Правителствените агенции бързо разширяват системите за цифрова идентичност и с този растеж настъпва промяна в това, което обществото очаква от обработката на данни. Както отбелязва коментар от Federal News Network, нарастващото приемане на цифровата идентификация повишава летвата за това какво се счита за „разумно“ отношение към личната информация, която тези системи събират. За обикновените хора това означава да разбират не само как работят цифровите идентификации, но и какво се случва, когато данните зад тях бъдат обработени неправомерно.

Какво всъщност събират правителствените системи за цифрова идентификация

Цифровата идентификация не е един-единствен документ, а пакет от данни за верификация, предназначен да докаже кои сте вие при достъп до държавни услуги, портали за помощи и все по-често – до платформи в частния сектор, които разчитат на проверки на идентичността на правителствено ниво. В зависимост от системата, това може да включва сканирани копия на шофьорски книжки или паспорти, биометрични данни като сканиране на лице или пръстови отпечатъци, дати на раждане, адреси и уникални идентификатори, свързани с вашия социалноосигурителен номер или номер на лична карта.

За разлика от физическия документ, който седи в портфейла ви, тази информация често съществува в цифров запис, който се запитва многократно от множество агенции, трети страни за верификация и понякога от частни компании, извършващи проверки на самоличност от името на правителството. Всяка една от тези допирни точки е място, където данните могат да бъдат копирани, съхранявани или разкрити.

Защо централизираните данни за идентичност са по-голяма цел за пробиви

Основният проблем при цифровата идентификация не е самата концепция, а централизацията. Когато данните за верификация на самоличността се консолидират в по-малко и по-големи системи, тези системи стават по-привлекателна цел за атакуващите. Пробив в една-единствена централизирана база данни може да изложи на риск много повече хора наведнъж, отколкото пробив в система на хартиен носител или разпокъсана система би могъл.

Това не е хипотетична загриженост. Неотдавнашният пробив в данните на Mercor, при който бяха разкрити биометрични данни и документи за самоличност, илюстрира точно какво е заложено, когато чувствителни данни за идентичност са консолидирани на едно място. Mercor – AI платформа за подбор и работна сила, оценявана на 10 милиарда долара, в крайна сметка разкри издадени от правителството документи за самоличност и биометрични данни, едни от най-чувствителните категории лична информация, които съществуват. Щом веднъж такъв тип данни излязат навън, няма как да бъдат нулирани, както се нулира парола. Изтеклото сканиране на лице или сканиран паспорт остават компрометирани за неопределено време.

С разрастването на системите за цифрова идентификация във федералното и щатските правителства стимулът за атакуващите да се насочат към тези хранилища само нараства. Колкото по-ценни и централизирани са данните, толкова повече усилия ще вложат злонамерените участници, за да проникнат в тях.

Как трябва да изглежда „разумното обработване на данни“ на практика

Коментарът във Federal News Network представя настоящия момент като такъв, в който обществените очаквания за обработката на данни нарастват заедно с приемането на цифровата идентификация. Но какво всъщност означава „разумно“ на практика? Най-малкото, то трябва да включва ясни ограничения за това колко дълго се съхраняват данните за идентичност, силно криптиране както при пренос, така и в покой, строги контроли за достъп, така че само оторизирани системи да могат да запитват чувствителни полета, и прозрачно оповестяване, когато данните се споделят с трети страни доставчици.

Това означава също така системите да се изграждат с мисъл за реакция при пробив от самото начало, а не впоследствие. Това включва независими одити на сигурността, изисквания за бързо уведомяване при инциденти и механизми, чрез които хората да знаят какви точно данни държи агенцията за тях и как се използват.

Как защитниците на поверителността и потребителите могат да отвърнат

Потребителите не са безсилни тук. Периодите за обществено обсъждане, законодателните изслушвания на щатско ниво и процесите по нормотворчество на агенциите са канали, чрез които защитниците на поверителността исторически са оформяли начина, по който се проектират програмите за цифрова идентификация. Настояването за минимизиране на данните, което означава, че системите събират само строго необходимото, е един от най-ефективните налични лостове. Също така да се изисква от агенциите да разкриват кои трети страни изпълнители имат достъп до данните за верификация на самоличността, тъй като пробивите все по-често се случват на ниво доставчик, а не в самите правителствени мрежи.

Какво означава това за вас

Ако използвате или скоро ще трябва да използвате цифрова идентификация – независимо дали за щатско приложение за шофьорска книжка, достъп до федерални помощи или верификация на самоличност, свързана с работа или финансови услуги – струва си да зададете няколко практични въпроса: Какви данни се събират? Колко дълго се съхраняват? И кой друг има достъп до тях? Това не са абстрактни тревоги. Както показва инцидентът с Mercor, биометричните и документните данни, свързани с верификация на самоличността, могат да бъдат разкрити, дори когато платформата, която ги държи, изобщо не е правителствена агенция.

Да бъдете предпазливи къде предоставяте документи за самоличност и биометрични сканирания, да проверявате дали дадена платформа оповестява своята политика за съхранение на данни и да следите законодателните дебати на щатско ниво относно правилата за цифрова идентификация – всичко това са разумни стъпки да се защитите с разширяването на тези системи.

Изводът

Приемането на цифровата идентификация върви напред независимо от индивидуалните колебания, но това не означава, че контролът трябва да отслабва. Рисковете за поверителността на цифровата идентификация, свързани с централизирани данни за идентичност, са реални, а инциденти като пробива в Mercor показват ясно какво е заложено, когато биометричните и документните данни не се обработват с необходимото внимание. Да бъдете информирани, да задавате въпроси за съхраняването на данни и достъпа на доставчици и да подкрепяте по-строгия надзор са най-практичните начини, по които потребителите могат да се защитят, докато правителствената верификация на самоличността продължава преминаването си към цифровата сфера.