Новые нормы безопасности хостинг-услуг: кого могут коснуться изменения

Законопроект с новыми требованиям к работе хостинг-провайдеров может вступить в силу в ближайшее время. Согласно документу, хостинговые компании должны будут подключиться к системам противодействия кибератакам и соблюдать новые требования по информационной безопасности. В статье рассказываем, кого могут коснуться изменения и что предпринять владельцам сайтов уже сейчас.

Зачем нужны нововведения?

Рост кибератак — всемирный тренд. По мнению международных экспертов, с 2023 по 2028 год оценочная стоимость киберпреступности будет увеличиваться на $5,7 трлн ежегодно. Поэтому новые требования к хостинговым компаниям — необходимые меры, которые будут предпринимать повсеместно. Например, в странах Европейского союза на стадии разработки находятся законы в области суверенизации ИТ-инфраструктуры, а в Китае есть законодательно утвержденный реестр хостинг-провайдеров.
С прошлого года количество кибератак в Рунете стремительно растет — в первом квартале 2023 их было в полтора раза больше, чем за этот же период в 2022. За 2 квартал зафиксировано уже 325 тысяч инцидентов. А число киберугроз на российские ИТ-компании увеличилось в 4 раза.

*Отчет «РТК-Солар» об атаках на российские компании*

Характер взломов тоже изменился — выросло число фишинговых атак на ИТ-инфраструктуру и самих пользователей. Сегодня лидеры отрасли активно повышают уровень защищенности и работают над информационной безопасностью, поэтому хакеры ищут уязвимости через их партнеров, реселлеров или небольших игроков, которые уделяют безопасности недостаточно внимания. Для поиска узких мест злоумышленники используют разные приемы, в том числе чаще применяют киберразведку. Это создает риски для хостинг-провайдеров и их клиентов — на рынке много компаний, которые не имеют собственных мощностей, а просто перепродают услуги хостинга, покупая серверы у зарубежных и отечественных фирм.

Новые нормы призваны защитить компании, их клиентов и пользователей от такого рода вмешательств.

Как теперь будут работать хостинг-провайдеры

Новые правила находятся в процессе обсуждения, но могут быть приняты в ближайшее время. Одно из важных нововведений в законопроекте — оказывать услуги хостинга смогут компании, вошедшие в реестр Роскомнадзора. Его формирование начнется с 1 декабря 2023 года. Чтобы попасть в реестр, нужно будет:

существующим провайдерам — сообщить о своей деятельности до 15 декабря 2023 года;
новым провайдерам — отправить заявку в ведомство, на ее рассмотрение уйдет 10 рабочих дней.

Провайдеров, которые не войдут в реестр, могут признать незаконными, однако пока ответственность за это не предусмотрена.

Кроме того, хостеры должны будут соблюдать новые требования кибербезопасности:

➤ осуществлять взаимодействие с органами, осуществляющими оперативно-розыскную деятельность или обеспечение безопасности, с использованием технических средств (СОРМ);

➤ использовать национальную систему доменных имен;

➤ подключиться к государственной системе противодействия кибератакам;

➤ передавать данные о вредоносном трафике;

➤ идентифицировать клиентов одним из доверенных способов: через единую систему идентификации (ЕСИА), биометрическую систему (ЕБС), усиленную квалифицированную электронную подпись, с помощью паспорта или других удостоверяющих документов, а также по банковскому переводу или СБП, номеру телефона или иной информационной системе провайдера, контролируемой российским юрлицом.

Эти меры помогут избежать утечек персональных данных и защитить хостинг-провайдеров и их клиентов от кибератак, а также от атак, направленных на инфраструктуры хостинг-провайдеров. В случае нарушений хостинговую компанию могут исключить из реестра провайдеров.

Пока новые правила находятся в процессе обсуждения и доработки. Но уже сейчас можно говорить, что:

нужно ответственно подходить к выбору хостинговой компании;
среднему и малому бизнесу, владельцам и администраторам сайтов, фрилансерам и самозанятым, которые монетизируют свои услуги в интернете, нужно оценить возможности хостинг-провайдера, его устойчивость и в случае сомнений перенести ресурсы к надежному поставщику;
с 1 декабря хостинг-провайдеры будут обязаны проверять личность клиентов — физических и юридических лиц. При этом клиенты-нерезиденты хостинг-провайдеров смогут работать в России без заключения договоров на основании публичной оферты, для этого Минцифры дорабатывает процедуру проверки личности и готовит дополнения к правилам.

⌘⌘⌘

Список всех требований и механизмов пока еще прорабатывается с учетом предложений профессионального сообщества и заинтересованных ведомств. Но компаниям и администраторам сайтов уже сегодня стоит задаться вопросами: