Минцифры предлагает ограничить использование VPN на серверах
Минцифры подготовило поправки в закон № 149-ФЗ «Об информации», которые вводят ограничения на использование VPN на серверах. Нововведение затронет как компании, так и частных пользователей, поднимающих VPN-серверы. При этом использовать уже существующие VPN-соединения по-прежнему можно — ограничения коснутся в первую очередь создания и запуска новых.
Подробности
Согласно формулировкам поправок, ограничения касаются в первую очередь процесса создания и запуска VPN-серверов. Использовать уже поднятые VPN-соединения, судя по тексту инициативы, по-прежнему разрешено — то есть речь идёт не о полном запрете технологии как таковой, а о введении дополнительных барьеров на этапе развёртывания. При этом конкретные технические детали — перечень затрагиваемых протоколов, требования к операторам связи и хостинг-провайдерам, а также механизмы контроля исполнения — в исходной публикации не раскрываются. Не приводятся и идентификаторы CVE, поскольку инициатива носит регуляторный, а не технический характер. Не уточняется и точный срок вступления поправок в силу — из заголовка исходной статьи следует, что речь идёт о периоде в один год, что можно трактовать как «волчий билет» на срок до 12 месяцев для тех, кто попадёт под ограничения. Отдельно стоит отметить, что подобные инициативы традиционно сопровождаются дискуссией о балансе между обеспечением безопасности и сохранением доступности легитимных инструментов защиты данных. VPN остаётся стандартным элементом корпоративной ИБ-практики: с его помощью организуется удалённый доступ сотрудников, защищаются каналы передачи данных и сегментируется инфраструктура.Что делать
Владельцам собственной серверной инфраструктуры стоит внимательно следить за развитием законодательства и отслеживать официальные тексты поправок после их публикации. Если организация использует VPN для служебных задач, имеет смысл заранее проработать альтернативные схемы защищённого доступа — например, на базе корпоративных решений с MFA, TLS-туннелированием и строгой аутентификацией. Частным пользователям, которые поднимают VPN-серверы «для себя», рекомендуется не полагаться на единственный канал: полезно иметь резервные варианты подключения и не хранить критичные данные в зависимости от одного сервиса. Компаниям, предоставляющим хостинг и облачные услуги, следует подготовиться к возможным новым требованиям со стороны регулятора и заранее оценить, какие изменения потребуются в их инфраструктуре. Также имеет смысл пересмотреть внутренние политики ИБ: убедиться, что удалённый доступ сотрудников описан в регламентах, что используются актуальные версии VPN-клиентов и серверного ПО, а журналирование подключений ведётся в достаточном объёме. Это поможет и при возможных проверках, и при реальных инцидентах. Итог: инициатива Минцифры не запрещает VPN полностью, но заметно усложняет развёртывание новых серверов — компаниям и пользователям стоит готовиться к изменениям заранее. Следите за официальными текстами поправок и оценивайте риски для своей инфраструктуры до вступления норм в силу.Источник: Хабр — Информационная безопасность