Этичные хакеры и «взлом с разрешения»: легально ли тестирование безопасности в России

Так сложилось, что хакеров воспринимают как злоумышленников, ведущих незаконную деятельность, которые пытаются обойти систему, завладеть данными пользователей и компаний, повредить файлы. Но так бывает не всегда: взлом может быть, как законным, так и незаконным.

Законным вторжением можно считать взлом, задачей которого является выявление уязвимостей в безопасности приложений, сетей или систем для их дальнейшего устранения. Здесь идет речь об этичном хакинге. Компании специально нанимают этичных хакеров для укрепления своих систем безопасности.

Существуют две модели работы этичных хакеров - пентесты и программы вознаграждения за обнаружение уязвимостей (иначе bug bounty).

Пентесты представляют собой проникновение в информационную систему для проведения заранее оговоренных манипуляций, имитирующих действия злоумышленников. Эти проверки обычно проводят специализированные компании или приглашенные эксперты, и весь процесс обладает конфиденциальным характером.

Программы bug bounty обычно проводят крупные компании и государственные ведомства. Они размещаются на специальных платформах публично. Участвуя в программе и находя уязвимости, белые хакеры сообщают о них компаниям и получают за это конкретное вознаграждение.

Рынок баг-баунти и участие в пентестах в РФ находится на стадии становления. Рост сдерживается несовершенством законодательной базы. Риск уголовного преследования за проникновение в информационную систему компаний в РФ довольно велик. Поэтому хакеры боятся выходить из тени даже для участия в благих делах.

Пока гарантией от привлечения к уголовной ответственности белых хакеров служит лишь договор на оказание услуг и письмо-согласие.

Вопрос о регулировании их работы встал еще в 2022 году. Законопроект, касающийся данного аспекта, был внесен на рассмотрение Госдумы в 2023 году. На текущий момент он находится на стадии согласования.

Будем надеяться, что скоро законопроект официально легализует деятельность белых хакеров в России, способных противостоять растущему числу кибератак на государственный, финансовый и производственный секторы.

Как считаете, какие дополнительные меры, помимо подписания закона, могли бы стимулировать рост числа квалифицированных специалистов в сфере этичного хакинга в России?

ГК Финрул