Минцифры обсуждает с бизнесом выделение информационной безопасности в отдельную индустрию, смягчение оборотных штрафов для компаний и легализацию белых хакеров для привлечения их к поиску уязвимостей в инфосистемах, в том числе государственных.

Картина ключевых событий в сфере информационной и кибербезопасности с 30 июня по 21 июля — в материале ICT.Moscow.

Информационную безопасность (ИБ) могут выделить из ИТ-отрасли в отдельную сферу. Данную инициативу, с которой в июле выступил основатель «Лаборатории Касперского» Евгений Касперский, Минцифры обсуждает с ИТ-отраслью. По мнению представителей бизнеса, в случае разделения у ИБ должно появиться свое регулирование и бюджетирование, поскольку после ухода зарубежных ИБ-компаний российским разработчикам приходится иногда с нуля создавать продукты, которым ранее не было аналогов. В свою очередь в РУССОФТ заявили, что впервые эту идею высказал три года назад руководитель компании SearchInform Лев Матвеев, но в связи с произошедшими с конца февраля изменениями мера выглядит вполне «разумно и своевременно».

В ходе обсуждения инициативы в Минцифры напомнили, что в нынешнем виде ИБ-компании — как часть ИТ-индустрии — могут пользоваться предусмотренными для рынка льготами. При этом в ведомстве видят плюсы в разделении, так как «возможные налоговые льготы только для ИБ предполагают меньший объем выпадающих налоговых доходов».

● Кроме возможной самостоятельности ИБ-отрасли, министерство обсудило поправки в законопроект об оборотных штрафах для компаний за утечку данных, который был согласован в мае. Он подразумевал введение штрафа в размере 1% от годовой выручки и до 3%, если компания своевременно не сообщила об утечке Роскомнадзору. В результате ведомство подготовило новую версию законопроекта, где предлагается учитывать объем утекших данных при назначении штрафа. Кроме этого, штрафы будут применять в два этапа: за первый случай утечки они будут фиксированными, а в случае повторения инцидента будет применен оборотный штраф. При этом планируется установить границы размера такого штрафа, а также смягчающие и отягчающие обстоятельства.

В профессиональном сообществе тема вызвала неоднозначные реакции. Руководитель департамента клиентского сервиса «РТК-Солар» Анна Попова обратила внимание, что не существует точных методик оценки ущерба от утечек данных. По мнению руководителя направления InfoWatch Traffic Monitor Александра Клевцова, у многих компаний бизнес не понесет ущерба в случае утечки. Речь идет о случаях, когда компании располагают однотипными данными клиентов, к примеру, операторы связи, но в случае с банками или страховыми компаниями ситуация обстоит иначе.

Также эксперты озвучили опасения по поводу схем по уменьшению размера оборотного штрафа. В частности, директор АНО «Информационная культура» и руководитель Ассоциации участников рынка данных Иван Бегтин считает, что такие штрафы необходимо накладывать с учетом холдинговой структуры ИТ-бизнеса, иначе у многих компаний «будет соблазн вешать свои информационные системы на свои расходные, а не доходные дочерние компании, а потом штрафы платить именно с них». Схожее мнение высказал директор по стратегии компании «Безопасность 360» Игорь Елисеев. По его словам, компании могут минимизировать возможные оборотные штрафы, организовав передачу дочерним компаниям с небольшим оборотом функций по обработке персональных данных.

В свою очередь бизнес-консультант по кибербезопасности Алексей Лукацкий считает, что главный вопрос в случае утечек персональных данных заключается в том, «как доказать проверяющим, что мы имеем дело с новой утечкой и тогда оборотный штраф неминуем, или речь идет просто о переупакованной, а то и вовсе скомпилированной из ранее существовавших данных утечке».

● Еще одним нововведением в ИБ может стать легализация «белых хакеров». Минцифры планирует ввести в законодательство понятие Bug Bounty, что позволит запустить бонусную программу для тестировщиков уязвимостей в информационных системах. Кроме этого, легитимизация Bug Bounty позволит распространить такие программы и на тестирование государственных систем, считают в компании «Синклит». В Positive Technologies отметили, что инструмент, который обсуждает Минцифры, должен стать одним из стандартов оценки реальной защищенности организаций как коммерческих, так и государственных.

