В начале этого года в Госдуме был разработан пакет законопроектов, направленных на легализацию деятельности «белых» хакеров в России. Практически сразу он был поддержан компаниями из сферы информационной безопасности, но столкнулся с сопротивлением силовых структур. На прошедшем 10 ноября в Центре стратегических разработок (ЦСР) обсуждении стало известно, что сами «белые» хакеры в целом одобряют законопроект и имеют конкретные предложения по его доработке.
Обсуждение пакета законопроектов о «белых» хакерах в ЦСР состоялось с участием его автора, депутата, члена комитета Госдумы по информационной политике Антона Немкина, «белых» хакеров, а также представителей Минцифры и бизнеса. Помимо легализации деятельности этичных хакеров, инициатива позволяет им изучать и подвергать испытаниям программное обеспечение для выявления уязвимостей с целью исправления явных ошибок тогда, когда они владеют им правомерно. При этом она обязывает «белых» хакеров передавать соответствующую информацию правообладателю ПО.
Кроме того, поправки в законодательство предполагают возможность для обладателя информации, оператора информационных систем в порядке и на условиях, определяемых им, выявлять уязвимости систем, привлекая, в частности, сторонних специалистов. Правительство также наделяется правом устанавливать требования к выявлению уязвимостей.
Все указанные нововведения предполагают поправки в Уголовный и Гражданский кодексы, а также в Федеральный закон «Об информации, информационных технологиях и о защите информации». Они, безусловно, представляются целесообразными: благодаря им «белые» хакеры смогут работать спокойнее и станут реже выходить в «нелегальное поле».
Недаром к настоящему времени этичные хакеры легализованы уже во многих странах, в том числе в США. Более того, существуют даже специальные платформы, которые объединяют белых хакеров и компании, которые хотят исследовать свою инфраструктуру на предмет уязвимостей.
Сообщество «белых» хакеров на обсуждении, в частности, представлял Марсель Дандамаев, который занимается этичным хакерством. Он озвучил основные проблемы, с которыми сталкиваются «белые» хакеры. Главная из них, по его словам, заключается в невозможности полноценного взаимодействиями с компаниями после обнаружения уязвимостей.
«С самого начала своей работы я регулярно пытался связаться с сотрудниками компаний, инфраструктуру которых я исследовал, в частности, со специалистами службы поддержки, искал необходимые контакты. Иногда у меня получалось до них достучаться, иногда — нет. С каждым годом взаимодействовать с компаниями становится все сложнее. Найти требующийся канал связи, как правило, не удается как в государственных, так и в частных организациях. Приведу яркий пример: связаться с одной госорганизацией у меня не выходило более десяти лет и получилось это сделать совершенно случайно», — отметил Марсель Дандамаев.
Другая проблема, по его словам, состоит в отсутствии необходимой реакции со стороны компаний на сообщения об уязвимостях, обнаруженных «белыми» хакерами. Только часть организаций полностью устраняет уязвимости после получения информации о них, в то время как остальные живут с обнаруженными уязвимостями до наступления инцидента. Причем компании, устранившие уязвимости, нередко перестают взаимодействовать с хакерами несмотря на то, что могли бы и в дальнейшем получать от них сообщения об уязвимостях.
«В свою очередь, хакеры заинтересованы не столько в вознаграждении, сколько в понимании, что им в принципе благодарны, а также в личном развитии. Мне, к примеру, как-то раз после сообщения об уязвимости было очень приятно получить от компании футболку. Отмечу, что организации, которые не реагируют на мои уведомления, затем нередко оказываются в числе тех, кто пострадал от утечек. Поэтому я искренне не понимаю, почему сейчас такое взаимодействие не регулируется», — заявил Марсель Дандамаев.
По его словам, в России необходимо создать такую платформу, которая могла бы максимально упростить взаимодействие «белых» хакеров с компаниями. Эта система должна проводить их верификацию, определять надежность и, если они прошли через эти процедуры, давать возможность размещать сообщения об уязвимостях. Получив соответствующие уведомления, компании должны связываться с хакерами с целью уточнения деталей или же для благодарности. Важно при этом, чтобы сами специалисты были уверены в полной безопасности происходящего с компаниями взаимодействия.
Еще одной проблемой «белых» хакеров, по словам Марселя Дандамаева, является отсутствие у них уверенности в безопасности предоставления госучреждениям данных об уязвимостях. Кроме того, им было бы значительно спокойнее работать, если бы компании всегда правильно относились к их работе, зная, что те зачастую находят уязвимости случайно.
Позицию ИБ-отрасли в ходе обсуждения озвучил Айдар Гузаиров, генеральный директор Innostage, интегратора и разработчика сервисов и решений в области цифровой безопасности.
«Фактически мы сейчас находимся в состоянии необъявленной кибервойны, когда недобросовестные хакеры взламывают у нас практически все, до чего могут дотянуться. В этих условиях мы понимаем, что, выстраивая защиту, должны проверять на практике ее безопасность. Сделать это, не привлекая «белых» хакеров, крайне сложно. По сути, их работа — это явление времени, которое мы не можем игнорировать. Поэтому в отрасли ИБ очень заинтересованы в разработке регулирования, позволяющего создать условия для расширения масштабов деятельности «белых» хакеров», — отметил Айдар Гузаиров.
В разговоре с журналистом Anti-Malware.ru, состоявшемся после обсуждения законопроектов, Антон Немкин рассказал подробности работы над законопроектами. По его словам, рабочая группа, в состав которой, в частности, входят представители Минцифры, ФСБ, МВД и ФСТЭК России, обсуждает вопросы, которые возникают у всех, кто имеет отношение к законопроектам и идеи по их доработке. В целом сейчас никто не против инициативы, поэтому при детальной проработке всех сценариев реализации законопроектов, по мнению депутата, сделать их оптимальными для всех получится. Однако этот процесс займет не меньше года.
«Выступив с данной инициативой, мы предложили приступить к обсуждению ее корректировок и дополнений. Конечно, мы прекрасно видим, какие она может повлечь за собой риски. Главное, что нужно для их исключения — обязать «белых» хакеров где-то регистрироваться перед проведением тестирования, указывая как минимум IP-адрес, и оставлять сообщение о намерении в нем участвовать», — заявил Антон Немкин.
По его словам, у этой процедуры также могут быть свои нюансы, которые нужно учесть при дополнении законопроектов. Например, связанные с VPN. Однако чрезмерно усложнять все не нужно, иначе возникнет бюрократия, которая помешает добиться изначальной цели инициативы — более свободной деятельности «белых» хакеров в стране.
