В рамках растущего внимания к технологическому сектору в Китае принят новый всеобъемлющий закон о защите персональной информации (Personal Information Protection Law, PIPL), вступающий в силу 1 ноября 2021 года. В сочетании с недавно принятым в Китае и все еще недостаточно изученным Законом о защите данных, который действует с 1 сентября 2021 года, новые положения вводят целый ряд требований в части защиты и обеспечения безопасности и конфиденциальности данных ко всем международным компаниям, ведущим бизнес в Китае.

Эти важные законы вписываются в широкую «политику информатизации» Китая, которую председатель КНР Си Цзиньпин назвал современным эквивалентом индустриализации. Впрочем, закон о защите данных в большей степени соответствует роли закона о кибербезопасности, нежели PIPL. А председатель Си, стремящийся в сделать из Китая сверхдержаву в киберпространстве, как-то сказал, что «кибербезопасность и информатизация – два крыла одного тела и два колеса одного двигателя».

Национальная безопасность и интересы общества

Смоделированный частично на основе европейского регламента General Data Protection Regulation (GPDR), закон PIPL определяет правовой режим для всех данных с точки зрения как перспектив национальной безопасности, так и общественных интересов. Он направлен на достижение четырех основных целей, к которым относятся:

• Защита прав и интересов физических лиц.
• Регулирование деятельности по обработке персональных данных.
• Обеспечение «законного и упорядоченного прохождения» данных.
• Содействие разумному использованию персональной информации.

Акцент на обеспечение национальной безопасности отходит от западных регламентов конфиденциальности GDPR и CCPA (California's Consumer Privacy Act). PIPL отличается от них тем, что содержит положения о цифровом суверенитете Китая. Эти положения призваны ограничить возможности зарубежных организаций в части нарушения прав граждан Китая и нивелировать угрозы национальной безопасности страны.

Требования к организациям, обрабатывающим данные граждан Китая

В документе PIPL говорится, что «обработчики персональной информации» (то есть любая организация, обрабатывающая персональные данные граждан Китая) могут осуществлять соответствующую деятельность лишь при условии выполнения ряда условий.

1. Обработчик получает личное согласие физического лица.
2. Информация необходима для заключения и исполнения договора, участником которого является физическое лицо, или для управления человеческими ресурсами в соответствии с трудовыми нормами и правилами, а также с коллективным договором, подписанным в соответствии с законом.
3. Информация нужна для выполнения установленных законом обязанностей или обязательств.
4. Информация используется при реагировании на чрезвычайные ситуации в области общественного здравоохранения или для защиты жизни, здоровья и имущества физических лиц в чрезвычайных обстоятельствах.
5. Информация необходима для публикации новостей, отслеживания общественного мнения и выполнения других действий в интересах общества, а также для обработки личной информации в разумных границах.
6. Обработка персональных данных, раскрытых физическими лицами, или другой законно полученной личной информации осуществляется в разумных пределах и в соответствии с положениями настоящего закона.
7. Информация может обрабатываться при других обстоятельствах, оговоренных в законах и административных регламентах.

В законе подчеркивается, что пользователи должны быть полностью информированы и дать согласие на обработку своих данных. Физические лица имеют право отозвать свое согласие в любой момент. Обработчикам информации запрещается ограничивать в выборе товаров или услуг тех лиц, которые отказались выдать разрешение на обработку или использование своих персональных данных.

Как будет осуществляться контроль за соблюдением PIPL, пока неясно

Что предстоит сделать организациям, ведущим бизнес в Китае, для соблюдения сложных положений PIPL, пока неясно. Предстоит принять еще множество нормативных процедур, регламентирующих порядок выполнения требований закона. «Речь идет о новом и довольно сложном законе, который международные компании, ведущие бизнес в Китае, еще только пытаются осмыслить», – указала партнер компании Gibson Dunn и сопредседатель International Trade Practice Group Джудит Элисон Ли.

«Хотя PIPL должен вступить в действие уже в ноябре, разъяснения к нему появятся позже, когда профильные китайские министерства разработают соответствующие подзаконные акты, – добавил Роджер Кримерс, научный сотрудник Лейденского университета, специализирующийся на вопросах права, управления и цифровой экономики Китая. – Многие китайские законы, в том числе и закон о защите персональной информации, являются, по сути, рамочными законами. К примеру, в новом законе сказано об обязательной проверке безопасности при экспорте персональных данных. Но соответствующие правила уполномочена устанавливать Администрация киберпространства Китая, регулирующая этот сектор. Так что, пока не появятся конкретные правила, мы не знаем, что произойдет».

