Китай прие своя "пакет Ярова"

В края на миналата година китайското правителство представи нов закон за киберсигурност, известен като Многоуровнева схема за киберсигурност (Cybersecurity Muti-Level Protection Scheme, MLPS 2.0). Законът, влизащ в сила през декември, всъщност означава, че правителството има неограничен достъп до всички данни в страната, независимо дали те се съхраняват на китайски сървъри или преминават през китайски мрежи.

Това означава, че няма да има анонимни VPN (а много популярни VPN принадлежат на китайски компании). Няма да има лични или криптирани съобщения. Няма анонимни онлайн акаунти и конфиденциални данни. Всички данни ще бъдат достъпни и открити за китайското правителство, включително и данни на чуждестранни компании, съхранявани на китайски сървъри или преминаващи през Китай, обяснява в коментар юридическата фирма Reed Smith. В известен смисъл MLPS 2.0 и свързаните с него закони могат да бъдат сравнени с руския "пакет закони Ярова".

Наистина всичко е толкова лошо, колкото изглежда, и става още по-лошо. MLPS 2.0 е подсилен от две допълнителни законодателни акта, и двата от които премахват всякакви средства за защита, гаранции и вратички, които по-рано са могли да се използват за запазване на неприкосновеността на корпоративните данни. И двата влязоха в сила в началото на този месец, пише CSOnline.

Първият е новият закон „За чуждестранните инвестиции“, който разглежда чуждестранните инвеститори точно както и китайските инвеститори. Въпреки че това беше обявено като средство за опростяване на инвестиционния процес, на практика това лишава чуждестранните инвеститори от много права, които преди това са ползвали.

Вторият установява нов набор от насоки, свързани с криптиране. Отново, на пръв поглед изглежда, че те са предложени в името на общото благо. Законите са приети от Министерството на обществената сигурност формално за защита на мрежовата инфраструктура от „повреждане“ и външни заплахи. Само при по-близко разглеждане започват да се появяват странични ефекти.

Според сегашния MLPS, който съществува от 2008 година, мрежовите оператори (много широка терминология, обхващаща всякакви свързани компютри или системи, които изпращат или обработват данни) са задължени да класифицират своите мрежи и информационни системи по различни нива и да прилагат съответните мерки за защита. Схемата класифицира информационно-коммуникационните технологии (ИКТ) по скала на чувствителност: 1 — най-малко чувствителни, 5 — най-чувствителни. Колкото по-висок е рейтингът, толкова по-строг контрол от страна на Министерството на обществената сигурност (МПС) подлежи на тази система. Третото ниво е точката, в която самосертификацията се превръща в правителствена проверка. Това ниво се достига, когато щетите от мрежата доведат до „особено сериозни щети на законните права и интереси на китайските граждани, юридически лица и други засегнати организации или нанесат сериозен ущърб на обществения ред и обществен интерес, или причинят вреди на националната сигурност.

Аналитичната компания NewAmerica обяснява, че MLPS 2.0 представлява „преместване към повече проверки“. В рамките на MLPS 2.0 мрежите, подлежащи на проверка, се разширяват практически до всички IT-системи.

Изисквания за локализиране на данни

Според новия закон за криптографията, разработването, продажбата и използването на криптографски системи „не трябва да увреждат държавната сигурност и обществените интереси“. Освен това, криптографски системи, които не са „проверени и аутентифицирани“, също стават незаконни. Като цяло, ако вашият бизнес се опитва да скрие информация от правителството, може да получите наказание.

Освен това, ако вашият дата център използва, например, китайска софтуерна услуга, всички данни, съхранявани и управлявани от тази услуга, могат да бъдат иззети. Това включва търговска тайна, финансова информация и много други. По същия начин, ако съхранявате някакви активи в страната, нямате пълен контрол върху тях; те могат да бъдат конфискувани от правителството по всяко време и с минимално обоснование.

Изискванията за локализация на данни, включени в новото законодателство, също така сериозно вредят на облачната сигурност. Специалистите обясняват, че мястото за съхранение на данни е по-малко важно от това, как какво се съхранява. Така, локализацията съвсем малко помага за защитата на конфиденциалната информация, като същевременно създава лесно поддаващи се на атаки места за съхранение на данни, удобни за хакване.

Китай никога не е имал притеснения относно пренебрегването на конфиденциалността и сигурността на данните. Тези нови правила всъщност са просто формализация на това, което отдавна е станало нормално в страната. Но от това на компаниите не им става по-лесно.

Проблеми за чуждестранните компании

Американският аналитичен център Център за стратегически и международни изследвания (CSIS) твърди, че Китай в последните години е приел около 300 нови национални стандарта, свързани с киберсигурността. Едно от последните изменения е актуализацията на MLPS.

Новите закони са особено проблематични за дата центровете, които принадлежат на чуждестранни компании.

Всъщност, имат два варианта.

Първият е просто да спрат бизнеса си в Китай, включително чрез партньорства. Теоретично, ако достатъчно много компании последват този път, това може да натисне китайското правителство да анулира закона.

Вторият е да се съгласят на намаляване на конфиденциалността и сигурността като цена за правене на бизнес в Китай.

Може да се каже, че чуждестранните компании в Русия имат същите два варианта.

Би било добре да се надяваме, че с общи усилия те ще изберат първия вариант. За съжаление, в действителност вероятно ще бъде избран вторият вариант. Защото за много от тях тази цена за правене на бизнес е приемлива.

Източник: habr.com