В РФ создадут реестр для «белых» хакеров

Минцифры, ФСБ и МВД хотят создать отдельный реестр для «белых» хакеров в РФ для легализации их деятельности. Представители ИТ-сферы считают такую инициативу непроработанной, так как список ИБ-специалистов, которые занимаются исследованиями уязвимостей в компонентах критической инфраструктуры ИТ-систем, будет интересен злоумышленникам и спецслужбам других стран, пишут «Ведомости».

Проработка инициативы по созданию реестра белых хакеров и их сертификации ведется в рамках законопроекта о «белых» хакерах, объясняет член комитета Совета Федерации по конституционному законодательству и государственному строительству Артем Шейкин.

Представитель крупной ИБ-компаний считает, что предложенные меры (реестр и сертификация) должны обезопасить работу программ поиска уязвимостей со значимыми объектами, в том числе с критической информационной инфраструктурой (КИИ). По словам эксперта, это позволит легализовать многие направления, связанные с наступательной и превентивной безопасностью и устранением серых зон, в которых находятся сейчас «белые» хакеры.

Специалисты отрасли считают, что у инициативы есть и слабые места, включая появление жестких бюрократических требований к процедуре вступления в ряды «белых» хакеров для участия в программах bug bounty, которые отпугнут потенциальных участников такого проекта. В этом случае найденные уязвимости хакерам будет проще продавать злоумышленникам, а не получать за них официальные вознаграждения, которые могут быть намного меньше, чем платят за них на черном рынке.

Руководитель департамента расследований T.Hunter, эксперт рынка НТИ SafeNet Игорь Бедеров отмечает, что проблема в том, что государство на данный момент не обладает достаточным инструментарием для того, чтобы проконтролировать обязательное соблюдение правил подобной сертификации, и поэтому здесь вступают в силу инструменты рынка.

«Естественно, сообщество будет против предлагаемого регулирования, но если его участники захотят работать легально, то они будут сертифицироваться. Наличие сертификата может служить основанием для того, чтобы компании и частные лица принимали экспертизу таких хакеров», — пояснил Бедеров.

Идея непродуманная и приведет только к тому, что никто не захочет всерьез заниматься анализом защищенности КИИ и любых иных систем, если для этого надо будет находиться в каком-то реестре, считает консультант по безопасности Positive Technologies Алексей Лукацкий.

«Более того, учитывая, что в России почти любой реестр рано или поздно утекает, это представляет серьезную опасность для людей, в нем находящихся, так как против них не только могут быть введены персональные санкции США и других стран, но и их жизни будут подвергаться опасности. США уже демонстрировали свои возможности по экстрадиции российских ИT- и ИБ-специалистов и предъявлению им обвинений», — подчеркивает Лукацкий. 

Отметим, что спрос на специалистов по ИБ растет вместе с потребностью в максимальной защищенности компаний. После введения санкций отечественный рынок покинул ряд западных поставщиков ИБ-услуг. Весной РИА Новости сообщали, что заказов по поиску уязвимостей систем оказалось больше, чем специалистов. Поэтому чиновники стали активно развивать проекты по поддержке и обучению «белых» хакеров, пишет редакция IT Speaker.

С точки зрения гендиректора компании Pro Control Станислава Сидорова, несмотря на положительный эффект, который может принести работа багхантеров, в России они могут столкнуться с определенными рисками. На текущий момент в отечественном законодательстве нет нормативно-правового акта, который  регулирует  их деятельность и четко устанавливает различия между «белыми» и «черными» хакерами. Поэтому любые действия, связанные с несанкционированным проникновением в информационные системы, могут привести к уголовной ответственности. Однако, по словам ИТ-специалиста, хакеры «в белой шляпе» могут работать на законных основаниях по заказу компаний, получив их согласие.