации огромного числа людей является нарушением всех служебных инструкций. Диски были защищены паролем, и, как сообщалось, чтобы прочитать информацию, надо уметь обращаться со структурой датабазы. Компьютерные эксперты, тем не мене, утверждают, что при некотором умении сделать это возможно.
В базе содержались, например, такие сведения, как девичьи фамилии женщин и даты рождения детей – эти данные часто используются людьми в качестве паролей или секретных вопросов для банковских переводом и расчетов через интернет. Используя эту информацию, кибер-преступники могут или напрямую залезть в банковские счета или начать посылать людям персональные сообщения, выманивая дальнейшие сведения. Такие данные, как адреса и возраст детей могут быть использованы педофилами. Наконец, просто имена и адреса пригодны для запроса кредитных карточек или займов от чужого имени. В связи с утерей данных начато полицейское расследование, и 20-го ноября глава Налоговой и таможенной службы Её величества Пол Грей подал в отставку.
Пока местонахождение дисков неизвестно, а крупных поводов для паники нет. Большинство британских банков повесило на первую страницу своих веб-сайтов сообщение о пропаже данных и советы и инструкции о том, что делать при желании сменить пароль. Дело в том, что если информация попала в плохие руки, то нынешний хозяин дисков может выждать несколько месяцев, прежде чем найти покупателя или распорядиться ею самостоятельно.
В первые дни после обнародования информации о пропаже сообщали о 23-хлетнем сотруднике Налоговой и таможенной службы, якобы ответственном за нарушение процедуры передачи персональных данных. Этот молодой человек сейчас находится под круглосуточным присмотром, точное местоположение его засекречено. Однако поговаривают также, что это человек выбран в качестве «козла отпущения». Вот мнение Тони Коллинза из специализированного издания «Computer weekly»
Тони Колилинз: Очевидно, что, начиная с марта этого года, передача данных на компакт-дисках стала обычным делом. Необходимо выяснить, как это произошло. Ведь если бы не случилось этой пропажи, то пересылка датабаз на дисках так бы и шла дальше с одобрения как налоговой службы, так и Национального аудита.
Елена Воронцова: Конечно, официального распоряжения о передачи данных таким образом быть не могло. Но вот, вскрыли обмен электронными письмами между двумя ведомствами, и стало ясно, что за этой небрежностью стоял отнюдь не только 23-хлетний администратор. В этой переписке представитель Национального бюро аудита сообщает, что его организации не требуются сведения в полном объеме и просит выбрать только часть датабазы. На что служащие Налоговой и таможенной службы отвечают, что выбирать сведения у них нет возможности по причине ограниченности ресурсов и что они посылают датабазу целиком. Копия одного из писем была даже отправлена помощнику директора Налоговой и таможенной службы. А это - 4-й сверху уровень в управлении. Не так давно всё та же Налоговая и таможенная служба потеряла при пересылке на дисках данные 15 тысяч человек, клиентов двух пенсионных фондов.
Эксперты высказывают мнение о том, что подобные просчёты нельзя объяснить одним нарушением правил. По мнению Мартина Томаса из Королевской академии инженерии, передача персональных данных на дисках была бы невозможной, если бы система была построена надлежащим образом.
Мартин Томас: Даже если кто-то из сотрудников случайно или намеренно нарушит установленные организацией правила - это будет обнаружено. И утечки информации не произойдет. Если бы это были секретные сведения на военном объекте, то при правильно устроенной системе было бы физически невозможно загрузить их с компьютера и унести с собой.
Елена Воронцова: Технологии защиты датабаз известны и используются сегодня во многих учреждениях – но не там, где в обращении ходят тысячи личных данных претендующих на детские пособия. Вот мнение профессора Кембриджского университета Ричарда Клэйтона:
Ричард Клэйтон: Я думаю, правительство до сих пор считает, что кибер-преступления совершаются подростками в своих спальнях. Тогда как сегодня хорошо известно, что такие вещи делаются мафиозными структурами в качестве инструмента получения денег и власти. Они располагают временем, средствами, они могут нанять собственных экспертов, специалистов и найти незначительную лазейку, чтобы превратить её в большие суммы денег.
Елена Воронцова: В Великобритании одни только преступления, связанные с использованием данных – или клонов - чужих кредитных карт, нанесли убытки в размере 47 миллионов фунтов за первые полгода 2007-го. Данные кредитных карточек продаются и перепродаются без ведома владельцев. Не так давно англичанин Тим Хьюитт, желая найти данные о хозяине снимаемого им жилья, неожиданно обнаружил списки деталей кредитной карты не только этого человека, но и сотен других ни о чем не подозревающих граждан. 12 страниц с номерами карт, сроком действия, именами и адресами владельцев. В намерении закрыть найденный сайт и по возможности найти его хозяев мистер Хьюитт сел за телефон – и обнаружил, что органа, напрямую занимающимся кибер-преступностью в Англии как такового нет. Позвонив в компанию Виза и Мастеркард Тим не получил вразумительного ответа. Компания, обслуживающая электронные деньги в стране, направила его в организацию, занимающуюся крупной организованной преступностью – те сообщили, что не ведут дел с частными лицами и посоветовали обратиться в полицию. Сайт был закрыт, когда к делу подключились журналисты БиБиСи.
