Зачем

Федеральный Закон 31.07.2023 № 406-ФЗ вносит изменения в закон “О связи” и закон “Об информации, информационных технологиях и о защите информации”, начинает действовать с 1 декабря 2023 года.

Суть: существующих хостинг-провайдеров надо пересчитать путём их самостоятельного добавления в реестр хостинг-провайдеров (РХП), новые будут проходить довольно сложную процедуру запуска. Реестр запускается 1 декабря 2023, до 15 декабря все хостинг-провайдеры должны самовнестись.

Кому надо

Всем компаниям, которые предоставляют услуги хостинга. Не только тем, кто размещает сайты (это самое простое), но вообще всем, кто предоставляет свои вычислительные мощности (ресурсы) для других клиентов - виртуальные машины, облака, докеры, базы данных, место на дисках - все.

Аналогично СОРМу, не важно с кем вы работаете - с физическими, юридическими лицами, индивидуальными предпринимателями - никакой роли это не играет. Предоставили кому-то мощности - всё, вы хостер, поздравляю.

Даже если вы очень маленькая компания и предоставляете три вирталки с 1с-кой на своём сервере трём другим компаниям, я бы всё равно рекомендовал зарегистрироваться в качестве хостинг-провайдера. Причины:

• сейчас вы можете относительно просто пройти эту процедуру, потом запустить хостинг будет сложнее;

• не понравится - скажете, что прекратили такую деятельность, услуги не оказываете;

• вы же планируете развиваться дальше?

Где регистрироваться

Портал заявителей Роскомнадзора тут: https://service.rkn.gov.ru

Непосредственно раздел для регистрации хостинга тут: https://service.rkn.gov.ru/monitoring/rph

Инструкция по заполнению заявки тут: https://service.rkn.gov.ru/docs/manualRhp.pdf

Если что-то не получается - пишите на мыло поддержки help_rhp@noc.gov.ru. Это мыло есть в инструкции, но кто ж до конца читает-то?!

Вход в портал для заполнения заявки - через ЭЦП организации или через ЕСИА.

Что нужно подготовить

При заполнении данных вам потребуется:

• адрес расположения ваших вычислительных ресурсов + геокоординаты

• адрес подключения интернета + геокоординаты

• диапазон IP-адресов, используемых для хостинга

• номер автономной системы (если пользуетесь адресами провайдера спросите у него номер или посмотрите в RIPE)

• данные сколько у вас вычислительных ресурсов: штук ядер процессоров, штук гигов оперативной памяти, штук гигов дискового пространства

• номер договора и дата заключения с аплинком (провайдером интернета)

Вроде бы, основное всё.

Перед началом заполнения прочитайте инструкцию от начала до конца - будет легче заполнять.

Процесс заполнения

Первый раз это должно занять что-то около часа. Пока разберетесь, пока заполните, пока научитесь ошибки искать.

Если в каком-то поле выскакивает ошибка (например, в координатах) - попробуйте убрать знаки препинания, спец-символы и тд.

Рекомендация: после заполнения каждого блока в карточке нажимайте “сохранить”. Так проще искать ошибки и меньше заполнять по второму разу.

Для доступа к разделу заявлений нужно пользователю портала добавить права “Реестр провайдеров хостинга”. Без этого не поедет. Возможно, надо будет выйти, потом снова авторизоваться.

Дальше в карточку и вперед заполнять.

На самом деле, в официальной инструкции всё довольно понятно описано, по шагам.

Ошибки портала

Да, регулярно и с удовольствием оно падает:

Ждёте пол-часа и пробуете снова. Или пишете в поддержку.

Либо вот такое:

Скорее всего, тут ошибка в каком-то из блоков. Именно поэтому лучше всего нажимать “Сохранить” после заполнения каждого блока. Или пишите в поддержку.

После заполнения нажимаете “отправить на проверку”. Должно отобразиться что-то типа “на проверке с такого-то времени”.

Как будто пока всё.

На 04 декабря 2023 Роскомнадзор похвастался, что одобрено аж 16 заявок, а ещё 40 начали заполнение (то есть, видимо, надо считать, что заявки были отправлены на проверку, а затем возвращены на доработку. Немного, прямо скажем…

Проблема.

В последние годы фиксировалась крайне высокая активность колл-центров, специализировавшихся на вымогательстве денег и других преступлениях. Термин «телефонные мошенники» уже стал обыденным, причем справиться с этим явлением не получалось никакими методами. Даже, казалось бы, самые «подготовленные» граждане нередко становились жертвами (Мошенники выманили у сотрудника Казначейства России 14,5 млн рублей)

Суть в том, что борьба с мошенниками осложнялась двумя вещами:

1. Технически в России можно было выполнить подключение к сетям операторов телефонной связи и выполнять исходящие звонки с номеров любого другого российского оператора. Это проблема подмены номера. Технически существовали средства запрета вызовов с любых номеров, но они применялись крайне редко.

