Главным условием возвращения мира к нормальной жизни в эпоху коронавирусной инфекции COVID выступает наличие согласованных средств для подтверждения, что желающие свободно передвигаться получили отрицательный результат анализа, прошли вакцинацию и соответствуют критериям, по которым органы власти определяют безопасность передвижения. Хотя в ходе изучения и апробации находятся десятки решений, споры о том, как эту информацию будут передавать, хранить и привязывать к другой персональной информации, по-прежнему не затихают.
В течение многих десятилетий мы без особых проблем использовали бумажные документы с результатами анализов или записями о вакцинации от других заболеваний. Однако на этот раз все немного по-другому. Бумажные документы слишком легко подделать, и без простого способа их проверки и подтверждения подлинности они вряд ли подойдут в этой ситуации.
Новые цифровые «паспорта здоровья» кажутся перспективными, однако для их широкого внедрения необходимо обеспечить оптимальное сочетание ряда элементов. Они должны быть достаточно просты, чтобы быть полезными. Они должны быть проверяемыми и достаточно гибкими, чтобы соответствовать меняющимся требованиям к признаваемым вакцинам, результатам лабораторных исследований и другой информации. Кроме того, необходимо обеспечить конфиденциальность пользователя.
Именно вопрос конфиденциальности может оказаться самым сложным. В период коронавирусной инфекции COVID возник вопрос о том, как соотносить персональные данные (возраст, национальность, пол) с медицинскими. Следует ли объединить эти два вида данных и предоставить к ним доступ другим пользователям без каких-либо мер предосторожности?
Движение за «суверенные персональные данные»
Некоторые предлагают такое решение: передавать не всю персональную информацию, а только ту ее часть, которую вы должны или хотите передать. То есть вместо того, чтобы предъявлять удостоверение личности (будь то паспорт, водительские права или другой документ), вы передаете лишь ту информацию, которую необходимо знать контролеру. Например, чтобы попасть на какое-либо мероприятие во время пандемии коронавирусной инфекции COVID, вы должны будете только подтвердить, что недавно прошли анализ или вакцинацию или что соответствуете каким-то другим критериям. Вам не нужно — и вы не должны — показывать какую-либо иную информацию, указанную в водительских правах или паспорте.
Самый популярный вариант реализации этой идеи — это так называемые суверенные персональные данные (SSI). Этот вариант получил большую поддержку среди специалистов в области технологий и защиты конфиденциальности. Вы суверенны и сами контролируете, кто и что о вас знает. Другие лица могут выдавать вам удостоверения, однако вы сами решаете, какую информацию и в каком объеме вы хотите предъявить при необходимости. Блог Doc Searls [1]: «Ничто из того, что я знаю, не может дать людям больше рычагов для взаимодействия с организациями мира, особенно в области бизнеса».
Чтобы этот вариант работал, лицо, проверяющее информацию, должно иметь возможность подтвердить, что она точна, подлинна и относится к вам — лицу, представляющему эту информацию. Это вторая часть задачи SSI: нужно, чтобы удостоверение можно было проверить. Нужно разработать систему, достаточной для удовлетворения требований контролера — будь то охранник или сотрудник иммиграционной службы — и при использовании которой не будет нарушен принцип, лежащий в основе SSI, т. е. что информация, которую вы не хотите предоставлять, не будет раскрыта в ходе этого процесса.
Консорциум World Wide Web (W3C) опубликовал заявление о «проверяемых удостоверениях» в качестве стандарта в конце 2019 года. Согласно этому заявлению такие удостоверения обеспечивают «криптографическую защиту, конфиденциальность и машинную верификацию» данных. Но хотя определенный интерес к такому подходу существовал и до пандемии COVID (особенно в сфере финансов), широкое распространение он получил только с началом пандемии.
Наибольшую поддержку идея SSI получила среди тех, кто пробует использовать блокчейн — технологию распределенного реестра, лежащей в основе криптовалют подобно биткоину. Это оказалось наиболее популярным способом применения SSI для «COVID-паспортов»: например, в приложении IATA Travel Pass Международной организации воздушного транспорта (IATA) используются технологии SSI и блокчейн. Центральное место в технологии блокчейн занимает понятие «распределенности». Оно означает, что ни одно третье лицо или организация не владеет данными и что наличие централизованного органа для управления, проверки подлинности и хранения данных, передаваемых между физическими и юридическими лицами, не требуется.
Каждое удостоверение или децентрализованный идентификатор может быть подписан в цифровой форме другими юридическими лицами. В результате оно становится проверяемым удостоверением, которое затем можно предъявить третьей стороне. Например, если для участия в мероприятии требуется подтверждение возраста, пользователь может предъявить соответствующее удостоверение (с цифровой подписью представителя государственного органа) из своего «цифрового кошелька» удостоверений. Организаторы мероприятия могут проверить подлинность удостоверения, поскольку оно хранится в блокчейне — защищенной от несанкционированного доступа записи.
