Глава 3. Меры, направленные на нейтрализацию угроз безопасности биометрических персональных данных на технологическом участке обработки биометрических персональных данных, обработки, в том числе при получении и хранении, информации о степени соответствия, векторов единой биометрической системы в информационных системах организаций финансового рынка, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, в целях аутентификации физического лица, а также для рассмотрения обращений субъектов персональных данных, предполагающих неправомерную обработку их биометрических персональных данных при проведении аутентификации и (или) оспаривающих результаты проведения аутентификации

3.1. Организациям финансового рынка рекомендуется при обработке электронных сообщений, содержащих биометрические персональные данные физического лица, а также при обработке, в том числе при получении и хранении, информации о степени соответствия, векторов единой биометрической системы в информационных системах организаций финансового рынка, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, в целях аутентификации физического лица:

обеспечивать целостность биометрических персональных данных, информации о степени соответствия, векторов единой биометрической системы путем использования усиленной квалифицированной электронной подписи, реализуемой средствами электронной подписи класса не ниже КС3, предусмотренными пунктом 12 Состава и содержания организационных и технических мер, а также пунктом 15 Требований к средствам электронной подписи;

обеспечивать конфиденциальность биометрических персональных данных, информации о степени соответствия, векторов единой биометрической системы (при их получении из единой биометрической системы) путем применения СКЗИ класса не ниже КС3, предусмотренных пунктом 12 Состава и содержания организационных и технических мер.

3.2. Организациям финансового рынка рекомендуется обеспечивать целостность и конфиденциальность электронных сообщений, содержащих биометрические персональные данные физического лица, в том числе при хранении используемых в целях аутентификации биометрических персональных данных для рассмотрения обращений субъектов персональных данных, предполагающих неправомерную обработку их биометрических персональных данных при проведении аутентификации и (или) оспаривающих результаты проведения аутентификации, путем применения СКЗИ класса не ниже КС3, предусмотренных пунктом 12 Состава и содержания организационных и технических мер, а также пунктом 15 Требований к средствам электронной подписи.

3.3. Организациям финансового рынка рекомендуется обеспечить регистрацию действий работников, связанных с процессом удаленной (дистанционной) аутентификации, получения векторов единой биометрической системы, а также получения информации о степени соответствия векторов единой биометрической системы.

3.4. Организациям финансового рынка рекомендуется усилить внутренний контроль за обработкой биометрических персональных данных в соответствии с полученным согласием субъекта персональных данных, в том числе в соответствии с заявленной целью обработки биометрических персональных данных.

3.5. Организациям финансового рынка рекомендуется блокировать, удалять, уничтожать векторы единой биометрической системы гарантированным способом с использованием прошедших в установленном порядке процедуру оценки соответствия средств защиты информации при получении:

мотивированного запроса оператора единой биометрической системы о блокировании, об удалении, уничтожении векторов единой биометрической системы в случае отзыва субъектом персональных данных у оператора единой биометрической системы согласия на обработку биометрических персональных данных или получения оператором единой биометрической системы от субъекта персональных данных требования о блокировании, об удалении, уничтожении биометрических персональных данных и (или) векторов единой биометрической системы;

отзыва субъектом персональных данных согласия на обработку биометрических персональных данных или требования субъекта персональных данных о блокировании, об удалении, уничтожении биометрических персональных данных и (или) векторов единой биометрической системы.

3.6. Организациям финансового рынка рекомендуется проверять в своих информационных системах, осуществляющих аутентификацию на основе биометрических персональных данных, наличие обновленных векторов единой биометрической системы для целей аутентификации, а также проверять факт истечения срока их использования.

При этом рекомендуется удалять векторы единой биометрической системы после истечения срока их использования или при получении обновленных векторов единой биометрической системы.