В Казахстане стало больше желающих искать киберуязвимости легально и за деньги

Что произошло

Легализация "белых хакеров", специалистов, которые легально ищут уязвимости, уже изменила рынок кибербезопасности в Казахстане, сообщил заместитель директора ЦАРКА Руслан Тургульдинов в беседе с корреспондентом BES.media.

Как это работает

"Белые хакеры" могут проверять только те системы, владельцы которых дали разрешение, и обязаны соблюдать ограничения, чтобы не нарушать работу сервисов.

"Это фактически легализация белых хакеров. Им заданы рамки: что можно сканировать, какие домены, какие методы использовать. Но если ты добросовестный исследователь, эти ограничения не мешают работать", – отметил он.

Что изменилось

По словам Тургульдинова, багбаунти-платформы (площадки, где компании разрешают проверять свои системы) стали не только инструментом поиска уязвимостей, но и способом подготовки специалистов. В стране сформировалось сообщество исследователей, ориентированных на offensive-направление – поиск слабых мест в системах. Студенты всё чаще выбирают работу в red team – это специалисты, которые имитируют атаки, чтобы выявить уязвимости.

"Сейчас студенты вузов, где есть кафедры кибербезопасности, хотят идти именно в red team. Хотя направлений в отрасли много, как в медицине", – пояснил он.

Есть ли перекос

На этом фоне создаётся ощущение смещения рынка в сторону пентестеров – специалистов, которые с разрешения владельца пытаются взломать систему, чтобы найти уязвимости. Однако, по оценке ЦАРКА, говорить о перекосе пока рано.

"Не сказал бы, что есть перекос. Многие из этих исследователей – это действующие специалисты blue team, аудиторы или менеджеры. Для них поиск уязвимостей – дополнительный источник дохода и способ прокачки навыков", – подчеркнул Тургульдинов.

Blue team – это специалисты, которые занимаются защитой систем.

Контекст

Идея сотрудничества госорганов с "белыми хакерами" обсуждалась ещё осенью 2023 года, когда в мажилисе рассматривали поправки в законодательство по вопросам информационной безопасности.

Тогда депутат Екатерина Смышляева, представляя поправки, объяснила, что это международная практика: такие специалисты работают по договору и помогают находить уязвимости, которые затем нужно устранить.

"Белый" хакер может легко стать "чёрным", но если мы не будем использовать их потенциал в правовом поле, если мы не будем привлекать их к защите наших информационных систем, завтра они действительно уйдут на "чёрную" сторону и взломают нас с другой стороны. И уже мы не сможем этим никак управлять", – сказала Смышляева.

Позже, в декабре 2023 года, эту практику закрепили законодательно поправками в законодательство по вопросам информационной безопасности, информатизации и цифровых активов.

Почему это важно

Легализация "белых хакеров" важна потому, что она меняет сам подход к цифровой безопасности: уязвимости начинают искать не после взлома и утечки данных, а заранее и в правовом поле. Для страны это означает больше шансов защитить госорганы, банки, бизнес и персональные данные граждан до того, как ими воспользуются преступники. Одновременно это ещё и про рынок труда: кибербезопасность становится не абстрактной сферой, а реальной профессией с понятной траекторией для студентов и специалистов, которых раньше система могла просто терять.

Справка

Центр анализа и расследования кибератак (ЦАРКА) – одна из заметных организаций Центральной Азии в сфере информационной безопасности. Центр работает с 2015 года и занимается аудитом защищённости, тестированием на проникновение, сертификацией по стандартам информационной безопасности, а также анализом безопасности банковских систем, веб-сервисов, бизнес-приложений и ИТ-инфраструктуры.

Основная задача ЦАРКА – находить и устранять уязвимости до того, как они станут серьёзной угрозой. При центре также работает образовательное направление – TSARKA Academy, где обучают и повышают квалификацию специалистов по кибербезопасности.