Игра по правилам: в Минцифры решили определиться с политикой в отношении VPN
В Минцифры планируют в течение полугода определиться с контурами политики в отношении VPN — об этом заявил глава ведомства Максут Шадаев. По словам Шадаева, сегодня доля идущего через VPN трафика в стране увеличивается, а с «недружественными сервисами», которые не соблюдают требования законодательства, борется Роскомнадзор. При этом порой страдают и легальные корпоративные VPN, что и намерены исправить в Минцифры. «Известия» выяснили, для чего необходима единая стратегия и как она могла бы работать.
Государственная политика
В Минцифры планируют до конца года определиться с контурами политики в отношении VPN в России. Об этом заявил глава министерства Максут Шадаев во время выступления на TAdviser SummIT 2025.
— Думаю, что сейчас в ближайшие полгода мы как-то определимся с контурами политики в этой части. (…) Мы сейчас будем вырабатывать четкую политику в этой части. Настало время договориться о единственном праве. Сейчас не могу сказать вам, куда бежать, но скажу ближе к осени, — сказал Шадаев.
Он отметил, что сегодня доля VPN-трафика в стране увеличивается, а с «недружественными сервисами», которые не соблюдают требования законодательства, борется Роскомнадзор. При этом иногда страдают и легальные корпоративные VPN, необходимые для работы организаций.
По мнению экспертов по кибербезопасности, единая политика могла бы учитывать как вопросы кибербезопасности, так и потребности пользователей и бизнеса. Пользователям она позволяла бы сохранить доступ к необходимым ресурсам, обеспечить прозрачные правила использования VPN и повысить уровень безопасности. Бизнесу — защитить каналы, используемые для удаленной работы и международной деятельности и сохранить стабильность рабочих процессов.
— При этом государство получило бы эффективный инструмент контроля над нелегальными VPN-сервисами, ограничило распространение противоправного контента и повысило управляемость интернет-пространства, — отметила в беседе с «Известиями» эксперт, инженер-аналитик компании «Газинформсервис» Екатерина Едемская.
Контроль за трафиком и использованием VPN позволяет государственным органам оперативно выявлять и предотвращать схемы, связанные с обходом блокировок или анонимизацией, что важно для борьбы преступлениями, в том числе терроризмом и экстремизмом, указал начальник отдела по информационной безопасности компании «Код Безопасности» Алексей Коробченко.
Ситуация с VPN
Сегодня в России наблюдается устойчивый рост интереса к VPN-сервисам. По данным аналитического агентства Vox Populi за 2024 год, ими пользуется около 60% взрослого населения, чаще всего — молодежь от 18 до 24 лет. При этом в 2023 году АНО «Диалог» и АНО «Диалог регионы» приводили статистику, согласно которой VPN использует почти 30% россиян — для доступа к заблокированным социальным сетям, а также для повышения анонимности в интернете и в рабочих целях. С 2022 года спрос на анонимизирующие технологии сохранялся на высоком уровне, однако государственная политика в отношении VPN не была системной.
— Вместо формальных процедур Россия пошла по пути технического ограничения доступа к конкретным VPN-сервисам, которые не соблюдают требования законодательства. Такие меры включали блокировку приложений в App Store и Google Play, ограничения на уровне провайдеров, а также использование технологий глубокой фильтрации трафика. При этом в стране до сих пор отсутствует единый нормативный документ, регламентирующий правовой статус VPN-сервисов, допустимые способы их использования, а также принципы различения корпоративных и частных целей, — говорит адвокат Шон Бетрозов.
В результате, отмечает он, сложилась противоречивая ситуация. С одной стороны, государство стремится обеспечить цифровой суверенитет и защиту национальных интересов. С другой — отсутствует правовая определенность как для пользователей, так и для компаний, особенно в условиях санкционного давления.
«Владельцы VPN-сервисов обязаны соблюдать требования и ограничивать доступ к заблокированным ресурсам и информации, запрещенной на территории Российской Федерации, — сообщили «Известиям» в Роскомнадзоре. — В частности, обеспечить подключение к Единому реестру Роскомнадзора и ограничивать предоставление доступа к указанным в нём ресурсам.»
Как пояснили в ведомстве, в настоящее время работа VPN-сервисов на территории Российской Федерации регулируется статьей 15.8 Федерального закона № 149 от 27.07.2006 «Об информации, информационных технологиях и о защите информации» и Правилами централизованного управления сетью связи общего пользования, утвержденными постановлением Правительства РФ № 127 от 12.02.2020. За допущенные нарушения действующим законодательством предусмотрены санкции, вплоть до блокирования.
Проблемы и риски
По словам адвоката Шона Бетрозова, правовая неопределенность в отношении VPN-сервисов приводит к тому, что граждане не знают, какие из них могут использоваться законно, а какие подпадают под потенциальную блокировку. У них нет возможности заранее спрогнозировать, будет ли конкретный сервис работать в долгосрочной перспективе. Более того, в случае использования VPN человек может подвергнуться проверке со стороны правоохранительных органов, не имея возможности обосновать свою позицию.