Приоритеты – трансграничный обмен информацией и избежание санкций

Тем не менее, организации, имеющие дело с любыми формами персональных данных в Китае, могут начать уделять повышенное внимание основным положениям закона еще до появления регулирующих норм. «Очевидно, что наиболее важные положения касаются передачи информации через границу, – подчеркнул Кримерс. – Это будет иметь решающее значение».

«Моя практика связана с санкциями американского Управления министерства финансов по контролю за иностранными активами (Office of Foreign Assets Control, OFAC), – указала Ли. – Один из вопросов заключается в том, будет ли новый закон препятствовать усилиям компаний по соблюдению ими санкций OFAC. Обычно сюда относится проверка персональной информации клиентов, поставщиков, сотрудников и бизнес-партнеров на присутствие их в запрещенных списках. Иногда эти проверки выполняются за пределами Китая. Если компании нарушат санкции OFAC, им могут грозить большие денежные штрафы, поэтому американские компании боятся попасть под перекрестный огонь противоречащих друг другу законов США и Китая».

Какую бы форму ни принял окончательный закон, очевидно, что для выполнения некоторых его положений многим международным организациям придется набирать дополнительный персонал. Закон, к примеру, требует, чтобы организации, обрабатывающие персональные данные китайских граждан за пределами Китая, создали специальный орган или назначили представителя в Китае, который будет отвечать за соответствующую обработку.

Минюст США объявил о конфискации 63,7 биткоина, которые в настоящее время оцениваются примерно в 2,3 млн долл. Предположительно, это часть платежа Colonial Pipeline вымогателям DarkSide. В компании признались, что киберпреступникам был заплачен выкуп в размере около 4,4 млн долл. в биткоинах для восстановления в полном объеме работоспособности ее систем после сокрушительной кибератаки, информация о которой появилась 7 мая. Биткоин-кошелек изъяли после того, как судья Северного округа Калифорнии выдал ордер на его арест. Эта новость не стала неожиданностью. В середине мая группа DarkSide уже сообщала о потере контроля над некоторыми своими серверами, включая платежный сервер, и о выводе части ее средств на неизвестный счет.

Целенаправленный захват кошелька призван остановить нынешнюю волну все более разрушительных атак вымогателей, нацеленных на критически важную инфраструктуру, в том числе на нефте- и газопроводы. Власти США обрушились на экосистему, которая подпитывает атаки вымогателей и киберпреступников, пообещав использовать все имеющиеся у них инструменты и ресурсы для увеличения давления и тяжести последствий атак.

Как ФБР идентифицировало кошелек злоумышленников, неясно. По имеющимся сведениям, спецслужбе удалось заполучить секретный ключ для кошелька. Возможно, это было сделано через суд после обнаружения физического местоположения устройств вымогателей. Возможно, хотя и маловероятно, секретный ключ передал инсайдер. А может быть, спецслужбы использовали непубличные эксплойты нулевого дня. ФБР намеренно расплывчато описывает, как ему достался закрытый ключ, с тем чтобы избежать информирования хакеров. Власти надеются, что успешный захват кошелька побудит и других жертв вымогателей сотрудничать с правоохранительными органами, с тем чтобы лишить злоумышленников-вымогателей финансовой выгоды.

Сохранение анонимности в Интернете – очень сложная задача, требующая от киберпреступников очень внимательного отношения к деталям. Власти же демонстрируют решимость разработать методы, которые не позволят злоумышленникам превратить новые способы оплаты в инструменты вымогательства незаслуженной прибыли.

В конце драматической недели, в ходе которой крупный оператор нефтепроводов Colonial Pipeline пострадал от атаки вымогателей, администрация Байдена представила долгожданный, далеко идущий и сложный для воприятия приказ об улучшении национальной кибербезопасности Executive Order on Improving the Nation's Cybersecurity. Он должен наметить «новый курс на укрепление национальной кибербезопасности и защиту федеральных правительственных сетей».

