Новые нормы безопасности хостинг-услуг: кого могут коснуться изменения

Законопроект с новыми требованиям к работе хостинг-провайдеров может вступить в силу в ближайшее время. Согласно документу, хостинговые компании должны будут подключиться к системам противодействия кибератакам и соблюдать новые требования по информационной безопасности. В статье рассказываем, кого могут коснуться изменения и что предпринять владельцам сайтов уже сейчас.

Зачем нужны нововведения? 

Рост кибератак — всемирный тренд. По мнению международных экспертов, с 2023 по 2028 год оценочная стоимость киберпреступности будет увеличиваться на $5,7 трлн ежегодно. Поэтому новые требования к хостинговым компаниям — необходимые меры, которые будут предпринимать повсеместно. Например, в странах Европейского союза на стадии разработки находятся законы в области суверенизации ИТ-инфраструктуры, а в Китае есть законодательно утвержденный реестр хостинг-провайдеров.
С прошлого года количество кибератак в Рунете стремительно растет — в первом квартале 2023 их было в полтора раза больше, чем за этот же период в 2022. За 2 квартал зафиксировано уже 325 тысяч инцидентов. А число киберугроз на российские ИТ-компании увеличилось в 4 раза.

Характер взломов тоже изменился — выросло число фишинговых атак на ИТ-инфраструктуру и самих пользователей. Сегодня лидеры отрасли активно повышают уровень защищенности и работают над информационной безопасностью, поэтому хакеры ищут уязвимости через их партнеров, реселлеров или небольших игроков, которые уделяют безопасности недостаточно внимания. Для поиска узких мест злоумышленники используют разные приемы, в том числе чаще применяют киберразведку. Это создает риски для хостинг-провайдеров и их клиентов — на рынке много компаний, которые не имеют собственных мощностей, а просто перепродают услуги хостинга, покупая серверы у зарубежных и отечественных фирм. 

Новые нормы призваны защитить компании, их клиентов и пользователей от такого рода вмешательств.  

Как теперь будут работать хостинг-провайдеры

Новые правила находятся в процессе обсуждения, но могут быть приняты в ближайшее время. Одно из важных нововведений в законопроекте — оказывать услуги хостинга смогут компании, вошедшие в реестр Роскомнадзора. Его формирование начнется с 1 декабря 2023 года. Чтобы попасть в реестр, нужно будет: 

• существующим провайдерам — сообщить о своей деятельности до 15 декабря 2023 года;
• новым провайдерам — отправить заявку в ведомство, на ее рассмотрение уйдет 10 рабочих дней. 

Провайдеров, которые не войдут в реестр, могут признать незаконными, однако пока ответственность за это не предусмотрена. 

Кроме того, хостеры должны будут соблюдать новые требования кибербезопасности: 

➤ осуществлять взаимодействие с органами, осуществляющими оперативно-розыскную деятельность или обеспечение безопасности, с использованием технических средств (СОРМ);

➤ использовать национальную систему доменных имен;

➤ подключиться к государственной системе противодействия кибератакам;

➤ передавать данные о вредоносном трафике;

➤ идентифицировать клиентов одним из доверенных способов: через единую систему идентификации (ЕСИА), биометрическую систему (ЕБС), усиленную квалифицированную электронную подпись, с помощью паспорта или других удостоверяющих документов, а также по банковскому переводу или СБП, номеру телефона или иной информационной системе провайдера, контролируемой российским юрлицом. 

Эти меры помогут избежать утечек персональных данных и защитить хостинг-провайдеров и их клиентов от кибератак, а также от атак, направленных на инфраструктуры хостинг-провайдеров. В случае нарушений хостинговую компанию могут исключить из реестра провайдеров.

Пока новые правила находятся в процессе обсуждения и доработки. Но уже сейчас можно говорить, что:

• нужно ответственно подходить к выбору хостинговой компании;
• среднему и малому бизнесу, владельцам и администраторам сайтов, фрилансерам и самозанятым, которые монетизируют свои услуги в интернете, нужно оценить возможности хостинг-провайдера, его устойчивость и в случае сомнений перенести ресурсы к надежному поставщику;
• с 1 декабря хостинг-провайдеры будут обязаны проверять личность клиентов — физических и юридических лиц. При этом клиенты-нерезиденты хостинг-провайдеров смогут работать в России без заключения договоров на основании публичной оферты, для этого Минцифры дорабатывает процедуру проверки личности и готовит дополнения к правилам. 

⌘⌘⌘

Список всех требований и механизмов пока еще прорабатывается с учетом предложений профессионального сообщества и заинтересованных ведомств. Но компаниям и администраторам сайтов уже сегодня стоит задаться вопросами: 

• где зарегистрирован домен,
• на каком хостинге расположен сайт,
• соответствует ли поставщик новым законодательным нормам.

Если вы уверены в своем хостинг-провайдере, нужно актуализировать данные, а если нет — самое время перенести сайт к надежному хостеру. 

Если вы ответственный хостинг-провайдер и переживаете за клиентов — передайте бизнес под управление Рег.ру.