Как проверить свою систему на безопасность и не получить за это срок?

Любой бизнес в своей деятельности ежедневно использует различные сервисы и платформы (электронную почту, 1С, систему ЭДО, различные базы данных и т.д.). Взломы таких систем неизбежно влекут негативные последствия, включая разглашение конфиденциальной информации, сбои в системе коммуникаций между сотрудниками, клиентами и контрагентами, репутационные потери и многое другое. Регулярное проведение анализа защищенности таких платформ (называемом специалистами пентест, тестирование на проникновение) призвано предотвратить такие риски. Пентестеры в своей работе используют специальные компьютерные программы, механизм действия которых схож с алгоритмом действий хакеров при взломе объекта. За неправомерное применение такого ПО можно получить реальный срок. Как организовать этот процесс правильно и не иметь проблем с законом, ниже расскажет Евгений Царев, управляющий RTM Group.

В отличие от воздействия злоумышленников, результат тестирования на проникновение может быть весьма полезным: выявленные недостатки (к примеру, ненадежные пароли) можно исправить и предотвратить угрозу реального взлома. Однако существует проблема: такая деятельность не урегулирована законодательством, а сами методы тестирования подпадают под статью 273 УК РФ (нейтрализация средств защиты электронных ресурсов).

Всё дело в том, что статья 273 УК РФ сформулирована таким образом, что любое воздействие на систему защиты может быть признано преступлением. Судебная практика показывает, что попытка проверить сайт или другой ресурс на наличие слабых мест может закончиться уголовным делом.

Основные инструменты пентестеров - программы, в автоматическом режиме выявляющие дефекты систем защиты (сканеры и средства для перебора паролей). Даже если такое ПО используется с благими целями, оно подпадает под действие статьи 273 УК РФ как воздействующее на средства защиты.

Многие дела по статье 273 УК РФ прекращаются на стадии досудебного производства. До рассмотрения суда доходят единицы: к примеру, в первом полугодии 2021 года вынесено 11 приговоров. Тем не менее, риск привлечения к уголовной ответственности при проведении тестирования сохраняется. Особенно опасно «попадание» на объекты КИИ во время проведения пентеста: за нарушение в данной сфере предусмотрена отдельная ответственность по статье 274.1 УК РФ.

Приведем примеры из судебной практики, когда лица были привлечены к уголовной ответственности по статье 273 УК РФ:

Таким образом, потенциально любое приложение, способное воздействовать на средства защиты, находится вне закона. Не имеет значения, наносит ли приложение прямой вред ресурсу, используется ли оно в целях выявления и исправления слабых мест защиты. Более того, ответственность наступает вне зависимости от того, кто именно создал или использовал такие программы – профессионал-пентестер, работник специализированной организации или простой пользователь интернета.

Важно знать о рисках использования таких приложений и о вариантах их предотвращения.

Такие проверки могут попасть не только под статью 273 УК РФ, что было рассмотрено ранее, но и под несколько других статей о компьютерных преступлениях (глава 28 УК РФ):

Уголовная ответственность по данным статьям может быть серьезной: максимальный срок лишения свободы по статье 272 УК РФ достигает 5 лет, по статье 273 УК РФ – 7 лет, а по статье 274.1 УК РФ – 10 лет. За первый случай нарушения суд обычно если и назначает лишение свободы, то условное. Чаще всего наказанием выступает ограничение свободы (обязанность не выезжать из муниципального образования, не покидать дом в ночное время и т.д.) или штраф (до 1 млн рублей по статье 274.1 УК РФ).

Пробелы в законодательстве и судебная практика могут напугать тех, кому нужно провести проверки защищенности систем. Однако ситуация не так безнадежна, как может показаться с первого взгляда. Пентест может и должен быть правомерным и безопасным для всех участников. Для этого необходимо предпринять меры по правильному оформлению и проведению тестирования.

Сам факт создания или использования программ для проверок уязвимостей может быть признан незаконным и повлечь уголовную ответственность. Лучше делегировать задачу проверки ресурсов профессионалам, занимающимся информационной безопасностью. Правильно составленный договор помогает наиболее эффективно достигать целей тестирования, обезопасив обе стороны.

Для этого следует:

Для этого:

А) Заключить договор оказания услуг/выполнения работ на проведение тестирования на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.

В нем подробно прописать техническое задание на пентест, изложив:

Б) Заключить соглашение о конфиденциальности (NDA)

Прописать в нем перечень информации, который может быть передан исполнителю (пентестеру), порядок ее получения, а также способы защиты конфиденциальной информации.

Поскольку регулярная проверка сервисов, платформ и приложений на безопасность – необходимое правило цифровой «гигиены» сегодня, вопрос о том, нужно ли это делать, даже не стоит. Однако, осуществляя такие действия, компаниям важно самим не перейти грань, определенную законом. Важно помнить, что самостоятельное использование инструментов для проведения тестирования на защищенность грозит уголовной ответственностью. И доверять данную задачу необходимо профессионалам из сферы ИБ, официально оформляя договоренности.