Минцифры предложило пакет мер против кибермошенничества «Антифрод 3.0»
Минцифры вынесло на общественное обсуждение законопроект «Антифрод 3.0». Пакет поправок направлен на борьбу с телефонным и интернет-мошенничеством и затрагивает операторов связи, сайты, хостинг-провайдеров, маркетплейсы и работу с персональными данными.
Изменения предлагается внести в законы «О связи», «О персональных данных», «Об информации» и ряд других нормативных актов. Если документ примут, основные положения должны вступить в силу 1 марта 2028 года. При этом порядок реализации многих требований будет зависеть от будущих подзаконных актов.
Отключение номеров по данным силовых органов
Одна из ключевых мер касается телефонных номеров, которые могут использоваться для противоправных действий. Если ФСБ или МВД передадут соответствующую информацию через государственную систему «Антифрод», оператор связи должен будет приостановить обслуживание указанного номера.
Дополнительно предлагается блокировать остальные номера, оформленные на того же абонента по договорам с оператором, а также уведомлять систему «Антифрод» о приостановке услуг. Таким образом, мера может распространяться не только на номер, связанный с подозрительной активностью, но и на другие номера его владельца.
Продажа сим-карт и работа посредников
Законопроект ограничивает продажу сим-карт через агрегаторы, включая маркетплейсы. Такое право предлагается оставить непосредственно операторам связи. Для посредников устанавливаются дополнительные условия:
- агентские договоры на заключение договоров связи смогут оформлять только юридические лица — индивидуальные предприниматели и физические лица не смогут выступать такими агентами;
- оформлять договор связи онлайн можно будет только с использованием электронной подписи;
- в договоре для устройств с eSIM потребуется указывать сведения об устройстве и его идентификаторе.
Отдельное требование касается виртуальных АТС: пользоваться ими можно будет только через российские сетевые адреса, включённые в специальный реестр. Представители операторов уже выразили несогласие с частью предложений. В «МегаФоне» считают исключение индивидуальных предпринимателей из числа дилеров избыточным, а в Т2 предлагают сохранить продажи через субдилеров при условии понятного регулирования их работы.
Новые правила для сайтов и персональных данных
«Антифрод 3.0» предусматривает создание единой платформы согласий на передачу персональных данных. Кроме того, для SMS-рассылок предлагают запретить использование персональных данных получателя и его близких. Исключения будут возможны только в случаях, предусмотренных законом.
Для российских сайтов планируют закрепить несколько вариантов авторизации: по номеру телефона, через ЕСИА, с помощью биометрии или другой системы, соответствующей требованиям к защите информации. Для иностранных сайтов, доступных пользователям в России, предлагается оставить только вход по номеру телефона. ЕСИА — это система идентификации, используемая, в частности, для авторизации на портале «Госуслуги».
Владельцев сайтов и информационных систем с формой авторизации также могут обязать хранить данные о регистрации пользователей и входах в течение трёх лет и предоставлять их силовым органам по запросу. По оценке руководителя отдела информационной безопасности «СКБ Контур» Александра Дельвы, похожие требования уже действуют для отдельных категорий сервисов. Их распространение на большее число приложений увеличит нагрузку на бизнес.
Обязанности хостинг-провайдеров
Роскомнадзор должен будет вести реестр лиц, которые размещают на мощностях хостинг-провайдеров ресурсы и программы для доступа к заблокированным в России сайтам и сетям либо не выполняют требования статьи 15.8 закона «Об информации».
Перед предоставлением мощностей провайдеру потребуется идентифицировать клиента, выяснить назначение ресурсов и проверить заказчика по реестру Роскомнадзора. Предоставлять услуги лицам, включённым в список, будет нельзя в течение года с момента их внесения. Также проект допускает прекращение услуг для противодействия кибератакам по запросам силовых органов или организаций критической информационной инфраструктуры.
Требования к маркетплейсам и сроки подготовки
Иностранные партнёры-исполнители операторов маркетплейсов после заключения гражданско-правового договора должны будут сообщать свой абонентский номер. Оператор платформы передаст эти сведения в государственную информационную систему, после чего Роскомнадзор проверит их соответствие установленным требованиям. Платформы также обяжут информировать государственные органы о продаже сим-карт в случаях, когда такая продажа запрещена.
По оценке ИТ-директора ГК «КОРУС Консалтинг» Максима Копова, в проекте пока отсутствуют переходные положения. Около 80% практической работы по подготовке бизнеса будет зависеть от документов, которые уточнят новые правила. Риск для компаний связан с тем, что такие акты могут появиться всего за несколько недель или месяцев до вступления закона в силу. Крупным организациям, вероятно, будет проще адаптироваться, тогда как малому и среднему бизнесу может потребоваться больше времени.
