Новые требования ЦБ РФ к защите биометрии: что меняется для банков

Финансовым организациям предписано усилить защиту каналов передачи данных и добавить механизмы проверки подлинности биометрических образцов. Для клиента это не новая операция в приложении, а пересмотр контрольных точек в цепочке, где биометрический шаблон может быть перехвачен, подменён или принят системой без достаточной проверки.

Контур атаки: передача и подлинность образца

Биометрическая операция состоит не только из съёмки лица или записи голоса. Далее образец должен быть передан и сопоставлен в инфраструктуре Единой биометрической системы. Именно на этой связке регулятор фиксирует актуальные угрозы: канал передачи становится самостоятельным вектором атаки, а проверка подлинности образца — отдельным рубежом контроля.

Практический смысл новых требований — банк должен защищать не только доступ к своей витрине, но и целостность данных на пути к ЕБС. Если этот контур скомпрометирован, риск возникает не из-за самого факта использования биометрии, а вследствие того, что система может получить не тот образец либо не сможет надлежащим образом подтвердить его подлинность.

В опубликованной информации не раскрывается технический состав дополнительных механизмов проверки. Следовательно, нельзя делать выводы о конкретных способах идентификации, сроках внедрения или изменениях в клиентских сценариях. Подтверждён только сам регуляторный вектор: усиление защиты передачи и проверки биометрических данных.

Что изменится в банковской практике

Для банков указание означает расширение модели угроз при работе с биометрией. Недостаточно формально принять образец и передать его в ЕБС: организация должна учитывать риски, возникающие при сборе данных, их передаче и подтверждении подлинности. Это влечёт за собой усиление внутреннего контроля над теми участками процесса, где возможны подмена, искажение или несанкционированное вмешательство в поток данных.

Для пользователя важна граница ответственности. Биометрия не должна восприниматься как универсальная замена проверок безопасности: она является одним из элементов процедуры, а не отменяет защиту учётной записи, устройства и канала связи. Новые требования адресованы финансовым организациям, поэтому клиенту не следует ожидать, что дополнительная проверка обязательно будет обозначена отдельным уведомлением или новой кнопкой в приложении.

Какие признаки отслеживать

При подключении или использовании биометрических сервисов банка имеет смысл фиксировать, какой именно сервис запрашивает образец и в каком сценарии это происходит. Если предложение пройти биометрическую проверку приходит через сообщение, звонок или сторонний переход, это уже повод не продолжать операцию в предложенном канале: социальная инженерия часто использует доверие к знакомым банковским процедурам, не обязательно взламывая саму биометрическую инфраструктуру.

Также следует отделять регуляторное требование к банку от сообщений, которые могут маскироваться под него. Указание № 7362-У не означает, что клиенту требуется срочно повторно сдавать биометрию, передавать данные собеседнику или подтверждать их через внешнюю форму. Любая такая коммуникация должна проверяться только через официальные каналы финансовой организации. В биометрических процессах ошибка обычно возникает не на этапе распознавания, а раньше — в момент, когда человек передаёт образец не тому участнику цепочки.