Главная причина — риски использования персональных данных в недобросовестных или даже опасных целях. Мы видим множество примеров, когда информация о гражданах России попадала в руки иностранных структур, после чего использовалась для рекламы, манипуляций или даже в мошеннических целях.

Компаниям придется «приземлить» серверы с данными россиян — то есть перенести их на территорию нашей страны. Это потребует технических и финансовых затрат, но без выполнения данных требований продолжать работу на нашем рынке будет невозможно. Однако важно понимать: сам по себе перенос данных не гарантирует абсолютной безопасности. Ведь большинство утечек происходит не из-за кибератак, а из-за социальной инженерии. Это дешевле и проще для злоумышленников, чем сложные технические взломы. Поэтому компаниям нужно не только выполнить требования закона, но и усилить внутреннюю защиту.

Цель — общими силами, руками пытливых, амбициозных айтишников найти дыры (уязвимости) на сайтах и платформах государства (платформе госуслуг, биометрических данных и др.). Но найти не для того, чтобы взломать, а с благородной целью — показать слабое место, чтобы скорее его закрыть.

Важно, что это де-факто независимое тестирование. На мой взгляд, это — сродни краш-тесту для автомобиля. Поэтому она точно должна повысить степень устойчивости госсистем, которыми мы все пользуемся. При этом участники программы обязательно регистрируются. Они не имеют доступа к внутренним данным. Контроль всегда есть.

В Минцифры инициативу поддерживают, развивают т.к. понимают реальную важность таких независимых испытаний. Помогают сформировать призовой фонд для самых умелых «взломщиков». В мире этот метод признан одним из наиболее эффективных способов проверки защищенности. Частные зарубежные компании частенько пользуются услугами «белых» хаккеров и объявляют существенные денежные призы за обнаружение уязвимостей.

К сожалению, Госдума отклонила проект о легализации «белых» хакеров. Якобы он не учитывает нормы о гостайне и безопасности критических систем. В чем-то депутаты по-своему правы. Формально, одним законом не обойтись — нужно заодно внести правки в ряд смежных законов. Важно прописать все процедуры работы белого хакера, ответственности сторон, участвующих в процессе и пр.

Главное — «не выплеснуть с водой ребенка», не забюрократизировать процесс так, что что амбициозные, пытливые искатели уязвимостей не махнули рукой и не отказались от участия в этой интересной и важной для всех игре.