В этой модели каждая попытка аутентификации личности проходит
с помощью прямого обращения в Единую биометрическую систему.
Схема такая: биометрический терминал, установленный
на КПП, делает снимок лица и отправляет его через
защищенный канал в ЕБС, там происходит сравнение с
эталонным шаблоном, и ЕБС возвращает результат, либо
подтверждение, либо отказ. В случае подтверждения
турникет разблокируется для прохода.
За каждое такое обращение оператор ЕБС взимает плату.
Прямое подключение можно считать наиболее универсальным вариантом: он подойдет для бизнеса любой
сферы и размера, оплата идет по факту и количеству
идентификаций.
Важно: Для объектов критической инфраструктуры это
единственный разрешенный способ, без альтернатив.
Преимущества: Преимуществами транзакционной модели являются простота, по сути, на объекте требуется
развернуть минимальную локальную инфраструктуру.
Грубо — это только терминалы и канал связи до ЕБС. А
минимальная инфраструктура равно минимальная вероятность утечки данных и других нарушений, а значит,
и минимальная вероятность штрафов.
Недостатки: Недостатками будут потенциальные задержки в обмене данными с ЕБС и зависимость от наличия и
качества связи. Каждый проход требует онлайн-обращения в центральную систему. Кроме того, расходы прямо
пропорциональны количеству проходов. Для стройки с
большим числом рабочих ежедневные затраты могут
быть ощутимыми.
Для многих компаний прямое взаимодействие с ЕБС
будет предпочтительным по требованиям безопасности,
так как данные нигде локально не хранятся, весь процесс
происходит в государственной системе, а значит, минимизируются риски утечки.
В Москве, как я уже писал, реализован так называемый
региональный сегмент ЕБС (РС ЕБС), городской модуль,
через который идет интеграция всех местных строительных объектов.
Фактически застройщик подключается не напрямую к
федеральной системе, а к московскому региональному
сегменту, который уже связан с ГИС ЕБС. В Москве РС ЕБС
действует с 1 сентября 2024 года в соответствии с Постановлением Правительства Москвы № 1151, и именно к
нему подключаются СКУД стройплощадки.
|
КБС называется аккредитованная Минцифры коммерческая организация, имеющая собственную биометрическую платформу. Такие
компании получили право обрабатывать биометрические данные в
своей инфраструктуре (при соблюдении требований по капиталу, отечественной юрисдикции и т. д.), по сути, выступая посредниками между
пользователями и ЕБС.
Векторная модель предполагает, что КБС запрашивает у ЕБС биометрические шаблоны (векторы) пользователей и хранит их локально
для последующей идентификации. Векторы — это математические
представления биометрии, полученные на основе исходных данных
(например, параметрическое описание лица). Они не позволяют восстановить фотографию и не считаются в сыром виде биометрическими
персональными данными. За счет этого достигается дополнительная
безопасность, даже если вектор утечет, злоумышленник не получит
фото человека.
Схема работы СКУД через КБС такая:
• Перед началом работы КБС получает из ЕБС пакеты векторов для
всех нужных ей пользователей (например, всех сотрудников данной
компании). Эта операция тарифицируется пакетно — обычно раз
в квартал или год. Стоимость пакета в 1 млн векторов примерно
составляет 2,7 млн руб. То есть компания фактически берет в аренду
«слепки» биометрии у ЕБС и перепродает их вам.
• При входе сотрудника терминал СКУД делает снимок лица и отправляет его в коммерческую систему (например, в облако КБС или
на локальный сервер). Там изображение преобразуется в вектор и
происходит сравнение с хранящимися векторами всех допущенных
на объект лиц. Если находится совпадение, КБС возвращает терминалу идентификатор сотрудника.
• Программное обеспечение СКУД, установленное на стороне клиента, получает этот идентификатор и сопоставляет с локальной базой
сотрудников. Если такой идентификатор имеется (человек имеет
право доступа), система открывает турникет и фиксирует проход.
• Событие прохода затем также передается в городскую систему, как
и при прямой модели.
Особенности: Оплата в такой модели осуществляется не за каждую
проверку, а ежегодно за объем векторов, фактически за количество
людей в системе. Это может быть выгодно для крупных строек с постоянным большим штатом. Экономика показывает, что при очень частых
идентификациях векторная модель обходится дешевле
транзакционной. Это уже подтвердил опыт Сбербанка
и ВТБ: после перехода на КБС удалось снизить затраты
на биометрию.
