Федеральная служба безопасности сможет устанавливать правила для «белых» хакеров — специалистов, которые легально ищут уязвимости в информационных системах. Если исследователь не будет соответствовать новым требованиям, ему просто запретят работать. Все найденные уязвимости придётся раскрывать не только компаниям, но и спецслужбам.
Как рассказали источники РБК, новая версия законопроекта о «легализации» таких специалистов уже готовится к внесению в Госдуму.
Документ вводит понятие «мероприятие по поиску уязвимостей» — под него попадут и коммерческие программы баг-баунти, и внутренние тесты компаний, и даже независимые исследования энтузиастов.
Регулировать эту сферу будут ФСБ, ФСТЭК и НКЦКИ. Они получат право утверждать обязательные правила — от идентификации исследователей до порядка передачи данных о найденных «дырах» в безопасности.
Работать смогут только аккредитованные площадки и специалисты, соответствующие установленным критериям. Нарушение этих правил, например передача информации об уязвимости без уведомления госорганов, будет считаться уголовным преступлением.
Обсуждается и создание реестра «белых» хакеров. Минцифры подтверждает, что законопроект дорабатывается, и обещает учесть мнение отрасли.
На рынке инициативу встретили настороженно. Проджект-менеджер MD Audit Кирилл Левкин считает, что обязательная деанонимизация создаст риски для самих исследователей — ведь данные из реестра могут утечь. Многие хакеры работают под псевдонимами не из-за желания скрыться, а ради собственной безопасности.
По словам директора Центра исследования киберугроз Angara Security Сергея Гилева, текущая версия законопроекта «слишком жёсткая». Она затрагивает не только участников баг-баунти, но и корпоративные службы ИБ: теперь любая компания, проверяющая свою инфраструктуру на уязвимости, должна будет передавать результаты силовикам. Это, по мнению эксперта, может подтолкнуть многих к работе «в тени».
Рынок ждёт официальный текст законопроекта, чтобы сформировать единую позицию. Пока же «легализация» «белых» хакеров» выглядит скорее как их тотальный контроль.
Напомним, в мае мы писали, что в России растёт спрос на белых хакеров. Сначала года было размещено около 200 новых вакансий для пентестеров и других экспертов в области анализа защищённости и выявления уязвимостей.
А в марте сенаторы предложили полностью узаконить «инициативную» форму сотрудничества исследователей с владельцами информационных систем.
Комментирует Сергей Хайрук, аналитик InfoWatch:
«Не исключено, что история про утечку данных – ловкий ход представителей Twitter, которые предполагали падение акций сервиса и предоставили публике удобное объяснение – акции падают не только из-за плохих финансовых результатов, но и из-за утечки данных. Кстати, Selerity заявляет, что отчетность получена с официального сайта Twitter, и никакой утечки или взлома не было».