Интернет-компаниям будет непросто выполнить разработанные ФСБ правила криптозащиты персональных данных
ФСБ объяснила, что необходимо делать для защиты персональных данных: компаниям и их клиентам нужно использовать сертифицированные службой средства, которых не существует для многих популярных устройств, например для iPhone. При этом сервера с криптозащитой необходимо на ночь опечатывать в зданиях с решетками на окнах. Все эти условия невыполнимы для большинства интернет-компаний, сообщила газета РБК daily.
Проект приказа опубликован на сайте regulation.gov.ru. Использование средств шифрования зависит от уровня угрозы безопасности данных, прописанных в законе №152-ФЗ «О персональных данных»: этот уровень каждая организация, которая работает с персональными данными, оценивает для себя сама. Если компания все-таки захочет использовать средства шифрования, ей, согласно проекту приказа ФСБ, придется использовать только сертифицированные этой службой средства криптографии. Сертификат получают только те технические средства, которые реализуют отечественные криптоалгоритмы, — их не поддерживают ни Android, ни iOS (операционная система от Apple). К тому же эти средства криптографии платные — например, «КриптоПРо CSP» стоит около 1,8 тыс руб. за один компьютер. Приказ также прописывает требования к защите от вторжений в помещения, в которых находится сервер криптозащиты: придется «оборудовать окна и двери… металлическими решетками, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения».
Специалисты по инфобезопасности считают, что новые правила почти невыполнимы. По словам эксперта по безопасности крупной международной корпорации Алексея Лукацкого, не существует сертифицированных ФСБ средств криптографии для интернет-магазинов и систем кабельного телевидения. Для большинства операторов персональных данных таких средств действительно нет, соглашается ведущий эксперт по инфобезопасности компании Infowatch Андрей Прозоров.
Сама процедура сертификации ФСБ так устроена, что сертификат получают конкретные версии систем шифрования, а потому их пользователи «почти никогда не получают адекватных и быстрых обновлений», сетует директор по маркетингу компании по инфобезопасности Zecurion Александр Ковалев. Лукацкий говорит, что в результате крупные госпроекты уже сейчас приуменьшают уровень угроз и просто предупреждают пользователей о пересылке данных в незашифрованном виде, чтобы не было необходимости использовать сертифицированные ФСБ средства шифрования. Именно так сейчас работает сайт Gosuslugi.ru и сервис продажи билетов на поезд на сайте РЖД, заявил Лукацкий.
Эксперты считают, что проблема в самом подходе ФСБ к проблеме инфобезопасности. «Дело в подходе запрета — в той же банковской сфере не запрещают 99% активности банков, а дают относительную свободу, но потом спрашивают по полной», — говорит Ковалев. Лукацкий ожидает, что организации попробуют работать, как раньше, после того, как приказ ФСБ вступит в силу.