В обстановке повышенной секретности. Хостеры обсудили с Минцифры упрощенную идентификацию клиентов
О прошедшем 29 сентября в Минцифры совещании ComNews рассказали несколько его участников. "Представители ведомства обсуждали с участниками рынка проект постановления правительства, который называется "Об утверждении Правил идентификации и (или) аутентификации лиц, обратившихся к провайдеру хостинга в целях получения вычислительной мощности для размещения информации в информационной системе, постоянно подключенной к информационно-телекоммуникационной сети Интернет". Он был размещен для публичного обсуждения с 22 по 28 сентября на федеральном портале проектов нормативных правовых актов и сейчас передан для утверждения в правительство. Минцифры пообещало нам, что примет все наши пожелания по поводу упрощения процедуры идентификации наших пользователей", - рассказал ComNews один из участников совещания.
При этом он не стал уточнять, какие именно пожелания высказаны хостинг-провайдерами в адрес ведомства. "Нам важно, чтобы это все не сводилось к предъявлению паспорта, как это значилось в рабочем варианте документа. Иначе у нас все пользователи уйдут на зарубежные хостинги - там таких требований нет, а никто из них распоряжение Минцифры выполнять не будет", - отметил представитель российской хостинг-компании.
В паспорте проекта документа значится, что он разработан в соответствии с пунктом 4 плана-графика подготовки нормативных правовых актов, необходимых для реализации норм Федерального закона от 31 июля 2023 г. №406-ФЗ "О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации" и Федеральный закон "О связи", утвержденного заместителем председателя правительства Российской Федерации Д.Н. Чернышенко 23 августа 2023 г. №7513-П10-ДЧ, а также частью 5 статьи 10.2-1 Закона от 27 июля 2006 г. №149-ФЗ "Об информации, информационных технологиях и о защите информации".
Нормы предусматривают создание реестра хостеров, устанавливают порядок их взаимодействия с силовыми ведомствами и вводят запрет для российских хостеров на регистрацию пользователей, у которых нет российского номера телефона или электронной почты от российской компании.
В документе значится четыре способа идентификации для пользователей хостинга: через "Госуслуги" или Единую биометрическую систему, с помощью усиленной квалифицированной электронной подписи (УКЭП), через перевод со счета в банке, расположенном в России или другой стране Евразийского экономического союза (Казахстан, Белоруссия, Армения), а также при предъявлении документов в офисе провайдера - паспорта (для физических лиц), выписки из Единого госреестра индивидуальных предпринимателей (для ИП) или Единого госреестра юридических лиц и доверенности (для представителей компаний).
Как проходило совещание и в чем именно заключается упрощенная идентификация для пользователей российских хостинг-площадок в Минцифры ComNews ответить не смогли.
"Минцифры находится в тесном взаимодействии с отраслью по всем вопросам, связанным с регулированием деятельности хостинг-провайдеров", - заверила пресс-служба Минцифры.
Говорить запрещено
Гендиректор хостинг-провайдера RUVDS Никита Цаплин, который участвовал в совещании, также отказался обсуждать с ComNews детали совещания, заявив, что представители Минцифры запретили его участникам о нем рассказывать. При этом он заверил корреспондента ComNews, что все опасения провайдеров по поводу ужесточения правил регистрации пользователей в ходе совещания были развеяны.
"Недавно Минцифры опубликовало проект постановления, составленного для приведения мер регулирования рынка хостинг-провайдеров в соответствие с новыми редакциями законов "Об информации" и "О связи", которые в конце июля утвердил президент. Тогда в документе говорилось о четырех вариантах авторизации: по номеру телефона, через единую систему идентификации и аутентификации ("Госуслуги"), с помощью биометрии, а также "с использованием иной информационной системы, обеспечивающей авторизацию пользователей сайтов". Но в силу того, что ведомство представило именно проект, в нем был указан неполный перечень способов идентификации клиентов "хостеров", что вызвало в профессиональном сообществе не совсем верные трактовки. Министерство само заинтересовано, чтобы слышать участников рынка, именно потому и проведено совещание, чтобы получить обратную связь. Документ будет доработан - в нем появятся дополнительные способы упрощенной авторизации пользователей хостинг-услуг", - рассказал Никита Цаплин ComNews.
