Национальная комиссия по управлению идентификацией Нигерии (NIMC) заявила, что её национальная база данных идентификации полностью размещена в стране и управляется собственными сотрудниками — заявление прозвучало на фоне того, как цифровая верификация личности приобретает всё большее значение для государственных услуг.

Алван Икоку, директор Стратегического офиса программ NIMC, раскрыл эти подробности в среду на брифинге для журналистов. Он ответил на вопросы о том, где хранятся идентификационные данные нигерийцев, кто контролирует инфраструктуру и как комиссия защищает их от утечек.

«Ею управляют нигерийцы — не нигерийские подрядчики, а сотрудники NIMC», — сказал Икоку. Он подчеркнул, что комиссия никогда не размещала идентификационные данные за пределами страны, не использует облачный хостинг для основной базы данных и располагает системами аварийного восстановления, позволяющими поддерживать работу сервисов при сбоях.

Эти заявления прозвучали в то время, когда локализация данных всё чаще становится центральной темой нигерийских дискуссий о контроле над личной информацией граждан. Хранение данных в пределах национальных границ решает вопрос о месте их хранения, однако их защита требует эффективного контроля над тем, кто имеет к ним доступ, и подотчётности в случаях злоупотреблений.

По данным NIMC, по состоянию на сентябрь 2026 года 142 миллиона нигерийцев зарегистрировались для получения национальных идентификационных номеров — уникальных идентификаторов, присваиваемых каждому зарегистрированному лицу. Утечка могла бы раскрыть личные данные миллионов людей, а сбой — нарушить работу жизненно важных сервисов. Одного лишь локального размещения недостаточно длятии безопасности; критически важны также строгий контроль доступа, мониторинг и подотчётность за злоупотребления.

Икоку сообщил, что NIMC поддерживает свою основную базу данных собственными силами, а сотрудники, особенно отвечающие за управление базой данных, находятся под постоянным наблюдением силовых структур. Он добавил, что за нарушения сотрудники могут понести юридическую ответственность.

Внутренний контроль над центральной базой данных не означает, что NIMC контролирует каждую точку доступа к идентификационным данным. Лицензированные партнёры и подключённые государственные учреждения также участвуют в оказании услуг верификации, что создаёт дополнительные точки, где доступ к личной информации должен контролироваться и защищаться.

Прежние опасения в области безопасности касались доступа через каналы верификации, а не подтверждённой компрометации центральной базы данных. В марте 2024 года сообщения о сайте XpressVerify, предлагавшем идентификационные данные нигерийцев, вызвали вопросы о том, как платформа получила доступ. NIMC тогда заявила, что XpressVerify не являлся лицензированным партнёром, и распорядилась провести расследование того, не нарушили ли лицензионные соглашения авторизованные верификационные агенты или их сублицензиаты. Позже Нигерийская комиссия по защите данных сообщила, что NIMC приостановила доступ к базе данных, а затем восстановила ограниченный доступ для учреждений, предоставляющих жизненно важные государственные услуги.

Этот инцидент подчёркивает ключевое различие между местом хранения данных и управлением доступом. Хранение идентификационных записей на инфраструктуре внутри Нигерии само по себе не предотвращает утечку через организации, уполномоченные запрашивать верификацию, — а этот риск растёт по мере подключения к системе идентификации новых учреждений.

Икоку сообщил, что с NIMC интегрировано около 63 государственных агентств, включая организации, занимающиеся экзаменами, студенческим финансированием, потребительским кредитованием и медицинским страхованием.

«Одно дело — быть готовым к интеграции с агентством, — сказал Икоку. — Всё, что нам нужно сделать, — это предоставить программный интерфейс, которым они будут пользоваться. Но, работая над этим проектом гармонизации, я также обнаружил, что некоторые из них не достигли — можно так сказать — необходимого уровня зрелости, цифровой зрелости, чтобы даже осуществить это рукопожатие в terms интеграции».

Для агентств с готовыми системами подключение через программный интерфейс NIMC (API) может занять около 72 часов, по словам Икоку. Однако гармонизация записей и систем требует более индивидуальной работы.

Икоку также сообщил, что закон о NIMC 2026 года требует соблюдения закона Нигерии о защите данных и устанавливает условия раскрытия информации зарегистрированных лиц, включая согласие, юридические обязательства, функции в общественных интересах, уголовные расследования и судебные разбирательства.

По его словам, роль NIMC заключается в аутентификации личности, а не в хранении причин верификационных запросов, поступающих от других организаций.

«Комиссия должна координировать аутентификацию и верификацию, но аутентификация, которую должна провести комиссия, может исходить от другого субъекта, — сказал Икоку. — Комиссия не обязана хранить причину такого запроса или аутентификации. Комиссия этого делать не будет. Её агенты или уполномоченные лица также не будут этого делать ни в какой форме».

Икоку отметил, что пользователи могутлять согласием и отзывать его через приложение аутентификации NIMC с учётом юридических исключений. Однако на брифинге не были представлены статистика использования или демонстрация того, как граждане могут проверять записи о доступе, оспаривать злоупотребления или подавать жалобы.

NIMC также разрабатывает рамочные основы для цифровых учётных данных, сертификатов и подписей в рамках модернизации инфраструктуры идентификации, хотя технические стандарты, механизмы управления и нормативные акты по внедрению всё ещё разрабатываются.

Стремление хранить чувствительные данные в Нигерии выходит за рамки управления идентификацией. В июне 2026 года Центральный банк Нигерии поручил банкам и платёжным компаниям хранить и обрабатывать платёжные транзакционные данные, созданные в стране, локально до 1 января 2027 года. Национальная инициатива суверенного облака, оформленная в августе, аналогично направлена на расширение местной облачной инфраструктуры. Эти ожидающие принятия правила вместе с дедлайном центрального банка дают конкретные ориентиры того, распространится ли локализационный курс страны с места хранения данных на управление доступом к ним.