2. Некоторые, в том числе крупные операторы связи в РФ считали, что прибыль важнее, чем борьба с мошенничеством и поэтому часто закрывали глаза на  нелегитимный телефонный трафик.

В обоих случаях найти мошенников было крайне сложно. А если такой колл-центр располагался зарубежом - просто невозможно.

Особенно ситуация осложнилась после весны 2022 года. 

Решение

Для решения проблемы были приняты постановления 1978 и 1979 Правительства РФ, устанавливающие требования системе обеспечения соблюдения операторами связи требований при оказании услуг связи и услуг по пропуску трафика в сети связи общего пользования.

Фактически - документы, на основании которых должна быть разработана и запущена в эксплуатацию система противодействия мошенническому графику (Антифрод).

Разработчик

Разработкой ГИС «Антифрод» занимется российский разработчик «Гарда Технологии». Компания была основана в 2018 году на базе отделения информационной безопасности «МФИ Софт». 

Сама ГИС должна была функционировать на базе решений Гарда, связанных между собой VPN-сетями VIPnet. Причем практика показала, что подключить такой VPN-туннель (по крайней мере, на ранних стадиях внедрения системы) можно было только с помощью интегратора «Бастион». Все остальные интеграторы, продававшие решения VIPnet на тот момент, просто не знали что такое «VPN для системы Антифрод».

Суть решения

Система «Антифпрод» работает независимо от основной инфраструктуры телефонной связи. Фактически это параллельная система, никак не зависящая от самой сети телефонной связи, кроме пограничных АТС, установленных на границах операторов связи. 

На пограничных АТС операторов телефонии (на тех, которые обеспечивают присоединения между разными операторами друг к другу) включается функционал проверки каждого вызова.

Все пограничные АТС всех операторов связаны между собой системой Антирод, позволяющей выполнить проверку вызова в момент его установления и принять решение пропустить такой вызов или нет.

Как это работает

1. Оператор (1) телефонной связи, НА номера которого выполняется попытка установления вызова, фиксирует номер С которого идёт вызов, номер, НА который идёт вызов и время установления соединения.

2. Оператор (1) через систему Антифрод отправляет запрос на проверку такого вызова оператору (2) - которому принадлежит телефонный номер инициатора (Напомню, телефонный номер принадлежит всегда строго одному оператору. Реестр номеров и принадлежности их операторам ведётся Минцифрой https://opendata.digital.gov.ru/registry/numeric/)

3. Система Антифрод через свою инфраструктуру отправляет запрос оператору (2) о том, фиксируется ли в его сети такой исходящий вызов.

4. Оператор (2) отвечает системе Антифрод - подтверждает легитимность вызова или формирует ответ о том, что такого исходящего вызова не фиксируется.

5. Система Антифрод формирует ответ Оператору (1) - либо  Accept (можно принять вызов), либо Reject (рекомендация отклонить вызов). 

6. Оператор (1) получает ответ от системы и принимает решение о пропуске или отклонении вызова.

Особенности

• Оператор (1) может пропустить вызов, несмотря на ответ системы о запрете, но в этот момент начинается ответственность оператора в отношении пропуска нелегитимного графика.

• Ответ от ГИС “Антифрод” оператору (1) должен поступить не позднее 500 миллисекунд (0.5 секунды) с момента начала прохождения вызова. В противном случае вызов считается легитимным.

• Влияние работы сети Интернет никак не регламентируется, кроме установления задержки на ответ в 500 сек. То есть стабильность работы интернет-сети вполне может влиять на работу системы Антифрод.

• Все нелегитимные вызовы (и пропущенные, и отклонённые) - фиксируется, по каждому вызову формируется инцидент, по которому проводится проверка Роскомнадзора.

Процесс внедрения

На ноябрь 2023 года ГИС “Антифрод” уже внедрена у всех операторов сотовой связи. В активной стации процесс внедрения для всех остальных российских операторов, вплоть до региональных, самых малых операторов.

Учитывая то, что функционал системы для крупных операторов и для малых существенно различается: всё ещё в России есть масса небольших компаний, оказывающих услуги телефонной связи на базе старых АТС, не обладающих “от рождения” нужным функционалом аутентификации вызова. То есть такие АТС в принципе невозможно подключить ни к своей разработке, ни воспользоваться сторонней.

Однако, позиция Роскомнадзора проста: никаких исключений. Не можешь обеспечить функционирование - уходи с рынка.

