Данные под контролем: Как защитить личную информацию в цифровом мире

Данные под контролем: Как защитить личную информацию в цифровом мире

Анна Инежина

Личный цифровой след: какие данные о вас собираются и как используются

Вечером Лена сказала коллеге за кофе:

— Кажется, в июне всё-таки поеду в Карелию. Хочу несколько дней провести у воды, без расписания и толпы.

На следующий день в ленте появилась реклама домика у озера. Лена нахмурилась. Она не искала домики, не отправляла коллегам ссылки и, насколько помнила, не вводила в телефон слово «Карелия».

Самое простое объяснение пришло первым: телефон подслушивал разговор. Но совпадение — ещё не доказательство. Возможно, Лена незадолго до этого искала расписание поездов или смотрела фотографии северных озёр. Возможно, она разрешила приложению доступ к геолокации, а рекламный сервис связал её поездки с интересом к путешествиям. Возможно, она входит в группу людей с похожими привычками: они читают те же сайты, бывают в тех же местах и покупают похожие товары. Или объявление увидели многие, а внимание зацепилось именно за то, что совпало с разговором.

Рекламные системы обычно не нуждаются в мистике. Им хватает множества небольших наблюдений, каждое из которых по отдельности кажется пустяком. Вместе они складываются в биографию — не обязательно точную, не обязательно справедливую, но достаточно убедительную, чтобы подобрать объявление.

Чтобы понять, откуда эта биография берётся, проследим за одним обычным днём.

Один день — десятки следов

В 7:10 Лена выключает будильник и открывает приложение погоды. Телефон уже знает, что он включён, подключён к сети и использует определённую версию операционной системы. Приложение может получить технические сведения об устройстве, а при наличии разрешения — доступ к примерному или точному местоположению. Погодному сервису нужно понять, для какого района показать прогноз. Но для этого не всегда нужны точные координаты: иногда достаточно выбранного вручную города или приблизительной оценки по интернет-адресу устройства.

Через десять минут Лена строит маршрут до офиса. Навигационное приложение получает запрос, который включает начальную и конечную точки, время и выбранный способ передвижения. Если включена история местоположений, сервис может сохранять посещённые места или маршруты. Если выключена — приложение всё равно может обрабатывать текущие координаты, пока строит путь. Это разные действия: запрет на долговременное сохранение не всегда означает, что данные вообще не используются.

По дороге Лена покупает кофе и платит телефоном. В самой кофейне остаётся запись о покупке: время, сумма, место, а иногда и состав заказа — если он указан в чеке или приложении лояльности. Платёжный посредник обрабатывает транзакцию; банк видит её в выписке; кофейня может связать покупку с аккаунтом, если Лена предъявила карту лояльности или заказала через приложение. Каждый участник видит свою часть истории.

В обед Лена ищет билеты на поезд. Поисковая система получает запрос. Сайт перевозчика может сохранить сведения о маршруте, датах, выбранном тарифе и покупке. Если Лена вошла в аккаунт, поездка будет связана с ним напрямую. Если не вошла, сайт всё равно может временно распознавать её браузер по файлам cookie, техническим характеристикам устройства или другим идентификаторам. Не каждый сервис использует все эти способы и не каждый идентификатор позволяет узнать имя человека. Но он может помочь отличить одно устройство или браузер от другого, а затем сопоставить действия.

После работы Лена отправляет подруге фотографию набережной. На снимке может быть не только изображение. В файле иногда сохраняются дата, время и координаты съёмки. Приложение для переписки может передавать фотографию иначе, чем камера её сохранила: например, сжать её или удалить часть метаданных. Социальная сеть может дополнительно распознать место по содержимому кадра, сопоставить его с отметкой геолокации или связать публикацию с профилем Лены. А друзья, которые увидели фотографию, тоже становятся частью истории: кто-то может отметить её на снимке, переслать его или оставить комментарий.

Так выглядит карта одного условного дня. Она не означает, что каждый сервис собирает всё перечисленное. Это перечень вопросов, которые стоит задать конкретному приложению или компании.

