Nadzorca DHS: TSA pozwoliła wykonawcy potajemnie kopiować zdjęcia prawa jazdy i paszportów pasażerów

Nowo opublikowany audyt Inspektora Generalnego (IG) wywołał wstrząs w amerykańskim świecie bezpieczeństwa podróży w piątek, 18 września. Nieklasyfikowane streszczenie, datowane na 15 września i pierwotnie opublikowane przez Biometric Update, wykazało, że dostawca obsługujący urządzenia Credential Authentication Technology 2 (CAT-2) TSA mógł – i czasem faktycznie – kopiować wysokiej rozdzielczości skany zdjęć z praw jazdy i paszportów podróżnych podczas konserwacji i aktualizacji oprogramowania, wszystko to bez śledzenia przez TSA i potwierdzenia, że kopie zostały później usunięte. IG podkreślił, że rutynowe operacje na punktach kontrolnych nadal usuwają dane w ciągu kilku sekund i nie znaleziono dowodów na ich niewłaściwe wykorzystanie. Problem pojawił się w mało znanym „tunelu serwisowym”, który pozwala wykonawcom zdalnie diagnozować sprzęt. Ponieważ TSA nie miało pisemnej polityki ograniczającej, co wykonawcy mogą kopiować, ani dziennika audytu rejestrującego momenty kopiowania, śledczy uznali tę lukę za „znaczące zagrożenie”, które teoretycznie naraża miliony tożsamości podróżnych. Inspektorat wydał trzy zalecenia: zaostrzenie zapisów umownych, wprowadzenie niezmienialnych dzienników dostępu oraz stworzenie procesu weryfikacji usunięcia wszelkich obrazów pobranych do testów lub napraw. Dlaczego to ważne dla menedżerów mobilności globalnej i częstych podróżnych? Czytniki CAT-2 to biometryczne „konie pociągowe” amerykańskiego bezpieczeństwa lotniczego: ponad 2100 urządzeń jest już zainstalowanych na ponad 250 lotniskach, a budżet TSA na rok fiskalny 2027 zakłada kolejne 41 milionów dolarów na przyspieszenie ogólnokrajowego wdrożenia. Programy mobilności korporacyjnej polegają na CAT-2, by skrócić kolejki do kontroli dla zapracowanych menedżerów; utrata zaufania publicznego mogłaby spowolnić zatwierdzanie nowych punktów kontroli lub skłonić ustawodawców do nałożenia dodatkowych wymogów dotyczących prywatności. TSA zaakceptowało ustalenia i deklaruje, że trwają plany naprawcze, jednak dwa z trzech zaleceń pozostają „otwarte i nierozwiązane”, według IG. Do czasu wprowadzenia trwałych zabezpieczeń, specjaliści ds. mobilności powinni przypominać podróżującym pracownikom, że obrazy paszportów i dowodów tożsamości mogą być przechowywane dłużej niż deklarowano podczas prac serwisowych poza godzinami pracy i uwzględniać to ryzyko w ocenach ochrony danych firmowych. Dla podróżnych najważniejszy wniosek jest prosty: punkty kontroli biometrycznej nadal są szybsze i na ogół bezpieczne, ale ich nadzór dopiero nadąża za technologią. Można się spodziewać surowszych ścieżek audytu – i możliwych krótkich przerw w działaniu – gdy TSA będzie usuwać tę lukę w ciągu najbliższych miesięcy.