Минцифры представило «Антифрод 3.0» — юристы указали на риски для российского ИТ-рынка

Минцифры опубликовало третий пакет мер для борьбы с кибермошенничеством. Среди ключевых законодательных новаций — ужесточение требований к идентификации абонентов операторов связи и запреты на перепродажу SIM-карт. Помимо этого, операторы будут обязаны хранить 3 года сведения об IP-адресах и портах, используемых при удаленном заключении договоров. Это следует из документа, опубликованного 30 сентября на Федеральном портале проектов нормативных правовых актов.

В Минцифре положительно оценивают результаты реализации первого «пакета мер». В пояснительной записке к проекту говорится, что «впервые за последние годы стала наблюдаться устойчивая тенденция по снижению количества преступлений, совершаемых в сфере ИКТ». Министерство ссылается на данные МВД России и Банка России, из которых следует, что доля таких преступлений сократилась в среднем на 12% — при этом в части преступлений в сфере компьютерной информации наблюдается сокращение на 42,2%.

Среди многочисленных изменений, вносимых третьим «пакетом мер», — возложение на хостинг-провайдеров новых обязанностей, связанных с выявлением и ограничением доступа к средствам обхода блокировок.

Партнер INTELLECT Анна Сунгурова обращает внимание, что хостинг-провайдер сможет оказывать услуги только после идентификации клиента, получения сведений о цели использования мощностей и проверки клиента по реестру Роскомнадзора. В реестр будут включать лиц, размещающих VPN и иные средства обхода блокировок, владельцы которых не выполнили требования ст. 15.8 Закона об информации. После включения в реестр клиент год не сможет получить хостинг у российских провайдеров.

«Кроме того, провайдер обязан прекратить предоставление мощностей по запросу органа оперативно-разыскной деятельности или НКЦКИ, если это необходимо для противодействия компьютерным атакам. Проверки исполнения этих обязанностей выведены из-под действия закона № 248-ФЗ о государственном контроле», — говорит Сунгурова.

Как отмечает управляющий партнер юридической компании ЭНСО Алексей Головченко, меры, касающиеся хостинг-провайдеров, создадут несколько проблем для ИТ-рынка: придется формализовать проверку клиентов и назначение серверов, есть риск прекращения обслуживания по ошибочной или неполной идентификации. При этом хостинг-провайдеры могут начать применять более жесткие внутренние правила, чем прямо требует закон.

«Появится дополнительная неопределенность для разработчиков средств информационной безопасности, корпоративных VPN и защищенных каналов связи, — отмечает Головченко. — Здесь особенно важны точные формулировки подзаконных актов и реестров. Если критерии „средства обхода блокировок“ будут расплывчатыми, под регулирование потенциально могут попасть не только публичные VPN-сервисы, но и легальные корпоративные решения удаленного доступа».

Новыми мерами также предполагается, что через Госуслуги можно будет узнать, каким организациям выданы согласия на обработку персональных данных, — их можно будет отозвать и обжаловать действия оператора. Оператор не сможет требовать согласие на передачу данных, если закон его не предусматривает. Одновременно в ГИС «Антифрод» планируется формировать базу лиц, которые добровольно передают мошенникам свои номера и учетные данные.

«Эта мера выглядит как инструмент для более быстрой блокировки мошеннических схем. Однако с точки зрения права наибольшие вопросы вызовут состав сведений, основания включения в базу, срок хранения, доступ к данным и процедура исключения из нее, — подчеркивает Головченко. — Особенно важно не смешивать потерпевших и сознательных участников схем. Человек, который под давлением или в результате обмана передал код из SMS, не должен автоматически рассматриваться как нарушитель или источник повышенного риска».

При этом, как обращает внимание Сунгурова, проектом не предусматривается ни уведомление абонента об основаниях блокировки, ни порядок обжалования. А исключения устанавливает правительство по согласованию с ФСБ. «На практике под ограничения может попасть человек, чьим номером или учётной записью воспользовались без его ведома», — подчеркивает юрист.

Абсолютной защиты для пользователей новые меры не дадут, считает Головченко: мошенники могут перейти на мессенджеры и интернет-телефонию, звонки с подменой номера, украденные аккаунты и легально оформленные номера, зарубежную инфраструктуру и распределенные сервисы. Эффективность пакета мер будет зависеть от качества обмена информацией между операторами, банками, платформами и государственными системами. В таких обстоятельствах важно, чтобы сведения о подозрительной активности передавались быстро, но и с возможностью проверить ошибочные решения.

«Главный риск для пользователей — ложные блокировки. Номер может использоваться несколькими людьми в семье, компания может совершать большое количество автоматических звонков по законной причине, а сервер — обслуживать корпоративный VPN или систему удаленного доступа. Если блокировка происходит автоматически, пользователь должен иметь понятный канал уведомления, объяснение причины и возможность оперативного обжалования».

Юристы обращают внимание и на другой риск — избыточную централизацию большого объема данных. Платформа согласий и ГИС «Антифрод» могут повысить контроль граждан над информацией, но одновременно создают привлекательную цель для злоумышленников. «Поэтому закон должен подробно регулировать не только сбор данных, но и доступ к ним, журналирование действий должностных лиц, сроки хранения, удаление сведений и ответственность за неправомерное использование», — подчеркивает Головченко.