В амбициозном документе фигурируют взломы цепочек поставок SolarWinds и Microsoft Exchange, а также заражение компьютеров Colonial Pipeline с целью вымогательства. Приказ призван стать основой для реализации последующих инициатив, направленных на минимизацию частоты возникновения и уровня воздействия подобных инцидентов. В рамках декларированных инициатив предполагается реализовать следующее.

1. Исключить барьеры для информационного обмена между правительством и частным сектором, гарантировав поставщикам услуг обмен с федеральным правительством сведениями о нарушениях.

2. Модернизировать и внедрить в федеральном правительстве более строгие стандарты, включая переход на облачные сервисы и архитектуры с нулевым доверием, а также многофакторную аутентификацию и шифрование.

3. Повысить безопасность цепочек поставок программного обеспечения, включая установление базовых стандартов безопасности для разработки программного обеспечения, продаваемого государственным органам. Министерство торговли должно опубликовать необходимый минимум спецификаций программного обеспечения с цель отслеживания отдельных его составляющих.

4. Сформировать комитет по надзору за вопросами кибербезопасности, состоящий из экспертов правительственных структур и частного сектора. Комитет должен собираться после любого крупного инцидента в области кибербезопасности и выдавать рекомендации подобно тому, как сейчас это делает Национальный совет по транспортной безопасности США после каждой крупной аварии на транспорте.

5. Выработать стандартный план действий по реагированию на инциденты, с тем чтобы все федеральные агентства в такой ситуации придерживались определенного порядка и выполняли стандартный план мероприятий.

6. Повысить уровень выявления инцидентов в области кибербезопасности в федеральных правительственных сетях путем создания общегосударственной системы обнаружения целевых атак на конечных точках сети и улучшения обмена информацией с федеральным правительством.

7. Расширить возможности для проведения расследования и устранения последствий путем определения требований к журналу событий кибербезопасности для всех федеральных агентств.

Высокая оценка законодателей

Первая реакция законодателей на указ была положительной. Конгрессмен Джим Лэнджевин, председатель подкомитета палаты представителей по вооруженным силам, занимающийся вопросами кибербезопасности, инновационных технологий и информационных систем, а также член Комиссии США по киберпространству, заявил: «Кибербезопасность – это самая приоритетная область национальной безопасности США, и я приветствую принятие президентом Байденом в самом начале срока его полномочий неотложных мер по устранению наиболее критичных уязвимостей».

Председатель сенатского комитета по разведке Марк Уорнер назвал указ «хорошим первым шагом». Сенатор Эдвард Марки и конгрессмен Тед Лью высоко оценили принятие новой пилотной программы по «разъяснению общественности вопросов обеспечения безопасности устройств Интернета вещей».

Эксперты: нет определенности

В указе, где намечены 46 сроков достижения различных целей, нет полной ясности того, каким образом все это предполагается реализовывать. «Многое остается неопределенным и отдается на откуп Национальному институту стандартов и технологий (NIST) и Совету по регулированию государственных закупок», – пояснила партнер Wiley Rein Меган Браун. Национальному институту стандартов и технологий предлагается разработать план внедрения архитектуры с нулевым доверием, определить критически важное программное обеспечение и представить руководства по оценке безопасности программного обеспечения.

В рамках указа NIST поручено также решить ряд задач по определению наиболее важных компонентов маркировки потребительских устройств Интернета вещей в целях безопасности, включая разработку пилотных программ и поиск критериев кибербезопасности Интернета вещей, которые можно было бы использовать в программе. На Совет по регулированию государственных закупок возложены многочисленные задачи по определению формулировок в договорах с учетом требований к информационному обмену.

Субъективизм в определениях

Бывший ИТ-директор Белого дома и нынешний генеральный директор занимающейся вопросами кибербезопасности компании Fortalice Solutions Тереза Пейтон приветствовала создание Совета по анализу вопросов, связанных с кибербезопасностью (Cybersecurity Safety Review Board), но высказала опасения в отношении выполнения указа. «В нем требуется, чтобы поставщики ИТ-услуг сообщали правительству о нарушениях кибербезопасности, которые могут оказывать воздействие на американские сети, – заметила она. – А это очень субъективная тема. Получается, что нужен кто-то, кто будет управлять исполнителями. Я воспринимаю это как очень субъективную вещь, и непонятно, как будут решаться соответствующие вопросы. Не уточняется, какое управление или агентство будет отвечать за все это. Куда направлять правительственные обращения? В ФБР? В АНБ? В ЦРУ?»

