Казахские власти раскрыли Digital Report детали внедрения национального сертификата безопасности

DR получил ответ на свой запрос относительно внедрения в Казахстане национального сертификата безопасности из Комитета по связи, информатизации и информации Министерства инвестиций и развития республики, уполномоченного органа правительства по делам, связанным с интернетом. Как сообщалось ранее, сертификат вызвал обеспокоенность экспертного сообщества как инструмент, способный подорвать онлайн-безопасность казахстанских пользователей и вызвать проблемы с доступом к зарубежным ресурсам.

В ответе, в частности, проясняется, на какие правовые нормы ссылался национальный оператор связи Казахтелеком в пресс-релизе о внедрении национального сертификата безопасности с 1 января 2016 года (сообщение было удалено с официального сайта компании вскоре после размещения). Как выяснилось, речь идет об изменениях, направленных на регулирование отношений, связанных с передачей шифрованной информации за пределы страны, которые были внесены в Закон «О связи» 24 ноября 2015 года (Закон Республики Казахстан № 419-V «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам информатизации»). Заключения по законопроекту неоднократно давало Правительство Республики Казахстан, он был поддержан всеми государственными органами, кроме того, все заседания рабочих групп в Мажилисе и Сенате Парламента Республики Казахстан проводились в открытом режиме, с привлечением представителей общественности и отраслевых ассоциаций», отмечается в письме Комитета.

Изменения и дополнения включали следующие положения:

в статье 2 даны определения:
32-1) удостоверяющий центр – юридическое лицо, определяемое уполномоченным органом, выдающее в электронной форме сертификаты безопасности;
36-1) сертификат безопасности – набор электронных цифровых символов, применяемый для пропуска трафика, содержащего протоколы, поддерживающие шифрование;
в статье 8 добавлена компетенция уполномоченного органа:
в пункте 1:
6-2) утверждение правил выдачи сертификата безопасности;
6-3) утверждение правил применения сертификата безопасности;
6-4) государственный контроль за применением сертификата безопасности операторами связи;
6-6) определение удостоверяющего центра;

в статье 26 пункт 3-1 изложен в следующей редакции:
3-1. Операторы междугородной и (или) международной телефонной связи обязаны:
4) осуществлять пропуск трафика с использованием протоколов, поддерживающих шифрование с применением сертификата безопасности, за исключением трафика, шифрованного средствами криптографической защиты информации на территории Республики Казахстан.

Ответственность операторов связи закреплена в Кодексе Республики Казахстан об административных правонарушениях от 5 июля 2014 года, в частности статью 637 дополнили подпунктом следующего содержания:
9-3) нарушения операторами связи правил применения сертификата безопасности

По словам авторов ответа на запрос DR, вышеперечисленные изменения и дополнения и составляют законодательную основу применения в стране казахстанского сертификата безопасности. Впрочем, в приведенных выдержках не идет речи о национальном сертификате безопасности, который пользователи должны устанавливать себе на устройства для доступа на зарубежные веб-сайты. Часто национальные удостоверяющие центры занимаются выпуском сертификатов безопасности для использования, например, госорганами. Вероятно, понятие «национального сертификата безопасности» будет прописано в подзаконных нормативных актах.

Как продолжает объяснять письмо, полученное DR из пресс-службы уполномоченного органа, министерством разработаны соответствующие нормативно-правовые акты, вытекающие из новой компетенции. Это Правила выдачи и применения сертификата безопасности, а также определения удостоверяющего центра выдающего сертификаты безопасности. Указанные НПА проходят процедуру согласования в государственных органах и аккредитованных отраслевых ассоциациях. Их принятие ожидается в декабре 2015 года.

Также авторы ответа заверяют, что отказаться от установки сертификата безопасности можно, «никакие санкции за отказ от установки сертификата к пользователям применяться не будут», но признают, что при этом возможны будут ограничения функциональности иностранных ресурсов и сервисов, не использующих национальный сертификат в качестве доверенного».