Зачем

Федеральный Закон 31.07.2023 № 406-ФЗ вносит изменения в закон “О связи” и закон “Об информации, информационных технологиях и о защите информации”, начинает действовать с 1 декабря 2023 года.

Суть: существующих хостинг-провайдеров надо пересчитать путём их самостоятельного добавления в реестр хостинг-провайдеров (РХП), новые будут проходить довольно сложную процедуру запуска. Реестр запускается 1 декабря 2023, до 15 декабря все хостинг-провайдеры должны самовнестись.

Кому надо

Всем компаниям, которые предоставляют услуги хостинга. Не только тем, кто размещает сайты (это самое простое), но вообще всем, кто предоставляет свои вычислительные мощности (ресурсы) для других клиентов - виртуальные машины, облака, докеры, базы данных, место на дисках - все.

Аналогично СОРМу, не важно с кем вы работаете - с физическими, юридическими лицами, индивидуальными предпринимателями - никакой роли это не играет. Предоставили кому-то мощности - всё, вы хостер, поздравляю.

Даже если вы очень маленькая компания и предоставляете три вирталки с 1с-кой на своём сервере трём другим компаниям, я бы всё равно рекомендовал зарегистрироваться в качестве хостинг-провайдера. Причины:

• сейчас вы можете относительно просто пройти эту процедуру, потом запустить хостинг будет сложнее;

• не понравится - скажете, что прекратили такую деятельность, услуги не оказываете;

• вы же планируете развиваться дальше?

Где регистрироваться

Портал заявителей Роскомнадзора тут: https://service.rkn.gov.ru

Непосредственно раздел для регистрации хостинга тут: https://service.rkn.gov.ru/monitoring/rph

Инструкция по заполнению заявки тут: https://service.rkn.gov.ru/docs/manualRhp.pdf

Если что-то не получается - пишите на мыло поддержки help_rhp@noc.gov.ru. Это мыло есть в инструкции, но кто ж до конца читает-то?!

Вход в портал для заполнения заявки - через ЭЦП организации или через ЕСИА.

Что нужно подготовить

При заполнении данных вам потребуется:

• адрес расположения ваших вычислительных ресурсов + геокоординаты

• адрес подключения интернета + геокоординаты

• диапазон IP-адресов, используемых для хостинга

• номер автономной системы (если пользуетесь адресами провайдера спросите у него номер или посмотрите в RIPE)

• данные сколько у вас вычислительных ресурсов: штук ядер процессоров, штук гигов оперативной памяти, штук гигов дискового пространства

• номер договора и дата заключения с аплинком (провайдером интернета)

Вроде бы, основное всё.

Перед началом заполнения прочитайте инструкцию от начала до конца - будет легче заполнять.

Процесс заполнения

Первый раз это должно занять что-то около часа. Пока разберетесь, пока заполните, пока научитесь ошибки искать.

Если в каком-то поле выскакивает ошибка (например, в координатах) - попробуйте убрать знаки препинания, спец-символы и тд.

Рекомендация: после заполнения каждого блока в карточке нажимайте “сохранить”. Так проще искать ошибки и меньше заполнять по второму разу.

Для доступа к разделу заявлений нужно пользователю портала добавить права “Реестр провайдеров хостинга”. Без этого не поедет. Возможно, надо будет выйти, потом снова авторизоваться.

Дальше в карточку и вперед заполнять.

На самом деле, в официальной инструкции всё довольно понятно описано, по шагам.

Ошибки портала

Да, регулярно и с удовольствием оно падает:

Ждёте пол-часа и пробуете снова. Или пишете в поддержку.

Либо вот такое:

Скорее всего, тут ошибка в каком-то из блоков. Именно поэтому лучше всего нажимать “Сохранить” после заполнения каждого блока. Или пишите в поддержку.

После заполнения нажимаете “отправить на проверку”. Должно отобразиться что-то типа “на проверке с такого-то времени”.

Как будто пока всё.

