В Казахстане создадут репозиторий исходных кодов: кто получит доступ

Что произошло

В Казахстане создадут Национальный репозиторий исходных кодов. Проект приказа уже опубликовали на портале "Открытые НПА". Корреспондент BES.media запросила полный текст проекта, чтобы узнать, как будет работать репозиторий (хранилище).

Для чего он нужен

Авторы отметили, что целью создания репозитория является обеспечение безопасного централизованного хранения исходных кодов государственного ПО.

"Ожидаемыми результатами являются создание функционирующего Национального репозитория исходных кодов, налаживание процессов передачи, контроля и актуализации исходных кодов, а также снижение рисков утраты или несанкционированного доступа к ним", – говорится в сообщении.

В Национальном репозитории будут храниться исходные коды программного обеспечения государственных и квазигосударственных организаций. 

Какие будут правила

Основные термины:

• программное обеспечение (ПО) – совокупность программ, программных кодов, а также программных продуктов с технической документацией, необходимой для их эксплуатации;
• исходный код – человекочитаемый текст программы на языке программирования, включая модули, компоненты и иные элементы, необходимые для сборки программного обеспечения;
• хранение исходных кодов – совокупность организационных и технических мероприятий по обеспечению сохранности и доступности программного обеспечения.

Репозиторий будет функционировать в изолированной информационно-коммуникационной среде государственной технической службы, "обеспечивающей разграничение доступа, защиту от санкционированного подключения и соблюдение требований кибербезопасности".

Там будут храниться исходные коды ПО государственных и квазигосударственных организаций, которые:

• прошли испытания на соответствие требованиям кибербезопасности в испытательных лабораториях;
• были куплены из реестра доверенных цифровых объектов.

Хранить в НРИК будут следующие материалы:

• исходный код ПО;
• служебные файлы, необходимые для ручной и (или) автоматической компиляции;
• описание процесса компиляции (с указанием среды разработки и её версии), особенностей настроек среды разработки, инструкции по автоматизированной компоновке, необходимых для компилирования ПО;
• техническая документация ПО;
• протокол испытаний на соответствие требованиям кибербезопасности.

Кто может получить доступ к исходным кодам

Получить исходный код смогут:

• владелец (госорган-разработчик ПО);
• уполномоченный орган в сфере кибербезопасности;
• уполномоченный орган в сфере обеспечения кибербезопасности;
• государственная техническая служба – исключительно для обеспечения сохранности и контроля целостности.

При этом для получателя исходных кодов также установлены правила, по которым он:

• использует их исключительно для целей, указанных в запросе;
• обеспечивает защиту от несанкционированного доступа;
• не передаёт их третьим лицам без законных оснований;
• соблюдает требования действующего законодательства Республики Казахстана об авторском праве и кибербезопасности.

Контекст

В Казахстане утечки данных отслеживают через мониторинг открытых источников – от соцсетей до Telegram-каналов, где часто появляются объявления о продаже баз, рассказал корреспонденту BES.media заместитель генерального директора TSARKA Руслан Тургульдинов. 

Он пояснил, что по закону выявлять и анализировать утечки могут аккредитованные компании в сфере кибербезопасности. Дальше они работают совместно с уполномоченным госорганом, чтобы установить источник слива.

Модель построена так: частные компании дают техническую экспертизу и скорость, а государство – официальные полномочия и ответственность за дальнейшее реагирование.

Ужесточение наказания

Кроме того, в январе вице-министр искусственного интеллекта и цифровизации Ростислав Коняшкин сообщил о подготовке поправок, предусматривающих многократное увеличение административных штрафов и введение уголовной ответственности за массовую утечку личной информации.

По словам вице-министра, новые меры направлены на реализацию конституционных прав граждан на неприкосновенность частной жизни и защиту персональных данных. Власти намерены перейти к политике нулевой терпимости к нарушениям в сфере информационной безопасности.

Лимит административных штрафов для организаций и должностных лиц, которые не соблюдают требования безопасности, планируют увеличить в несколько раз – до 5000 МРП (около 21 млн тенге). Кроме того, планируется введение уголовной ответственности за массовую утечку персональных данных.

Угроза госорганам

Кроме того, руководители государственных органов будут нести персональную ответственность за утечку персональных данных граждан из информационных систем, предупредил вице-премьер и министр ИИ и цифрового развития Жаслан Мадиев. 

По его словам, несмотря на действующее законодательство, многие системы продолжают эксплуатироваться с нарушениями, что создаёт риск утечки персональных данных.

Мадиев подчеркнул, что все требования в сфере информационной безопасности уже закреплены в законодательстве, а ссылки на незнание или технические сложности приниматься не будут.