Источник данных

Возможный получатель

Возможная цель

Срок хранения

Возможность отказаться

Запрос маршрута и координаты

Навигационный сервис, поставщик карт

Построить маршрут, оценить пробки, улучшить сервис

Текущий запрос, журналы событий или история аккаунта — зависит от настроек и правил сервиса

Ограничить доступ к геолокации, отключить историю, удалить сохранённые места; навигация может стать менее точной

Данные о покупке кофе

Кофейня, платёжная система, банк

Провести платёж, учесть покупку, начислить бонусы, вести бухгалтерский учёт

Зависит от участника; финансовые записи могут храниться дольше маркетинговых данных

Не участвовать в программе лояльности, не создавать аккаунт; отказаться от отдельных рекламных сообщений

Поисковые запросы и посещение сайта

Поисковик, сайт, рекламные или аналитические партнёры

Ответить на запрос, измерить посещаемость, показать рекламу

Может зависеть от аккаунта, cookie и настроек; сроки различаются

Использовать настройки истории и cookie, блокировать необязательный трекинг, где это доступно

Покупка билета

Перевозчик, платёжный посредник, банк

Оформить поездку, оплатить её, выполнить требования учёта и безопасности

По правилам перевозчика и финансовым требованиям

Без аккаунта можно сократить привязку к профилю, но не отменить данные, необходимые для самой поездки

Фотография и отметка места

Социальная сеть, сервис хранения, подписчики

Показать публикацию, сохранить фото, подобрать контент и рекламу

До удаления, согласно настройкам и правилам; копии у других людей могут сохраниться

Не публиковать, убрать геометку, ограничить аудиторию, удалить публикацию; уже сделанные копии контролировать трудно

Сведения с телефона и приложений

Производитель платформы, разработчики приложений, аналитические службы

Обеспечить работу, защиту, диагностику и измерение использования

От короткого срока для журналов до периода жизни аккаунта — зависит от данных и сервиса

Проверить разрешения, сбросить рекламные настройки, отключить необязательную диагностику, удалить неиспользуемое приложение

Главное слово в таблице — «возможный». Условия зависят от страны, сервиса, настроек и типа информации. Если точный срок хранения не указан, его не нужно угадывать. Это отдельный вопрос компании: что именно хранится, для чего, как долго и можно ли удалить данные. А если вы отказываетесь от персонализированной рекламы, это не всегда прекращает сбор данных. Иногда меняется только способ их использования: сервис перестаёт подбирать объявление под ваш профиль, но продолжает собирать сведения, необходимые для работы или измерения посещаемости.

Данные, метаданные и выводы

Чтобы читать цифровой след, полезно различать три слоя.

Данные о содержании — это то, что человек сообщает непосредственно: текст письма, фотография, комментарий, заполненная анкета, поисковый запрос. Сюда же относятся сведения, которые вы публикуете сами: место работы в профиле, фотография с мероприятия, рассказ о покупке.

Метаданные — сведения об обстоятельствах, в которых появилась информация. Для сообщения это могут быть время отправки, адресаты и устройство; для фотографии — дата съёмки и, если сохранены, координаты; для посещения сайта — время, длительность и тип браузера. Метаданные часто не содержат самого разговора или изображения, но способны многое рассказать о ритме жизни. Например, регулярные посещения одного адреса в будние дни могут указывать на рабочий маршрут.

Выводы — предположения, которые система строит на основе наблюдений. Если человек регулярно читает статьи о беговых кроссовках, сервис может предположить интерес к спорту. Если он ищет билеты и открывает страницы жилья, система может отнести его к аудитории путешественников. Вывод не равен факту: интерес к статье о беременности не доказывает, что человек ждёт ребёнка; поиск лекарств не устанавливает диагноз. Но даже ошибочный вывод может повлиять на то, какую рекламу, цену, рекомендацию или контент человек увидит.

Отдельные следы становятся значимее, когда их сопоставляют. Одна покупка говорит мало. История покупок, мест и поисков может обозначить привычки. Идентификатор устройства или аккаунт помогает системе связать некоторые события между собой. Рекламные и аналитические компании могут получать данные от разных источников, однако набор доступных им сведений неодинаков и зависит от настроек, договоров и правил конкретных сервисов. Не следует представлять это как единую базу, где кто-то видит каждое действие каждого человека. Полезнее задавать практический вопрос: кто именно получает эти сведения и с какой целью?

Четыре этапа одной истории

Управлять данными легче, если не смешивать разные этапы их жизни.

1. Сбор. Сайт записывает, какие страницы вы открыли; приложение запрашивает контакты; магазин получает сведения о заказе. Сбор может быть необходим для функции, которую вы используете, или относиться к дополнительной аналитике и рекламе.