Ограничение: Как уже отмечалось, объекты КИИ не
могут использовать КБС, у них только прямой путь. Это
зафиксировано и в законе, и в методических рекомендациях. Для всех остальных организаций использовать
КБС допустимо при условии аккредитации этой КБС в
Минцифры. На практике в роли КБС сейчас выступают
лишь несколько компаний.
Преимущества: Локальное хранение шаблонов обеспечивает более быстрый отклик, так как распознавание
происходит на уровне локального сервера КБС. Также
важным преимуществом является то, что система может работать офлайн. Если связь с ЕБС потеряна, уже
загруженные векторы находятся на сервере, туда же
сохраняются записи о проходах, которые при восстановлении связи будут отправлены в соответствующие
государственные базы данных.
Недостатки: Ответственность за защиту данных частично лежит на КБС, и, хотя вектор и не дает восстановить
лицо, но утечка множества векторов или идентификаторов тоже несет потенциальные риски. Также небольшим
организациям не всегда выгодно платить за пакет векторов, если сотрудников мало. Но закон допускает любым
компаниям, кроме критических объектов, использовать
КБС. В Москве уже есть застройщики, которые, опасаясь
технической сложности прямого подключения, рассматривают использование биометрии через КБС.
Как выбрать модель подключения?
Выбор модели подключения для строительной компании сводится к оценке своих потребностей и ограничений. Если объект стратегический, выбора нет (только
ЕБС). А если — обычный, но число рабочих невелико и
проходы относительно редки, возможно, проще и надежнее тоже подключиться напрямую к ЕБС и платить помодульно.
Если же проект масштабный, с постоянной большой
рабочей силой, и нет иных ограничивающих факторов,
имеет смысл подключение через КБС, потому что фиксированная плата за человека может оказаться экономически выгоднее. Однако и в этом случае застройщик
остается обязанным выполнять требования города, то
есть КБС должна корректно передавать данные в московский РС ЕБС и реестр строителей, как если бы это
была прямая интеграция. С технической точки зрения
разница для города минимальна — просто либо запрос
на распознавание приходит в РС ЕБС от самой площадки, либо от имени аккредитованной КБС.
Отметим, что для сотрудников и посетителей процесс
выглядит одинаково при использовании любой модели – и при прямой, и при векторной. Все сдают свою
биометрию описанными выше способами. Просто при
векторной модели их шаблон затем выгружает КБС,
а при транзакционной каждый раз лицо проверяется по этому шаблону
в ЕБС.
Если застройщик решит вообще не подключаться к ЕБС, а, к примеру,
купит локальную систему распознавания лиц, держащую свою базу
фотографий, то такое решение незаконно и чревато штрафами до 1
млн рублей. Так что, видимо, это не вариант, все равно в итоге выйдет
дороже, просто за счет размера штрафа.
Ответственность за невыполнение требований
Невыполнение требований по внедрению биометрических СКУД влечет
для строительных компаний серьезные риски: от административных
штрафов до приостановки деятельности. Рассмотрим основные положения ответственности:
Административная ответственность за нарушение правил
обработки биометрии
КоАП РФ, в редакции после вступления в силу 572-ФЗ и связанных
законов, ввел специальные составы правонарушений:
• Штраф за отсутствие надлежащего согласия субъекта. В соответствии с ч.2 ст.13.11 КоАП, если организация собирает биометрические данные работников без письменного согласия каждого, ей
грозит штраф до 700 000 р. (для должностных лиц — до 100 000 р.).
Таким образом, застройщику/работодателю необходимо убедиться,
что все российские сотрудники подписали согласия (в бумажном или
электронном виде). Проверять это могут как трудовая инспекция,
так и Роскомнадзор. Отсутствие согласий — одно из самых частых
нарушений. Теперь за него резко повышены штрафы.
• Штраф за работу с биометрией в обход ЕБС. Нарушение требований размещения биометрических персональных данных
ст.13.11.3 КоАП РФ. Санкция до 1 000 000 р. для организации.