Оставляя в стороне возможные последствия отправки в правительство информации о нарушениях кибербезопасности и появлении весьма интересных для киберпреступников целей, Пейтон обращает внимание на трудности с определениями. «Несанкционированный доступ или вход в систему считается киберинцидентом, – заметила она. – Допустим, мне приходит звонок от клиента, сообщающего об обнаружении нарушений в операционном центре безопасности. Задействовав группу реагирования на инциденты, мы выясняем, что причиной всему является программное приложение, в которое необходимо внести изменения. Да, несанкционированный доступ присутствовал, но нет никаких свидетельств того, что данные оказались в руках злоумышленников. Нужно ли об этом сообщать?»

Пейтон обеспокоена также необходимостью согласования регламентируемых указом отчетов об обнаруженных в системе безопасности уязвимостях с требованиями к безопасности данных, которые выдвигаются во всех штатах и юрисдикциях. «Законодательство США об уведомлениях о нарушении безопасности данных напоминает лоскутное одеяло, – подчеркнула она. – Мы являемся одной из немногих стран, которые действуют таким образом. Должны ли мы следовать правилам штатов или же у нас появляется новое правило, регламентирующее, что представляет собой инцидент, о котором необходимо сообщать?»

Майкл Хэмилтон, бывший заместитель председателя координационного совета министерства внутренней безопасности, бывший директор по информационной безопасности Сиэтла и бывший директор по информационной безопасности компании CI Security, многие разделы указа назвал «совершенно незамысловатыми и очевидными для всех». Например, требование к федеральным агентствам управлять уязвимостями и инцидентами стандартным образом. Кроме того, администрации Байдена придется кое-что отшлифовать. Некоторые определения необходимо прояснить и уточнить.

Особая роль АНБ

Важная роль во многих аспектах реализации указа президента отводится Агентству национальной безопасности, в том числе и в определении того, что относится к нарушениям безопасности, о которых организации должны сообщать правительству.

«АНБ обладает достаточным опытом, чтобы выследить преступников и назвать их имена, – отметил Хэмилтон. – При этом агентству запрещено осуществлять внутреннюю слежку. И коль скоро именно АНБ поручено разрабатывать набор правил, определяющих, когда поставщикам услуг следует передавать данные для расследования, можно предположить, что агентство стремится преодолеть барьер, мешающий ему следить за тем, что происходит внутри США, в том числе и за сетевым трафиком, проходящим через операторов связи и провайдеров. Думаю, что таким путем они пытаются решить свои проблемы. А раз у них появилось место за столом, значит есть вещи, о которых им хотелось бы получать уведомления, и они знают, как все это использовать».

Отличается ли указ от того, что было раньше?

Не вполне понятно, чем нынешний указ президента отличается от тех усилий в области кибербезопасности, которые правительство предпринимало в прошлом.

«Хотелось бы видеть больше, поменьше говорить о каких-то рамках и информационном обмене, потому что все это считалось незыблемой святыней еще со времен администрации Клинтона, – указала Пейтон. – Поиски Святого Грааля всегда предусматривают удвоение усилий. Давайте бросим туда больше людей и выстроим новые границы. Возможно, на проблему имеет смысл посмотреть по-другому. Быть может, нам нужны свежие умы из области криптовалют и токенов. Возможно, сюда придется привлечь других новаторов, не имевших ранее исполнительных функций».

По мнению Хэмилтона, на этот раз федеральная инициатива по разрешению сложных проблем кибербезопасности отличается от того, что было раньше, и может сработать. «Нам еще никогда не намыливали шею так, как в последние полгода, – заявил он. – Все происходит по-другому. Конечно, только этим ситуация не исчерпывается, но принимаемые меры направлены непосредственно на то, с чем мы столкнулись за последние шесть месяцев, в частности, в плане обеспечения безопасности цепочек поставок. Тратя такие деньги, федеральное правительство может предъявлять к поставщикам и продуктам любые требования. И те, кто хочет получить соответствующие заказы, должны сделать шаг вперед. Вот почему ситуация отличается от того, что было прежде. Сегодня не просто выдвигаются требования, которые должны быть выполнены. Чтобы получить желаемый результат в сфере кибербезопасности, активно используются экономические меры, рыночные силы, мощь кошелька и конкурентная дифференциация».