2. Хранение. Данные остаются в аккаунте, журнале событий, резервной копии или системе учёта. У разных сведений — разные сроки. Маршрут может быть нужен несколько минут, историю заказов компания хранит для обслуживания покупки, а финансовые записи — дольше по требованиям закона.

3. Сопоставление. Сервис связывает события с аккаунтом, устройством, номером карты лояльности или рекламным идентификатором. Иногда сопоставление происходит внутри одной компании, иногда данные передаются партнёрам. Чем больше устойчивых идентификаторов и связей, тем подробнее может быть профиль.

4. Использование. На основе данных сервис показывает рекламу, строит рекомендации, обнаруживает мошенничество, измеряет работу продукта или помогает выполнить заказ. Эти цели не равноценны: одни нужны, чтобы предоставить услугу, другие могут быть необязательными.

Именно поэтому настройка приватности редко сводится к одной кнопке. Можно запретить приложению постоянный доступ к геолокации, но оставить его возможность использовать координаты во время навигации. Можно отключить персонализацию рекламы, но продолжить получать объявления. Можно удалить историю из своего аккаунта, хотя у компании могут сохраняться отдельные записи по законным или техническим причинам. Важно понимать не только «собирают ли данные», но и на каком этапе вы хотите ограничить их.

Карта моего следа

Сейчас устройте короткую инвентаризацию. Не пытайтесь сразу перечислить каждое приложение и каждую строчку политики конфиденциальности. Ваша задача — увидеть главные маршруты данных.

Шаг 1. Перечислите источники. Запишите устройства, которыми регулярно пользуетесь: телефон, компьютер, часы, телевизор, автомобильная система, умная колонка. Добавьте аккаунты и приложения: электронная почта, карты, магазины, соцсети, банк, облачное хранилище, сервисы здоровья, браузер.

Шаг 2. Отметьте категории сведений. Возле каждого источника укажите, что он может получать: имя и контакты; местоположение; поиски и просмотр страниц; покупки и платежи; фотографии и сообщения; голосовые команды; сведения о здоровье; технические данные устройства; список действий внутри приложения.

Шаг 3. Назовите получателя и цель. Не пишите просто «интернет». Уточните: сам разработчик приложения, магазин, платёжный посредник, производитель устройства, социальная сеть, рекламный партнёр. Если получатель неизвестен, поставьте вопросительный знак. Затем запишите вероятную цель: работа функции, доставка заказа, безопасность, аналитика, персонализация рекламы.

Шаг 4. Проверьте хранение и отказ. Откройте настройки приложения и найдите разрешения, историю, рекламные предпочтения, экспорт или удаление данных. В политике конфиденциальности ищите разделы о сроках хранения, партнёрах и целях обработки. Не обязательно читать всё сразу: начните с сервисов, которые знают о вас больше всего. Запишите, что удаётся отключить, что можно удалить и что необходимо для предоставления услуги.

Для одного аккаунта это может выглядеть так:

Источник

Сведения

Получатель и цель

Что проверить

Приложение карт

Геолокация, маршруты, поиск мест

Сервис карт: навигация и, возможно, история поездок

Разрешение «при использовании», история мест, автосохранение

Магазин

Адрес, заказ, способ оплаты, история покупок

Магазин и платёжный посредник: исполнение заказа и расчёты

Гостевой заказ, маркетинговые согласия, удаление аккаунта

Социальная сеть

Публикации, реакции, контакты, данные устройства

Платформа: показ публикаций, рекомендации, безопасность

Аудитория, синхронизация контактов, рекламные настройки

Умные часы

Активность, пульс или сон — если включены соответствующие функции

Производитель устройства и связанное приложение: статистика и здоровье

Какие показатели записываются, с кем делятся, как удалить историю

Карта не обязана быть полной. Даже три заполненные строки полезнее, чем тревожное ощущение, будто «все всё знают». Она показывает, где сведения действительно появляются и какое действие можно предпринять.

Чужие руки в вашей биографии

Не весь цифровой след создаёте вы. Друг может загрузить групповую фотографию и отметить вас. Сервис доставки хранит адрес, указанный для посылки. Контакт из телефонной книги может загрузить список номеров в приложение, чтобы найти знакомых; некоторые приложения предлагают такую функцию, но дают возможность не включать синхронизацию. Компания может получить адрес из договора или заказа, даже если вы ничего не публиковали в интернете.

