Подтверждение личности на экзаменах

Это инженерные рекомендации, а не юридическая консультация. Детали уточняйте у квалифицированного юриста.

Кратко

Подтверждение личности на экзамене отвечает на один вопрос: тот ли человек сдаёт тест, который должен его сдавать. Это другая задача, чем у прокторинга, который следит за поведением во время теста. Методы выстраиваются по надёжности: вход через ЕСИА (Госуслуги), проверка документа, сверка лица с эталоном, проверка «живости» (liveness), которая доказывает, что перед камерой настоящий человек, а не фото или дипфейк, и непрерывная проверка, подтверждающая того же человека весь сеанс. Для аттестации в вузах, колледжах и ДПО правила ЭО и ДОТ (ПП 1678, п. 14–18) прямо разрешают идентификацию через ЕСИА и Единую биометрическую систему (ЕБС). Проводить её может сама организация или сервис прокторинга, который вправе получить из ЕСИА ФИО и СНИЛС; для ЕБС нужно согласие, у несовершеннолетних – согласие законного представителя. Каждый следующий метод надёжнее, но дороже обходится приватности: сверка лица – это биометрия (ст. 11 152-ФЗ и 572-ФЗ), отказывать в услуге тем, кто не сдаёт биометрию, нельзя, а распознавание лица собственной моделью сервиса в обход ЕБС – зона правового риска. Ошибки распознавания лиц распределены по группам людей неравномерно, поэтому неудачная сверка не должна автоматически отстранять экзаменуемого. Строить или покупать? Подберите уровень надёжности под цену ошибки, купите готовый движок или сервис вместо собственного компьютерного зрения, подключите его через интеграцию с LMS или LTI 1.3, если поставщик его поддерживает, а политику оставьте за собой: что собирать, как обжаловать ошибочный отказ, когда удалять биометрию.

Зачем это читать

Если по итогам онлайн-теста вы выдаёте удостоверение о повышении квалификации, диплом о переподготовке, сертификат или решаете, кого нанять, ценность результата держится на одном факте: тест сдал нужный человек. Подтверждение личности защищает именно этот факт, и ошибка здесь дорого стоит в обе стороны. Слабая проверка пропускает подставных экзаменуемых и обесценивает каждый выданный документ. Тяжёлая биометрическая проверка отсекает честных людей, собирает данные с особым правовым режимом и при утечке оборачивается штрафами на миллионы рублей. Статья написана для продакт-менеджера, руководителя обучения или основателя, а не для инженера-биометриста, хотя технические детали в ней точные. Прочитав её, вы сможете выбрать уровень надёжности, оценить подсистему и сформулировать вопросы о приватности и справедливости до того, как подпишете договор с поставщиком.

Подтверждение личности и прокторинг – разные задачи

Сначала разделим две задачи, которые поставщики продают вместе, а новички путают. Подтверждение личности отвечает на вопрос «кто это?»: обычно в начале сеанса, а иногда и на всём его протяжении оно подтверждает, что экзамен сдаёт именно зачисленный человек. Прокторинг отвечает на вопрос «что он делал?»: следит за поведением во время теста и ищет признаки списывания. Оборудование у них общее (веб-камера), но данные, риски и сами механизмы контроля разные. Прокторингу посвящена отдельная статья.

Удобная аналогия – экзаменационная аудитория. Подтверждение личности – это сотрудник на входе, который сверяет паспорт с лицом, прежде чем пустить. Прокторинг – наблюдатель, который ходит между рядами, когда вы уже сели. Одно можно делать без другого: тренировочному тесту не нужно ни то, ни другое, на домашней сертификации можно строго проверить личность и не следить за поведением, а на итоговой аттестации нужно и то, и другое. Эта статья – только про проверку на входе.

И ещё одна граница: подтверждение личности на экзамене – не то же самое, что вход в платформу. Вход доказывает, что у кого-то есть доступ к аккаунту, но не доказывает, что лицо человека совпадает с паспортом. Вход относится к общему слою аутентификации платформы (единый вход, SSO), и в России для него действуют свои правила: с 1 декабря 2023 года российские сайты должны авторизовывать пользователей из России только по российскому номеру телефона, через ЕСИА, ЕБС или информационную систему российского юрлица (406-ФЗ). Идентификация для экзамена – более строгая проверка поверх входа, и дальше речь пойдёт только о ней.