📎 О заметных изменениях в российском законодательстве по ИБ можно почитать в дайджесте Алексея Лукацкого.

Атаки и утечки

● Об увеличении DDoS-атак на российские предприятия сообщила и компания StormWall — в 15 раз за первые шесть месяцев 2022 года. Причем треть из них приходилась на финансовый сектор, хотя Сбербанк фиксирует снижение DDoS-атак на свои системы в июне-начале июля. На сферу развлечений пришлось лишь 5% инцидентов, однако о масштабах атак говорят сообщения об атаках на 80 ресурсов российских кинотеатров.

Что касается госсектора, то с помощью ГосСОПКА ежедневно выявляют более 200 кибератак, основными целями которых «являются выведение из строя информационной инфраструктуры, а также несанкционированный доступ к информационным системам организаций и предприятий различных отраслей критической информационной инфраструктуры РФ». На этом фоне более половины предпринимателей микро, малого и среднего бизнеса в последнее время сталкивались с проблемами в области информационной безопасности в своих компаниях, но 68% бизнесменов считают маловероятными хакерские атаки на их компании, выяснил аналитический центр НАФИ совместно с компанией «Киберпротект».

Согласно исследованию «МегаФона», в России количество кибератак на компании в феврале – марте 2022 года выросло почти в 10 раз в сравнении с аналогичным периодом прошлого года. При этом лишь 23% компаний внедрили ИБ-решения после произошедших инцидентов, 29% сделали это по требованию регулятора, а 48% — из-за роста киберугроз.

● Среди сообщений о заметных утечках информации стали инциденты с компаниями «Террасофт», «Туту.ру», СДЭК, Kari и «ТНС Энерго». А регулятор — Роскомнадзор — составил протокол на Яндекс.Еду. Компании грозит штраф до 100 тыс. руб. за предоставление неправомерного доступа к информационной системе персональных данных. Аналогичная мера применена и к Delivery Club.

Новые возможности

На фоне ухода иностранных разработчиков российские компании не только активно занимают освободившиеся ниши на рынке, но и создают инновационные решения. К примеру, «Лаборатория Касперского» представила устойчивый к кибератакам шлюз для индустриального интернета вещей, с которым планирует выйти на международные рынки. По словам специалистов компании, данный шлюз может использоваться для объектов критической информационной инфраструктуры.

Также «Лаборатория Касперского» совместно с «КРОК» начала предоставлять бизнесу услуги по мониторингу и реагированию на события информационной безопасности. А «РТК-Солар» и «Сколково» объединили усилия для поиска и развития технологических команд в сфере ИБ.

Тенденции создания новых ИБ-продуктов заметны и в телеком-сегменте. Так, оператор «МегаФон» запускает коммерческий Центр обеспечения информационной безопасности для отслеживания и реагирования на кибератаки как извне, так и внутри инфраструктуры клиентов. Другой оператор — МТС — назначил директором по кибербезопасности Евгению Наумову, которая ранее работала в «Лаборатории Касперского».

Вместе с тем к середине года стали все чаще проявляться структурные изменения внутри самих компаний. К примеру, Softline, которая предлагает в том числе ИБ-решения, разделит бизнес на две компании: Softline Global и «Softline Россия». А Group-IB, занимающаяся расследованием киберпреступлений и предотвращением кибератак, создала отдельную структуру «Адаптивные технологии безопасности» для ведения бизнеса в России и СНГ. При этом компания уже представила платформу для защиты от киберрисков, связанных с целевыми атаками, утечками данных, мошенничеством, фишингом и нелегальным использованием бренда.

Как рассказала председатель правления ассоциации «Отечественный софт» и президент InfoWatch Наталья Касперская, спрос на средства ИБ вырастет «очень сильно», но его масштабы до конца не известны. При этом Касперская считает неправильным в сложившихся условиях обсуждать рост или падение рынка, потому что он «должен радикально измениться». По ее мнению, «в идеале было бы нужно поделить сферы влияния между игроками, чтобы каждый взял себе 2-3 отрасли и смог бы покрыть все их требования к ИБ».