Есть и след, который создают повседневные устройства без заметного участия человека: журналы входа, сведения о сбоях, данные о соединении. Они помогают поддерживать работу и защищать аккаунты, но тоже заслуживают внимания. Чем меньше ненужных приложений и бессрочных разрешений, тем меньше мест, где накапливается история.

Это не повод стремиться к полной невидимости. Большинство людей пользуются цифровыми сервисами именно потому, что те помнят адрес доставки, находят маршрут и сохраняют фотографии. Цель — не отказаться от удобства, а различать необходимое и лишнее, понимать цену выбора и регулярно проверять, не изменились ли настройки.

Начните с простого перечня сведений, которыми стоит управлять:

• точная геолокация и история мест;

• доступ приложений к контактам, микрофону, камере и фотографиям;

• история поиска и просмотров, связанная с аккаунтом;

• платёжные данные, покупки и программы лояльности;

• публичность публикаций, отметки на фотографиях и геометки;

• синхронизация контактов и подключение сторонних аккаунтов;

• сроки хранения данных и настройки рекламной персонализации.

У каждого пункта свой баланс пользы и приватности. Геолокация нужна навигатору, но не обязательно фоновой игре. Контакты могут помогать находить друзей, но не требуются приложению-фонарю. История покупок удобна для возврата товара, но рассылка предложений — отдельная цель. Разделяя эти решения, вы возвращаете себе не абсолютный контроль, а более важную вещь: осознанный выбор.

Цифровая биография складывается не только из того, что мы решаем рассказать. Её дополняют устройства, привычки, метаданные и действия других людей. Первый шаг к защите — не паника и не попытка исчезнуть, а карта: что возникает, где хранится, с чем связывается и как используется. Когда эта карта перед вами, становится легче решить, какие риски важны именно для вас — и от чего защищаться в первую очередь.

Модель угроз: от чего защищаться, кому доверять и что важнее всего сохранить

В половине второго ночи Алексей понял, что у него стало больше средств защиты, чем понимания. На телефоне стояли два приложения для шифрования, три браузера, VPN, блокировщик рекламы и программа, которая обещала «стереть цифровой след». Пароли он сменил не везде, резервные копии не проверял, а к почте по-прежнему привязывались все остальные аккаунты. Алексей старательно закрывал каждую дверь — и не знал, какие из них ведут к его дому.

Так часто начинается цифровая защита: с тревоги. В новостях крадут базы данных, знакомым взламывают мессенджеры, незнакомцы находят старые фотографии. В ответ хочется защищаться от всего и сразу. Но в цифровом мире нельзя запереть каждую дверь и при этом продолжать жить. Важно понять, какие двери ведут к тому, что для вас действительно ценно, и кто с наибольшей вероятностью попытается войти.

Именно для этого нужна модель угроз. Не список катастроф и не чертёж секретного бункера, а практичный способ принять несколько решений: что сохранить, от кого, каким способом и какой уровень защиты имеет смысл.

Не все данные одинаково важны

Представим журналистку-фрилансера Надю. Она пишет о муниципальных закупках и иногда общается с людьми, которые не хотят раскрывать свои имена. Для неё особенно важны переписка с источниками, черновики расследований и доступ к рабочей почте. Потеря телефона неприятна, но опаснее, если через него можно добраться до почты, облачного хранилища и личностей собеседников. А публикация номера телефона или адреса может создать уже не только цифровую проблему.

Теперь сравним Надю с родителем, который хранит семейные фотографии и управляет школьными аккаунтами ребёнка; со студентом, которому нужны материалы диплома и доступ к учебной почте; с владельцем небольшого магазина, у которого в таблице заказов записаны адреса клиентов. У каждого есть ценные данные, но ценность и последствия утраты различаются. Родителю важна доступность семейного архива, студенту — сохранность работы и учётной записи, предпринимателю — конфиденциальность клиентских сведений и возможность продолжать принимать заказы.

У Нади может быть выше вероятность целевой попытки получить конкретные материалы или установить личность источника. У родителя реалистичнее случайная утрата доступа к аккаунту или мошенничество с паролем. Владельцу магазина стоит особенно думать о том, как защитить сведения клиентов и восстановить работу после поломки устройства. Это не соревнование, у кого опаснее жизнь. Это напоминание: защита должна соответствовать обстоятельствам.

Чтобы расставить приоритеты, полезно различать три свойства информации:

• Конфиденциальность: кто может её увидеть.

• Целостность: кто может её изменить или подменить.

• Доступность: сможете ли вы сами получить её тогда, когда понадобится.