Главное здесь то, что эти обмены происходят вне чужой административной системы. Участники — по крайней мере в теории — взаимодействуют на равных правах в автономной системе.
В мире, где кажется, что мы все меньше контролируем собственные данные, эта идея становится весьма привлекательной. Она не только дает людям больше контроля над тем, какую информацию, хранящуюся в центральных органах, они готовы предоставить, но и теоретически позволяет им собирать разрозненные данные, для которых в настоящее время нет централизованного хранилища, например сертификаты, награды и аттестаты. Как недавно писал эксперт по данным, работающий в области торгового финансирования, Мишель Килзи (Michel Kilzi) [2]: «Если радикально не пересмотреть следующее поколение суверенитета клиентов, мы рискуем постоянным размыванием наших цифровых прав».
SSI и будущее медицинских данных
Сторонники такого подхода видят в нем начало гораздо более широкого перехода к децентрализованному идентификатору (DID), т. е. к применению SSI в сфере водительских прав, финансов и даже в медицине.
Например, в апреле были опубликованы результаты исследования [3], в ходе которого бразильские ученые изучали возможности применения SSI в здравоохранении и в частности в медицинских записях. Поскольку в течение жизни пациент обращается за помощью ко многим врачам, его данные часто разбросаны по нескольким поставщикам медицинских услуг, в результате чего образуются разрозненные базы данных, «бесполезные для применения за пределами соответствующих хранилищ». Получение данных с портативных устройств приводит к созданию дополнительных хранилищ данных, генерируемых пациентами. SSI может упростить передачу данных, что отразится на мониторинге состояния здоровья пациентов, контроле страховых платежей и рецептурных препаратов.
В качестве другого примера можно привести врача Национальной службы здравоохранения Соединенного Королевства, который внедрил технологию SSI [4], чтобы отсеивать неквалифицированных врачей. В рамках пилотного варианта система General Medical Council выдает «лицензии на осуществление деятельности», привязанные к цифровым кошелькам SSI, которые принадлежат медицинским специалистам. Специалисты могли бы предоставлять эти удостоверения в больницы, принимающие участие в проекте. Те, в свою очередь, выдавали бы удостоверение, которое сотрудник мог бы использовать для входа в клинические системы. С начала пандемии коронавирусной инфекции COVID пилотный проект был расширен до 84 организаций Национальной службы здравоохранения.
Не все считают, что такие варианты использования необходимы, по крайней мере сейчас. В статье, опубликованной в мае прошлого года [5], был сделан следующий вывод: «даже если децентрализация в настоящее время “в моде” как в дебатах об управлении, так и среди сторонников блокчейна, она ни в коем случае не панацея от всех старых недугов».
Более того, некоторые считают, что попытка внедрить новые технологии, большинство из которых не проходили испытаний в глобальном масштабе и структура управления которых еще не определена, — это слишком сильные изменения за такой короткий период. В конечном итоге успех или крах этих решений будет зависеть от того, насколько простыми они окажутся для конечного пользователя, а история полна примеров неудач. Например, корпорация Microsoft продвигала идентификационный кошелек CardSpace, пока не отказалась от этой идеи в 2011 году. По мнению критиков, существуют варианты с аналогичной степенью конфиденциальности и возможностью проверки, которые не требуют использования блокчейнов и DID.
Действительно, SSI не упоминается в руководстве Всемирной организации здравоохранения [6] по разработке «умных» сертификатов вакцинации. Вместо этого выбор сделан в пользу более традиционной инфраструктуры открытых ключей (PKI). Она необходима для формирования структуры доверия, гарантирующей возможность проверки подлинности любых выданных документов. Подписание будет проходить с помощью PKI, при этом ВОЗ будет выполнять роль доверительного посредника от имени государств-членов.
Очевидно, что существует острая необходимость в создании надежной, признанной на международном уровне системы или комбинации систем, которые позволят легко регистрировать и передавать записи о проведении вакцинации от коронавирусной инфекции COVID и результаты исследований, чтобы лица, имеющие право на свободное передвижение, могли им воспользоваться. Это само по себе, вероятно, приведет к появлению новых видов данных, а также новых способов их записи, обмена и проверки.
Список литературы
[1] What SSI needs. Project VRM
[2] The Anatomy of Personal Data Sovereignty. Forbes
[3] Blockchains and Self-Sovereign Identities Applied to Healthcare Solutions: A Systematic Review
[4] Building an SSI Ecosystem: Digital Staff Passports at the NHS. Technometria
[5] Zwitter, A.J., et al., 2020. Digital Identity and the Blockchain: Universal Identity Management and the Concept of the “Self-Sovereign” Individual. Frontiers in Blockchain,3, pp. 26.
[6] Временное руководство Всемирной организации здравоохранения по разработке «умного» сертификата о вакцинации
