06 июня 2014
Правила криптозащиты от ФСБ: интернет-компаниям не потянуть
ФСБ проинформировала о содержании новых правил, предназначенных для криптозащиты личной информации пользователей интернет-компаний. Организации должны будут применять только сертифицированные самой службой средства. Также все компании обязаны будут опечатывать на ночь здания с серверами, на которых хранится криптозащита.
Уровень угрозы для персональных данных каждая компания оценивает самостоятельно. Но в случае, если организация захочет применять в своей работе предлагаемые средства шифрования, то эти средства должны будут иметь сертификацию от ФСБ. Документ получат только те средства защиты, которые работают с российскими криптоалгоритмами. Они имеют достаточно высокую цену и не имеют поддержки для мобильных устройств на основе iOS или Android. Изданный приказ также требует оснастить все здания с хранящимися в них серверами дорогостоящими средствами охраны, что позволит избежать несанкционированного проникновения в них.
По мнению экспертов, многие компании не способны будут выполнить все новые указания. Алексей Лукацкий, эксперт безопасности в крупной международной организации, считает, что для систем кабельного телевидения и интернет-магазинов нет средств криптографии, которые прошли сертификацию Федеральной службой. С данным мнением согласен и Андрей Прозоров, ведущий специалист компании Infowatch.
По словам Александра Ковалева, директора по маркетингу предприятия Zecurion, в процессе прохождения сертификации официальное разрешение на использование того или иного средства будет получено только для определенных версий средств криптографии, из-за чего пользователям не будут доступны быстрые и адекватные обновления. В настоящее время масштабные государственные проекты не считают нужным использовать такие средства защиты, мотивируя это отсутствием угроз высокого уровня. Руководство просто предупреждает всех своих пользователей о том, что информация будет пересылаться в виде незашифрованных данных. Именно таким образом в настоящее время работают две государственные интернет-компании – одна специализируется на продаже железнодорожных билетов, а другая предоставляет спектр государственных услуг.
Согласно новому приказу, хранение носителя с личной информацией пользователей должно будет осуществляться в специально предназначенных для этого сейфах. (Ссылки по теме: Профессиональное обслуживание сейфов - http://www.professionalopen.ru/). Это для тех случаев, когда сведения не имеют шифровки.
В том случае, если компания производит шифрование персональных данных, сервер необходимо хранить в отдельных помещениях, оборудованных системами защиты от несанкционированного проникновения. По мнению Лукацкого, большинство интернет-магазинов не могут позволить себе такие крупные затраты, тем более, что данные организации имеют круглосуточный режим работы.
Специалисты данной области уверены, что вся проблема кроется самом подходе государственной структуры к средствам защиты персональных данных. Лукацкий все же считает, что большая часть компаний, а возможно и все, после того, как ФСБ утвердят новые правила, продолжат свою работу в прежнем режиме, не изменяя никаких средств криптозащиты.
Новый приказ внесет дополнения в уже имеющийся закон №152-ФЗ «О персональных данных» на основании поправок, которые были приняты еще три года назад. Данный закон предусматривает возложение обязанностей по инфозащите на плечи ФСБ, которая должна в скором времени утвердить новые правила. После того, как они пройдут антикоррупционную экспертизу независимыми специалистами, приказ сначала будет подписан Александром Бортниковым, директором Федеральной службы, а затем утвержден Минюстом.