Для журналистки конфиденциальность переписки с источником может быть критичной. Для студента важнее не потерять единственную копию диплома — здесь на первом месте доступность. Для магазина важны сразу все три свойства: нельзя раскрыть клиентские данные, потерять заказы или позволить кому-то незаметно изменить реквизиты оплаты.

К активам относятся не только файлы и сообщения. Это также учётные записи, устройства, способы восстановления доступа, контакты, история перемещений, деловая репутация и даже возможность доказать, что важный документ не был подменён.

Кто может быть противником

Слово «противник» звучит так, будто за каждым человеком следит профессиональная команда взломщиков. В модели угроз оно означает просто того, чьи действия способны причинить вред. Часто это не конкретная личность, а категория людей или событий.

Например:

• Случайный мошенник рассылает массовые письма и рассчитывает, что кто-то введёт пароль на поддельной странице.

• Знакомый или бывший партнёр может знать ответы на вопросы восстановления, иметь доступ к устройству или использовать общие аккаунты.

• Злоумышленник, нацеленный на конкретного человека, может подстраивать обман под его работу и круг общения.

• Преступник, завладевший телефоном или ноутбуком, получает возможность воспользоваться открытыми сессиями и сохранёнными данными.

• Сервис или организация могут собирать сведения, необходимые для работы продукта, а иногда — хранить их дольше или шире, чем вам хотелось бы.

• Случайность — поломка, потеря устройства, ошибка синхронизации — тоже способна лишить вас данных.

Важны не только намерения, но и возможности. Массовый мошенник, вероятно, не станет тратить недели на взлом одного малоизвестного аккаунта. Зато он может рассылать тысячи сообщений в надежде на одну удачу. Человек, который лично заинтересован в содержимом конкретного телефона, способен использовать знакомство с владельцем, его привычками и окружением.

Это помогает не впадать в две крайности. Первая: «Я никому не интересен, значит, защищаться не нужно». Вторая: «Кто-то наверняка уже следит за мной, значит, никакие меры не помогут». Между ними находится разумный вопрос: какая неприятность достаточно вероятна и достаточно серьёзна, чтобы я принял меры?

Как возникает риск

Обычно атака — не волшебный взлом из фильма, а цепочка событий. Например, пароль от почты повторяется на нескольких сайтах. Один из сайтов теряет данные. Мошенник пробует тот же пароль в почте, входит в аккаунт, а затем запрашивает сброс паролей от других сервисов. Здесь слабое место не в том, что «интернет небезопасен», а в конкретной связке: повторный пароль, важная учётная запись и возможность восстановить через неё остальные.

У Нади может быть другой путь: правдоподобное сообщение якобы от редактора ведёт на поддельную страницу входа. Если она введёт пароль, атакующий попробует использовать полученный доступ. Защита должна учитывать не абстрактное «взломают», а этот маршрут: почта и переписка — ценная цель; сообщение может выглядеть убедительно; последствия затронут и её, и собеседников.

При оценке риска полезно задавать три вопроса:

1. Насколько вероятен сценарий? Есть ли у предполагаемого злоумышленника причина и простой способ действовать? Было ли что-то подобное раньше?

2. Насколько серьёзны последствия? Потеря одного вечера, финансовый ущерб, раскрытие частной информации, угроза работе или безопасности?

3. Насколько трудно снизить риск? Иногда небольшая мера — уникальный пароль или резервная копия — предотвращает много неприятностей. Иногда дополнительная защита сложна, мешает работе и даёт мало пользы.

Не нужно изображать математическую точность там, где её нет. Умножение «вероятности на ущерб» может помочь мыслить, но не превращает личную оценку в научный прогноз. Достаточно пометить риск как низкий, средний или высокий и объяснить себе почему. Если сценарий маловероятен, но последствия катастрофические, его всё равно стоит обдумать. Если событие вероятно, но легко обратимо, можно начать с простого способа восстановления.

Одностраничная модель угроз

Попробуем заполнить модель для Нади. Необходимо описать актив, вероятного противника, путь атаки, последствия, меру защиты и остаточный риск — то, что останется даже после принятых мер.

Актив

Возможный противник

Путь атаки

Последствия

Мера защиты

Остаточный риск

Переписка с источниками и рабочая почта

Массовый мошенник или человек, нацеленный на журналистку

Поддельное письмо приводит к краже пароля; доступ к почте открывает другие аккаунты