ИНН в системе «Информзащита¶

ИНН (идентификационный номер налогоплательщика) — цифровой код, присваиваемый налоговыми органами Российской Федерации физическим и юридическим лицам для учёта в системе налогового администрирования. В контексте информационной безопасности и деятельности компании «Информзащита» ИНН рассматривается как один из ключевых идентификаторов, используемых при защите персональных данных, построении систем аутентификации и выявлении утечек информации.

¶Общие сведения об ИНН

ИНН физического лица представляет собой последовательность из 12 цифр, ИНН организации — из 10 цифр. Первые четыре цифры обозначают код налогового органа, присвоившего номер, последующие — собственно номер налогоплательщика, а последняя цифра (или две) является контрольной, вычисляемой по определённому алгоритму.

Номер присваивается однократно и сохраняется за лицом на протяжении всей жизни (для физического лица) либо на весь период существования организации. При смене места жительства или реорганизации ИНН, как правило, не меняется, что делает его устойчивым идентификатором в информационных системах.

¶ИНН как объект защиты

В терминологии нормативных документов Федеральной службы по техническому и экспортному контролю (ФСТЭК России) и Федеральной службы безопасности ИНН относится к персональным данным — сведениям, позволяющим идентифицировать субъекта. Совместно с фамилией, именем, отчеством, паспортными данными и СНИЛС он образует набор, достаточный для однозначной идентификации гражданина.

Именно поэтому ИНН фигурирует в требованиях к защите информации в государственных информационных системах, информационных системах персональных данных (ИСПДн), а также в системах, подпадающих под действие Федерального закона № 152-ФЗ «О персональных данных». Утечка баз данных, содержащих связки «ФИО — ИНН — адрес», рассматривается как инцидент высокой значимости, поскольку позволяет злоумышленникам проводить целевые атаки, оформлять кредиты и совершать мошеннические действия от имени гражданина.

¶Роль компании «Информзащита»

Компания «Информзащита» — российский системный интегратор и поставщик услуг в области информационной безопасности, работающий с 1994 года. Основные направления деятельности включают аудит защищённости, построение систем защиты персональных данных, защиту от утечек (DLP-системы), управление инцидентами информационной безопасности и обучение персонала.

В проектах по защите персональных данных ИНН выступает одним из классифицируемых реквизитов. При построении модели угроз и модели нарушителя специалисты определяют категории обрабатываемых данных, к которым относится и ИНН. От категории зависит требуемый уровень защищённости (УЗ-1 — УЗ-4) и, соответственно, набор организационных и технических мер.

Типовые задачи, в которых участвует ИНН:

• Классификация ИСПДн. Наличие ИНН в составе обрабатываемых сведений влияет на отнесение системы к определённой категории.
• Разграничение доступа. ИНН используется как атрибут учётной записи в системах управления доступом.
• Обнаружение утечек. DLP-системы настраиваются на поиск шаблонов ИНН в исходящем трафике, что позволяет выявлять попытки несанкционированной передачи баз данных.
• Маскирование данных. При передаче информации во внешние системы применяются методы обезличивания, при которых ИНН заменяется на псевдоним.

¶Технические аспекты обработки

Контрольное число ИНН вычисляется по фиксированному алгоритму с весами разрядов, что позволяет программно проверять корректность номера без обращения к базе налоговой службы. Это свойство используется в системах валидации ввода и в средствах поиска утечек: регулярные выражения и контрольные суммы помогают отсеивать ложные срабатывания.

Для 10-значного ИНН контрольная цифра рассчитывается как последняя цифра суммы произведений первых девяти цифр на коэффициенты (2, 4, 10, 3, 5, 9, 4, 6, 8) по модулю 11, взятому по модулю 10. Для 12-значного номера применяются две контрольные суммы с разными наборами весов.

¶Нормативное регулирование

Обработка ИНН регулируется Налоговым кодексом РФ, Федеральным законом № 152-ФЗ, постановлениями Правительства РФ № 1119 и № 211, приказами ФСТЭК России № 17 и № 21, а также приказами ФСБ России № 378. Для государственных информационных систем действует приказ ФСТЭК № 17, устанавливающий классы защищённости К1 — К3.

Отдельно регулируется использование ИНН в банковской сфере: кредитные организации обязаны идентифицировать клиентов в соответствии с Федеральным законом № 115-ФЗ, что предполагает обработку ИНН в составе клиентских досье.

¶Практические риски

Основные угрозы, связанные с ИНН:

Меры противодействия включают шифрование каналов связи, двухфакторную аутентификацию, журналирование доступа, DLP-контроль и регулярный аудит защищённости.

¶Значение для отрасли

ИНН остаётся одним из наиболее востребованных идентификаторов в российских информационных системах: он используется в банках, телекоммуникационных компаниях, медицинских учреждениях, образовательных организациях и государственных сервисах. Это делает его постоянным объектом внимания специалистов по информационной безопасности и предметом проектов, реализуемых интеграторами, включая «Информзащиту».

Источники: Налоговый кодекс РФ; Федеральный закон № 152-ФЗ «О персональных данных»; постановление Правительства РФ № 1119; приказы ФСТЭК России № 17 и № 21; материалы компании «Информзащита».