Кроме того, фактически, разработка и внедрение системы происходят параллельно. Из-за этого имеем огромное количество проблем, как следствие, увеличение сроков внедрения.

Работает ли система

Как ни странно - да.

В апреле 2023 сообщалось, что система заблокировала 135 млн мошеннических вызовов, в июне 2023 - уже 265.

По субъективным данным - да, количество “левых” звонков заметно сократилось.

Штрафы за невнедрение

С сентября 2023 Роскомнадзор начал рассылать операторам связи уведомления о возможных штрафах за срыв сроков внедрения системы. Размер штрафа колеблется от 50 тыс рублей для должностных лиц до 1 млн рублей для организации.

Крайний срок внедрения системы - март 2024 года. К этому моменту система должна полностью функционировать без исключений для всех операторов РФ. Однако, для каждого оператора установлен свой, персональный срок внедрения, поэтому и штрафы можно получить существенно раньше.

Проверяем исходные данные

ГРЧЦ вообще не морочится проверками источников, поэтому регулярно присылает петли до сетей Германии, или до автономных систем в Лондоне.

Поэтому первое что делаем - внимательно проверяем какой стране принадлежат сеть и автономная система. 90% проблем завершаются на этом этапе.

Зафиксирован инцидент:

Prefix: 81.19.134.0/24

Path: [12722,1299,24875,207967]

Проверяем:

inetnum: 81.19.134.0 - 81.19.134.255

org: ORG-IIL35-RIPE

country: DE

Ответным письмом:

Прошу разъяснить что нам делать: указанный префикс - Германия…

На сегодняшний день ни одного вразумительного разъяснения на такой вопрос мы не получали. Отреагировать - отреагировали, дальнейших указаний не получали. Задача выполнена.

Тут на самом деле может быть множество вариантов:

- префикс взяли в аренду, в РАНР указали как российский, в RIPE - как немецкий (кстати, это классический split-brain информации);

- автономная система зарубежная, но анонсируемые префиксы - российские;

и так далее.

Проверяем где реально находится целевая AS

Фокус в том, что удалённая AS вполне может находиться зарубежом. Много нашли случаев, когда сети - российские, автономка - российская, а единственный аплинк у неё - в Лондоне. Например, наши хостеры взяли и уехали в далёкий дата-центр. И ничего ничему тут не противоречит. Нет такого указания, что российские сети не могут из Лондона анонсироваться. Так что пусть ЦМУ ССОП разъясняет.

Проверяем аплинка

На всякий случай проверьте маршрут от вас до целевых сетей. Весьма частая ситуация, что оператор выглядит зарубежным, а контракт у вас с российским юрлицом.  И тут снова не ваша проблема, так как ваш трафик не выходил за территорию России. Пусть обращаются к аплинку.

У нас, как правило, к этому моменту 98% проблем отпадают по предыдущим проверкам.

Проверяем префикс в таблице маршрутизации

Проверки выполнены, префикс действительно честный. Что ж, пробуем найти его в своей таблице маршрутизации. Если находится - отдельный prefix-list с повышенным local-pref для подобных маршрутов. У нас нашёлся один такой оператор, через которого мы принудительно принимаем маршруты с повышенным local pref.

Если префикса от российских операторов нет

И такое может быть. Какой-нибудь южно-уральский НИИ имеет в аплинках только условного РТ, с которым у нас прямого стыка нет и маршрут видится только через зарубежных аплинков. Крайне редко, но бывает. Ну что ж, тут надо что-то придумывать. Например, можно написать «Как это так?! Такой большой оператор, а использует своё монопольное положение….» 

Итого, получается, что фактические действия необходимо предпринимать примерно в 2-5% случаев получения сообщения о петле через зарубеж. Всё остальное на самом деле - не ваши проблемы. Но это надо явно указать.

Фиксация обращений

На 99% обращений ЦМУ ССОП не реагирует вообще никак. Бог им судья. Фиксируйте все номера инцидентов, все даты писем и ответов в отдельно табличку. Потом можно будет в каком-нибудь письме добавить «спасибо, а также ждём от вас ответов по инцидентам NN …, …, …, …).

Юридические основания

А вот тут самое интересное: в каждом таком письме ЦМУ ССОП ссылается на приказ 224 от 31 июля 2019 года. В приказе чёрным по белому в первом абзаце написано «…Настоящие Правила маршрутизации сообщений электросвязи в случае осуществления централизованного управления сетью…».

Вопрос в том, что у нас пока не вводилось централизованного управления сетью. Этот режим вообще предусмотрен для случая активного вмешательства извне в работу сети Рунета. 

