סין אימצה את "חבילת Yarovaya" שלה

בסוף השנה שעברה, הממשלה הסינית הציגה חוק אבטחת סייבר חדש, מה שנקרא Multi-Level Cybersecurity Scheme (Cybersecurity Protection Scheme, MLPS 2.0). החוק, שנכנס לתוקף בדצמבר, אומר למעשה שלממשלה יש גישה בלתי מוגבלת לכל הנתונים בתוך המדינה, ללא קשר אם הם מאוחסנים בשרתים סיניים או מועברים דרך רשתות סיניות.

המשמעות היא שלא יהיו VPNs אנונימיים (והרבה VPNs פופולריים נמצאים בבעלות חברות סיניות). אין הודעות פרטיות או מוצפנות. אין חשבונות מקוונים אנונימיים או נתונים רגישים. כל נתונים יהיו נגישים ופתוחים לממשלת סין, כולל נתונים של חברות זרות על שרתים סיניים או עוברים דרך סין, הוסבר בתגובה משרד עורכי הדין ריד סמית. במובן מסוים, ניתן להשוות את MLPS 2.0 והחוקים הנלווים ל"חבילת החוק של Yarovaya" הרוסית.

הכל גרוע בדיוק כמו שזה נראה, וזה הולך ומחמיר. MLPS 2.0 נתמך על ידי שני סעיפי חקיקה נוספים, שניהם מבטלים כל הגנות, אמצעי הגנה או פרצות שפעם היו עשויים לשמש כדי לשמור על שלמות הנתונים הארגוניים. שניהם נכנסו לתוקף בתחילת החודש. כותב CSOnline.

הראשון הוא חוק ההשקעות הזרות החדש, שמתייחס למשקיעים זרים באותו אופן כמו למשקיעים סינים. אמנם זה הוגדר כאמצעי לפשט את תהליך ההשקעה, אך בפועל הוא שולל ממשקיעים זרים רבים מהזכויות שנהנו מהם בעבר.

השני קובע סט חדש של הנחיות בנוגע להצפנה. שוב, במבט ראשון נראה שהם הוצעו מתוך מחשבה על טובת הכלל. החוקים הועברו על ידי המשרד לביטחון פנים באופן רשמי כדי להגן על תשתיות הרשת מפני "נזקים" ואיומים חיצוניים. רק בבדיקה מדוקדקת מתחילות להופיע תופעות לוואי.

לפי ה-MLPS הנוכחי, שקיים מאז 2008, מפעילי רשת (מונח רחב מאוד המכסה כל מחשב או מערכות מחוברות השולחות או מעבדות נתונים) נדרשים לסווג את הרשתות ומערכות המידע שלהם לשכבות שונות ולהחיל אמצעי אבטחה מתאימים. התוכנית מדרגת מערכות טכנולוגיות מידע ותקשורת (ICT) בסולם רגישות: 1 - הכי פחות רגיש, 5 - הכי רגיש. ככל שהדירוג גבוה יותר, המערכת כפופה לבקרה קפדנית יותר של המשרד לביטחון פנים (MPS). הרמה השלישית היא הנקודה שבה אישור עצמי הופך לאימות ממשלתית. רמה זו מושגת כאשר פגיעה ברשת תגרום ל"פגיעה חמורה במיוחד בזכויות ובאינטרסים הלגיטימיים של אזרחים סינים, ישויות משפטיות וארגונים בעלי עניין אחרים, או תגרום לפגיעה חמורה בסדר הציבורי ובאינטרסים הציבוריים, או לפגיעה בביטחון הלאומי".

חברת אנליטיקה NewAmerica מסבירש-MLPS 2.0 מייצג "שינוי לעבר אימות נוסף". תחת MLPS 2.0, הרשתות הכפופות לבדיקה מורחבות למעשה לכל מערכות IT.

דרישות לוקליזציה של נתונים

על פי חוק ההצפנה החדש, פיתוח, מכירה ושימוש במערכות הצפנה "אסור לפגוע בביטחון הלאומי ובאינטרסים הציבוריים". בנוסף, מערכות קריפטוגרפיות שלא "אומתו ואומתו" גם הן מחוץ לחוק. באופן כללי, אם העסק שלך ינסה להסתיר מידע מהממשלה, אתה יכול ותיענש.

יתרה מכך, אם מרכז הנתונים שלך משתמש, למשל, בשירות תוכנה סיני, ייתכן שכל הנתונים המאוחסנים ומנוהלים על ידי שירות זה ייתפסו. זה כולל סודות מסחריים, מידע פיננסי ועוד. כמו כן, אם אתה שומר על נכסים מקומיים, אין לך שליטה מלאה עליהם; הממשלה יכולה להחרים אותם בכל עת ובמינימום הצדקה.

דרישות לוקליזציה של נתונים הכלולות בחקיקה החדשה פוגעות מאוד באבטחת הענן. מומחים מסבירים שהמקום מאוחסן הנתונים פחות חשוב מהמקום שבו הם מאוחסנים. איך הם מאוחסנים. לפיכך, לוקליזציה עושה מעט מאוד כדי להגן על מידע רגיש תוך יצירת מיקומי אחסון נתונים ממוקדים בקלות שקל לפרוץ.

סין מעולם לא התביישה להזניח את הפרטיות ואת אבטחת המידע. הכללים החדשים הללו הם פשוט פורמליזציה של מה שכבר מזמן היה הנורמה במדינה. אבל זה לא מקל על החברות.

בעיות לחברות זרות

צוות החשיבה האמריקאי המרכז למחקרים אסטרטגיים ובינלאומיים (CSIS) טוען שסין שחררה על 300 סטנדרטים לאומיים חדשים הקשורים לאבטחת סייבר. אחד השינויים האחרונים הוא עדכון MLPS.

החוקים החדשים בעייתיים במיוחד עבור מרכזי נתונים הנמצאים בבעלות חברות זרות.

למעשה, נותרו להם שתי אפשרויות.

הראשון הוא פשוט להפסיק לעשות עסקים בסין, כולל באמצעות שותפויות. בתיאוריה, אם מספיק חברות ילכו בדרך זו, זה עלול להפעיל לחץ על ממשלת סין לבטל את החוק.

השני הוא לקבל פרטיות ואבטחה מופחתת כעלות עשיית עסקים בסין.

אנו יכולים לומר שלחברות זרות ברוסיה עדיין יש את אותן שתי אפשרויות.

הייתי רוצה לחשוב שבאמצעות מאמצים משותפים הם ילכו בדרך הראשונה. למרבה הצער, במציאות סביר יותר שהאפשרות השנייה תיבחר. כי עבור רבים, המחיר הזה של עשיית עסקים מקובל.

מקור: www.habr.com