Этот пример показывает необходимость специального контроля над организациями, оперирующими персональными данными граждан. В 2003-м году в Великобритании возникла Комиссия по информации, объявившая своей целью облегчать доступ к официальной информации и защищать персональные данные граждан. Этот орган сотрудничает с министерством юстиции страны и давно добивается от правительства признания необходимости контроля над учреждениями, где собираются и хранятся персональные данные населения. Ричард Томас, представитель Комиссии:
Ричард Томас: К сожалению, только катастрофа такого масштаба привела к нужному результату. Но я могу с удовольствием отметить, что премьер-министр сообщил, что наша организация будет располагать полномочиями для проверки официальных ведомств. Я также надеюсь, что в ближайшем будущем в закон будут внесены необходимые поправки для того, чтобы проверки могли проводиться на любых предприятиях и в организациях, имеющих дело с персональными данными граждан.
Елена Воронцова: А таких организаций безмерное множество. На данный момент только в национальной базе ДНК содержатся данные на 3,5 миллиона человек и это число, скорее всего, будет расти с введением новых правил. Если учреждения, занимающиеся данными камер наружного наблюдения или регистрирующие перемещения мобильных телефонов, подчиняются жестким правилам, то в некоторых других организациях правила не отвечают требованиям безопасности личных данных.
Надо заметить, что традиция веры в «честное слово» в Британии по-прежнему сильна. Например, при оформлении на работу часто не спрашивают паспорт. Для записи к врачу или в библиотеку достаточно принести документ, подтверждающий ваш адрес. И этим документом является счёт за электричество или воду, выписанный на ваше имя. Тот же счет попросят предъявить в банке при открытии кредитной карты. Эти квитанции оказываются едва ли не важнее собственно паспорта, их опасно выбрасывать и телевизионные журналисты порой демонстрируют, как легко можно оформить кредит на чужое имя, покопавшись в чьем-то мусоре и выудив оттуда квитанцию за газ или воду.
Британцы не имеют единого документа, удостоверяющего личность. В этом – сильная культурная традиция и определённые предмет гордости. Есть паспорт для путешествий за границу, есть водительские удостоверения и те же квартирные счета, студенческие карточки и прочее. По-прежнему в широком ходу рекомендательные письма. Вероятно, в стране найдется несколько человек, не имеющих никаких официальных документов вообще. Правительство лейбористов давно ведет разговоры о необходимости введения единого идентификационного документа, где кроме имени и личного страхового номера значились бы и биометрические данные. Это предложение является предметом острых дискуссий как с оппозицией, так и внутри лейбористской партии. Нынешняя масштабная потеря данных, по мнению партии Консерваторов, стала могильной плитой для идеи биометрических паспортов. С одной стороны, правительство просит граждан доверить заботу о сохранности личных данных, с другой – урезаются фонды и сокращаются рабочие места тех, кто должен напрямую этим заниматься. На этот упрёк, однако, премьер-министр Гордон Браун ответил оппозиционной партии, что именно они в прошлом году рекомендовали сократить финансирование. Пока политики используют идеи и фиаско для своей игры, некоторые учёные выражают скепсис по поводу использования биометрических данных для идентификации личности. Профессор Ричард Клэйтон из Кембриджского университета:
Ричард Клэйтон: Биометрические системы данных не идеальны. Даже если построить идеальную датабазу, всегда будут существовать пути обхода для тех, кто работает с системой изнутри. Значит, мы должны доверять каждому, кто оперирует системой, и каждому, кто читает её данные. Может быть, отец, лишенный родительских прав, будет искать, куда делись его дети и бывшая жена. Это личные сведения, речь идет не только о потере денег. Как только чьи-то биометрические данные оказались рассекречены или украдены - что мы будет делать? Исключить человека из каждой системы, где необходимо предъявить биометрические данные до конца его жизни? Или в одночасье перестать пользоваться биометрикой? Невозможно выписать кому-то новые отпечатки пальцев или новую радужную оболочку глаза.
Елена Воронцова: Общество не может существовать без передачи данных, и многие скажут, что в облегчении этого процесса и в увеличении его скорости – залог прогресса. Например, в медицинской сфере от своевременной передачи данных может зависеть человеческая жизнь. Личные сведения не были абсолютно защищены в бумажных архивах, не защищены они и в кибер-пространстве. Однако, непонятно, почему в государственных структурах не применяются уже известные более надежные системы, и передача данных отстаёт по технологиям на 20 лет?
Марк Уолпорт: В общем и целом люди испытывают облегчение от того, что могут заплатить ежегодный налог на автомобиль через интернет или обновить страховку, и это автоматически будет известно соответствующим органам. Другой пример - в медицине. Обмен данными в медицине предоставляет возможность лучшего лечения для пациента. Когда я иду к своему участковому врачу, мне хочется быть уверенным, что клинические записи, которые он для меня ведет, будут доступны в больнице на другом конце страны, если меня туда привезут с травмой посреди ночи.
Елена Воронцова: Говорит Марк Уолпорт, глава компании Wellcom Trust. Эта организация проводит пересмотр государственной концепции обмена и охраны информации.