Методы: от слабого к сильному

Почти любая схема проверки собирается из пяти блоков, и чем сильнее блок, тем дороже он обходится приватности.

Первый блок – вход через ЕСИА. Учётную запись на Госуслугах подтвердило государство, и правила ЭО и ДОТ разрешают опираться на неё при аттестации: организация сама или через сервис прокторинга получает из ЕСИА ФИО и СНИЛС экзаменуемого, а к инфраструктуре подключается по ПП 1382. Это дёшево, обходится без биометрии и надёжно привязывает сеанс к реальному человеку. Но вход доказывает владение учётной записью, а не присутствие владельца за клавиатурой: логин и код можно передать другому. Ещё слабее контрольные вопросы («девичья фамилия матери», детали из открытых источников): ответы легко найти или угадать, так что годятся они только как дополнение.

Второй – проверка документа. Экзаменуемый показывает паспорт в камеру, а программа проверяет, что документ подлинный (защитные элементы, шрифты, структура), а не подделка и не снимок с экрана. Вместо программы документ может сверить живой проктор. Так вы узнаёте, что документ настоящий, но ещё не знаете, принадлежит ли он тому, кто его держит. И помните о минимизации: скан паспорта – набор персональных данных, который не нужно хранить дольше, чем длится проверка.

Третий блок закрывает этот разрыв: сверка лица, технически – сравнение «один к одному» (1:1). Программа измеряет геометрию лица на эталонном фото и на живом селфи, отвечает на вопрос «это один и тот же человек?» и возвращает балл сходства. Сравнение 1:1 («совпадает ли лицо вот с этим лицом?») гораздо точнее поиска «один ко многим» («кто из миллиона людей на фото?»), и на экзамене почти всегда решается более простая задача 1:1. Но как только личность устанавливают по геометрии лица, вы обрабатываете биометрию, а для неё в России есть отдельный законный канал – ЕБС (подробнее ниже).

Четвёртый – проверка живости (liveness), она же обнаружение презентационных атак (presentation attack detection, PAD). Одну сверку лица можно обмануть распечатанным фото, видеозаписью или 3D-маской. Liveness доказывает, что перед камерой живой человек и съёмка идёт в реальном времени. Международный стандарт тестирования таких проверок – ISO/IEC 30107: часть 1 (2016) задаёт общие принципы, часть 3 описывает, как измерять стойкость системы к подделкам. Независимые лаборатории проводят тысячи атак фотографиями, записями, силиконовыми масками и дипфейками. Если поставщик пишет «проверено по ISO/IEC 30107-3», уточните, какая лаборатория проводила испытания и на каком уровне атак.

Пятый и самый сильный блок – непрерывная проверка личности: того же человека подтверждают весь сеанс, а не только на входе. Система периодически сверяет живое лицо с подтверждённым эталоном, чтобы после первой проверки за компьютер не сел другой. Это уже уровень прокторинга, и метод самый навязчивый: биометрия обрабатывается весь экзамен, а не только в начале.

Нажмите, чтобы увеличить

Как устроена сверка лица

Вход через ЕСИА, сверка лица и liveness – ядро почти любого продукта для идентификации на экзаменах. Цепочка короткая, и каждый этап закрывает свой риск.

Экзаменуемый входит через ЕСИА, и система знает, кого ожидать. Затем он показывает документ и делает селфи. Проверка документа подтверждает, что паспорт подлинный. Сравнение 1:1 сопоставляет живое лицо с эталоном и возвращает балл сходства – число, а не вердикт. В России законный канал для такого сравнения – ЕБС или аккредитованная система, работающая с векторами из ЕБС. Liveness подтверждает, что селфи снято вживую, а не подменено фотографией, записью или дипфейк-потоком. Слой оценки сводит результаты в одно из трёх решений: допуск, разбор или отказ. Последний и решающий этап команды под дедлайном пропускают чаще всего: это проверка человеком всего, что не прошло чисто.

