По данным РБК, обсуждается новая версия законопроекта о госрегулировании деятельности white-hat'ов. Основное:
🔸 Вводится термин "мероприятие по поиску уязвимостей", под который попадают:
— публичные bug bounty-программы;
— внутренние bug bounty;
— любые независимые исследования;
— пентесты по договорам.
🔸 Что планируют?
— Создание реестра сертифицированных исследователей;
— Идентификация и аккредитация всех white-hat'ов;
— Жёсткие правила обработки и передачи уязвимостей;
— Обязательное уведомление не только владельца ресурса, но и силовые ведомства;
— Работа вне аккредитованных площадок — под запретом.
🔸 Мнение рынка:
— Реестр = деанонимизация → угроза для безопасности исследователей.
— Падение числа участников bug bounty.
— Псевдонимы — не про “анонимность”, а про риски.
🔸 Поправка в УК (ст. 274): передача сведений об уязвимостях с нарушением установленных правил может квалифицироваться как противоправное деяние.
🔸 Кто будет контролировать?
ФСБ, ФСТЭК, НКЦКИ — полное регулирование.
🔸 Минцифры: законопроект «ещё может меняться», министерство "в диалоге".