Зачем

Федеральный Закон 31.07.2023 № 406-ФЗ вносит изменения в закон “О связи” и закон “Об информации, информационных технологиях и о защите информации”, начинает действовать с 1 декабря 2023 года.

Суть: существующих хостинг-провайдеров надо пересчитать путём их самостоятельного добавления в реестр хостинг-провайдеров (РХП), новые будут проходить довольно сложную процедуру запуска. Реестр запускается 1 декабря 2023, до 15 декабря все хостинг-провайдеры должны самовнестись.

Кому надо

Всем компаниям, которые предоставляют услуги хостинга. Не только тем, кто размещает сайты (это самое простое), но вообще всем, кто предоставляет свои вычислительные мощности (ресурсы) для других клиентов - виртуальные машины, облака, докеры, базы данных, место на дисках - все.

Аналогично СОРМу, не важно с кем вы работаете - с физическими, юридическими лицами, индивидуальными предпринимателями - никакой роли это не играет. Предоставили кому-то мощности - всё, вы хостер, поздравляю.

Даже если вы очень маленькая компания и предоставляете три вирталки с 1с-кой на своём сервере трём другим компаниям, я бы всё равно рекомендовал зарегистрироваться в качестве хостинг-провайдера. Причины:

• сейчас вы можете относительно просто пройти эту процедуру, потом запустить хостинг будет сложнее;

• не понравится - скажете, что прекратили такую деятельность, услуги не оказываете;

• вы же планируете развиваться дальше?

Где регистрироваться

Портал заявителей Роскомнадзора тут: https://service.rkn.gov.ru

Непосредственно раздел для регистрации хостинга тут: https://service.rkn.gov.ru/monitoring/rph

Инструкция по заполнению заявки тут: https://service.rkn.gov.ru/docs/manualRhp.pdf

Если что-то не получается - пишите на мыло поддержки help_rhp@noc.gov.ru. Это мыло есть в инструкции, но кто ж до конца читает-то?!

Вход в портал для заполнения заявки - через ЭЦП организации или через ЕСИА.

Что нужно подготовить

При заполнении данных вам потребуется:

• адрес расположения ваших вычислительных ресурсов + геокоординаты

• адрес подключения интернета + геокоординаты

• диапазон IP-адресов, используемых для хостинга

• номер автономной системы (если пользуетесь адресами провайдера спросите у него номер или посмотрите в RIPE)

• данные сколько у вас вычислительных ресурсов: штук ядер процессоров, штук гигов оперативной памяти, штук гигов дискового пространства

• номер договора и дата заключения с аплинком (провайдером интернета)

Вроде бы, основное всё.

Перед началом заполнения прочитайте инструкцию от начала до конца - будет легче заполнять.

Процесс заполнения

Первый раз это должно занять что-то около часа. Пока разберетесь, пока заполните, пока научитесь ошибки искать.

Если в каком-то поле выскакивает ошибка (например, в координатах) - попробуйте убрать знаки препинания, спец-символы и тд.

Рекомендация: после заполнения каждого блока в карточке нажимайте “сохранить”. Так проще искать ошибки и меньше заполнять по второму разу.

Для доступа к разделу заявлений нужно пользователю портала добавить права “Реестр провайдеров хостинга”. Без этого не поедет. Возможно, надо будет выйти, потом снова авторизоваться.

Дальше в карточку и вперед заполнять.

На самом деле, в официальной инструкции всё довольно понятно описано, по шагам.

Ошибки портала

Да, регулярно и с удовольствием оно падает:

Ждёте пол-часа и пробуете снова. Или пишете в поддержку.

Либо вот такое:

Скорее всего, тут ошибка в каком-то из блоков. Именно поэтому лучше всего нажимать “Сохранить” после заполнения каждого блока. Или пишите в поддержку.

После заполнения нажимаете “отправить на проверку”. Должно отобразиться что-то типа “на проверке с такого-то времени”.

Как будто пока всё.

