Najbardziej lajkowany wpis na polskim X w dniu podania informacji o wycieku z platformy MyDr to ten Krzysztofa Stanowskiego. Komentując apel rządzących o zastrzeganie PESEL-u, Stanowski napisał, że cała ta usługa jest potrzebna wyłącznie dlatego, że państwo nie działa. Że jego, jako klienta, nie powinno w ogóle obchodzić, że ktoś na jego dane bierze pożyczkę czy wyrabia duplikat karty SIM. Bo to firma, która dała się oszukać, powinna mieć z tym problem, nie on.
Kompletnie się z tym nie zgadzam, a usługa zastrzegania PESEL-u, wdrożona przez poprzedni rząd i rozwijana przez obecny, to świetny mechanizm.
Skąd wziął się problem ochrony tożsamości
W cyberbezpieczeństwie mówi się o trzech składnikach uwierzytelnienia: coś, co wiem (hasło, PIN), coś, co mam (dokument, telefon, token), i coś, czym jestem (odcisk palca, twarz). Żeby potwierdzenie tożsamości było wiarygodne, zakłada się wymóg podania co najmniej dwóch z nich. Dlatego na sam PESEL maks co powinniśmy dostać to życzenia urodzinowe. Szczególnie, że dla wielu z nas jest on dostępny w publicznych rejestrach. Sprawdzenie, że mój PESEL to 88050612710, zajmuje około minuty.
Czytaj także: Cyfrowa klęska żywiołowa. Co wyciek z MyDr oznacza dla 19 mln osób
Postępy w cyfryzacji wszystkiego, co nas otacza, sprawiły, że problem ochrony tożsamości stał się jeszcze bardziej palący. Dawniej, kiedy żeby cokolwiek załatwić trzeba było pojawić się osobiście, dodatkową weryfikacją był stojący po drugiej stronie człowiek. Sprawdzający dysponował wsparciem w postaci wydanego przez państwo dokumentu oraz własnego rozumu, który potrafił ocenić, czy dokumentem posługuje się ta osoba, której go wydano. Oszustwa co do tożsamości oczywiście też się zdarzały, ale skala z pewnością była dużo mniejsza.
To wszystko od kilkunastu lat zmienia się w bardzo szybkim tempie. W urzędach i biznesie trwa cyfrowa rewolucja wywołana tym, że po prostu chcemy mieć wygodniej. Polacy pokochali załatwianie spraw w komórce – mObywatel, e-recepta, e-skierowanie czy wniosek o 800 plus. W 2023 roku staliśmy się największym państwem Unii Europejskiej z pełnoprawnym cyfrowym dokumentem tożsamości i nikt nie wyobraża sobie, żeby z tej drogi zawrócić. Niestety – cyfryzacja ma też swoją cenę. Jeżeli chcemy, żeby sprawę dało się załatwić w trzy minuty i bez wychodzenia z domu, musimy albo pogodzić się z tym, że zapłacimy za ryzyko związane z łatwością obejścia mechanizmów bezpieczeństwa, albo wdrożymy dodatkowe zabezpieczenia.
Co dostajemy za zastrzeganie PESEL-u
Tu rzeczywistość zderza się z postulatem Krzysztofa Stanowskiego, żeby to przedsiębiorca ponosił konsekwencje własnej lekkomyślności. Trudno bowiem mówić o lekkomyślności przy procesach, które dziś zabezpiecza zastrzeżenie PESEL-u. Kiedy klikamy w formularz kredytu on-line, może nam się to wydawać bardzo proste, ale w rzeczywistości kiedy to robimy, w tle odpytywane są bankowe rejestry, weryfikowana jest historia kredytowa i liczona jest zdolność do spłaty zobowiązania. Tak samo wygląda sytuacja w przypadku transakcji u notariusza, który skrupulatnie sprawdza naszą tożsamość i wszystkie dokumenty związane z transakcją. Zastrzeżenie PESEL-u to ostatnia linia obrony przed oszustami – nasz osobisty drugi czynnik uwierzytelnienia do najważniejszych transakcji.
Czy to jedyny sposób na zapewnienie bezpieczeństwa? Oczywiście, że nie. Przykładów nie trzeba daleko szukać – wystarczy spróbować otworzyć konto w banku w krajach zachodniej Europy. Trzeba przyjść, przedstawić szereg dokumentów i już za kilka dni można podpisać umowę. Oczywiście jeśli tylko wszystko się zgadza w naszej umowie najmu mieszkania, rachunku za prąd i zaświadczeniu z pracy.
Więcej na ten temat: Zastrzeżony PESEL nie chroni w pełni. Jest luka? Ekspert wyjaśnia
Kiedy zakładamy konto mailowe lub w mediach społecznościowych, coraz częściej musimy obowiązkowo włączyć drugi czynnik uwierzytelniający – kod SMS czy jednorazowy token. Skoro jesteśmy skłonni to robić, żeby przeglądać rolki i memy, to tym bardziej warto mieć taką możliwość w sprawach finansowych. Polska dała swoim obywatelom takie rozwiązanie i jeśli dziś nad czymś bym się zastanawiał, to nad rozszerzeniem jego możliwości i dotarciem do większego grona użytkowników.
Zastrzeganie PESEL-u 2.0
Warto przy tej okazji pomyśleć, co zrobić, aby ta popularna usługa działała jeszcze lepiej. Ekspert ds. cyberbezpieczeństwa Łukasz Olejnik proponuje, aby PESEL był zastrzeżony z automatu, a dopiero świadoma decyzja obywatela odblokowywałaby możliwość zaciągnięcia zobowiązania. To ciekawy pomysł, ale rozważyłbym to tylko dla nowych użytkowników mObywatela. Włączenie tego bez poinformowania dla osób wykluczonych cyfrowo mogłoby wywołać więcej szkód niż pożytku.
Na pewno można by rozszerzyć zakres usług, w których działałoby zastrzeganie PESEL-u. Mamy dziś coraz więcej fintechów, które korzystając z zagranicznych licencji udostępniają instrumenty finansowe milionom Polaków. Dziś prawo nie pozwala im skorzystać z tego rozwiązania, warto je zatem dostosować tak, aby cyfrowe usługi państwa były tam, gdzie już dziś są Polacy.
No i ostatnia sprawa – nazwa. Ta obecna wprowadza bowiem w błąd i może warto poszukać lepszej opcji. Może gdyby zamiast odniesienia do urzędowego numeru identyfikacyjnego wskazywała na to, że jest dodatkowym składnikiem uwierzytelniania zabezpieczającym przed oszustwami, Krzysztof Stanowski obszedłby się z nią łaskawiej?
Tego nie wiem. Jedno jest pewne – jeśli jeszcze tego nie zrobiliście, zastrzeżcie swój PESEL w mObywatelu.
