Ende letzten Jahres stellte die chinesische Regierung ein neues Gesetz zur Cybersicherheit vor, das sogenannte Mehrstufige Cybersicherheits-Schema (). Das Gesetz, das im Dezember in Kraft trat, bedeutet tatsächlich, dass die Regierung unbegrenzten Zugang zu allen Daten im Land hat, unabhängig davon, ob diese auf chinesischen Servern gespeichert oder über chinesische Netzwerke übertragen werden.
Das bedeutet, dass es keine anonymen VPNs geben wird (viele beliebte VPNs gehören chinesischen Unternehmen). Keine persönlichen oder verschlüsselten Nachrichten. Keine anonymen Online-Konten und vertraulichen Daten. Alle Daten sind für die chinesische Regierung zugänglich und offen, einschließlich der Daten ausländischer Unternehmen auf chinesischen Servern oder die durch China geleitet werden. der Rechtsanwaltskanzlei Reed Smith. In gewisser Weise kann man MLPS 2.0 und die damit verbundenen Gesetze mit dem russischen "Jarowa-Paket" vergleichen.
Es ist alles so schlecht, wie es scheint, und es wird noch schlimmer. MLPS 2.0 wird durch zwei zusätzliche Gesetzesentwürfe unterstützt, die alle Schutzmaßnahmen, Garantien und Schlupflöcher beseitigen, die jemals verwendet wurden, um die Integrität von Unternehmensdaten zu wahren. Beide traten Anfang dieses Monats in Kraft. CSOnline.
Das erste ist das neue Gesetz über "Ausländische Investitionen", das ausländische Investoren genauso behandelt wie chinesische Investoren. Obwohl dies als Mittel zur Vereinfachung des Investitionsprozesses angekündigt wurde, entzieht es in der Praxis ausländischen Investoren viele Rechte, die sie zuvor genossen haben.
Das zweite Gesetz legt einen neuen Satz von Richtlinien zur Verschlüsselung fest. Auf den ersten Blick scheint es, als wären sie im Interesse des Gemeinwohls vorgeschlagen worden. Die Gesetze wurden vom Ministerium für öffentliche Sicherheit formal zum Schutz der Netzwerkinfrastruktur vor "Schädigung" und externen Bedrohungen verabschiedet. Erst bei näherer Betrachtung zeigen sich die Nebenwirkungen.
Gemäß dem aktuellen MLPS, der seit 2008 besteht, sind Netzwerkbetreiber (ein sehr umfassender Begriff, der alle angeschlossenen Computer oder Systeme umfasst, die Daten senden oder verarbeiten) verpflichtet, ihre Netzwerke und Informationssysteme in verschiedene Sicherheitsstufen zu klassifizieren und geeignete Schutzmaßnahmen zu ergreifen. Das Schema klassifiziert Informations- und Kommunikationstechnologien (IKT) auf einer Sensitivitätsskala: 1 — am wenigsten sensibel, 5 — am sensibelsten. Je höher die Einstufung, desto strenger steht das System unter der Aufsicht des Ministeriums für öffentliche Sicherheit (MPS). Die dritte Stufe ist der Punkt, an dem die Selbstzertifizierung in eine staatliche Überprüfung übergeht. Diese Stufe wird erreicht, wenn Schäden im Netzwerk zu „besonders schwerwiegenden Schäden an den rechtlichen Rechten und Interessen chinesischer Bürger, juristischer Personen und anderer interessierter Organisationen führen oder ernsthafte Schäden an der öffentlichen Ordnung und den öffentlichen Interessen verursachen oder die nationale Sicherheit gefährden“.
Das Analyseunternehmen NewAmerica , was MLPS 2.0 als „Verschiebung in Richtung mehr Prüfungen“ definiert. Im Rahmen von MLPS 2.0 werden die zu prüfenden Netzwerke im Wesentlichen auf alle IT-Systeme ausgeweitet.
Datenlokalisierungsanforderungen
Laut dem neuen Gesetz zur Kryptografie dürfen die Entwicklung, der Verkauf und die Nutzung von kryptografischen Systemen „nicht die nationale Sicherheit und die öffentlichen Interessen gefährden“. Darüber hinaus werden kryptografische Systeme, die nicht „überprüft und authentifiziert“ sind, ebenfalls illegal. Insgesamt, wenn Ihr Unternehmen versucht, Informationen vor der Regierung zu verbergen, können Sie bestraft werden.
Darüber hinaus kann, wenn Ihr Rechenzentrum beispielsweise einen chinesischen Dienst nutzt, auf alle Daten, die von diesem Dienst gespeichert und verwaltet werden, zugegriffen werden. Dazu gehören Geschäftsgeheimnisse, finanzielle Informationen und vieles mehr. Ebenso haben Sie, wenn Sie Werte innerhalb des Landes lagern, nicht die vollständige Kontrolle darüber; sie können jederzeit mit minimaler Begründung vom Staat beschlagnahmt werden.
Die Anforderungen an die Datenlokalisierung, die in die neue Gesetzgebung aufgenommen wurden, schädigen auch die Cloud-Sicherheit erheblich. Experten erklären, dass der Speicherort der Daten weniger wichtig ist als das, als was gespeichert wird. Somit trägt die Lokalisierung nur wenig zum Schutz vertraulicher Informationen bei und schafft gleichzeitig leicht angreifbare Speicherorte, die für Hacker attraktiv sind.
China hat nie gezögert, die Privatsphäre und Datensicherheit zu missachten. Diese neuen Regelungen sind einfach eine Formalisierung dessen, was längst zur Norm im Land geworden ist. Dennoch erleichtert das die Situation für Unternehmen nicht.
Probleme für ausländische Unternehmen
Das amerikanische Analysezentrum Center for Strategic and International Studies (CSIS) behauptet, dass China in den letzten Jahren neue nationale Standards im Zusammenhang mit Cybersicherheit eingeführt hat. Eine der letzten Änderungen ist die Aktualisierung des MLPS.
Die neuen Gesetze sind besonders problematisch für Rechenzentren, die im Besitz ausländischer Unternehmen sind.
Tatsächlich bleiben ihnen zwei Optionen.
Die erste Möglichkeit besteht darin, einfach das Geschäft in China, einschließlich über Partnerschaften, einzustellen. Theoretisch könnte der Druck auf die chinesische Regierung zunehmen, wenn genügend Unternehmen diesen Weg wählen, und sie könnte das Gesetz zurücknehmen.
Die zweite Möglichkeit besteht darin, eine Verringerung der Privatsphäre und Sicherheit als Preis für das Geschäft in China zu akzeptieren.
Man könnte sagen, dass ausländische Unternehmen in Russland mit denselben zwei Optionen konfrontiert sind.
Man möchte hoffen, dass sie gemeinsam den ersten Weg einschlagen. Leider wird in der Realität wahrscheinlich die zweite Option gewählt. Denn für viele ist dieser Preis für das Geschäft akzeptabel.
Quelle: habr.com