Нажмите, чтобы увеличить

Популярные тексты часто искажают два момента. Первый: низкий балл – не доказательство подлога. Лицо меняется с возрастом, выглядит иначе при другом освещении, в очках, с другим весом и причёской, на другой камере, и честный человек может не дотянуть до порога. Балл – повод для разбора, а не приговор. Второй: порог – решение бизнеса, а не техническая настройка по умолчанию. При строгом пороге больше честных людей получают отказ (растёт доля ложных отказов), при мягком больше подставных проходят (растёт доля ложных допусков). Где на этой шкале должен находиться ваш документ об обучении, решаете вы, и решать стоит осознанно.

Пример: во что обходится порог

На числах компромисс виден лучше. Возьмём крупную онлайн-школу или провайдера ДПО, который проверяет сверкой лица 20 000 экзаменуемых в месяц. Допустим, при выбранном пороге движок даёт долю ложных отказов (FRR) 3%: трое из ста настоящих людей ошибочно слышат «вы не совпадаете с эталоном».

Ложных отказов в месяц: 20 000 × 3% = 600 экзаменуемых

Шестьсот честных людей в месяц застревают на входе. Если каждому нужна ручная перепроверка на 5 минут:

600 перепроверок × 5 мин = 3 000 мин = 50 человеко-часов в месяц

Если ужесточить порог, чтобы отсечь подставных, и FRR вырастет до 6%, ошибочно отклонённых станет вдвое больше, 1 200, а разбор займёт 100 человеко-часов. Ослабите порог до 1% – сэкономите труд, но пропустите больше подставных. Бесплатной настройки нет. Вопрос лишь в том, какая ошибка для этого документа опаснее и хватит ли у поддержки людей разбирать отказы при строгом пороге. Самая «дешёвая» полностью автоматическая проверка незаметно возвращает ручной труд, как только вы пытаетесь сделать её справедливой.

Цена для приватности: конкретная и регулируемая

Об этом поставщики обычно молчат. Методы без биометрии (вход через ЕСИА, проверка подлинности документа) несут гораздо меньше правовых рисков, чем сверка лица, liveness и непрерывная проверка.

Биометрия по 152-ФЗ. Сведения о физиологических особенностях человека, по которым можно установить его личность и которые оператор для этого использует, – биометрические персональные данные; обрабатывать их можно только с письменного согласия (ст. 11). С 1 сентября 2025 года согласие на обработку оформляется отдельно от других документов (ч. 1 ст. 9), а за несовершеннолетних (в колледжах их много) его дают законные представители. Для биометрии через ЕБС ПП 1678 отдельно требует согласия законного представителя несовершеннолетнего.

572-ФЗ и ЕБС. С 1 июня 2023 года частные компании не вправе хранить исходные образцы лица и голоса в своих системах. Идентификация «один ко многим» идёт только через ЕБС, а аутентификация «один к одному» – через ЕБС или аккредитованную систему организации, которая использует векторы из ЕБС; работа без аккредитации грозит штрафом до 2 млн ₽. Сдавать биометрию человек не обязан: отказать в услуге из-за отказа от неё нельзя (штраф 200–500 тыс. ₽ по ч. 8 ст. 14.8 КоАП с 30.05.2025), а обработка биометрии без письменного согласия обойдётся в 300–700 тыс. ₽. Отсюда два инженерных вывода. Первый: в любой схеме с биометрией нужен равноценный путь без неё, например вход через ЕСИА плюс сверка паспорта живым проктором или очная сдача. Второй: однозначного ответа, законна ли сверка селфи с фото в паспорте собственной моделью сервиса, без ЕБС и аккредитации, у нас нет. Считайте это зоной правового риска: до запуска согласуйте схему с юристом, а по умолчанию опирайтесь на ЕСИА и ЕБС, которые ПП 1678 называет прямо. Пилот идентификации через ЕБС на экзаменах прошёл в семи вузах ещё в 2021/22 учебном году.

Где лежат данные: поручение и локализация. Сервис проверки обрабатывает данные от имени образовательной организации или вашей платформы, то есть по поручению оператора. Нужен договор по ч. 3 ст. 6 152-ФЗ: перечень данных и действий, цели, конфиденциальность, меры защиты, уведомление об инцидентах. Базы с персональными данными граждан России не могут находиться за рубежом (ч. 5 ст. 18), поэтому зарубежные сервисы верификации для российских экзаменуемых не подходят. Самое чистое инженерное решение – удалять снимки документа и селфи сразу после проверки и не хранить у себя биометрические шаблоны. Цена ошибки высока: утечка биометрии обойдётся юрлицу в 15–20 млн ₽, повторная – в 1–3% выручки (от 25 до 500 млн ₽).