Кстати, когда у РКН спрашиваешь «можно ли снять собственную фильтрацию по префиксам РКН, так как мы ТСПУ поставили?», РКН отвечает «ууууу, нет конечно - это на случай централизованного управления…».

Так что в случае возникновения каких-либо претензий, первое что надо сделать - позвать юриста и попросить реквизиты документа, на основании которого централизованное управления таки было введено.

Опубликовано: 18.09.2023Обновлено: 18.09.2023

До 2023 года деятельность хостинг-провайдеров не являлась лицензируемым видом деятельности. Роскомнадзор выпускал отдельное разъяснение по этому поводу.

Кто такой хостинг провайдер?

Методика определения хостинг-провайдера опеределена в 2021 году постановлением 1836 от 27 октября 2021 года. Срок действия методики - 6 лет, то есть до октября 2027 года.

Функции по идентификации хостинг-провайдеров возложены на Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций - на Роскомнадзор.

Методика определяет, что хостинг-провайдер - лицо (физическое или юридическое), обеспечивающее размещение информации в сети Интернет и при этом удовлетворяющее хотя бы одному следующему условию:

1. осуществляет обработку сведений о пользователях, находящих на территории Российской Федерации;

2. получает денежные средства от пользователей, находящихся на территории РФ;

3. размещает на своих информационных ресурсах информационные ресурсы и/или программы пользователей, принадлежащих лицам, находящимся на территории РФ.

Да, фактически под эту методику подходит почти любой ресурс в сети Интернет. Методика вызывает массу вопросов, даёт предельно размытый алгоритм определения, мало того, касается граждан иностранных государств (так как в методике фигурирует положение “…находящийся на территории РФ…”, а не “…гражданин РФ…”.

Попробуйте сами прочитать и осознать текст методики - это не совсем тривиальная задача.

Как зарегистрироваться в реестре хостинг-провайдеров?

Пока никак. На Консультанте сейчас можно найти документ “Правила направления провайдером хостинга уведомления…”, но документ без реквизитов (без даты, номера и тд). То есть, пока ещё не действующий, пока проект.

Какие требования к российскому хостинг-провайдеру?

1. Нужно являться российским юридическим лицом с долей капитала не менее 50% должно принадлежать гражданам РФ без двойного гражданства. Иностранное участие должно быть менее 50%.

2. Нужно иметь реальный адрес в ЕГРЮЛ (офис, сотрудники, все дела).

3. Необходимо соответствовать требованиям Минцфиры по защите информации. Причем эти требования ещё и должны будут быть согласованы с ФСБ (пока нет нормативной базы).

4. Технические средства (сервера) должны находиться на территории РФ.

Какие технические требования?

1. Использовать национальную систему доменных имён.

2. Физически располагаться на территории РФ

3. Участвовать в учениях по обеспечению устойчивого рунета.

4. Обеспечивать функционирование СОРМ (ни решения, ни нормативной базы пока нет, но будет).

5. Оказывать услуги только лицу, прошедшему идентификацию в соответствии с установленным порядком (напомню, Федеральный закон 406-ФЗ вводит четыре допустимых вида аутентификации пользователей: мобильный телефон / ЕСИА / ГосБиометрия / иная система аутентификации)

Кстати, обратите внимание: никаких запретов “иностранных емейлов” 406-ЗФ не вводит. Email в этом законе вообще не фигурирует - ни российский, ни иностранный. Просто email не является необходимым и достаточным параметром для аутентификации пользователя.

Текущий итог

В общем, пока (18 сентября 2023) ничего конкретного делать не обязательно. Ждём реестра.

Очень желательно начинать приводить свои бизнес-процессы к целевым: хотя бы ввести аутентификацию с помощью мобильного телефона, посмотреть структуру собственников, подумать про место размещения серверов.

Вопросов больше чем ответов

Да, действительно, каждый документ, имеющий отношение к регулированию хостинга в России вызывает огромное количество вопросов. Некоторые:

• А что будет с иностранным хостингом? Будут блокировать? Особенно, с учётом желания Роскомнадзора “приземлить” в России крупнейшие зарубежные хостинговые площадки. Так это бОльшую части Интернета надо заблокировать…

• А что если у меня половина хостинг-компании в России, а половина - нет?

• А что делать с клиентами, не имеющими российского гражданства? Например с северными корейцами?

• А что если я - владелец зарубежного хостинг-провайдера? Сервера - “там”, контора - “за периметром”, но сайт русскоязычный и я принимаю деньги от клиентов, находящихся на территории РФ?…
  …..
  ….
  …

Если задуматься

А если задуматься, то получается, что российский хостинг принудительно делят на внутриросссийский и зарубежный. И если раньше вся выручка от вообще всех клиентов поступала в российское юрлицо, то теперь часть этой выручки осядет на зарубежных счетах и уже вряд ли попадёт в российскую финансовую систему.

