Контроль за работой «белых» хакеров предложили передать ФСБ,
ФСТЭК и НКЦКИ. По данным
РБК разработана новая версия законопроекта о легализации «белых» хакеров, готовящаяся для внесения в Госдуму.
❗️Инициатива предполагает создание единой системы госрегулирования для всех видов исследовательской работы по поиску уязвимостей.
Согласно проекту, под это определение могут попасть:🟧коммерческие bug bounty;
🟧внутренние bug bounty (self-hosted);
🟧любые независимые исследования: действия одиночных исследователей, которые без приглашения проверяют программное обеспечение на уязвимости;
🟧пентесты (тестирование на проникновение), которые в данный момент проводятся по соглашению правовых договоров с описанием всех необходимых моментов взаимодействия компании-клиента и компании, предоставляющей услуги исследователей.
Регуляторы могут получить право устанавливать обязательные требования по ключевым направлениям поиска уязвимостей.
К ним относятся:🟧обязательная идентификация и верификация «белых» хакеров;
🟧правила аккредитации и деятельности организаций, проводящих мероприятия по поиску уязвимостей;
🟧правила, регулирующие обработку и защиту данных о найденных уязвимостях;
🟧регламент, как именно информация об уязвимости должна быть передана владельцу ресурса и госорганам и др.
🟧Списки операторов, которые соответствуют этим требованиям, будут публиковаться на сайтах силовых ведомств, а работа вне аккредитованных площадок, а также работа не соответствующих правилам компаний будет запрещена. Также предлагается ввести обязанность для всех, кто обнаружил уязвимость, сообщать о ней не только владельцу программного обеспечения, но и силовым ведомствам.🟧Кроме того, обсуждалось создание реестра «белых» хакеров для «легализации» их деятельности.