Правила для образовательных организаций. Помимо идентификации через ЕСИА и ЕБС (п. 14–18), ПП 1678 требует закрепить порядок прокторинга и средств связи в локальном акте и опубликовать его на сайте (п. 20). ПО идентификации в составе сервисов прокторинга должно создаваться и использоваться в соответствии с законодательством РФ и (или) входить в единый реестр российских программ (п. 21). Из-за «и (или)» строгость нормы зависит от толкования, но к госзаказчикам её применяют жёстко.

Новая угроза: дипфейки и инъекционные атаки

Раньше проверка личности защищала в основном от фото, поднесённого к камере. Сегодня угроза другая, и инженерия меняется вместе с ней. Синтетические лица стали дешёвыми и убедительными: артефакты, по которым несколько лет назад узнавали подделку, в выдаче современных генеративных моделей почти исчезли. Ещё опаснее инъекционная атака: дипфейк-видео подаётся прямо в приложение через виртуальную камеру, минуя объектив. Специалисты по безопасности уже фиксируют такие атаки на биометрические проверки в финансовом секторе, и экзамены, по итогам которых выдают ценный документ, – следующая очевидная цель.

Защита – это не попытка «внимательнее разглядывать фото», а меры против каждого типа угроз: проверять источник видео (реальная камера или виртуальная?), анализировать серию кадров, а не один снимок, и учитывать пассивные физические признаки вроде 3D-глубины, которые плоский подставной поток не подделает. Устройство распознавания и синтеза лиц – отдельная область, о моделях читайте в разделе ИИ для видеоинженерии. Здесь речь об инфраструктуре экзамена и продуктовом решении.

Нажмите, чтобы увеличить

Справедливость и доступность: где система подводит

Распознавание лиц работает для разных людей по-разному, и экзамен наследует это неравенство. Независимые тесты алгоритмов годами показывают, что доля ошибок различается между демографическими группами. В рецензируемом исследовании с конференции USENIX Security 2022 года проверили классификатор распознавания лиц из популярного пакета для прокторинга экзаменов и обнаружили серьёзные проблемы с точностью: средняя доля ложных несовпадений – около 11,5%, с тревожным разбросом между расовыми группами. Ложный отказ, когда настоящему человеку говорят, что он не совпадает с эталоном, зависит и от освещения, возраста, качества камеры. Если система не может надёжно распознать экзаменуемого в плохо освещённой комнате, она становится барьером, а не нейтральным инструментом.

Дело не только во внешности. Человек с особенностью или травмой лица, тот, чья внешность изменилась после фото в паспорте, пользователь ассистивных технологий и экзаменуемый с дешёвой веб-камерой в общей комнате чаще не проходят сверку. Для учащихся с ОВЗ и инвалидностью 273-ФЗ (ст. 79) требует специальных условий обучения, включая специальные технические средства, а ориентиром доступности интерфейсов служит ГОСТ Р 52872-2019 на базе WCAG 2.1 AA. Грубый биометрический шлагбаум с этим плохо совместим. Минимальные требования справедливости вполне конкретны: неудачная сверка никогда не отстраняет экзаменуемого автоматически, каждый отказ проверяет человек, знающий контекст, а для тех, кого подводит камера, есть описанная быстрая процедура апелляции и альтернативный способ проверки.

«Частая ошибка: считать балл приговором и автоматически отклонять всех, кто ниже порога. Так страдают прежде всего группы, для которых технология работает хуже всего, а отказ по вине неточного алгоритма ничем не оправдан. По нашей оценке, это ещё и противоречит ст. 16 152-ФЗ: без письменного согласия нельзя принимать решения с юридическими последствиями только на основании автоматизированной обработки, а человеку нужно дать возможность возразить. Балл – повод для разбора; решение принимает человек, с учётом контекста и с возможностью апелляции, как и в случае с отметкой системы прокторинга.»

Строить или купить: надёжность по цене ошибки

Начинайте с бизнес-вопроса, а не с технологии. Нужный уровень надёжности определяют ценность документа и ущерб от успешной подмены экзаменуемого, а не то, что готов продать поставщик. Тренировочному тесту проверка не нужна. Для сертификата о прохождении курса без юридической силы может хватить входа через ЕСИА или аккаунт платформы и сверки паспорта на старте. Итоговая аттестация, удостоверение ДПО или диплом о переподготовке, сведения о которых уйдут в ФИС ФРДО, оправдывают путь по ПП 1678 (ЕСИА и ЕБС) плюс liveness, непрерывную проверку и проверку человеком на всех этапах.

Нажмите, чтобы увеличить

Если проверка нужна, ответ на вопрос «строить или купить» очевиден: купите движок или сервис проверки, а не пишите его сами. Надёжная проверка документов, сверка лиц, протестированная на разных демографических группах, и liveness по ISO/IEC 30107-3 – это годы работы над компьютерным зрением и постоянная гонка с дипфейками, а для работы с ЕБС нужно подключение и, для коммерческих систем, аккредитация. Правильная архитектура – подключить специализированного поставщика (на практике идентификацию часто берёт на себя сервис прокторинга, например ProctorEdu или Examus) готовой интеграцией с LMS или через LTI 1.3, если поставщик его поддерживает, оставить весь путь экзаменуемого внутри вашего продукта и держать под контролем две вещи, которые действительно ваши. Первая – политика: что вы собираете, какой порог задаёте, кто разбирает спорные случаи, как экзаменуемый обжалует решение, как быстро удаляются биометрические данные. Для образовательной организации это часть локального акта по п. 20 ПП 1678. Вторая – интеграция: чистый запуск, надёжная передача результата и никаких забытых биометрических шаблонов в хранилище поставщика. Полная схема с пояснениями (защищённый клиент, сервис идентификации, захват, оценка и связка с LMS) – в статье «Эталонный дизайн прокторинга и оценивания», а идентификация – лишь одна из мер в более широкой системе защиты от списывания.

Где здесь Фора Софт

Фора Софт разрабатывает видео, функции реального времени и оценивание для регулируемых продуктов в e-learning, телемедицине и других отраслях, где важно, какие данные вы собираете и как их храните. В подтверждении личности мы полезны не столько моделью сверки, сколько инженерными решениями вокруг неё. Мы интегрируем ЕСИА и специализированного поставщика через стандартный запуск и возврат результата. Проектируем поток данных так, чтобы снимки и биометрия собирались в минимальном объёме, шифровались, хранились в России и удалялись по графику. Настраиваем пороги и проверку человеком, чтобы неудачная сверка не отклоняла настоящего экзаменуемого автоматически, закладываем путь без биометрии и включаем непрерывную проверку только там, где ценность документа это оправдывает. Мы помогаем командам трезво решить, строить или покупать: сколько надёжности действительно нужно документу и как её получить, не взяв на себя лишнюю ответственность за приватность.

Главное

• Подтверждение личности отвечает на вопрос «кто это?», прокторинг – на вопрос «что он делал?». Это разные механизмы с разными данными и рисками.
• Методы по возрастанию надёжности: вход через ЕСИА, проверка документа, сверка лица 1:1, liveness (ISO/IEC 30107), непрерывная проверка.
• Для аттестации в вузах, колледжах и ДПО ПП 1678 (п. 14–18) прямо предусматривает ЕСИА и ЕБС; сервис прокторинга вправе получить из ЕСИА ФИО и СНИЛС.
• Сверка лица – это биометрия: нужно письменное согласие (ст. 11 152-ФЗ), за несовершеннолетних его дают законные представители, по 572-ФЗ работа идёт через ЕБС. Своя модель без ЕБС – зона риска, путь без биометрии обязателен.
• Дипфейки и инъекции обходят проверку по фото; защищают от них liveness, проверка источника видео и анализ нескольких кадров.
• Точность распознавания зависит от демографии; неудачная сверка ведёт к проверке человеком и апелляции, а не к автоматическому отказу (ст. 16 152-ФЗ).

Что читать дальше

• Онлайн-прокторинг: подходы, компромиссы и приватность – вторая половина честного экзамена, контроль поведения, и граница, где заканчивается проверка личности.
• Защита от списывания: обнаружение, сдерживание и дизайн оценивания – меры, которые вместе с идентификацией защищают документ.
• Эталонный дизайн прокторинга и оценивания – полная схема с пояснениями, включая сервис идентификации.