Курсовая работа по методам защиты информации на тему Защита биометрическими средствами: современные решения и их применение

Принципиальное значение имеет положение статьи 11 ФЗ № 152, которое устанавливает, что обработка биометрических персональных данных допускается исключительно при наличии явного согласия субъекта данных. Согласие на обработку биометрических данных представляет собой разрешение субъекта персональных данных в письменной форме на сбор, обработку, хранение и использование своих биометрических данных. Этот документ также предоставляет гарантию того, что предоставленная информация будет защищена от несанкционированного доступа и будет использована только в определённых целях. Отсутствие надлежащего согласия может повлечь юридическую ответственность в виде штрафа.
Кроме того, согласно ФЗ № 152, персональные данные, включая биометрические, могут храниться не дольше, чем этого требуют цели их обработки, после чего они должны быть удалены или обезличены. Требования к материальным носителям биометрических персональных данных и процедурам их хранения и защиты закреплены законодательством.
Недавно был принят Федеральный закон от 21 декабря 2022 года № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных». Этот закон устанавливает новые механизмы работы с биометрией, включая использование государственной информационной системы для обработки биометрических данных (Единая биометрическая система). Закон определяет три типа биометрических данных: упрощённую биометрию, которая предназначена для быстрой и удобной аутентификации и требует только подтверждённой учётной записи на портале «Госуслуги»; стандартную биометрию, требующую наличия загранпаспорта нового образца с чипом; подтверждённую биометрию, которая является самым надёжным и юридически значимым типом.
Закон также устанавливает обязательную аккредитацию организаций, планирующих работу с биометрическими данными, и обязательную передачу банками собранных биометрических данных в государственную систему.
В России система национальных стандартов (ГОСТ Р) устанавливает жёсткие требования к средствам биометрической аутентификации. Основным стандартом является ГОСТ Р 52633.0-2006 «Защита информации. Техника защиты информации. Требования к средствам высоконадежной биометрической аутентификации».
Стандарт распространяется только на средства высоконадежной биометрической аутентификации, производители которых заявляют значения вероятностей ошибочного пропуска «Чужого» менее 10 в минус 12 степени. Требования к средствам биометрической аутентификации с меньшей надёжностью регламентируются системой международных стандартов, разработанных ISO/IEC JTC1 SC37 и гармонизированных ТК 355 ПК 7 «Биометрическая идентификация» [3].
Стандарт ГОСТ Р 52633.0 устанавливает требования к процедурам обработки биометрической информации и преобразователям нечетких (неоднозначных) биометрических образов. Средства высоконадежной биометрической аутентификации могут быть построены с использованием: стандартных механизмов высоконадежной парольной аутентификации с длинными, плохо запоминаемыми паролями из случайных букв и цифр; криптографических механизмов аутентификации, использующих ключ длиной более 40 бит; множества из нескольких относительно слабых биометрических механизмов, обеспечивающих высоконадежную аутентификацию только при их совместном использовании [2].
Стандарт предусматривает два варианта управления биометрическими системами: децентрализованное управление, при котором каждый пользователь имеет прямой доступ к ключам и может самостоятельно управлять процедурой аутентификации, и централизованное управление, при котором администратор системы полностью контролирует процедуру обучения биометрических механизмов и управление криптографическими ключами.
Для усиления стойкости биометрической защиты к атакам изучения и модификации программного обеспечения высоконадежные варианты технической реализации не должны содержать примеров биометрических образов пользователя, биометрического эталона или кода ключа. Эта конфиденциальная информация должна быть защищена при хранении, а следы этой информации должны быть гарантированно уничтожены после выполнения каждой конкретной процедуры аутентификации.
Комплекс стандартов ГОСТ Р включает ряд других нормативных документов, устанавливающих требования к тестированию и формированию баз биометрических образов. Так, ГОСТ Р 52633.1-2009 устанавливает требования к формированию баз естественных биометрических образов для тестирования, а ГОСТ Р 52633.2-2010 определяет требования к формированию синтетических биометрических образов.
На международном уровне регулирование в области биометрической защиты осуществляется через систему стандартов ISO/IEC JTC 1/SC 37, которые обеспечивают совместимость и обмен данными между биометрическими приложениями и системами в различных странах.