중국은 야로바야 패키지(Yarovaya Package)를 채택했다.

지난해 말 중국 정부는 이른바 다단계 사이버보안 계획(Multi-level Cybersecurity Scheme)이라는 새로운 사이버보안법을 도입했다.사이버 보안 다단계 보호 체계, MLPS 2.0). 12월에 발효된 이 법은 사실상 정부가 중국 서버에 저장되어 있든 중국 네트워크를 통해 전송되든 상관없이 국내 모든 데이터에 무제한으로 접근할 수 있다는 것을 의미합니다.

이는 익명의 VPN이 존재하지 않는다는 것을 의미합니다(그리고 많은 인기 VPN은 중국 기업이 소유하고 있습니다). 비공개 메시지나 암호화된 메시지는 없습니다. 익명의 온라인 계정이나 민감한 데이터가 없습니다. 중국 서버에 있거나 중국을 통과하는 외국 기업의 데이터를 포함하여 모든 데이터는 중국 정부에 접근 가능하고 공개됩니다. 댓글에 설명됨 법률 회사 리드 스미스. 어떤 의미에서 MLPS 2.0 및 그에 수반되는 법률은 러시아의 “야로바야 법률 패키지(Yarovaya Law Package)”와 비교할 수 있습니다.

모든 것이 보이는 것만큼 나쁘고 점점 더 악화되고 있습니다. MLPS 2.0은 기업 데이터의 무결성을 유지하기 위해 한때 사용되었을 수 있는 모든 보호, 안전 조치 또는 허점을 제거하는 두 가지 추가 법률에 의해 지원됩니다. 두 가지 모두 이번 달 초에 시행되었습니다. 기록 CSOnline.

첫 번째는 외국인 투자자를 중국 투자자와 동일하게 대우하는 새로운 외국인 투자법입니다. 이는 투자 과정을 단순화하기 위한 수단으로 청구되었지만 실제로는 외국인 투자자가 이전에 누렸던 많은 권리를 박탈합니다.

두 번째는 암호화에 관한 새로운 지침을 설정합니다. 다시 말하지만, 언뜻 보면 공동선을 염두에 두고 제안된 것처럼 보입니다. 네트워크 인프라를 "손상"과 외부 위협으로부터 보호하기 위해 공안부가 공식적으로 이 법을 통과시켰습니다. 면밀히 조사한 후에야 부작용이 나타나기 시작합니다.

2008년부터 시행된 현행 MLPS에 따라 네트워크 운영자(연결된 컴퓨터 또는 데이터를 전송하거나 처리하는 시스템을 포괄하는 매우 광범위한 용어)는 네트워크와 정보 시스템을 여러 계층으로 분류하고 적절한 보안 조치를 적용해야 합니다. 이 체계는 민감도 척도에 따라 정보통신기술(ICT) 시스템의 순위를 매깁니다. 즉, 1은 가장 덜 민감하고 5는 가장 민감합니다. 등급이 높을수록 공안부(MPS)의 시스템 통제가 더욱 엄격해집니다. XNUMX단계는 자기인증이 정부검증으로 바뀌는 지점이다. 이 수준은 네트워크 손상이 "중국 공민, 법인 및 기타 이해 조직의 합법적인 권리와 이익에 특히 심각한 피해를 입히거나, 공공 질서와 공공 이익에 심각한 해를 끼치거나, 국가 안보에 해를 끼치는 경우"에 도달합니다.

분석 회사 NewAmerica 설명하다MLPS 2.0은 "더 많은 검증을 향한 전환"을 의미합니다. MLPS 2.0에서는 검사 대상 네트워크가 본질적으로 모든 IT 시스템으로 확장됩니다.

데이터 현지화 요구 사항

새로운 암호법에 따르면 암호 시스템의 개발, 판매 및 사용은 "국가 안보와 공공 이익에 해를 끼치면 안 됩니다." 또한 "검증 및 인증"되지 않은 암호화 시스템도 불법입니다. 일반적으로 귀하의 기업이 정부로부터 정보를 은폐하려고 시도하는 경우 처벌을 받을 수 있으며 처벌을 받게 됩니다.

또한, 귀하의 데이터 센터가 중국 소프트웨어 서비스 등을 사용하는 경우 이 서비스에 의해 저장되고 관리되는 모든 데이터가 압류될 수 있습니다. 여기에는 영업 비밀, 금융 정보 등이 포함됩니다. 마찬가지로, 국내에 자산을 보관하는 경우 해당 자산을 완전히 통제할 수는 없습니다. 최소한의 정당한 사유만으로 언제든지 정부에 의해 압수될 수 있습니다.

새로운 법안에 포함된 데이터 현지화 요구 사항도 클라우드 보안에 큰 해를 끼칩니다. 전문가들은 데이터가 저장되는 위치가 저장 위치보다 덜 중요하다고 설명합니다. как 그들은 저장됩니다. 따라서 현지화는 민감한 정보를 보호하는 데 거의 도움이 되지 않는 동시에 해킹하기 쉬운 대상 데이터 저장 위치를 ​​쉽게 생성합니다.

중국은 개인 정보 보호와 데이터 보안을 소홀히 한 적이 없습니다. 이러한 새로운 규칙은 오랫동안 국가 내에서 표준이었던 것을 공식화한 것일 뿐입니다. 하지만 이것이 기업의 입장에서는 더 쉬워지지는 않습니다.

외국계 기업의 문제점

미국 싱크탱크 전략국제문제연구소(CSIS)는 중국이 공개한 것이라고 주장했다. 300에 대한 사이버 보안과 관련된 새로운 국가 표준. 최신 변경 사항 중 하나는 MLPS 업데이트입니다.

새로운 법률은 외국 기업이 소유한 데이터 센터에 특히 문제가 됩니다.

실제로 두 가지 옵션이 남아 있습니다.

첫 번째는 파트너십을 포함하여 중국에서의 사업을 중단하는 것입니다. 이론적으로 충분한 기업이 이 길을 따르면 중국 정부가 법을 폐지하도록 압력을 가할 수 있습니다.

두 번째는 중국에서 사업을 수행하는 데 드는 비용으로 개인 정보 보호 및 보안 감소를 받아들이는 것입니다.

러시아의 외국 기업에는 여전히 동일한 두 가지 옵션이 있다고 말할 수 있습니다.

공동의 노력을 통해 첫 번째 길을 따라갈 것이라고 생각하고 싶습니다. 불행히도 실제로는 두 번째 옵션이 선택될 가능성이 더 높습니다. 왜냐하면 많은 사람들이 이러한 사업 수행 비용을 받아들일 수 있기 때문입니다.

출처 : habr.com