Китай прие своя "пакет Яровая"

В края на миналата година китайското правителство въведе нов закон за киберсигурността, т.нар. Многостепенна схема за киберсигурност (Схема за многостепенна защита на киберсигурността, MLPS 2.0). Законът, който влезе в сила през декември, на практика означава, че правителството има неограничен достъп до всички данни в страната, независимо дали се съхраняват на китайски сървъри или се предават през китайски мрежи.

Това означава, че няма да има анонимни VPN (и много популярни VPN са собственост на китайски компании). Няма лични или криптирани съобщения. Без анонимни онлайн акаунти или чувствителни данни. Всички данни ще бъдат достъпни и отворени за китайското правителство, включително данни на чуждестранни компании на китайски сървъри или преминаващи през Китай, обяснено в коментара адвокатска кантора Рийд Смит. В известен смисъл MLPS 2.0 и съпътстващите го закони могат да бъдат сравнени с руския „Пакет от закони Яровая“.

Всичко е точно толкова лошо, колкото изглежда, и става все по-лошо. MLPS 2.0 се поддържа от два допълнителни законодателни акта, като и двата елиминират всички защити, предпазни мерки или вратички, които някога може да са били използвани за поддържане на целостта на корпоративните данни. И двете влязоха в сила по-рано този месец. пише CSOnline.

Първият е новият Закон за чуждестранните инвестиции, който третира чуждестранните инвеститори по същия начин като китайските инвеститори. Въпреки че това беше обявено като средство за опростяване на инвестиционния процес, на практика то лишава чуждестранните инвеститори от много от правата, на които са се радвали преди.

Вторият установява нов набор от насоки относно криптирането. Отново, на пръв поглед те изглеждат като предложени с мисъл за общото благо. Законите бяха официално приети от Министерството на обществената сигурност, за да защитят мрежовата инфраструктура от „повреди“ и външни заплахи. Едва при по-внимателно разглеждане започват да се появяват странични ефекти.

Съгласно настоящия MLPS, който е в сила от 2008 г., мрежовите оператори (много широк термин, който обхваща всички свързани компютри или системи, изпращащи или обработващи данни) са длъжни да класифицират своите мрежи и информационни системи в различни слоеве и да прилагат подходящи мерки за сигурност. Схемата класира системите за информационни и комуникационни технологии (ИКТ) по скала на чувствителност: 1 – най-малко чувствителни, 5 – най-чувствителни. Колкото по-висок е рейтингът, толкова по-строг е контролът на системата от Министерството на обществената сигурност (MPS). Третото ниво е точката, в която самосертификацията се превръща в правителствена проверка. Това ниво е достигнато, когато увреждането на мрежата ще доведе до „особено сериозно увреждане на законните права и интереси на китайски граждани, юридически лица и други заинтересовани организации или ще причини сериозно увреждане на обществения ред и обществените интереси, или ще навреди на националната сигурност“.

Аналитична компания NewAmerica обясняваче MLPS 2.0 представлява „преминаване към повече проверка“. Съгласно MLPS 2.0 мрежите, подлежащи на инспекция, се разширяват до почти всички ИТ системи.

Изисквания за локализация на данни

Според новия закон за криптографията разработването, продажбата и използването на криптографски системи „не трябва да бъдат в ущърб на националната сигурност и обществените интереси“. Освен това криптографските системи, които не са „проверени и удостоверени“, също са забранени. Като цяло, ако вашият бизнес се опита да скрие информация от правителството, можете и ще бъдете наказан.

Освен това, ако вашият център за данни използва, например, китайска софтуерна услуга, тогава всички данни, съхранявани и управлявани от тази услуга, могат да бъдат конфискувани. Това включва търговски тайни, финансова информация и др. По същия начин, ако държите някакви активи в страната, вие нямате пълен контрол върху тях; те могат да бъдат конфискувани от правителството по всяко време и с минимална обосновка.

Изискванията за локализиране на данни, включени в новото законодателство, също вредят значително на сигурността в облака. Експертите обясняват, че къде се съхраняват данните е по-малко важно от това къде се съхраняват. като те се съхраняват. По този начин локализацията прави много малко за защита на чувствителна информация, като същевременно създава лесно насочени места за съхранение на данни, които са лесни за хакване.

Китай никога не се е срамувал да пренебрегва поверителността и сигурността на данните. Тези нови правила са просто формализиране на това, което отдавна е норма в страната. Но това не улеснява компаниите.

Проблеми за чуждите компании

Американският мозъчен тръст Център за стратегически и международни изследвания (CSIS) твърди, че Китай е освободил за 300 нови национални стандарти, свързани с киберсигурността. Една от последните промени е актуализацията на MLPS.

Новите закони са особено проблематични за центрове за данни, които са собственост на чуждестранни компании.

Всъщност им остават две възможности.

Първият е просто да спре да прави бизнес в Китай, включително чрез партньорства. На теория, ако достатъчно компании следват този път, това може да окаже натиск върху китайското правителство да отмени закона.

Второто е да се приеме намалената поверителност и сигурност като цена за правене на бизнес в Китай.

Можем да кажем, че чуждестранните компании в Русия все още имат същите две възможности.

Иска ми се да мисля, че с общи усилия те ще следват първия път. За съжаление в действителност е по-вероятно да бъде избран вторият вариант. Защото за мнозина тази цена на правене на бизнес е приемлива.

Източник: www.habr.com