Вот вам и суверенизация Интернета. Вот вам и разделение по географическому признаку.

Как-то так мне это видится.

Прямой ответ на этот вопрос на самом деле более сложный, чем “да” или “нет”. Смысл в том, что просто взяв какое-то оборудование в аренду у другого оператора, или купить б/у оборудование не получится - взять в аренду “железо” чисто технически вы сможете. Но вот реализовать на нём мероприятия - сильно сомнительно.

Производитель АПК СОРМ продаёт оборудование заданному оператору. Название и ИНН оператора прописывается в документах, в том числе, в схеме подключения комплекса, которую утверждает куратор.

Однако, “аренда комплекса” на самом деле может быть представлена услугой апсорминга (аутсорминга) - когда вышестоящий оператор связи, действительно, выделяет вам часть своего АПК для реализации мероприятий ОРМ.

Но дьявол, традиционно, в деталях.

Во-первых, комплекс СОРМ должен быть введён в эксплуатацию актом. То есть этот оператор к моменту начала аренды уже должен реализовать всё на своей сети, а уже потом оказывать услуги другим.

Во-вторых, используя комплекс другого оператора, весь ваш трафик должен пройти через сети этого оператора. То есть этот оператор должен стать вашим единственным присоединяющим оператором, альтернативные не предусматриваются.

Требование прохождения трафика через сети одного вышестоящего оператора прописаны в приказе Минцифры России № 245/127 «Об утверждении Типовых требований к плану мероприятий по внедрению технических средств, обеспечивающих оперативно-разыскную деятельность», пункт 6.Б, цитата: “о факте обеспечения прохождения всего трафика присоединяемой сети через технические средства присоединяющего оператора связи;”.

Таким образом, получается, что ответ на вопрос “можно ли взять СОРМ в аренду?” в развёрнутом виде звучит так:

Вы можете воспользоваться услугами апсорминга (аутсорминга) вышестоящего оператора, при которых часть вычислительных ресурсов АПК СОРМ фактически передаётся вам в аренду, при этом весь ваш трафик должен пройти через сети оператора, предоставляющего такие услуги. Оператор должен быть единственным. При этом вышестоящий оператор уже должен иметь внедрённый комплекс на собственной сети, о чем должен иметь акт ввода в эксплуатацию.

В такой формулировке - да, комплекс можно взять в аренду.

При этом важно, что началом процесса внедрения становится схема, которая должна бать согласована и подписана вашим куратором, а результатом - акт введения комплекса СОРМ (на базе комплекса СОРМ вышестоящего оператора) - в постоянную или тестовую эксплуатацию. Простого договора на услуги связи в этом случае будет недостаточно.

Взяв же в обычную аренду набор оборудования, или купив такой набор на вторичном рынке как б/у оборудование, вы вряд ли сможете реализовать требования мероприятий СОРМ. Будет против либо куратор, либо производитель, либо все вместе.

Но если у вас всё таки получилось ввести актом в реальную эксплуатацию б/у или арендованный комплекс - напишите, это действительно интересный кейс.

Когда не целесообразно внедрение

Случаи, когда внедрение СОРМа кажется нецелесообразным (примеры):

1. Лицензия оператора связи получена, но деятельность согласно лицензии не ведётся

2. Оператор предоставляет другие услуги (аренду серверов, например), выручка по услугам доступа к сети практически нулевая

3. Оператор только-только начал работать на рынке, оборот составляет единицы или десятки тысяч рублей.

И так далее.

Действительно, случаев, когда СОРМ внедрять, как бы, бессмысленно - довольно много.

Однако, есть проблема - лицензия на услуги оператора связи.

В условиях лицензии оператора связи написано, что «оператор обязан за свой счёт реализовать СОРМ». Если вы получили лицензию (точнее - если вы запрашивали такую лицензию), то вы согласны с этим требованием.

Значит, с точки зрения российского законодательства, вам необходимо реализовать СОРМ. Либо сдать лицензию оператора.

А есть ли варианты?

На самом деле - да. 

Во-первых, внедрение СОРМ у конкретного оператора связи контролирует куратор (у каждого оператора 100% есть свой куратор). Попробуйте назначить встречу и просто посоветоваться, объяснить свою ситуацию. Послушайте что скажет.

Во-вторых, попробуйте подумать о разделении бизнеса - возможно именно в вашем случае услуги по передаче данных можно передать вышестоящему оператору (агентский договор предоставления услуг, предоставление комплекса услуг по двум разным договорам и тд)

В-третьих, внедрение СОРМ можно попробовать растянуть по времени (разумеется, при согласовании с тем же куратором).

