Нові правила дослідження вразливостей: що змінює постанова про розкриття і реагування

Що сталося?

Уряд ухвалив постанову (№1580) як доповнення до постанови №497, що змінює порядок виявлення вразливостей. Тепер білi хакери (researchers, bug hunters) та баг-ангели можуть досліджувати і повідомляти про вразливості без попередньої згоди власника системи, за умови відсутності несанкціонованого втручання в інфраструктуру. Введено обов’язок повідомляти CERT-UA або відповідні CSIRT та власника протягом 24 годин; допускається анонімне повідомлення або з використанням псевдоніма. Дозволено тимчасове публічне розкриття технічних деталей у разі необхідності.

Чому це важливо?

Зміни кодифікують інструменти і права дослідників та держорганів: відтепер пошук вразливостей регулюється окремою процедурою, а відповідальність за реагування на повідомлення покладається на CERT-UA/CSIRT і власників систем. Це зменшує правову невизначеність для білого хакингу, але підвищує обов’язки операторів інфраструктури щодо постійного моніторингу і взаємодії з центрами реагування. Нова модель також передбачає планові й позапланові сканування держсистем і централізований збір інформації про вразливості.

Що буде далі?

Очікується, що оператори почнуть адаптувати внутрішні процедури: укладатимуть угоди з CSIRT, впроваджуватимуть постійний моніторинг і процеси обробки повідомлень. CERT-UA і регіональні CSIRT розширять оперативні канали для отримання та аналізу даних, визначать внутрішні SLA на реагування. Можливе зростання кількості анонімних повідомлень і публічних розкриттів, а також більш інтенсивні планові й позапланові перевірки держсервісів.

Як це вплине на тебе?

Якщо ви працюєте в ІТ або захищаєте мережі, треба переглянути політики безпеки, контактні процедури для CERT/CSIRT і порядок реагування на повідомлення про вразливості. Варто впровадити механізми швидкого прийому повідомлень, унифіковані журнали інцидентів і планові сканування. Для дослідників зміни дають юридично визнану процедуру повідомлення, за умови дотримання обмежень щодо втручання; для користувачів це означає потенційно швидше виявлення і усунення ризиків, але й можливість тимчасової публічності технічних подробиць.