Существует настоящая пропасть в проблемах для пользователей, создаваемых приложением, которое установлено и независимо работает на собственном устройстве, и ПО, которое предоставляет услуги в облаке или на сервере с расположением, возможно, на другом конце мира. Очевидно, что риски утечек образов пользовательских документов, размещенных на этих двух ресурсах, будут сильно отличаться не в пользу последнего.
Чтобы обеспечить надежную защиту информации при удаленном распознавании, важно построить грамотную систему безопасности как в отношении самого внешнего сервера, так и каналов передачи данных. Если это не сделано, то компании и конечные клиенты не могут чувствовать себя спокойно.
Чаще всего, объектом утечек и продаж в даркнете становятся фото и сканы, то есть образы документов. Среди них:
- ID-карты, гражданские и заграничные паспорта;
- водительские удостоверения, паспорта транспортных средств;
- юридически значимые договоры;
- полисы пенсионного и медицинского страхования;
- банковские карты;
- дипломы.
Массовые утечки означают, что невольными поставщиками изображений документов в закрытый сегмент интернета являются именно удаленные серверы. Данные хранятся на них в незашифрованном виде и легко доступны для недобросовестных организаций и мошенников. Возможность кражи информации обусловлена также техническим несовершенством систем безопасности при передаче и распознавании данных или участием в обработке неподконтрольных сторонних лиц.
Обычно организации заключают договор об услугах распознавания с независимыми сервисами, пытаясь сэкономить. И это несмотря на сложности, которые сулит такое сотрудничество в части обработки и обеспечения сохранности персональных данных. Но на поверку низкая стоимость таит в себе массу проблем и рисков:
- Если передать функции распознавания стороннему подрядчику, то есть на удаленный сервер, то поручиться за результат невозможно. Мы знаем обслуживающую организацию, но каждого отдельного исполнителя — нет. Это примерно то же, что дать задание рабочим, приглашенным для ремонта кабинета отдела кадров, сделать опись личных карточек или трудовых книжек сотрудников.
- Скорее всего, используются самые простые и дешевые технологии. Нельзя точно узнать, на каком принципе основано распознавание данных на конкретном удаленном сервисе. В обозримом прошлом такие сервисы не обладали ни машинным зрением, ни искусственным интеллектом. Процесс распознавания полностью ложился на плечи физических «чтецов». Это могла быть настоящая фабрика по ручному вводу данных из реальных паспортов, расположенная в беднейшей стране мира и в которой люди трудились за гроши. В настоящее время разрабатываются весьма изощренные трояны и шпионские программы. Поэтому перехват образов с последующей отправкой в даркнет может выполняться любым недоброжелателем путем внедрения вредоносного кода в какое-то звено передачи информации.
- Безопасность отправки документов на сервер для обработки изображений никак не контролируется. Так как информация не шифруется, то на данном этапе она оказывается очень уязвимой.
А если обеспечивать надежность и сохранность данных действительно на высоком уровне, то полностью пропадает выгода в виде быстрого, дешевого и простого процесса передачи.
При этом распознавание в удаленном сервисе все равно медленнее, чем в приложениях, которые устанавливаются непосредственно на конечных устройствах. Как минимум, требуется дополнительное время на захват изображения, отправку на сервер и возврат готовых данных в систему.
Еще один неоспоримый плюс автономных приложений — изолированная работа без передачи информации в сеть. А в последних поколениях такого ПО нет даже возможности сохранять обработанные изображения документов. Это сделано как раз для предотвращения утечек. Использование для распознавания конечного устройства гарантирует, что никакие данные передаваться не будут вообще или только в минимально требуемом объеме.
Отметим: облачные хранилища или удаленные серверы — не единственный источник утечек. Но для злоумышленников они — легкая добыча, тем более если не заботиться о должных уровнях защиты информации.
Многие крупные компании уходят от работы с такими сервисами и предпочитают создавать локальные хранилища данных клиентов и усиливать собственные службы ИТ-безопасности. Даже при случайном попадании информации в сеть, отследить слабое место в системе обработки и оповестить об инциденте оказывается намного проще. Кроме того, стало очевидно, что сторонний подрядчик в вопросе хранения и обработки чувствительных данных — это реальная угроза финансовых и репутационных потерь.