Ende letzten Jahres stellte die chinesische Regierung ein neues Gesetz zur Cybersicherheit vor, das sogenannte Mehrstufige Cybersicherheits-Schema (). Das Gesetz, das im Dezember in Kraft trat, bedeutet tatsĂ€chlich, dass die Regierung unbegrenzten Zugang zu allen Daten im Land hat, unabhĂ€ngig davon, ob diese auf chinesischen Servern gespeichert oder ĂŒber chinesische Netzwerke ĂŒbertragen werden.
Das bedeutet, dass es keine anonymen VPNs geben wird (viele beliebte VPNs gehören chinesischen Unternehmen). Keine persönlichen oder verschlĂŒsselten Nachrichten. Keine anonymen Online-Konten und vertraulichen Daten. Alle Daten sind fĂŒr die chinesische Regierung zugĂ€nglich und offen, einschlieĂlich der Daten auslĂ€ndischer Unternehmen auf chinesischen Servern oder die durch China geleitet werden. der Rechtsanwaltskanzlei Reed Smith. In gewisser Weise kann man MLPS 2.0 und die damit verbundenen Gesetze mit dem russischen "Jarowa-Paket" vergleichen.
Es ist alles so schlecht, wie es scheint, und es wird noch schlimmer. MLPS 2.0 wird durch zwei zusĂ€tzliche GesetzesentwĂŒrfe unterstĂŒtzt, die alle SchutzmaĂnahmen, Garantien und Schlupflöcher beseitigen, die jemals verwendet wurden, um die IntegritĂ€t von Unternehmensdaten zu wahren. Beide traten Anfang dieses Monats in Kraft. CSOnline.
Das erste ist das neue Gesetz ĂŒber "AuslĂ€ndische Investitionen", das auslĂ€ndische Investoren genauso behandelt wie chinesische Investoren. Obwohl dies als Mittel zur Vereinfachung des Investitionsprozesses angekĂŒndigt wurde, entzieht es in der Praxis auslĂ€ndischen Investoren viele Rechte, die sie zuvor genossen haben.
Das zweite Gesetz legt einen neuen Satz von Richtlinien zur VerschlĂŒsselung fest. Auf den ersten Blick scheint es, als wĂ€ren sie im Interesse des Gemeinwohls vorgeschlagen worden. Die Gesetze wurden vom Ministerium fĂŒr öffentliche Sicherheit formal zum Schutz der Netzwerkinfrastruktur vor "SchĂ€digung" und externen Bedrohungen verabschiedet. Erst bei nĂ€herer Betrachtung zeigen sich die Nebenwirkungen.
GemÀà dem aktuellen MLPS, der seit 2008 besteht, sind Netzwerkbetreiber (ein sehr umfassender Begriff, der alle angeschlossenen Computer oder Systeme umfasst, die Daten senden oder verarbeiten) verpflichtet, ihre Netzwerke und Informationssysteme in verschiedene Sicherheitsstufen zu klassifizieren und geeignete SchutzmaĂnahmen zu ergreifen. Das Schema klassifiziert Informations- und Kommunikationstechnologien (IKT) auf einer SensitivitĂ€tsskala: 1 â am wenigsten sensibel, 5 â am sensibelsten. Je höher die Einstufung, desto strenger steht das System unter der Aufsicht des Ministeriums fĂŒr öffentliche Sicherheit (MPS). Die dritte Stufe ist der Punkt, an dem die Selbstzertifizierung in eine staatliche ĂberprĂŒfung ĂŒbergeht. Diese Stufe wird erreicht, wenn SchĂ€den im Netzwerk zu âbesonders schwerwiegenden SchĂ€den an den rechtlichen Rechten und Interessen chinesischer BĂŒrger, juristischer Personen und anderer interessierter Organisationen fĂŒhren oder ernsthafte SchĂ€den an der öffentlichen Ordnung und den öffentlichen Interessen verursachen oder die nationale Sicherheit gefĂ€hrdenâ.