На 04 декабря 2023 Роскомнадзор похвастался, что одобрено аж 16 заявок, а ещё 40 начали заполнение (то есть, видимо, надо считать, что заявки были отправлены на проверку, а затем возвращены на доработку. Немного, прямо скажем…

Опубликовано: 18.09.2023Обновлено: 18.09.2023

До 2023 года деятельность хостинг-провайдеров не являлась лицензируемым видом деятельности. Роскомнадзор выпускал отдельное разъяснение по этому поводу.

Кто такой хостинг провайдер?

Методика определения хостинг-провайдера опеределена в 2021 году постановлением 1836 от 27 октября 2021 года. Срок действия методики - 6 лет, то есть до октября 2027 года.

Функции по идентификации хостинг-провайдеров возложены на Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций - на Роскомнадзор.

Методика определяет, что хостинг-провайдер - лицо (физическое или юридическое), обеспечивающее размещение информации в сети Интернет и при этом удовлетворяющее хотя бы одному следующему условию:

1. осуществляет обработку сведений о пользователях, находящих на территории Российской Федерации;

2. получает денежные средства от пользователей, находящихся на территории РФ;

3. размещает на своих информационных ресурсах информационные ресурсы и/или программы пользователей, принадлежащих лицам, находящимся на территории РФ.

Да, фактически под эту методику подходит почти любой ресурс в сети Интернет. Методика вызывает массу вопросов, даёт предельно размытый алгоритм определения, мало того, касается граждан иностранных государств (так как в методике фигурирует положение “…находящийся на территории РФ…”, а не “…гражданин РФ…”.

Попробуйте сами прочитать и осознать текст методики - это не совсем тривиальная задача.

Как зарегистрироваться в реестре хостинг-провайдеров?

Пока никак. На Консультанте сейчас можно найти документ “Правила направления провайдером хостинга уведомления…”, но документ без реквизитов (без даты, номера и тд). То есть, пока ещё не действующий, пока проект.

Какие требования к российскому хостинг-провайдеру?

1. Нужно являться российским юридическим лицом с долей капитала не менее 50% должно принадлежать гражданам РФ без двойного гражданства. Иностранное участие должно быть менее 50%.

2. Нужно иметь реальный адрес в ЕГРЮЛ (офис, сотрудники, все дела).

3. Необходимо соответствовать требованиям Минцфиры по защите информации. Причем эти требования ещё и должны будут быть согласованы с ФСБ (пока нет нормативной базы).

4. Технические средства (сервера) должны находиться на территории РФ.

Какие технические требования?

1. Использовать национальную систему доменных имён.

2. Физически располагаться на территории РФ

3. Участвовать в учениях по обеспечению устойчивого рунета.

4. Обеспечивать функционирование СОРМ (ни решения, ни нормативной базы пока нет, но будет).

5. Оказывать услуги только лицу, прошедшему идентификацию в соответствии с установленным порядком (напомню, Федеральный закон 406-ФЗ вводит четыре допустимых вида аутентификации пользователей: мобильный телефон / ЕСИА / ГосБиометрия / иная система аутентификации)

Кстати, обратите внимание: никаких запретов “иностранных емейлов” 406-ЗФ не вводит. Email в этом законе вообще не фигурирует - ни российский, ни иностранный. Просто email не является необходимым и достаточным параметром для аутентификации пользователя.

Текущий итог

В общем, пока (18 сентября 2023) ничего конкретного делать не обязательно. Ждём реестра.

Очень желательно начинать приводить свои бизнес-процессы к целевым: хотя бы ввести аутентификацию с помощью мобильного телефона, посмотреть структуру собственников, подумать про место размещения серверов.

Вопросов больше чем ответов

Да, действительно, каждый документ, имеющий отношение к регулированию хостинга в России вызывает огромное количество вопросов. Некоторые:

• А что будет с иностранным хостингом? Будут блокировать? Особенно, с учётом желания Роскомнадзора “приземлить” в России крупнейшие зарубежные хостинговые площадки. Так это бОльшую части Интернета надо заблокировать…

• А что если у меня половина хостинг-компании в России, а половина - нет?

