Vládní agentury rychle rozšiřují systémy digitální identity a s tímto růstem přichází i posun v tom, co veřejnost očekává od nakládání s daty. Jak uvádí komentář Federal News Network, rostoucí zavádění digitální identifikace zvyšuje laťku toho, co se považuje za „přiměřené“ zacházení s osobními údaji, které tyto systémy shromažďují. Pro běžné lidi to znamená pochopit nejen to, jak digitální identifikace funguje, ale i to, co se stane, když je s daty, která za ní stojí, nakládáno nesprávně.

Co vládní systémy digitální identity skutečně shromažďují

Digitální identifikace není jeden dokument, je to soubor ověřovacích údajů navržených k prokázání vaší totožnosti napříč vládními službami, portály pro dávky a stále častěji i platformami soukromého sektoru, které se spoléhají na ověřování totožnosti na vládní úrovni. V závislosti na systému to může zahrnovat naskenované kopie řidičských průkazů nebo cestovních pasů, biometrické údaje, jako jsou skeny obličeje nebo otisky prstů, data narození, adresy a jedinečné identifikátory spojené s vaším číslem sociálního zabezpečení nebo číslem státního průkazu totožnosti.

Na rozdíl od fyzického průkazu, který máte v peněžence, tyto informace často existují v digitálním záznamu, který je opakovaně dotazován různými agenturami, dodavateli ověřování třetích stran a někdy i soukromými společnostmi provádějícími ověření totožnosti jménem vlády. Každý z těchto kontaktních bodů je místem, kde mohou být data zkopírována, uložena nebo vystavena riziku.

Proč jsou centralizovaná data o identitě větším cílem úniků

Základní napětí u digitální identifikace nespočívá v konceptu samotném, ale v centralizaci. Když jsou ověřovací údaje o identitě konsolidovány do méně, ale větších systémů, stávají se tyto systémy atraktivnějšími cíli pro útočníky. Únik dat z jediné centralizované databáze může najednou odhalit mnohem více lidí, než by kdy dokázal únik z papírového nebo fragmentovaného systému.

Nejde o hypotetickou obavu. Nedávný únik dat z platformy Mercor, který odhalil biometrické údaje a doklady totožnosti, ilustruje přesně to, co je v sázce, když jsou citlivá data o identitě konsolidována na jednom místě. Mercor, platforma pro nábor a pracovní sílu využívající umělou inteligenci v hodnotě 10 miliard dolarů, skončila odhalením vládou vydaných dokladů totožnosti a biometrických údajů, což jsou jedny z nejcitlivějších kategorií osobních informací, které existují. Jakmile se taková data dostanou ven, nelze je resetovat tak, jako si resetujete heslo. Uniklý sken obličeje nebo sken pasu zůstává kompromitován donekonečna.

Jak se systémy digitální identity rozšiřují napříč federálními a státními vládami, motivace útočníků zaměřit se na tato úložiště jen roste. Čím jsou data hodnotnější a centralizovanější, tím více úsilí vynaloží zákeřní aktéři na jejich prolomení.

Jak by mělo v praxi vypadat „přiměřené nakládání s daty“

Komentář Federal News Network rámuje tento okamžik jako dobu, kdy očekávání veřejnosti ohledně nakládání s daty rostou spolu se zaváděním digitální identifikace. Co ale „přiměřené“ v praxi vlastně znamená? Minimálně by to mělo zahrnovat jasné limity, jak dlouho jsou data o identitě uchovávána, silné šifrování jak při přenosu, tak při ukládání, přísné kontroly přístupu, aby k citlivým polím mohly přistupovat pouze autorizované systémy, a transparentní zveřejňování informací, když jsou data sdílena s dodavateli třetích stran.

Znamená to také budovat systémy s myšlenkou na reakci na úniky dat od samého počátku, nikoli jako dodatečný nápad. To zahrnuje nezávislé bezpečnostní audity, požadavky na rychlé oznámení v případě incidentů a mechanismy, aby jednotlivci mohli přesně vědět, jaká data o nich agentura uchovává a jak jsou používána.

Jak mohou obránci soukromí a spotřebitelé tlačit na změnu

Spotřebitelé zde nejsou bezmocní. Období veřejných připomínek, legislativní slyšení na úrovni států a procesy tvorby pravidel agentur – to vše jsou cesty, jimiž obránci soukromí historicky utvářeli způsob, jakým jsou programy digitální identity navrhovány. Prosazování minimalizace dat, tedy aby systémy shromažďovaly pouze to, co je nezbytně nutné, je jednou z nejúčinnějších dostupných pák. Stejně tak je důležité požadovat, aby agentury zveřejňovaly, kteří externí dodavatelé mají přístup k ověřovacím údajům o identitě, protože k únikům stále častěji dochází na úrovni dodavatelů, nikoli uvnitř samotných vládních sítí.

Co to znamená pro vás

Pokud používáte nebo brzy budete muset používat digitální identifikaci, ať už pro aplikaci státního řidičského průkazu, přístup k federálním dávkám nebo ověření totožnosti spojené se zaměstnáním či finančními službami, stojí za to položit si několik praktických otázek: Jaká data se shromažďují? Jak dlouho jsou uchovávána? A kdo k nim má ještě přístup? Nejsou to abstraktní obavy. Jak ukazuje incident Mercor, biometrická data a data z dokladů spojená s ověřením totožnosti mohou skončit odhalena, i když platforma, která je uchovává, vůbec není vládní agenturou.

Být obezřetný v tom, kam nahráváte doklady totožnosti a biometrické skeny, kontrolovat, zda platforma zveřejňuje své zásady uchovávání dat, a sledovat legislativní debaty o pravidlech digitální identity na úrovni států – to vše jsou rozumné kroky k ochraně sebe sama, jak se tyto systémy rozšiřují.

Shrnutí

Zavádění digitální identifikace postupuje vpřed bez ohledu na individuální váhání, ale to neznamená, že by kontrola měla polevit. Rizika digitální identity pro soukromí spojená s centralizovanými daty o identitě jsou skutečná a incidenty, jako je únik dat z Mercoru, jasně ukazují, co je v sázce, když se s biometrickými a dokladovými daty nezachází opatrně. Zůstat informován, klást otázky o uchovávání dat a přístupu dodavatelů a podporovat silnější dohled – to jsou nejpraktičtější způsoby, jak se spotřebitelé mohou chránit, zatímco ověřování totožnosti vládou pokračuje ve svém přesunu do digitální sféry.