Безопасны ли мои личные данные?
Чувствительные данные хранятся в зашифрованном виде; ни поддержка, ни админ-интерфейсы не видят полный номер карты.
Сам по себе вопрос «А безопасны ли мои данные» не несёт информации — чтобы его проверить, нужно разложить его на части. Безопасность персональных данных на деле складывается из трёх независимых вопросов: какие сведения о вас платформа собрала, кто и при каких условиях может их увидеть и в каком виде они хранятся. Если хотя бы одно из этих трёх звеньев ослаблено, безопасности нет. Ниже разберём каждое звено по отдельности — и вы сможете приложить эту рамку к любой аналогичной платформе.
Начнём с контринтуитивного вывода: самый прочный уровень защиты приватности — это не алгоритм шифрования, а принцип «собирать меньше». Чем больше чувствительных данных держит у себя платформа, тем шире область вашего риска в случае утечки. У нас подход обратный: идентификационные данные собираются по принципу минимальной необходимости и используются только для требований эмитента, защиты от повторных регистраций и контроля рисков (для входа в аккаунт дополнительно нужны e-mail и пароль, но это функциональные учётные данные, которые требует любой сайт, и к вашим идентификационным данным они не относятся). Чем меньше собрано, тем меньше область возможной утечки — это самый дешёвый и одновременно самый радикальный вид защиты.
Базовые собираемые данные — кратко в таблице
| Элемент данных | Категория | Собираем ли | Назначение / пояснение |
|---|---|---|---|
| Учётные данные аккаунта | Собираем (при регистрации) | Служит логином для входа и для получения кода | |
| Пароль | Учётные данные аккаунта | Собираем (при регистрации) | Хранится в виде необратимого хеша, открытый текст не сохраняется |
| Данные документа (тип и номер, имя, дата рождения, гражданство, срок действия, адрес из документа) | Идентификационные данные | Собираем (один раз, перед первым выпуском карты) | Требования эмитента, защита от повторных регистраций и контроль рисков; номер документа и адрес хранятся в зашифрованном виде |
| Фото документа и лица | Идентификационные данные | Собираем (один раз, перед первым выпуском карты) | Подтверждение, что документ принадлежит вам; хранятся в закрытом хранилище с резервной копией в другом месте, просмотр — только после повторной проверки администратора и с записью в журнале |
Ключ к чтению таблицы — различать две группы. E-mail и пароль — это учётные данные для входа в аккаунт, функциональные элементы, которые позволяют вам войти и получить код; вашими идентификационными данными они не являются. Идентификационные данные собирает один раз, перед первым выпуском карты, сторонний сервис проверки личности на странице проверки; мы действуем по принципу минимальной необходимости и используем их только для требований эмитента, защиты от повторных регистраций и контроля рисков. Формулировка «минимальная необходимость» относится именно к идентификационным данным, а не к тому, чтобы приплюсовать сюда ещё и учётные данные для входа.
Одни и те же данные разные роли видят с разной степенью детализации
После того как объём сбора сжат, второй рубеж защиты — это контроль доступа. Принцип прост: полный номер карты принадлежит только вам, внутри платформы действует минимальная выдача прав по принципу «даём, только если нужно», и любое обращение к чувствительным данным фиксируется и поддаётся проверке.
| Сценарий просмотра | Доступная детализация | Условия и ограничения |
|---|---|---|
| Вы сами смотрите реквизиты карты | Полный номер виден сразу; срок действия и CVV — после проверки | Для просмотра срока действия и CVV нужно предварительно пройти двухфакторную проверку |
| Поддержка помогает разобраться с проблемой | Полный номер карты не виден (замаскирован) | Маскирование на уровне интерфейса, поддержка не может его раскрыть |
| Администратор обращается к чувствительным данным | Обращение возможно лишь при реальной необходимости | Динамический код + обязательный журнал аудита |
Пункт про журнал аудита легко упустить, а он ключевой: он превращает вопрос «можно ли посмотреть» в вопрос «за просмотр придётся отвечать» — кто, когда и к чему обращался, всё фиксируется и поддаётся последующей проверке, так что превышение полномочий внутри не может произойти незаметно. Добавьте сюда ещё и то, что обращение администратора требует динамического кода, и получится, что чувствительные данные нельзя посмотреть по желанию: каждое обращение фиксируется и влечёт ответственность.
Шифрованное хранение чувствительных данных — это настройка по умолчанию, а не дополнительная опция
То, что к данным можно получить санкционированный доступ, ещё не значит, что они лежат в базе в исходном виде. Полный номер карты и CVV в базе вообще не хранятся: когда вы их просматриваете, система в реальном времени получает их у эмитента и передаёт прямо в ваш браузер, а в базе остаются только последние четыре цифры номера; чувствительные поля, которые хранить всё же нужно, например номер документа и адрес, шифруются по AES-256-GCM, а пароли хранятся в виде необратимого хеша. Даже если кто-то с превышением полномочий доберётся до уровня хранения, он получит шифротекст, а не готовые к использованию исходные данные. На этом три уровня защиты складываются воедино: мало собираем (идентификационные данные — по принципу минимальной необходимости), сложно посмотреть (права выдаются по ролям), а посмотрев — увидишь шифротекст (шифрованное хранение); если один уровень падёт сам по себе, остаются ещё два в качестве подстраховки.
Данные покидают платформу только на двух необходимых этапах: проверка личности и выпуск карты
Заботясь о безопасности данных, помимо того, кто может их видеть внутри платформы, легко упустить ещё один уровень: не уйдут ли они наружу. Здесь честно очертим границы. Наружу данные уходят только в двух случаях: при проверке личности снимки документа и лица собирает и проверяет сторонний сервис проверки личности, который возвращает нам результат и данные документа; при выпуске карты сведения о держателе (имя, данные документа и т. п.) передаются лицензированному эмитенту в объёме, которого требуют его правила, — для выпуска и комплаенс-проверки. Кроме этого, данные никаким другим третьим лицам не передаются и не продаются. Чем меньше объём сбора, тем меньше область, которую можно раскрыть наружу, — принцип минимальной необходимости точно так же работает и в отношении внешних потоков данных.
Эти моменты вы можете проверить сами, не полагаясь только на наши слова
- На этапе регистрации: на всём протяжении нужны только e-mail, код и пароль.
- При проверке личности перед первой картой: собираемые данные должны совпадать с перечнем в политике конфиденциальности (данные документа, фото документа и лица), и проверка проводится только один раз.
- При просмотре CVV: обратите внимание, срабатывает ли двухфакторная проверка — насторожиться стоит как раз тогда, когда положенная проверка не появилась.
- При обращении в поддержку: попросите сотрудника назвать ваш полный номер карты — в нормальной ситуации он его назвать не сможет, потому что в интерфейсе номер замаскирован.