ИБ-компании обеспокоены поправками в законе ПДн

Изменения, принятые в конце ноября в Уголовный кодекс (УК) для борьбы с утечками персональных данных, могут оказать негативное влияние на рынок кибербезопасности. Об этом сообщили представители нескольких компаний в области информационной безопасности РБК.

Заместитель генерального директора ГК «Гарда» Рустэм Хайретдинов пояснил, что новые положения УК устанавливают наказание для тех, кто получает доступ к украденным данным в интернете. Однако такие действия регулярно выполняют специалисты, занимающиеся расследованием инцидентов в киберпространстве, поскольку они анализируют утечки и исследуют метаданные для определения характера инцидентов. 

«Сейчас экспертное сообщество активно работает с законодателями, чтобы разрешить эту правовую коллизию. Вариантов решения несколько: возможно, это будут определенного вида лицензии на право заниматься киберрасследованиями, по аналогии с "белыми хакерами"», – отметил Хайретдинов.

Также эксперт направления безопасности промышленных предприятий компании Infosecurity (ГК Softline) Александр Метальников подтвердил, что подобные обсуждения действительно ведутся в профессиональных кругах, хотя законодатели на данный момент не участвуют в них. Он напомнил, что в ходе второго чтения законопроекта предлагалось сделать исключения для компаний, которые легально занимаются анализом похищенных данных, но эти оговорки не вошли в окончательную версию закона. 

«В результате ряд компаний, осуществлявших анализ утечек в даркнете, приостановили свою деятельность в этой области», – добавил Метальников.

В свою очередь главный эксперт «Лаборатории Касперского» Сергей Голованов отметил, что не только злоумышленники могут изучать информацию в даркнете или теневых телеграм-каналах, где часто размещаются украденные базы данных. Эксперты по информационной безопасности также исследуют подобные утечки и информируют пострадавших клиентов. 

«Сейчас отрасль опасается, что такие действия могут попасть под действие УК. Важно, чтобы была предусмотрена возможность продолжить официально оказывать такие услуги. Например, чтобы регулятор выдавал разрешение на подобную работу», – добавил он, указав на положительный опыт в вопросах борьбы с вредоносным ПО.

Руководитель направления консалтинга в «К2 Кибербезопасность» Ольга Трофимова подтвердила наличие опасений среди работников компаний, занимающихся информационной безопасностью. Эти опасения касаются возможного привлечения к уголовной ответственности в случае, если действия по защите информации будут квалифицированы как недопустимый доступ к персональным данным. 

Ранее Правовое управление президента РФ не одобрило поправки Минцифры ко второму чтению законопроекта об оборотных штрафах за утечки персональных данных. Ведомство предлагало снизить штрафы для тех компаний, которые допустили утечку, но при этом соблюдали определенные условия.