В своём блоге Артём Агеев опуликовал пять относительно честных способов злоупотребления ФЗ-152 "О персональных данных" со стороны государственных чиновников. По своей сути этот закон призван защищать граждан от покушения коммерческих компаний на тайну частной жизни граждан. Поэтому в нём предусмотрены нормы проведения проверок со стороны государства за соблюдением требований этого закона. Однако чиновники начали применять этот закон для решения собственных проблем. И хотя новые редакции ФЗ-152 лучше защищают бизнес от произвола чиновников, тем не менее злоупотребления по-прежнему остаются.

В частности, Артём Агеев привёл пример слишком большого числа проверок по Краснодарскому краю. В планах проверок Роскомнадзора значится всего 18 организаций, которых ведомство должно было поверить за год, однако за три месяца его деятельности уже было выписано 178 штрафов. Дело в том, что в ФЗ-152 есть норма, которая позволяет выписывать штраф просто в том случае, когда организация не ответила на письменный запрос ведомства или не опубликовала на сайте политику обработки персональных данных. В результате, у чиновников появилась возможность получить деньги не проводя реально ни каких проверок. Кроме того, проблемой является получение разрешений со стороны компаний. В частности, приведён случай, когда от больницы потребовали уничтожить ранее собранные разрешения только по тому, что законодательно их получать не нужно. Регуляторы также могут на основании ФЗ-152 отозвать лицензию у компании или даже совсем признать её деятельность незаконной. Вывод Артём Агеев делает такой: "Крупным организациям стоит иметь ввиду, что законодательство в области персональных данных с легкостью может быть использовано для рейдерства."

Впрочем, Михаил Емельянников считает, что в такой ситуации виноваты не только чиновники, но и сами организации, которые часто являются некомпетентным по части собственной юридической защиты. "Проблема подобных проверок в компетентности и проверяющих, и проверяемых", - считает он. Так что компаниям либо придётся платить деньги государству, либо специалистам, которые защитят их от него. Впрочем, Алексей Волков в своём блоге ещё в апреле 2012 года рассказал случай из собственной практики, где оператору удалось самостоятельно решить проблему с проверкой Роскомнадзора. После успешного отпора проблем у оператора с персональными данными уже не было.

Отдельный пример атаки с помощью ФЗ-152 на социальные сети. Артём Агеев привёл пример, когда учитель опубликовал в "Одноклассниках" фото своего класса и был оштрафован за то, что не собрал у своих учеников разрешения на публикацию фото. Вряд ли такое действие государства можно назвать защитой прав на частную жизнь - после такого, по идее, каждый зарегистрированный в социальной сети будет думать нужно ли ему что-то публиковать в ней. Поэтому такие действия чиновников можно расценивать скорее как давление на социальные сети. Собственно, сейчас уже понятно, что закон о персональных данных будет использован государством для давления на социальные сети - для этого, в частности, был по мнению Михаила Емельянникова был принят федеральный закон №97, называемый "О блогерах", который в том числе вносит измерения в ФЗ-152 с требованием хранить персональные данные россиян на территории России. Правда, вступит он в силу только 1 сентября 2016 года.

Впрочем, Сергей Борисов привёл обратный пример, в котором ФЗ-152 был использован гражданами для давления на правоохранительные органы. В частности, была организована массовая акция по обращению в суд на ГИБДД с целью признать незаконными результаты видеофиксации нарушений. Кроме того, на письмах с требованиями штрафа за зафиксированные нарушения по решению Верховного суда должна стоять цифровая подпись инспектора. Таким образом, закон всё-таки может быть использован в том числе и для борьбы граждан против чиновников.

Обеспечение информационной безопасность - одна из задач государственного управления. Конечно, компании должны сами и самостоятельно обеспечивать безопасность информации своих клиентов, но государство в принципе имеет право установить хотя бы минимальные требования по безопасности предоставляемых услуг. Такие требования есть уже в банковской сфере, причем как международные - PCI DSS - так и российские, установленные Центробанком. Однако в России есть и другие отрасли, в которых информационная безопасность не менее важна - это связь.

Большинство атак сейчас совершается сейчас с использованием телематических сетей, в том числе и с использованием единой сети связи общего пользования - Интернет. При этом операторы по закону, ограничены в возможности защиты клиентов - закон предписывает им не вмешиваться в передаваемую информацию. Однако, если один клиент нападает на другого, разве не вправе оператор вмешаться? Попытаемся разобраться в этом вопросе.

Вот что написано в основном законе, который регламентирует отношения в отрасли связи, ФЗ-126 "О связи" в статье 12 пункт 2:

Для сетей электросвязи, составляющих единую сеть электросвязи Российской Федерации, федеральный орган исполнительной власти в области связи:

определяет порядок их взаимодействия, а в предусмотренных законодательством Российской Федерации случаях - порядок централизованного управления сетью связи общего пользования;

в зависимости от категорий сетей связи (за исключением сетей связи специального назначения, а также выделенных и технологических сетей связи, если они не присоединены к сети связи общего пользования) устанавливает требования к их проектированию, построению, эксплуатации, управлению ими или нумерации, применяемым средствам связи, организационно-техническому обеспечению устойчивого функционирования сетей связи, в том числе в чрезвычайных ситуациях, защиты сетей связи от несанкционированного доступа к ним и передаваемой по ним информации, порядку ввода сетей связи в эксплуатацию;

устанавливает в соответствии с законодательством Российской Федерации об обеспечении единства измерений обязательные метрологические требования к измерениям, выполняемым при эксплуатации сети связи общего пользования, и к применяемым средствам измерений в целях обеспечения целостности и устойчивости функционирования сети связи общего пользования.

