Alex Rădescu

GECAD: Paşapoartele biometrice, noi oportunităţi pentru furtul de identitate

Tuesday, 10 February 2009, 08:34 |

În martie 2007, GECAD lansa un avertisment în legătura cu sistemul zdreanţă de securitate al paşapoartelor biometrice, astea care trebuie băgate acum şi în România.

Dacă autorităţile noastre sînt progresiste, laice în cuget şi simţiri (pentru că aşa se cere), atunci ar trebui ca opinia firmelor de securitate informatică să însemne ceva.

via Rafael Udrişte

PS. Tot cautind prin arhive, am gasit si un material scris de mine in Jurnalul National, in ianuarie 2005: Pasaportul cu cip, bun pentru terorism.

PS2. Pe aceeaşi temă, Forul Ortodox Român solicită autorităţilor publice (Ministerului Administraţiei şi Internelor, Direcţiei Generale Paşapoarte, Inspectoratului General al Poliţiei Române, Centrului Naţional de Administrare a Bazelor de Date privind Evidenţa Persoanelor, Autorităţii de Supraveghere a Datelor cu Caracter Personal) informaţii privind caracteristicile legale şi tehnice ale acestor documente.

SOLICITARE DE INFORMAŢII PUBLICE

1.Care sunt caracteristicile (aprobate prin lege) ale documentului electronic românesc – paşaport şi permis de conducere – (tip de memorie, tip de criptare, model de RFID utilizat, rolul microchip-ului în gestionarea informaţiilor, câte nivele de securitate s-au proiectat pentru protecţia informaţiilor, cum se poate proteja informaţia la distrugere sau suprascriere)?

2.Care sunt standardele europene şi naţionale care au stat la baza proiectării arhitecturii interne a paşaportului românesc, în formatul actual, cuprinzând mediu de stocare electronică a datelor?

3.Care este instituţia investită cu protecţia şi accesul la datele înscrise în noile acte cu mediu de stocare electronică a datelor?

4.Ce instituţie şi la ce nivel (Punct de trecere a Frontierei, Unitate de Poliţie, Primărie, Spital, Consulat/Ambasadă, Autorităţi din alte ţări) are dreptul de actualizare şi/sau modificare a informaţiilor conţinute în mediile de stocare electronica a datelor cuprinse in pasapoarte/permise de conducere (Dispozitiv de Identificare prin Radiofrecvenţă DIRF (RFID) sau altceva). În acest caz este inclus, ca etapă obligatorie, şi acordul prealabil al posesorului documentului?

5.Care este procedura de supraveghere a autorităţilor cu privire la corectitudinea utilizării informaţiilor stocate pe microchip-uri în scopul strict al identificării persoanei?

6.Care este procedura de auditare a autorităţilor privind utilizarea corectă a informaţiilor stocate? Cine face auditul acestor autorităţi? Cine asigură auditarea nivelului de criptare a documentelor şi a metodologiei folosite ?

7.Care este actul normativ ce prevede sancţionarea instituţiilor cu atribuţii în materie, în cazul încălcării normelor de utilizare a informaţiilor stocate în microchip?

8.Care este garanţia (în condiţiile în care nu au apărut normele de aplicare a OUG 207/2008) că vor fi respectate prevederile art. 7 din Legea 248/2005 modificată prin OUG 207/2008 privind regimul de circulaţie al cetăţenilor români în străinătate?

9.Care este modalitatea de achiziţie a echipamentelor şi serviciilor aferente implementării sistemului de emitere a paşapoartelor / permiselor de conducere cu medii de stocare a informaţiilor biometrice?

10.Care este istoricul modalităţii de achiziţie a echipamentelor şi serviciilor aferente implementării sistemului de emitere a paşapoartelor electronice (studiu de fezabilitate, proiect tehnic, punctaje tehnice acordate, etc.) şi care sunt criteriile care au stat la baza declarării câştigătorului. Totodată, care sunt costurile implementării noilor acte de identitate biometrice şi de unde provin fondurile necesare?

11.Ce studii de vulnerabilitate şi risc există asupra mediilor de stocare a informaţiilor biometrice sau a softurilor de scriere a noilor acte de identitate biometrice?

12.Care este standardul internaţional aplicat în România privind funcţionarea sistemelor care lucrează cu date personale?

13.De la ce distanţă pot fi citite mediile/ dispozitivele de stocare a informaţiilor biometrice din paşapoarte/ permise de conducere utilizând dotarea actuală a autorităţilor din România?

14. De la ce distanţă pot fi citite mediile/ dispozitivele de stocare a informaţiilor biometrice din paşapoarte/ permise de conducere utilizând tehnologia existentă la nivelul autorităţilor din ţările membre ale UE şi SUA?

15.Sunt garantate următoarele cerinţe de confidenţialitate şi securitate a informaţiilor cu caracter personal? Cum?

a. sistemul să permită doar identificarea persoanei prin citirea informaţiilor de pe document (inscripţionate sau conţinute în mediul/dispozitivul de stocare a informaţiilor biometrice), dar nu şi înregistrarea lor pentru utilizarea ulterioară (de ex.: cei care citesc documentul – paşaport/ permis de conducere etc. – nu pot salva informaţiile pentru o utilizare ulterioară în orice alt scop);

b. sistemul să permită interogări (cercetarea bazei de date) doar pe bază de mandat şi să se poată extrage informaţii (prin orice mijloc – imprimare, tipărire etc.) numai aferente persoanelor înscrise pe mandat.

16.Precizaţi temeiul legal potrivit căruia posesorul paşaportului/ permis de conducere poate să verifice daca informaţiile inscripţionate pe document – paşaport/ permis de conducere etc. – şi cele stocate în mediile/ dispozitivele de stocare a informaţiilor biometrice sunt identice şi că nu există informaţii suplimentare nelegale sau pentru care nu şi-a dat acordul în scris.

17.Care este procedura legală privind consimţământul posesorului documentului în cazul modificării informaţiilor din mediul/ dispozitivul de stocare a informaţiilor biometrice?

18.Care este fundamentarea juridică şi/sau tehnică potrivit căreia o memorie pasivă, cu rol de stocare a informaţiilor, în format criptat, nu a fost considerată ca suficientă pentru a fi inclusă în paşaportul electronic?

19.Care este actul normativ în temeiul căruia se impune inserarea în cuprinsul documentelor, paşaport/ permis de conducere şi CNP-ul posesorului alături de toate celelalte informaţii?

20.Care este procedura legală prin care posesorul documentului poate verifica informaţiile conţinute în dispozitivul de stocare a informaţiilor biometrice?

21. A fost consultată Autoritatea de Supraveghere a Datelor cu Caracter Personal cu privire la introducerea mediului/dispozitivului de stocare electronică a datelor biometrice ale persoanei? În acest sens, există un act oficial în care să fie exprimată poziţia acestei autorităţi faţă de noile reglementări legislative privind paşapoartele/ permisele de conducere?