Зачем легализовали «белых хакеров»?

На этой неделе Мажилис одобрил поправки в законе о защите персональных данных, который также включает регулирование «белых хакеров» и работу баг-баунти. Цифровая орда обратилась за комментариями к отраслевым экспертам и узнала, что они думают об этих изменениях.

Олжас Сатиев, директор ЦАРКА.

💬 От принятых поправок выиграют все. Несмотря на то, что казахстанская BugBounty-платформа пока работает в пилотном режиме, на ней зарегистрировано порядка 2 200 хакеров и загружено около 2 800 отчётов с найденными уязвимостями в критически важной инфраструктуре. Они включают разные системы — от банковского сектора до электронного правительства. Никакие ЦАРКА и ГТС не смогли бы так эффективно проверить весь казахстанский сегмент интернета.

Принятый закон позволяет «белым хакером» легально сдавать отчеты с найденными уязвимостями при соблюдении правил платформы — в этом случае они никак не рискуют, а даже наоборот, получают вознаграждение. Например, на недавней конференции KazHackStan представители госслужб наградили 10 лучших этичных хакеров, которые наши больше всего уязвимостей.

Подобные правовые нормы есть и в других странах. Например, в Нидерландах и Бельгии 10 лет назад были точно такие же обсуждения в правительстве. Все понимают, что у специалиста, обнаружившего уязвимость, должна быть легальная возможность ее сдать для устранения. Если в области законодательства мы еще отстаем от Европы, то с технической стороны наша платформа намного технологичнее.

Евгений Питолин, независимый эксперт в области кибербезопасности, ИТ и коммуникаций.

💬 За последнее время понятие «конфиденциальность» сильно изменилось. На сегодня – это роскошь, которую надо тщательно защищать. Главный вопрос, как.

Одну из мер, которую предлагает государство – легализовать «белых хакеров». Смысл в том, что они будут искать уязвимости в государственных информационных системах. Для реализации этого законопроекта необходимо обеспечить механизм финансирования и легитимность пентестов. Это позволит обеспечить безопасность координации критически важных объектов.
Второе, на чем надо сосредоточиться – это постоянно повышать цифровую грамотность в компаниях.

Технологии приобретают все большее значение, и пока сотрудники все так же оставляют всю ответственность только на ИТ-отдел, дело вперед не продвинется. Защита данных – наша общая цель, в которой заинтересованы все.

Шаги, которые необходимо предпринимать на сегодня заключаются в 3-х правилах:

⬇️Повысить уровень цифровой грамотности компаний и населения.
⬇️Обеспечить механизм финансирования работы «белых хакеров».
⬇️ Обеспечить легитимность пентестов.

#ИБ #мнение_эксперта

@sandyq_orda – цифровизация Казахстана в деталях