При этом, как подчеркивают в Роскомнадзоре, «использование VPN-сервисов в настоящее время не запрещено, а проверки и административная ответственность за их использование не предусмотрены.»
— Вторая проблема — трудности, возникающие у бизнеса. Многие компании, особенно международные, используют VPN для безопасного подключения сотрудников к корпоративным сетям. Однако в рамках технических ограничений корпоративные сети часто блокируются наравне с публичными сервисами. Это приводит к сбоям в работе, рискам утечки данных, необходимости срочного поиска альтернатив, которые могут оказаться менее надежными, — говорит юрист.
Существующий механизм ограничения доступа предусматривает исключение из блокировки корпоративных VPN-сервисов, прежде всего, для международных компаний, у которых нет возможности отказаться от иностранных протоколов шифрования при передаче данных, — подчеркивают в Роскомнадзоре. — В случае технической необходимости их использования нужно обратиться с заявлением в Центр мониторинга и управления сетью связи общего пользования (ЦМУ ССОП) «Главного радиочастотного центра» (входит в структуру Роскомнадзора) для исключения. По состоянию на сегодняшний день компании, занимающиеся международной деятельностью, прислали около 77 тысяч своих адресов.
Кроме того, добавляет технический руководитель департамента управления поверхностью атаки (ASM) компании F6 Николай Степанов, ситуация с массовой блокировкой VPN создает риски киберугроз для обычных пользователей — после ухода известных сервисов появилось множество мелких, непроверенных и «серых».
— С ними связаны две крупные проблемы: кража данных и распространение вредоносных программ, — рассказывает эксперт. — Например, в Китае обнаружили вредоносную кампанию, которая была нацелена на пользователей VPN. Компьютеры, зараженные подобным образом, могут в будущем использоваться в DDoS-атаках и, по сути, становятся марионетками в руках злоумышленников.
К примеру, объясняет он, человек может просто посмотреть видео с компьютера, где был активирован VPN, а на следующий день зараженное устройство будет «участвовать в атаках на банки».
— Вторая проблема — сбор данных. По сути, VPN-провайдер — посредник для ваших данных между вами и сайтом, на который вы заходите. Вы, как пользователь, никак не можете проверить, что VPN-провайдер не собирает или не продает ваши данные другим компаниям или странам. Все бесплатные альтернативы с большой вероятностью существуют только на основе продажи данных клиентов, — говорит Степанов.
Роскомнадзор рекомендует владельцам российских частных виртуальных сетей отказаться при передаче данных от иностранных протоколов шифрования. На текущий момент уже существуют отечественные доверенные VPN-сервисы, которые отвечают необходимым требованиям безопасности и полностью соответствуют российскому законодательству. Один из примеров – Kaspersky Security Connection.
Аспекты стратегии
По мнению начальника отдела по информационной безопасности компании «Код Безопасности» Алексея Коробченко, четкая политика в отношении VPN может включать несколько важных аспектов, учитывающих интересы государства, бизнеса и граждан.
— Для государства основным элементом такой политики станет обеспечение контроля над безопасностью и защитой суверенитета Интернета. Это предполагает разработку мер по противодействию обходу блокировок запрещенных ресурсов, борьбу с киберпреступностью и предотвращение распространения экстремистского контента через анонимные каналы, — считает эксперт.
В то же время, продолжает он, для бизнеса важно предусмотреть сохранение легального доступа к VPN-сервисам, необходимым для эффективной и безопасной работы сотрудников и защиты коммерческой тайны.
— Сейчас компаниям сложно использовать VPN официально, так как они могут быть признаны «инструментом обхода блокировок» и повлечь проблемы. Потому нужно создать перечень «белых» VPN-провайдеров, разрешенных для бизнеса, и ввести для них политику по хранению логов, прохождению сертификации/аудита. И выделить специальные каналы для критически важных отраслей, — считает Николай Степанов.
Для граждан политика может устанавливать возможность использования средств защиты приватности и анонимности в Интернете, однако с определенными ограничениями, например с запретом на доступ к запрещенным законом ресурсам. В целом, предполагает аналитик Екатерина Едемская, единая стратегия может включать:
• юридическое определение допустимого и недопустимого использования VPN;
• перечень разрешенных и запрещенных VPN-сервисов;
• требования к операторам VPN по локализации данных и сотрудничеству с госорганами;
• правила использования VPN для бизнеса и госструктур;
• меры ответственности за нарушение установленных правил;
• механизмы технического контроля и мониторинга VPN-трафика;
• процедуры сертификации или регистрации VPN-сервисов, работающих в стране.
Так или иначе, эксперты сходятся во мнении, что решение проблем с VPN требует создания четкой и сбалансированной политики, которая позволит легальным провайдерам продолжать работу, защищая права граждан и интересы бизнеса. Такая стратегия повысит безопасность, снизит риски злоупотреблений и обеспечит стабильность цифровой среды.
