Поделиться
В России легализуют хакеров, но не всех
Российские власти намерены легализовать деятельность «белых» хакеров, взламывающих системы по заказу их владельцев с целью поиска уязвимостей. В настоящее время их деятельность в России не упоминается в законодательстве, что повышает их риск попасть под действие уголовного кодекса и лишиться свободы на семь лет.
Хакеров переведут в легальный сектор
В России может быть легализована деятельность киберпреступников, пишут «Ведомости» со ссылкой на представителя неназванной российской компании из сферы информационной безопасности. По его словам, в этом направлении в настоящее время работает Минцифры.
Согласно предоставленной информации, министерство прорабатывает возможности введения понятия bug bounty в правовое поле. Это общее название программ вознаграждения хакеров за поиск уязвимостей. Другими словами, власти работают над легализацией лишь так называемых «белых» хакеров – другие представители компьютерного андеграунда, взламывающие ПК и сети ради собственной выгоды, в обозримом будущем из-под действия УК РФ выводиться не будут.
«Белые» или «этичные» хакеры – это кибервзломщики, использующие свое мастерство во благо. Они помогают разработчикам искать бреши в их продуктах, но отнюдь не на бесплатной основе. Символом этого движения является белая шляпа, откуда и пошло название «белые хакеры».
К моменту выхода материала представители Минцифры не подтверждали и не опровергали информацию о новой инициативе. Со слов источников издания, власти хотят «легитимизировать рынок». Связано это с тем, что понятие bug bounty не фигурирует в действующем российском законодательстве, то есть белые хакеры могут в любой момент протестировать на себе качество исполнения в России наказаний, предусмотренных уголовным кодексом.
В частности, белые хакеры могут попасть под статью 272 УК РФ (неправомерный доступ к компьютерной информации). В зависимости от обстоятельств осужденный по ней россиянин может получить до семи лет лишения свободы.
Чего добивается власть
Причины, по которым российские власти могут добиваться легализации белых хакеров, не установлены. Вероятно, это делается, чтобы у них была возможность на законных основаниях искать уязвимости в государственных системах по заказу их владельцев.
Такого мнения придерживается, в частности, технический директор «Синклита» Лука Сафонов. Он сообщил «Ведомостям», что сейчас белые хакеры боятся работать с государством, в том числе и потому, что для этого им нужно взаимодействовать не только с непосредственным заказчиком, но также с ФСБ и ФСТЭК.
Первые шаги
Белые хакеры и раньше попадали в поле зрения российских властей. Как сообщал CNews, еще в конце марта 2022 г. Минцифры озвучило предложение по обеспечению их финансовой поддержкой.
Про этичных хакеров упоминал и депутат Госдумы Антон Горелкин. По его мнению, им необходимо предоставить доступ к льготам, которыми располагают представители российской ИТ-сферы.
На 18 июля 2022 г. никаких действий в отношении легализации этичных хакеров в России государство не предпринимало.
Угроза реальна
Вероятность стать фигурантом уголовного дела у российских белых хакеров высока. Бизнес-консультант по безопасности Алексей Лукацкий привел изданию несколько подобных примеров. «Достаточно вспомнить про историю админа одного из операторов связи в Обнинске, который решил помочь клиентам и просканировал их сеть на уязвимости, за что его прихватили сотрудники ФСБ и сейчас судят по ст. 274.1 за неправомерное воздействие на КИИ России (критическая информационная инфраструктура; – прим. CNews)», – сказал эксперт, добавив, что работа этичных хакеров по заказному поиску уязвимостей – «это всегда деятельность на грани». «С одной стороны, исследователи действуют в рамках договора, и злого умысла у них нет, но с другой – договор все не описывает, и своими действиями они могут причинить ущерб, что может повлечь последствия. Поэтому попытку загнать эту тему в правовое русло можно только приветствовать», – подытожил Лукацкий.
Хакеры остаются в тени
На 18 июля 2022 г. в России существовало несколько агрегаторов услуг белых хакеров. Одну из них запустила компания Positive Technologies; о планах по созданию такого сервиса она сообщала еще в ноябре 2021 г.
По информации источников «Ведомостей», в настоящее время на платформе Positive Technologies всего две программы bug bounty, одну из которых запустила сама Positive Technologies. Платформа заработала в мае 2022 г. Разработчики планируют подключить еще в пределах 20 партнеров до конца 2022 г.
На платформе в настоящее время зарегистрировано около 800 специалистов, но лишь 37 из них отправили хотя бы один отчет об уязвимости. «Всего за два с половиной месяца было отправлено более 60 отчетов, но большая часть из них – либо дубликаты, либо уязвимости низкой критичности. Пока выплат не было, но вознаграждение уже назначено для трех отчетов», – отметили источники издания.
Короткая ссылка