В-четвертых, можно внедрить СОРМ на базе вышестоящего оператора (аутсорминг / апсорминг - если вышестоящий предоставляет такие услуги).

Возможно ли внедрить СОРМ, не покупая свой АПК?

Да. Как раз это и называется апсорминг (или ранее - аутсорминг). То есть вы можете использовать часть АПК СОРМ вашего вышестоящего оператора, фактически взяв АПК СОРМ в аренду.  (Да, мы тоже предоставляем такие услуги)

Смысл в данном случае в том, что вы пользуетесь инфраструктурой более крупного оператора для решения своих проблем: сетью передачи данных, самим АПК СОРМ, инфраструктурой связи с пультом управления, дата-центром, где расположен сам комплекс.

В случае использования апсорминга вам необходимо уточнить две вещи:

1. Результатом работ по внедрению СОРМ должен быть АКТ введения СОРМ в эксплуатацию (не договор, не соглашение, а акт, подписанный вашим куратором)

2. Вы должны понимать как будет меняться стоимость вашего СОРМ в процессе роста вашей сети. Как будет происходить расширение, как будут меняться тарифы и тд. Эти условия должны быть прозрвчны, лучше если сразу зафиксированы.

И напоследок. 

Стратегия убегания работает плохо. Да, если вы небольшой оператор, то к вам сразу не придут. Но то что рано или поздно всё таки придут - это точно. 

Сейчас внедрение СОРМа уже вполне обкатанная процедура, есть много игроков на рынке (производителей оборудования), и уже нельзя сказать «нет решения - внедрять не будем». 

И проблема в том, что кураторы очень не любят «беглецов» - к ним внимание в первую очередь.

Если у вас всё таки есть время побегать - используйте его для того, чтобы попытаться всё таки реализовать требования СОРМ на своей сети. 

Напомню, что с нового года штрафы за не-реализацию - ОТ миллиона рублей.

Хотите посоветоваться - напишите мне в Telegram. Возможно, смогу что-то подсказать.

Виды СОРМ

На сегодняшний день существуют СОРМ следующих видов:

1. Для операторов телефонной связи (проводной, беспроводной, Е1, SIP - не важно). Приказы 268 (СОРМ1), 86 (СОРМ2), 573 (расширенные данные).

2. Для операторов передачи данных (услуги по доступу в Интернет). Приказы 83/139 (СОРМ2), 573 (расширенные данные), СХД (Яровая - копирование и хранение переданного трафика).

3. ОРИ - СОРМ для организаторов распространения информации (публичные или новостные сайты, агрегаторы новостей и тд.

4. Владельцы AS (автономных систем).

Готовится СОРМ для операторов хостинга, но на сегодняшний день пока ещё нет законодательной базы для такого внедрения.

В каком случае вам нужен СОРМ

1. Когда у вас есть лицензия оператора связи. Лицензия на передачу данных, передачу голоса, передачу данных для целей передачи голосовой информации… - любая.

2. Когда вы оказываете услуги по передаче данных и взымаете деньги за такие услуги.

3. Вы являетесь распространителем информации (ОРИ).

4. Вы подключены к сети Интернет, у вас есть своя автономная система (Autonomous System) и свой блок IP-адресов, анонсируемый этой автономной системой.

Если вы получили лицензию оператора связи, почитайте приложения к лицензии (требования). Там прямым текстом написано, что оператор (владелец лицензии) обязан за свой счёт выполнить требования СОРМ. Эти требования были известны Вам ДО получения и вы под этими требованиями подписались.

Если у вас есть лицензия, но услуг вы не оказываете

Бывают случаи, когда лицензии оператора связи получены, но фактического оказания услуг не происходит (деятельность согласно лицензии не осуществляется). Такое можно встретить, например, среди хостинг-провайдеров: лицензия понадобилась “про запас” или “на всякий случай”.

У вас два варианта:

1. внедрять СОРМ

2. сдать лицензию и перестать быть оператором связи

И это логично: зачем вам лицензия, если услуг вы не оказываете?

Какой именно СОРМ или приказ необходимо реализовать

Если у вас всё таки сложности: нестандартная деятельность, деятельность, формально подпадающая под требования, но фактически нет, планы на деятельность в будущем и тд. - спросите своего куратора.

Кураторы, как правило, нормальные люди, готовые к конструктивному разговору и нормальному общению. У них точно так же есть свои цели, планы, показатели и тд. А вот попытка убежать, спрятаться, затянуть время или надавить с помощью юриста - вот это неконструктивный путь, который вполне может закончиться штрафом или ещё чем-то похуже.

