Генпрокуратура и СК выступили против легализации деятельности «белых» хакеров

Генпрокуратура, МВД и Следственный комитет (СК) выступили против внесения поправок в Уголовный кодекс (УК), которые выводят из-под его действия создание и использование вредоносного софта «белыми» хакерами по заданию заказчика. Об этом сообщает РБК со ссылкой на аудиозапись совещания в Госдуме, которое было посвящено поправкам в УК и прошло 28 ноября. Подлинность аудиозаписи подтвердили два участника обсуждения в парламенте. 

Минцифры с лета 2022 года пытается ввести в правовое поле понятие bug bounty. Так называют поиск уязвимостей в программном обеспечении (ПО) за вознаграждение, который ведут «белые» хакеры. В феврале 2023 года глава комитета Госдумы по информационной политике Александр Хинштейн заявил, что «белые» хакеры, действующие в интересах России на ее территории и за рубежом, должны быть освобождены от ответственности и что такой вопрос планируется проработать. В марте «Ведомости» со ссылкой на источники писали, что движение законопроекта осложнилось из-за позиции ФСБ и Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Сам пакет законопроектов в Госдуму до сих пор не внесли, но РБК ознакомился с обсуждаемой версией поправок. Ее подлинность подтвердил собеседник, близкий к авторам инициативы. Изменения предполагается внести в закон «Об информации, информационных технологиях и защите информации», Гражданский и Уголовный кодексы. Предлагается:

• разрешить создание и использование вредоносного софта «белыми» хакерами по заданию заказчика; 

• позволить «белым» хакерам изучать и тестировать ПО для выявления уязвимостей и их исправления;

• обязать «белых» хакеров сообщать о выявленных «дырах» в ПО правообладателю софта;

• дать возможность обладателям информации и операторам информационных систем привлекать сторонних специалистов для выявления уязвимостей;

• предоставить правительству право установить требования к выявлению уязвимостей, сейчас их определяет заказчик поиска уязвимостей.

Начальник отдела информбезопасности главного управления правовой статистики и информационных технологий Генпрокуратуры Алексей Алборов заявил на совещании в Госдуме, что уголовное законодательство применяется исключительно в тех случаях, когда разработчик софта изначально создавал и использовал его для несанкционированного доступа к системам и причинения ущерба. В случае работы по заказу нет факта причинения ущерба и нарушения общественных отношений или воли правообладателя, добавил Алборов. Руководитель отдела по расследованию киберпреступлений и преступлений в сфере высоких технологий управления по расследованию отдельных видов преступлений ГСУ СК Константин Комарды сказал, что, несмотря на возможность привлечь к уголовной ответственности человека, который тестирует чью-либо информсистему на уязвимости, на практике этого никто не делает.

Комарды добавил, что, в случае работы по договору или по заявке  на тестирование от правообладателя информсистемы или сети, программист «привлекается на легальных основаниях и создает программу под конкретный случай, его действия не образуют состав преступления». Человек должен совершать преступление осознанно, для причинения негативных последствий, — в этом случае образуется состав преступления, отметил он. СК пришел к выводу, что поправки в УК будут излишними, заявил руководитель отдела по расследованию киберпреступлений и преступлений в сфере высоких технологий. Позицию Генпрокуратуры и СК поддержал участник обсуждения от МВД.

Один из участников совещания отметил, что если поправки будут приняты, то хакеры со злым умыслом начнут предъявлять документы о заключении договора на тестирование, чтобы доказать свою невиновность, а доказать обратное будет сложно. Участвовавший в совещании директор по продуктовому развитию «Солар секьюрити» Владимир Бенгин рассказал, что более 50% российских этичных хакеров не выходят в легальное поле, так как боятся привлечения к уголовной ответственности. «Если поправки будут внесены, и «белые» хакеры увидят эту строчку в Уголовном кодексе, это изменит ситуацию», — отметил Бенгин.

Один из авторов поправок, депутат Антон Немкин, рассказал, что их продолжает обсуждать рабочая группа, в которую входят представители Минцифры, ФСБ, МВД и ФСТЭК. Парламентарий рассчитывает, что законопроект удастся доработать в срок до года. Немкин полагает, что для исключения рисков нужно обязать «белых» хакеров регистрироваться перед проведением тестирования, оставлять сообщение о своих намерениях и предоставлять свой IP-адрес.