Про особисту кібергігієну

Давно не писав про особисту кібергігієну, але зараз хочу звернути увагу на деякі новації Національного банку України.

Так от, останніми днями в колі фахівців, активно обговорюється інформація щодо нових вимог Національного банку України до оформлення підтверджень платіжних операцій.

Я уважно проаналізував відповідні нормативні акти НБУ.
Відразу зазначу: наразі мені не вдалося знайти прямої норми, яка б зобов’язувала банки чи інших надавачів платіжних послуг друкувати на паперовому чеку повний номер платіжної картки. Саме тому це питання потребує додаткового вивчення.

Але це пов’язано з тим що чергова новела національного банку, яка описує що треба зробити, не описує механізм реалізації та звісно кожен банк повинен сам для себе це визначити.
Водночас у нормативних документах дійсно визначено перелік інформації, яка має супроводжувати підтвердження виконання платіжної операції, зокрема персональні дані платника. Що вже суперечить будь-яким міжнародним стандартам (GDPR, ISO/IEC 27001, PCI DSS, NIST), які передбачають, що особа повинна надавати лише ту інформацію, яка є необхідною для підтвердження здійснення операції. Розширення обсягу персональних даних без доведеної необхідності суперечить цьому принципу.

І саме тут виникає питання, яке, на мою думку, є значно важливішим. Якщо результатом застосування цих норм стане друк на паперових чеках значного обсягу персональних даних громадян ПІБ, РНОКПП, номерів рахунків чи інших ідентифікаційних реквізитів, це створює додаткові ризики для інформаційної безпеки українців.

По факту Національний банк відкриває нові можливості для шахраїв. Паперовий чек можна загубити, залишити біля термінала, викинути або просто передати сторонній особі. Для пересічної людини це звичайний папірець. Для шахраїв ще один фрагмент інформації, який можна об’єднати з даними з інших витоків та використати для соціальної інженерії, телефонного шахрайства, фішингових атак або інших злочинних схем.

Особливо небезпечним це є в умовах повномасштабної війни, коли Україна постійно перебуває під кібератаками, а російські спецслужби системно намагаються збирати будь-яку інформацію про громадян України.

Переконаний, що будь-які регуляторні рішення повинні проходити оцінку не лише з погляду фінансового контролю, а й з погляду кібербезпеки, приватності та можливих наслідків для громадян. Воно взагалі таке враження що з цим фінансовим контролем наче всі подуріли та забули взагалі про питання безпеки.

Я продовжу детальний аналіз нормативної бази та звернуся до Національного банку України за офіційними роз’ясненнями щодо практичного застосування цих вимог, адже питання захисту персональних даних українців сьогодні є складовою національної безпеки.

Стратегія охолодження ЦОД для епохи AI