Консультация с куратором - это нормальный процесс, позволяющий прояснить что именно нужно сделать и в каком порядке с учётом вашей специфики.

И помните - результатом внедрения СОРМа является акт, подписанный именно куратором.

Не договор от аплинка, не трёхстороннее соглашение с вашим соседом, не письмо от министра здравоохранения, а только акт о вводе СОРМ в эксплуатацию.

Если с куратором поговорить не получается, а у вас всё равно вопросов больше чем ответов и надо с кем-то посоветоваться - напишите мне в Телегу, возможно смогу чем-то помочь.

Термин аутсорминг (outer - внешний, сорм - система оперативно-разыскных мероприятий) - по аналогии с аутсорсингом - возник из идеи предоставления решения СОРМ как услуги.

Основной смысл в том, что небольшие операторы часто не могут себе позволить купить дорогостоящий программно-аппаратный комплекс СОРМ, но при этом однозначно должны выполнять требования Законов и подзаконных актов - то есть обеспечить внедрение на своей сети Системы ОРМ.

Такое решение возможно: согласно приказа 245/127 ФСБ России “Об утверждении Типовых требований к плану мероприятий по внедрению технических средств, обеспечивающих оперативно-разыскную деятельность”, вышестоящий оператор может предоставлять такую услугу своим присоединённым операторам.

Важное условие: пункт 6.Б этого приказа однозначно определяет, что весь трафик присоединяемого оператора должен проходить через сети вышестоящего оператора, предоставляющего услугу аутСОРМинга. Другими словами - вышестоящий оператор должен стать единственным поставщиком трафика или услуг голосового вызова (телефонии) для своего присоединённого оператора.

В этом случае, действительно, присоединяемый оператор может воспользоваться уже работающим комплексом своего поставщика.

Важные условия:

1. вы не можете взять комплекс СОРМ в аренду, установить у себя и им пользоваться - можно пользовать только комплексом вышестоящего оператора

2. у вышестоящего оператора комплекс СОРМ должен быть внедрён и введён в эксплуатацию соответствующим образом для собственных нужд. Только после этого оператор может предоставлять такую услугу другим.

3. трафик присоединяемого оператора должен проходить только через сети вышестоящего оператора и весь этот трафик должен попадать в АПК СОРМ. Обходных маршрутов быть не должно.

Результат внедрения комплекса СОРМ - акт ввода в эксплуатацию по соответствующему приказу. Никакие другие документы (договоры, соглашения о намерениях, …) НЕ могут быть подтверждением ввода в эксплуатацию комплекса СОРМ.

Ответственность за внедрения комплекса всегда лежит на каждом конкретном операторе. Вы не сможете доказать, что пользуетесь СОРМом вышестоящего оператора, основываясь на договоре оказания услуг связи и мотивируя тем, что “у вышестоящего оператора всё внедрено”. Акт ввода, подписанный куратором ФСБ, должен быть у каждого оператора связи. Свой акт.

Проблема трактования

Отмечу, что именно несоблюдение условий предоставления услуг СОРМа одним оператором другим, попытки построить какие-то “обходные схемы” и привели к необходимости конкретизации термина. В некоторых случаях, такое непонимание положений Закона приводило, в том числе, к финансовым потерям компаний. Например, при попытках заключения договора аренды (а не покупки) комплекса.

Чтобы акцентировать внимание операторов связи именно на необходимости использования уже введенного комплекса СОРМ, вводится термин ап-СОРМинг (up-сорминг).

апСОРМинг

Термин “апСОРМинг” (ап- “вверх”, сорм) акцентирует внимание на том, что использование аппаратно-программных комплексов СОРМ возможно только на базе уже внедрённых, введённых комплексов на сети ваших присоединяющих операторов.

Изначально неправильная трактовка термина привела к необходимости ввода другого, похожего слова.

Что меняется?

Для операторов, предоставляющих услуги СОРМ на базе своей сети и своего введенного в эксплуатацию комплекса - ничего. Фактически для них оба термина обозначают одно и то же. Просто придётся переписать рекламные буклеты, договоры и другие документы.

Для тех, кто пытался “по-быстрому срубить денег” в виде предоставления “железки”, или “кусочка чужого оборудования” без выполнения всех требований законодательства - им станет сложнее.

В любом случае, у оператора связи всегда есть два варианта - либо купить оборудование, выполнить установку, настройку, пройти испытания самостоятельно, либо привести свою сеть в соответствие с требованиям к внедрению СОРМ и пользоваться услугами вышестоящих операторов, предоставляющих такую услуг.

Возможно ли реально выполнить план СОРМ, не покупая и не устанавливая набор дорогостоящего оборудования на своей сети? 