ИТ-консультант Александр Баулин добавил, что идеальным компромиссом для бизнеса и государства было бы, если бы по итогам совещания Минцифры одобрило способы авторизации клиентов провайдеров, которые утверждены в начале июля президентом в новых редакциях законов "Об информации" и "О связи".
"С одной стороны, они давали простор для выбора бизнесу и частным пользователям: авторизация могла производиться по номеру телефона, через единую систему идентификации и аутентификации ("Госуслуги"), с помощью биометрии, а также "с использованием иной информационной системы", обеспечивающей авторизацию пользователей сайтов. С другой стороны, Минцифры могло быть уверено в надежной идентификации. Возможно, регулятор захочет уточнить понятие "иной информационной системы". В целом такой подход, видимо, позволит обеспечить вопросы безопасности и не потребует новых вложений от бизнеса, который лояльно отнесся к новым нормам в июле и вложился в их реализацию", - отметил Александр Баулин.
Угроза провайдерам
Ведущий аналитик Mobile Research Group Эльдар Муртазин отметил, что упрощенная идентификация поможет участникам рынка не нести большие расходы. "Cегодня технический регламент и сам документ не проработаны, и можно говорить, что ужесточение этих проверок ставят под угрозу любого провайдера", - сказал Эльдар Муртазин ComNews.
Он добавил, что у участников рынка до сих пор нет понимания, в чем заключается упрощенная система идентификации. "Что такое упрощенная система, не очень понятно - мы все равно живем в парадигме, что нет таких данных, как это будет происходить. У нас вообще в последнее время принимается огромное количество нормативных актов и законов, которые не описывают процедуру, технический регламент - как и что будет работать. То есть у них есть пожелания, например идентификация клиентов, но как именно они будут реализованы, не говорится. Это основная проблема", - отметил Эльдар Муртазин.
По его словам, в отсутствие технического регламента провайдерам невозможно посчитать расходы, а в условиях кризиса любой дополнительный расход ложится на плечи провайдера. "Подробнее сказать ничего нельзя, потому что отсутствует понимание, в том числе у провайдеров, как это будет реализовано на практике", - заключил аналитик.
Удар по массовым услугам
Независимый ИТ-эксперт Вадим Плесский считает, что нововведения затронут в первую очередь провайдеров, предоставляющих хостинг-услуги небольшого объема частным лицам и малому бизнесу, поскольку крупные провайдеры уже давно используют при заключении договоров с клиентами документы, позволяющие идентифицировать как физических лиц, так и компании.
"Процедура размещения серверов или аренда выделенных серверов и виртуальных машин в дата-центре достаточно либеральна. Крупные провайдеры уже сейчас проводят полную идентификацию клиента - регистрационные данные компании, ФИО и контактный номер уполномоченного от компании лица. Эти компании и их клиентов нововведения не затронут. Небольшие провайдеры могут зачастую вообще не проводить идентификацию: им заплатили за размещение сервера, они получили деньги - и все довольны. Таких провайдеров и их клиентов новая инициатива Минцифры затронет в значительной степени. Им придется ввести процедуру идентификации всех клиентов, без исключения", - сказал Вадим Плесский ComNews.
По его словам, упрощенная процедура идентификации, о которой шла речь в Минцифры, могла бы осуществляться по номеру телефона, однако из-за несовершенства способов регистрации SIM-карт этот способ маловероятен. "Под упрощенной идентификацией могут понимать идентификацию по номеру телефона - человек получает код подтверждения на номер мобильного телефона, вводит его в форму на странице регистрации и тем самым подтверждает, что он - это он. Однако в данном случае маловероятно, что будет выбран такой способ. Регулятор до сих пор не добился, чтобы все SIM-карты в России были однозначно идентифицированы. И код подтверждения с номера мобильного, который зарегистрирован непонятно на кого, не позволит идентифицировать реального владельца. Скорее всего, идентификация будет сделана через "Госуслуги" - это достаточно простой и понятный способ, и может быть быстро реализуем. Однако всем провайдерам в любом случае понадобится дорабатывать свои внутренние системы", - отметил Вадим Плесский.
При этом эксперт считает, что введение новых правил вызовет отток мелких пользователей из российских хостинг-компаний в зарубежные. "Что касается пользователей хостингов, то им такой способ идентификации не понравится. Количество клиентов из малого и среднего бизнеса и частных лиц, скорее всего, сократится. Для многих будет проще и безопаснее арендовать серверы за рубежом", - заключил Вадим Плесский.