Сюда подпадают случаи, когда компания осуществляет идентификацию по лицу или голосу без направления данных в Единую
биометрическую систему или аккредитованную КБС. Для стройки
пример нарушения — это использование локальной системы распознавания лиц, не интегрированной с ЕБС. Даже если работники
дали согласие, это противоречит 572-ФЗ и грозит штрафом. Также
штраф выпишут, если компания, обязанная подключиться к ЕБС,
подключилась к какой-то неаккредитованной системе или не
подключилась вовсе. В целом, любое несоблюдение требований
572-ФЗ по размещению биометрии может повлечь
этот миллионный штраф.
• Штрафы за утечки и инциденты с ПДн. Поскольку
биометрия относится к особо защищаемым данным,
за ее компрометацию предусмотрена ответственность.
Сейчас штрафы за утечку персональных данных для
юридических лиц достигают 500 тыс. руб., но готовятся
поправки об их многократном увеличении (до 15–20
млн руб. или 0,1–3% годового оборота). Уголовная
ответственность также возможна, если выявится злонамеренный сбор или продажа биометрических данных.
Для застройщика это означает необходимость очень
ответственно относиться к безопасности. Если, к примеру, администратор СКУД скачает и продаст данные
сотрудников, компания понесет наказание. Нужно
исключить несанкционированный доступ к системам,
вовремя устанавливать обновления, вести логи доступа
и т. п.
Ответственность за нарушение
антитеррористических требований
Биометрические СКУД введены именно в целях антитеррористической защиты, и стройплощадки официально
отнесены к объектам, где нужны такие меры. Существует Федеральный закон № 35-ФЗ «О противодействии
терроризму» и подзаконные акты, которые обязывают
застройщиков реализовывать предусмотренные планы
безопасности. Если на объекте не выполнены предписанные меры (в этом случае, нет биометрической СКУД), это
фиксируется надзорными органами.
Последствия могут быть следующими:
• Предписание об устранении нарушений. Компании
выдается предписание срочно установить систему в
определенный срок. Одновременно могут приостановить действие ордера на строительство или иных
разрешительных документов до выполнения. Проще
говоря, стройку могут остановить, мотивируя тем, что
объект не защищен от несанкционированного проникновения и террористических угроз.
• Штрафы по линии стройнадзора. Нарушение требований проектной документации и условий обеспечения безопасности строительства грозит штрафами
по ст.9.4 КоАП РФ. Для юрлиц штраф за грубое нарушение может достигать 600 тыс. руб., либо возможно
административное приостановление деятельности
до 90 суток. Если отсутствие СКУД будет трактовано
как грубое нарушение условий, что вероятно, учитывая прямое распоряжение правительства Москвы,
то существует риск получить именно приостановку
работ.
• Исключение из городских программ. В Москве формируется рейтинг добросовестности застройщиков.
Систематическое игнорирование требований, в т. ч.
требований безопасности, может привести к исключению компании из списка надежных партнеров
города, отказу в согласовании новых проектов и
другим репутационным потерям. Для крупных девелоперов это существенный стимул придерживаться
правил.
Договорная ответственность
Если генподрядчик или подрядчик не выполняет свою
часть обязательств, например, генподряд не установил
систему в срок, и из-за этого застройщику выписали штраф, застройщик
вправе взыскивать убытки с виновной стороны по договору. Мы рекомендуем прямо включить в договоры положение о штрафных санкциях за
срыв внедрения биометрического контроля. Это создаст дополнительный
стимул. Аналогично, если субподрядчик привел на объект людей без
биометрии и из-за этого был инцидент, генподрядчик может оштрафовать субподрядчика согласно условиям договора подряда.
Подводя итог: цена несоблюдения требований очень высока. Помимо
финансовых санкций до 1 млн рублей и более, высок риск остановки
стройки на неопределенный срок, что может привести к срыву сроков ввода объекта и многомиллионным потерям. Поэтому столичные
строительные компании крайне мотивированы внедрять биометрию
вовремя и корректно. За невыполнение распоряжения должностные
лица застройщика могут быть привлечены к ответственности по ст.19.5
КоАП (неисполнение предписания) с наложением штрафа или дисквалификацией.
В конце концов, внедрение системы — это разовые затраты от 2 до 10
млн руб. на площадку, что несоизмеримо меньше потенциальных потерь
от штрафов и остановок. Гораздо разумнее выполнить требования сразу,
чем потом ликвидировать последствия.
Продолжение в №5.2026 ТЗ
Источник: securityrussia.com
|