Таким образом, государство в соответствии с законом "О связи" также должно обеспечивать также и целостность единой сети электросвязи и её устойчивость, для чего может предъявлять определённые требования к операторам. Что же подразумевается под этими характеристиками? Вот, как определены целостность и устойчивость в приложении к Приказу министерства связи с номером 113 от 27 сентября 2007 года:

2. Организационно-техническое обеспечение устойчивого функционирования сети связи общего пользования представляет собой совокупность требований и мероприятий, направленных на поддержание:

1) целостности сети связи общего пользования как способности взаимодействия входящих в ее состав сетей связи, при котором становится возможным установление соединения и (или) передача информации между пользователями услугами связи;

2) устойчивости сети связи общего пользования как ее способности сохранять свою целостность в условиях эксплуатации, соответствующих установленным в документации производителя, при отказе части элементов сети связи и возвращаться в исходное состояние (надежность сети связи), а также в условиях внешних дестабилизирующих воздействий природного и техногенного характера (живучесть сети связи).

Здесь следует отметить, что целостность подразумевает обеспечение взаимодействия устройств пользователей услуг связи. Операторы же должны как минимум обеспечивать защиту от DoS-атак, не ссылаясь на то, что они предоставляют услуги как есть. Необходимость обеспечить сохранение целостности (устойчивость) в том числе и от дестабилизирующих воздействий техногенного характера, позволяет обязать операторов не только предотвращать DoS-атаку блокированием, но и выполнять некоторые превентивные действия. В частности, сейчас DoS организуется с помощью зомби-сетей, поэтому для сохранения целостности единой сети связи операторам необходимо также пресекать коммуникации зомби с управляющим центром, выявлять сами управляющие центры и организовывать очистку от вредоносных программ клиентов.

Следует отметить, что целостность сети необходима и для обеспечения доступности веб-серверов, тоесть операторы, по идее, должны помогать своим клиентам в защите и от фишинга, и от воровства паролей, и от вредоносных программ, и от большинства сетевых атак. Для этого необходимо обеспечить устойчивую работу таких сервисов как DNS, возможно с внедрением DNSSec. Кроме того, необходима PKI-инфраструкта для распространения сертификатов SSL. В целом, желательно, чтобы государство поддерживало наиболее важные инфраструктур обеспечения целостности сети связи - например, реестр командных серверов зомби-сетей. Возможно, при координации защитных действий провадеров государству и удастся снизить уровень вредоносной активности в Интернет, улучшив тем самым целостность и устойчивость российских телекоммуникационных сетей.

Правительство РФ приняло решение о передаче "Научно-технического центра "Атлас" и его имущества в ведение Мининформсвязи. Перед этим из состава НТЦ будет выделено госпредприятие "Центринформ", оно отойдет к ФНС РФ. НТЦ "Атлас" контролировался ФСБ РФ во время создания им ЕГАИС (системы контроля производства и оптовой продажи алкогольной продукции, известной тем, что ее ПО работало из рук вон плохо). После этого НТЦ "Атлас" было передано в ведение Федерального агентства по промышленности.
Служба информации OSP

Ссылки:
"Атлас" передают в ведение Мининформсвязи

Владимир Путин подписал указ о порядке выхода в Internet организаций, работающих с государственной тайной - "О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена". Обозначены условия, при которых госучреждения, работающие с гостайной могут выходить в Internet (общий принцип - они этого делать не должны). Федеральной службе охраны поручено поддерживать сегмент Internet, предназначенный специально для работы госорганов. Выход в него может осуществляться через серверы, находящиеся в ведении федеральных органов исполнительной власти, подведомственных им учреждений и организаций, Российской академии наук, государственных научных организаций профильных государственных вузов. Оборудование для такого подключения к Internet должно сертифицироваться в ФСБ или ФСТЭК. Подключение должно проходить с использованием сертифицированных средств защиты информации, в том числе шифровальных.
Служба информации OSP

Ссылки:
Путин определил "отношения" Internet и гостайны

Раскрыт один из видов деятельности ФБР по борьбе с детской порнографией: фальшивые ссылки на видеофайлы с ней распространялись в Internet агентами ФБР, и затем устраивались рейды на дом к тем, кто кликал на ссылки. Подтверждено по крайней мере три таких случая, одному из обвиняемых грозит от трех до пяти лет тюрьмы (суд состоится в апреле). Данная практика получила крайне противоречивые отзывы правозащитников. С одной стороны, общественное отношение к детской порнографии в США крайне негативное, с другой - к беспрецедентной легкости, с которой можно получить себе на голову рейд ФБР, отношение в обществе тоже непростое.
Служба информации OSP

Ссылки:
ФБР устраивает провокации любителям детской порнографии