Аутсорминг

Термин «аутСОРМинг» возник как раз из идеи предоставления части ресурсов оборудования СОРМ одного оператора - другому (аутСОРМинг - сокращение от outer - анг. «внешний» и СОРМ - Система технических средств для обеспечения функций Оперативно-Разыскных Мероприятий). То есть внедрение СОРМ на внешних ресурсах.

Особенности реализации

Основных особенности две:

1. Весь трафик должен проходить через одного присоединяющего оператора (касается и передачи данных, и голосового трафика) 

2. У присоединяющего оператора должен быть установлен, настроен, внедрён и сдан в эксплуатацию собственный комплекс СОРМ

Важно: Приказ №245 ФСБ РФ «Об утверждении типовых требований к плану мероприятий по внедрению технических средств, обеспечивающих оперативно-разыскную деятельность» от 28.03.2022, пунктом 6(б) прямо определяет, что при использовании схемы аутсорминга должен использоваться только один присоединяющий оператор и весь трафик проходит через сеть этого присоединяющего оператора. 

При использовании аутСОРМинга может использоваться только один присоединяющий оператор, уже имеющий внедрённый АПК СОРМ и весь трафик должен проходить через сеть только этого присоединяющего оператора.

Таким образом, единственная возможная схема реализации без покупки своего комплекса на сегодняшний день - присоединение к оператору, уже имеющему рабочий комплекс на своей сети. Взять в аренду целиком или часть аппаратно-программного комплекса, или где-то скачать и установить к себе программный комплекс СОРМ, или реализовать СОРМ через одного оператора, а пользоваться услугами нескольких - не получится.

Стоимость

Исходя из требований к реализации аутсорминга, понимаем, что для создания услуги аутсорминга оператору обязательно требуется выполнить ряд довольно сложных и дорогостоящих условий. В том числе, выполнить закупку, установку, внедрение, настройку аппаратно-программного комплекса СОРМ для своих нужд, провести весь набор тестовых испытаний, выйти на эксплуатацию комплекса и далее поддерживать его работоспособность и актуальность.

Как выше упоминалось, само техническое решение СОРМ является весьма дорогостоящим. Помимо этого, требуется размещение комплекса в каком-то дата-центре или на узле связи, обеспечение его функционирования.

Добавьте к этому необходимость реализации “с запасом” - для обеспечения необходимой ёмкости для присоединения других операторов.

В итоге получается не самая дешевая услуга, имеющая под собой реальные, необходимые затраты, которые, к сожалению, почти не оптимизируются.

Договорные отношения

Исходя из необходимости присоединения к оператору, возникают договорные отношения в областях:

1. Межоператорские отношения в части передачи данных

2. Межоператорские отношения в части передачи голосовых данных

3. Отношения в части использования части комплекса СОРМ.

Здесь важно, что при некоторых обстоятельствах приказы СОРМ (86, 139, 573) могут возникать как единый комплекс услуг, так и частично. Например, если в сети не используется голосовая связь или оказание услуг голосовой связи осуществляется по агентской схеме от другого оператора.

Критерий завершенности работ

Внедрение системы СОРМ - ответственность каждого отдельного оператора связи, его прямая обязанность согласно законодательству. Контролирует процесс внедрения - куратор оператора.

После установки, настройки и ввода в эксплуатацию комплекса всегда выполняются тестовые испытания (ПСИ - приемо-сдаточные испытания) и в случае успешного прохождения подписывается акт начала тестовой эксплуатации комплекса. 

То есть, результат работы - акт. Никакой другой документ (коммерческое предложение на внедрение, договор с оператором, имеющим реализованный СОРМ, подписанный договор на внедрение, платёжная информация по договору внедрения и тд) - НЕ является документом, подтверждающим выполнение работ. Только акт. Во всех остальных случаях - вы ничего не сделали.

Результат работы по внедрению комплекса СОРМ - акт. Никакой другой документ, кроме акта.

До подписания договора аутсорминга

Учитывая сложность требований к внедрению СОРМа, перед заключением каких-либо договоров было бы правильно:

1. Попросить у вашего присоединяющего оператора показать акт ввода комплекса СОРМ

2. Проконсультироваться с куратором о возможности внедрения СОРМа путём аутсорминга у конкретного оператора

3. Спросить у оператора, предоставляющего аутсорминг есть ли успешные кейсы реализации такой схемы с другими присоединёнными операторами.

Замечание: акт о вводе в тестовую (не «боевую», постоянную) эксплуатацию - нормально на текущий момент. На сегодняшний день идёт активная разработка и пересмотр требований к СОРМу, поэтому пока формируются только акты тестовой эксплуатации.