Новые правила исследования уязвимостей: изменяющее постановление о раскрытии и реагировании
Что произошло?
Правительство приняло постановление (№1580) в качестве дополнения к постановлению №497, изменяющему порядок выявления уязвимостей. Теперь белые хакеры (researchers, bug hunters) и баг-ангелы могут исследовать и сообщать об уязвимости без предварительного согласия владельца системы, при отсутствии несанкционированного вмешательства в инфраструктуру. Введена обязанность сообщать CERT-UA или соответствующие CSIRT и владельцу в течение 24 часов; допускается анонимное сообщение или с использованием псевдонима. Разрешено временное публичное раскрытие технических деталей в случае необходимости.
Почему это важно?
Изменения кодифицируют инструменты и права исследователей и госорганов: теперь поиск уязвимостей регулируется отдельной процедурой, а ответственность за реагирование на сообщения возлагается на CERT-UA/CSIRT и владельцев систем. Это уменьшает правовую неопределенность белого хакинга, но повышает обязанности операторов инфраструктуры относительно постоянного мониторинга и взаимодействия с центрами реагирования. Новая модель также предусматривает плановое и внеплановое сканирование госсистем и централизованный сбор информации об уязвимости.
Что будет дальше?
Ожидается, что операторы начнут адаптировать внутренние процедуры: заключать соглашения с CSIRT, внедрять постоянный мониторинг и процессы обработки сообщений. CERT-UA и региональные CSIRT расширят оперативные каналы для получения и анализа данных, определят внутренние SLA на реагирование. Возможен рост количества анонимных сообщений и публичных разоблачений, а также более интенсивные плановые и внеплановые проверки госсервисов.
Как это отразится на тебе?
Если вы работаете в ИТ или защищаете сети, необходимо просмотреть политики безопасности, контактные процедуры для CERT/CSIRT и порядок реагирования на сообщения об уязвимости. Следует внедрить механизмы быстрого приема сообщений, унифицированные журналы инцидентов и плановые сканирования. Для исследователей изменения дают юридически признанную процедуру сообщения, при условии соблюдения ограничений по вмешательству; Для пользователей это означает потенциально быстрее выявление и устранение рисков, но возможность временной публичности технических подробностей.
