1. Всі користувачі проходять ідентифікацію через банки, в яких обслуговуються
Коли користувач тільки завантажив “Дію“, перше, що він робить – авторизується з програми за допомогою технології BankID.

Ця технологія дає громадянину можливість пройти ідентифікацію через свій банк, у якому зберігається необхідна інформація про клієнта.

Такий спосіб ідентифікації є досить надійним і його застосування – традиційна практика для багатьох розвинених країн світу.

До нашого застосунку підключені популярні Приватбанк, а також система BankID Національного банку України, в яку входять 12 банків.

До банківських систем пред’являються високі вимоги безпеки.

2. “Дія” пройшла масштабне тестування
Забезпечити високий рівень захисту застосунку нам багато в чому дозволила співпраця з компанією EPAM – одним зі світових лідерів у сфері IT-розробок. Наш партнер приділяє чимало уваги питанню захищеності інформації.

Архітектура “Дії” побудована таким чином, що на серверній частині програми не здійснюється постійне зберігання персональних даних користувачів. При цьому інформація в каналах передачі даних передається в зашифрованому вигляді, а на деяких етапах використовується подвійне шифрування.

Захист персональних даних у мобільному застосунку “Дія” виконаний за кращими практиками безпеки для рішень такого типу, використано підхід “глибокого захисту” (defense-in-depth).

Крім того, разом з IT-фахівцями EPAM ми серйозно підійшли до тестування нашого за стосунку. Зокрема провели так звані пен-тести, тобто тестування безпеки програми.

По суті ми спробували, в тому числі із залученням зовнішніх ІТ-фахівців, “хакнути” “Дію“, щоб виявити всі вразливі місця. Це дозволяє мені сказати, що “Дія” на сьогоднішній день є достатньо захищеним застосунком.

3. Пред’явника документа можна перевірити
А тепер – важливий момент, на який хочу звернути увагу користувачів.

Механізм верифікації документів у “Дії” заснований на QR-коді, що генерується застосунком. Він не містить ніякої персональної інформації і є дійсним лише протягом 3 хвилин.

По суті – це такий тимчасовий лінк. А значить, ризик того, що хтось встигне сфотографувати ваш код і тим самим отримає доступ до вашого документа – мінімальний.

Важливо, що за допомогою QR-коду перевірити достовірність документів можуть не тільки представники поліції, але і ви самі.

За допомогою будь-якого смартфона, зі встановленим на ньому застосунком “Дія“, можна зчитати QR-код з іншого смартфона (за допомогою камери або спеціального застосунку для зчитування QR-кодів) і переконатися в достовірності документа.

Цікавий факт – з точки зору безпеки, цифрові документи в смартфоні є більш захищеними, ніж фізичні. “Дія” дає можливість завантажити техпаспорт тільки власника авто. У той же час Єдиний транспортний реєстр містить записи-клони – не секрет, що це досить поширена практика в Україні.

4. Всі дані користувачів “Дія” знаходяться в Україні
Ще один дуже важливий момент – усі сервери мобільного застосунку “Дія” знаходяться в Україні.

Тобто ніяка інформація про користувачів не йде за кордон.

Серверна частина системи розгорнута у хмарній інфраструктурі ще одного нашого партнера – компанії De Novo, що має необхідні сертифікати безпеки.

Єдиний раз, коли ми залучили закордонну компанію – лише для захисту від атак розподіленого доступу (DDOS-атак). Для цього ми використовуємо інфраструктуру компанії Amazon, яка частково розташована в Німеччині.

І наостанок хочу сказати: ми розуміємо, що забезпечення безпеки – це не результат, а процес.

Над “Дією” працює крута команда, ми постійно розвиваємо і покращуємо мобільний застосунок. Але на 100% убезпечитися від абсолютно всіх вразливостей неможливо.

Велика імовірність, що після всеукраїнського релізу будуть спроби зламати додаток. Проте ми готові до таких викликів і завдяки їм отримаємо додаткову можливість зробити нашу “Дію” ще більш захищеною.

Михайло Федоров, віце-прем’єр-міністр – міністр цифрової трансформації України, для УП