• А что делать с клиентами, не имеющими российского гражданства? Например с северными корейцами?

• А что если я - владелец зарубежного хостинг-провайдера? Сервера - “там”, контора - “за периметром”, но сайт русскоязычный и я принимаю деньги от клиентов, находящихся на территории РФ?…
  …..
  ….
  …

Если задуматься

А если задуматься, то получается, что российский хостинг принудительно делят на внутриросссийский и зарубежный. И если раньше вся выручка от вообще всех клиентов поступала в российское юрлицо, то теперь часть этой выручки осядет на зарубежных счетах и уже вряд ли попадёт в российскую финансовую систему.

Вот вам и суверенизация Интернета. Вот вам и разделение по географическому признаку.

Как-то так мне это видится.

Виды СОРМ

На сегодняшний день существуют СОРМ следующих видов:

1. Для операторов телефонной связи (проводной, беспроводной, Е1, SIP - не важно). Приказы 268 (СОРМ1), 86 (СОРМ2), 573 (расширенные данные).

2. Для операторов передачи данных (услуги по доступу в Интернет). Приказы 83/139 (СОРМ2), 573 (расширенные данные), СХД (Яровая - копирование и хранение переданного трафика).

3. ОРИ - СОРМ для организаторов распространения информации (публичные или новостные сайты, агрегаторы новостей и тд.

4. Владельцы AS (автономных систем).

Готовится СОРМ для операторов хостинга, но на сегодняшний день пока ещё нет законодательной базы для такого внедрения.

В каком случае вам нужен СОРМ

1. Когда у вас есть лицензия оператора связи. Лицензия на передачу данных, передачу голоса, передачу данных для целей передачи голосовой информации… - любая.

2. Когда вы оказываете услуги по передаче данных и взымаете деньги за такие услуги.

3. Вы являетесь распространителем информации (ОРИ).

4. Вы подключены к сети Интернет, у вас есть своя автономная система (Autonomous System) и свой блок IP-адресов, анонсируемый этой автономной системой.

Если вы получили лицензию оператора связи, почитайте приложения к лицензии (требования). Там прямым текстом написано, что оператор (владелец лицензии) обязан за свой счёт выполнить требования СОРМ. Эти требования были известны Вам ДО получения и вы под этими требованиями подписались.

Если у вас есть лицензия, но услуг вы не оказываете

Бывают случаи, когда лицензии оператора связи получены, но фактического оказания услуг не происходит (деятельность согласно лицензии не осуществляется). Такое можно встретить, например, среди хостинг-провайдеров: лицензия понадобилась “про запас” или “на всякий случай”.

У вас два варианта:

1. внедрять СОРМ

2. сдать лицензию и перестать быть оператором связи

И это логично: зачем вам лицензия, если услуг вы не оказываете?

Какой именно СОРМ или приказ необходимо реализовать

Если у вас всё таки сложности: нестандартная деятельность, деятельность, формально подпадающая под требования, но фактически нет, планы на деятельность в будущем и тд. - спросите своего куратора.

Кураторы, как правило, нормальные люди, готовые к конструктивному разговору и нормальному общению. У них точно так же есть свои цели, планы, показатели и тд. А вот попытка убежать, спрятаться, затянуть время или надавить с помощью юриста - вот это неконструктивный путь, который вполне может закончиться штрафом или ещё чем-то похуже.

Консультация с куратором - это нормальный процесс, позволяющий прояснить что именно нужно сделать и в каком порядке с учётом вашей специфики.

И помните - результатом внедрения СОРМа является акт, подписанный именно куратором.

Не договор от аплинка, не трёхстороннее соглашение с вашим соседом, не письмо от министра здравоохранения, а только акт о вводе СОРМ в эксплуатацию.

Если с куратором поговорить не получается, а у вас всё равно вопросов больше чем ответов и надо с кем-то посоветоваться - напишите мне в Телегу, возможно смогу чем-то помочь.

