Для белых хакеров может быть создан отдельный реестр
По информации источников СМИ, профильные надзорные госведомства (включая Минцифры, ФСБ и МВД) планируют создать отдельный реестр для белых хакеров в РФ для легализации их деятельности. В IT-отрасли считают такую инициативу непроработанной, так как список ИБ-специалистов, которые занимаются исследованиями уязвимостей в компонентах критической инфраструктуры IT-систем, будет интересен злоумышленникам и спецслужбам других стран.
Возможность создания реестра белых хакеров и их сертификации прорабатывается в рамках законопроекта о белых хакерах, пояснил СМИ член комитета Совета Федерации по конституционному законодательству и государственному строительству Артем Шейкин.
По словам источников СМИ в одной из крупных ИБ-компаний, предложенные меры (реестр и сертификация) должны обезопасить работу программ поиска уязвимостей со значимыми объектами, в том числе с критической информационной инфраструктурой (КИИ). По словам эксперта, это позволит легализовать многие направления, связанные с наступательной и превентивной безопасностью и устранением серых зон, в которых находятся сейчас белые хакеры.
Эксперты считают, что у инициативы есть и слабые места, включая появление жёстких бюрократических требований к процедуре вступления в ряды белых хакеров для участия в программах bug bounty, которые отпугнут потенциальных участников такого проекта. В этом случае найденные уязвимости хакерам будет проще продавать злоумышленникам, а не получать за них официальные вознаграждения, которые могут быть намного меньше, чем платят за них на чёрном рынке.
Проблема в том, что государство сейчас ещё не обладает достаточным инструментарием для того, чтобы проконтролировать обязательное соблюдение правил подобной сертификации, и поэтому здесь вступают в силу инструменты рынка, пояснил СМИ руководитель департамента расследований T.Hunter, эксперт рынка НТИ SafeNet Игорь Бедеров. «Естественно, сообщество будет против предлагаемого регулирования, но если его участники захотят работать легально, то они будут сертифицироваться. Наличие сертификата может служить основанием для того, чтобы компании и частные лица принимали экспертизу таких хакеров», — пояснил Бедеров.
Читать статью в полной версии «Ведомости»