Das Analyseunternehmen NewAmerica , was MLPS 2.0 als âVerschiebung in Richtung mehr PrĂŒfungenâ definiert. Im Rahmen von MLPS 2.0 werden die zu prĂŒfenden Netzwerke im Wesentlichen auf alle IT-Systeme ausgeweitet.
Datenlokalisierungsanforderungen
Laut dem neuen Gesetz zur Kryptografie dĂŒrfen die Entwicklung, der Verkauf und die Nutzung von kryptografischen Systemen ânicht die nationale Sicherheit und die öffentlichen Interessen gefĂ€hrdenâ. DarĂŒber hinaus werden kryptografische Systeme, die nicht âĂŒberprĂŒft und authentifiziertâ sind, ebenfalls illegal. Insgesamt, wenn Ihr Unternehmen versucht, Informationen vor der Regierung zu verbergen, können Sie bestraft werden.
DarĂŒber hinaus kann, wenn Ihr Rechenzentrum beispielsweise einen chinesischen Dienst nutzt, auf alle Daten, die von diesem Dienst gespeichert und verwaltet werden, zugegriffen werden. Dazu gehören GeschĂ€ftsgeheimnisse, finanzielle Informationen und vieles mehr. Ebenso haben Sie, wenn Sie Werte innerhalb des Landes lagern, nicht die vollstĂ€ndige Kontrolle darĂŒber; sie können jederzeit mit minimaler BegrĂŒndung vom Staat beschlagnahmt werden.
Die Anforderungen an die Datenlokalisierung, die in die neue Gesetzgebung aufgenommen wurden, schĂ€digen auch die Cloud-Sicherheit erheblich. Experten erklĂ€ren, dass der Speicherort der Daten weniger wichtig ist als das, als was gespeichert wird. Somit trĂ€gt die Lokalisierung nur wenig zum Schutz vertraulicher Informationen bei und schafft gleichzeitig leicht angreifbare Speicherorte, die fĂŒr Hacker attraktiv sind.
China hat nie gezögert, die PrivatsphĂ€re und Datensicherheit zu missachten. Diese neuen Regelungen sind einfach eine Formalisierung dessen, was lĂ€ngst zur Norm im Land geworden ist. Dennoch erleichtert das die Situation fĂŒr Unternehmen nicht.
Probleme fĂŒr auslĂ€ndische Unternehmen
Das amerikanische Analysezentrum Center for Strategic and International Studies (CSIS) behauptet, dass China in den letzten Jahren neue nationale Standards im Zusammenhang mit Cybersicherheit eingefĂŒhrt hat. Eine der letzten Ănderungen ist die Aktualisierung des MLPS.
Die neuen Gesetze sind besonders problematisch fĂŒr Rechenzentren, die im Besitz auslĂ€ndischer Unternehmen sind.
TatsÀchlich bleiben ihnen zwei Optionen.
Die erste Möglichkeit besteht darin, einfach das GeschĂ€ft in China, einschlieĂlich ĂŒber Partnerschaften, einzustellen. Theoretisch könnte der Druck auf die chinesische Regierung zunehmen, wenn genĂŒgend Unternehmen diesen Weg wĂ€hlen, und sie könnte das Gesetz zurĂŒcknehmen.
Die zweite Möglichkeit besteht darin, eine Verringerung der PrivatsphĂ€re und Sicherheit als Preis fĂŒr das GeschĂ€ft in China zu akzeptieren.
Man könnte sagen, dass auslÀndische Unternehmen in Russland mit denselben zwei Optionen konfrontiert sind.
Man möchte hoffen, dass sie gemeinsam den ersten Weg einschlagen. Leider wird in der RealitĂ€t wahrscheinlich die zweite Option gewĂ€hlt. Denn fĂŒr viele ist dieser Preis fĂŒr das GeschĂ€ft akzeptabel.
Quelle: habr.com