Термин аутсорминг (outer - внешний, сорм - система оперативно-разыскных мероприятий) - по аналогии с аутсорсингом - возник из идеи предоставления решения СОРМ как услуги.

Основной смысл в том, что небольшие операторы часто не могут себе позволить купить дорогостоящий программно-аппаратный комплекс СОРМ, но при этом однозначно должны выполнять требования Законов и подзаконных актов - то есть обеспечить внедрение на своей сети Системы ОРМ.

Такое решение возможно: согласно приказа 245/127 ФСБ России “Об утверждении Типовых требований к плану мероприятий по внедрению технических средств, обеспечивающих оперативно-разыскную деятельность”, вышестоящий оператор может предоставлять такую услугу своим присоединённым операторам.

Важное условие: пункт 6.Б этого приказа однозначно определяет, что весь трафик присоединяемого оператора должен проходить через сети вышестоящего оператора, предоставляющего услугу аутСОРМинга. Другими словами - вышестоящий оператор должен стать единственным поставщиком трафика или услуг голосового вызова (телефонии) для своего присоединённого оператора.

В этом случае, действительно, присоединяемый оператор может воспользоваться уже работающим комплексом своего поставщика.

Важные условия:

1. вы не можете взять комплекс СОРМ в аренду, установить у себя и им пользоваться - можно пользовать только комплексом вышестоящего оператора

2. у вышестоящего оператора комплекс СОРМ должен быть внедрён и введён в эксплуатацию соответствующим образом для собственных нужд. Только после этого оператор может предоставлять такую услугу другим.

3. трафик присоединяемого оператора должен проходить только через сети вышестоящего оператора и весь этот трафик должен попадать в АПК СОРМ. Обходных маршрутов быть не должно.

Результат внедрения комплекса СОРМ - акт ввода в эксплуатацию по соответствующему приказу. Никакие другие документы (договоры, соглашения о намерениях, …) НЕ могут быть подтверждением ввода в эксплуатацию комплекса СОРМ.

Ответственность за внедрения комплекса всегда лежит на каждом конкретном операторе. Вы не сможете доказать, что пользуетесь СОРМом вышестоящего оператора, основываясь на договоре оказания услуг связи и мотивируя тем, что “у вышестоящего оператора всё внедрено”. Акт ввода, подписанный куратором ФСБ, должен быть у каждого оператора связи. Свой акт.

Проблема трактования

Отмечу, что именно несоблюдение условий предоставления услуг СОРМа одним оператором другим, попытки построить какие-то “обходные схемы” и привели к необходимости конкретизации термина. В некоторых случаях, такое непонимание положений Закона приводило, в том числе, к финансовым потерям компаний. Например, при попытках заключения договора аренды (а не покупки) комплекса.

Чтобы акцентировать внимание операторов связи именно на необходимости использования уже введенного комплекса СОРМ, вводится термин ап-СОРМинг (up-сорминг).

апСОРМинг

Термин “апСОРМинг” (ап- “вверх”, сорм) акцентирует внимание на том, что использование аппаратно-программных комплексов СОРМ возможно только на базе уже внедрённых, введённых комплексов на сети ваших присоединяющих операторов.

Изначально неправильная трактовка термина привела к необходимости ввода другого, похожего слова.

Что меняется?

Для операторов, предоставляющих услуги СОРМ на базе своей сети и своего введенного в эксплуатацию комплекса - ничего. Фактически для них оба термина обозначают одно и то же. Просто придётся переписать рекламные буклеты, договоры и другие документы.

Для тех, кто пытался “по-быстрому срубить денег” в виде предоставления “железки”, или “кусочка чужого оборудования” без выполнения всех требований законодательства - им станет сложнее.

В любом случае, у оператора связи всегда есть два варианта - либо купить оборудование, выполнить установку, настройку, пройти испытания самостоятельно, либо привести свою сеть в соответствие с требованиям к внедрению СОРМ и пользоваться услугами вышестоящих операторов, предоставляющих такую услуг.