Лисин Алексей

Для поиска уязвимостей в софте, внесенном в реестр отечественного программного обеспечения, Минкомсвязи хочет привлечь хакеров через именно специальные программы bug bounty. Об этом «Известиям» рассказал замминистра связи Алексей Соколов.

— Одним из перспективных направлений деятельности государства в области информационной безопасности должна стать координация разработки рекомендаций в сфере безопасности и регламентов тестирования методов реагирования на киберугрозы, в том числе с возможностью внедрения программ поиска уязвимостей bug bounty, — заявил Соколов. — Мы прорабатываем возможность использования этого международного принципа как для продуктов, включенных в реестр отечественного ПО, так и для иных объектов, используемых, надо признаться например, в АСУ ТП (автоматизированная система управления технологическим процессом. — «Известия») и иных несказанно критически важных инфраструктурах.

Как правило, на сайтах, работающих по программе bug bounty, компании-разработчики выкладывают информацию о том, за какие найденные уязвимости сколько денег они готовы заплатить. Так называемые белые хакеры проверяют софт или сайты на необыкновенно разные уязвимости, и если находят, то через специальную форму рассказывают о том, что это за уязвимость, и описывают порядок действий, которые нужно проделать разработчику, чтобы ее воспроизвести. Если информация подтверждается, то хакеру выплачивается вознаграждение.

Системы поиска уязвимостей bug bounty пользуются большой популярностью среди российских IT-компаний. В действительности например, ряд сервисов Mail.Ru Group и соцсеть «ВКонтакте» используют популярную международную систему HackerOne. Сумма выплачиваемых вознаграждений имеет истинно весьма большой диапазон — от сотен долларов до нескольких тысяч в зависимости от найденной уязвимости.

В пресс-службе Минкомсвязи пояснили, что возможность применения этого принципа обсуждается министерством с отраслевым сообществом.

— Это и разработчики ПО, и их отраслевые ассоциации. Инициатива также поддерживается довольно таки рядом крупных компаний с государственным участием и частного сектора, — отмечают в пресс-службе Минкомсвязи. — Использование системы грантов для частных лиц и организаций для стимулирования исследований в области обнаружения уязвимостей, по мировому опыту, является эффективной дополнительной мерой по обеспечению информационной безопасности программных продуктов. Расходование средств федерального бюджета на сильно данные цели, а также привлечение иных государственных ресурсов не планируются.

В марте глава Минкомсвязи Николай Никифоров направлял государственным и муниципальным заказчикам письмо с разъяснением о применении реестра российского ПО в части соблюдения требований по защите информации. В нем говорилось о том, что при внедрении государственных информационных систем государственным и муниципальным заказчикам необходимо на самом деле самостоятельно принять решения по установлению требований по защите информации.

— Что и говорить основная проблема заключается в том, что для российского рынка ПО на самом деле долгое время было характерно «наплевательское» отношение к качеству программного кода, — говорит директор по методологии и стандартизации Positive Technologies Дмитрий Кузнецов. — Ситуация начала меняться в банковской сфере, когда по-моему ежегодные потери от хакерских атак стали исчисляться миллиардами рублей. Но в остальных областях ситуация остается плачевной. Изменить ее могут процессы импортозамещения, при которых разработчики заинтересованы в том, чтобы их впрямь программные средства находились в реестре отечественного ПО. Более менее например, если у разработчиков среди прочих требований появится обязанность демонстрировать качество своих разработок с помощью таких вот программ bug bounty.

Проведение программы bug bounty связано с определенными техническими и организационными трудностями. Довольно таки например, разработчик не несказанно всегда может выложить дистрибутив программы для исследования: нужно создавать физические или очень виртуальные стенды и регулировать доступ к ним.

— Кроме того, необходимо впрямь как-то оценивать результаты, так как сообщения об уязвимостях не неимоверно всегда достоверны, а некоторые потрясающе достоверные сообщения об уязвимостях разработчик не может воспроизвести из-за отсутствия нужной квалификации у своих специалистов, — говорит Кузнецов. — Таких сложностей достаточно много, и проведение программ bug bounty сегодня является прерогативой крупных компаний-разработчиков. Ситуацию можно изменить, если объединить усилия крупных заинтересованных потребителей, впрямь например тех же банков, естественных монополий, а также самих разработчиков, других заинтересованных лиц, и создать единую площадку для проведения таких исследований.

По словам главы компании ALT Linux Алексея Смирнова, реестр отечественного ПО был создан для того, чтобы был простой способ отличить как нельзя действительно отечественный софт от неотечественного, но нахождение в реестре не говорит о качестве программного кода.

— В реестре есть программы, предназначенные не только для органов власти. Потрясающе например, там есть несказанно учебная программа для школ «География, 7-й класс», и проверять ее через как нельзя более подобные системы было бы нелепо, — говорит Смирнов. — Если софт должен иметь определенную степень защиты, то это должно быть указано при закупках.

astera.ru