В рамках внесения поправок в закон о деятельности спецслужб, бизнес и гражданское общество настаивают на четких законодательных ограничениях, направленных против намеренного сохранения уязвимостей в информационных технологиях.

Запланированная реформа спецслужб вызывает опасения в экспертных кругах относительно кибербезопасности в Германии. Реорганизация системы безопасности должна предоставить Федеральной разведывательной службе (BND) и Федеральному ведомству по защите конституции расширенные полномочия в киберпространстве, включая инструменты для активной киберзащиты. Общество за права человека (GFF) и IT-ассоциация Bitkom предупреждают о серьезных рисках. В совместном документе они призывают к установлению обязательных правил взаимодействия государства с уязвимостями в области информационной безопасности.

Ассоциация Bitkom и организация GFF призывают законодателей принять меры, чтобы предотвратить ситуацию, когда государственные органы проявляют заинтересованность в сохранении уязвимостей или затягивании их устранения. Любая известная, но не устраненная брешь в системе безопасности представляет угрозу для граждан, компаний, государственных органов и критически важной инфраструктуры. К преступникам или иностранным спецслужбам также могут быть применены эти уязвимости. В документе подчеркивается, что это ставит под угрозу не только безопасность цифровых систем, но и основополагающее право на конфиденциальность и целостность информационных технологий.

Организации GFF и Bitkom выдвинули три ключевых требования относительно работы с уязвимостями, которые выявляются государственными органами. В принципе, устранение этих уязвимостей должно быть приоритетной задачей. Ответственное раскрытие информации (Responsible Disclosure) и защита затронутых систем должны стоять на первом месте. Если разведывательные службы обнаруживают уязвимость, это не должно автоматически приводить к тому, что они будут использовать ее в оперативных целях или задерживать процесс ее устранения.

Поэтому авторы призывают к внедрению системы управления уязвимостями, закрепленной на законодательном уровне. В случае, если какая-либо уязвимость остается открытой, этому должно предшествовать строгое, обязательное и структурированное рассмотрение вопроса. При этом необходимо сопоставить риски дальнейшего распространения и эксплуатации с конкретной оперативной выгодой. Необходимы четко определенные критерии, обязательные меры по снижению рисков и эффективный контроль за принятыми решениями. Кроме того, законодательные требования в области защиты не должны обходиться или ослабляться посредством договоров или сотрудничества с третьими лицами.

Защита надежных каналов для сообщений.

Еще одним важным аспектом документа является защита конфиденциальных каналов связи. Специалисты по безопасности, компании и организации должны быть уверены в том, что информация об уязвимостях, которую они передают Федеральному ведомству по информационной безопасности (BSI) в рамках его функций по сбору и координации информации, будет защищена. Поэтому GFF и Bitkom призывают законодательно запретить передачу такой информации каким-либо другим службам.

Если бы это доверие было подорвано, специалисты по безопасности и компании могли бы воздерживаться от сообщения об обнаруженных уязвимостях. Критические недостатки, возможно, стали бы замалчиваться вместо того, чтобы сообщать о них соответствующим органам для устранения. Это могло бы ослабить общую безопасность информационных технологий. В 2024 году коалиционное правительство "Светофор" договорилось обязать федеральные органы сообщать известные уязвимости в систему безопасности BSI. Однако эта инициатива так и не была принята Бундестагом.

Недавно Федеральное министерство внутренних дел стремилось обязать Федеральное ведомство по информационной безопасности (BSI) передавать в Федеральную разведывательную службу (BND) информацию, имеющую значение для обеспечения безопасности, включая сведения о ранее неизвестных уязвимостях, уже на ранних стадиях атаки. Ассоциация предприятий электроники (Bitkom) и организация GFF выступили против этого: они утверждают, что регламентированный подход к управлению уязвимостями необходим не только для обеспечения устойчивой цифровой инфраструктуры, но и является конституционно обусловленным требованием. Федеральный конституционный суд подчеркнул обязанность государства обеспечивать основные права граждан.

Первоисточник — Heise

Автор оригинала — Stefan Krempl