Ответственность "белых хакеров" предложено скорректировать
Работу над корректировкой ответственности "белых хакеров", исследующих уязвимости безопасности в различных системах, необходимо возобновить, учитывая интересы бизнеса, сообщила на наблюдательном совете АНО "Цифровая экономика" гендиректор организации Чулпан Госсамова.
По словам Госсамовой, в организации понимают, что деятельность специалистов вызывает интерес у бизнеса, и надеются продолжить эту работу над идеями в этой области уже в рамках пакетов "антифрода" - мер против кибермошенничества.
В настоящее время принят первый пакет мер против кибермошенничества, второй прошел первое чтение в Госдуме, а третий пакет пока только анонсирован - Минцифры приступило к его формированию. Председатель Комитета Госдумы по информполитике Сергей Боярский говорил, что второй пакет мер могут принять до конца созыва.
Вопрос легализации деятельности "белых хакеров" стоит на повестке уже не первый год. "Белые" или "этичные" хакеры выступают в качестве внешних подрядчиков для IT-компаний и компаний с масштабной IT-инфраструктурой и в боевом режиме выявляют уязвимости, тем самым помогая компаниям устранить их до того, как они были обнаружены и использованы злоумышленниками. Вопросы вызывает общая "серая зона" работы этих специалистов и классических хакеров, в частности то, что они используют для своей деятельности тот же набор ПО и инструментов, что и злоумышленники.
Сегодня мы видим очевидный разрыв между масштабом проблемы и скоростью ее системного решения, отмечает член Комитета Государственной Думы по информационной политике, информационным технологиям и связи Антон Немкин.
"С одной стороны, количество выявляемых уязвимостей растет взрывными темпами - только за 2025 год "белые хакеры" обнаружили почти 14 тысяч уязвимостей в системах российских компаний и госструктур. С другой - значительная часть этих проблем устраняется с задержками, что сохраняет реальные риски для пользователей и инфраструктуры. Это показывает: вопрос уже не в том, находят ли уязвимости. Вопрос в том, как выстроена вся цепочка работы с ними - от обнаружения до устранения и правового сопровождения деятельности специалистов", - говорит Немкин.
Эксперты, опрошенные "РГ", полагают, что рынок bug bounty за последние годы фактически стал полноценным элементом системы кибербезопасности. Крупный бизнес, банки, IT-компании и государственные структуры активно интегрируют работу независимых исследователей в свои процессы управления рисками. Более того, практика показывает, что это дает конкретный результат, в том числе и в госсекторе.
"При этом нормативная база по-прежнему отстает от реальности. Отсутствие четкого правового статуса для пентестеров создает неопределенность как для самих специалистов, так и для компаний, которые готовы с ними работать. Именно поэтому работу по корректировке регулирования необходимо возобновить", - уверен депутат.
На ситуацию можно посмотреть с разных стороны: с одной - правовая неопределенность действительно существует, с другой - "работает - не трогай".
"Потому что сделать так, как хотят исследователи, на 100% все равно не получится - государство хочет иметь возможность наказывать злоумышленников и контролировать этот рынок", - поясняет Владимир Бенгин, директор по продуктовому развитию ГК "Солар".
По его словам, прежде чем начинать это движение, необходимо ответить на вопрос: зачем?
"Хотим, чтоб было в десять раз больше исследователей и "белых хакеров" в России или, может, мы хотим, чтобы каждый программный продукт, каждая информационная система постоянно проверялись всеми, кто умеет держать компьютер в руках? Или, может, мы считаем, что нужно наказать каждого, кто попробует даже пингануть объект КИИ без спроса? Лично я сторонник постоянной проверки инфраструктуры всеми доступными способами, но боюсь, что меня мало кто в этом поддержит", - поясняет свою позицию Бенгин.
Сейчас в правительстве находится на рассмотрении обновленный пакет законопроектов, доработанный с учетом позиции отрасли и экспертного сообщества. Эксперты рассчитывают, что он позволит сбалансировать интересы государства, бизнеса и специалистов по безопасности.