На 04 декабря 2023 Роскомнадзор похвастался, что одобрено аж 16 заявок, а ещё 40 начали заполнение (то есть, видимо, надо считать, что заявки были отправлены на проверку, а затем возвращены на доработку. Немного, прямо скажем…

Проверяем исходные данные

ГРЧЦ вообще не морочится проверками источников, поэтому регулярно присылает петли до сетей Германии, или до автономных систем в Лондоне.

Поэтому первое что делаем - внимательно проверяем какой стране принадлежат сеть и автономная система. 90% проблем завершаются на этом этапе.

Зафиксирован инцидент:

Prefix: 81.19.134.0/24

Path: [12722,1299,24875,207967]

Проверяем:

inetnum: 81.19.134.0 - 81.19.134.255

org: ORG-IIL35-RIPE

country: DE

Ответным письмом:

Прошу разъяснить что нам делать: указанный префикс - Германия…

На сегодняшний день ни одного вразумительного разъяснения на такой вопрос мы не получали. Отреагировать - отреагировали, дальнейших указаний не получали. Задача выполнена.

Тут на самом деле может быть множество вариантов:

- префикс взяли в аренду, в РАНР указали как российский, в RIPE - как немецкий (кстати, это классический split-brain информации);

- автономная система зарубежная, но анонсируемые префиксы - российские;

и так далее.

Проверяем где реально находится целевая AS

Фокус в том, что удалённая AS вполне может находиться зарубежом. Много нашли случаев, когда сети - российские, автономка - российская, а единственный аплинк у неё - в Лондоне. Например, наши хостеры взяли и уехали в далёкий дата-центр. И ничего ничему тут не противоречит. Нет такого указания, что российские сети не могут из Лондона анонсироваться. Так что пусть ЦМУ ССОП разъясняет.

Проверяем аплинка

На всякий случай проверьте маршрут от вас до целевых сетей. Весьма частая ситуация, что оператор выглядит зарубежным, а контракт у вас с российским юрлицом.  И тут снова не ваша проблема, так как ваш трафик не выходил за территорию России. Пусть обращаются к аплинку.

У нас, как правило, к этому моменту 98% проблем отпадают по предыдущим проверкам.

Проверяем префикс в таблице маршрутизации

Проверки выполнены, префикс действительно честный. Что ж, пробуем найти его в своей таблице маршрутизации. Если находится - отдельный prefix-list с повышенным local-pref для подобных маршрутов. У нас нашёлся один такой оператор, через которого мы принудительно принимаем маршруты с повышенным local pref.

Если префикса от российских операторов нет

И такое может быть. Какой-нибудь южно-уральский НИИ имеет в аплинках только условного РТ, с которым у нас прямого стыка нет и маршрут видится только через зарубежных аплинков. Крайне редко, но бывает. Ну что ж, тут надо что-то придумывать. Например, можно написать «Как это так?! Такой большой оператор, а использует своё монопольное положение….» 

Итого, получается, что фактические действия необходимо предпринимать примерно в 2-5% случаев получения сообщения о петле через зарубеж. Всё остальное на самом деле - не ваши проблемы. Но это надо явно указать.

Фиксация обращений

На 99% обращений ЦМУ ССОП не реагирует вообще никак. Бог им судья. Фиксируйте все номера инцидентов, все даты писем и ответов в отдельно табличку. Потом можно будет в каком-нибудь письме добавить «спасибо, а также ждём от вас ответов по инцидентам NN …, …, …, …).

Юридические основания

А вот тут самое интересное: в каждом таком письме ЦМУ ССОП ссылается на приказ 224 от 31 июля 2019 года. В приказе чёрным по белому в первом абзаце написано «…Настоящие Правила маршрутизации сообщений электросвязи в случае осуществления централизованного управления сетью…».

Вопрос в том, что у нас пока не вводилось централизованного управления сетью. Этот режим вообще предусмотрен для случая активного вмешательства извне в работу сети Рунета. 

Кстати, когда у РКН спрашиваешь «можно ли снять собственную фильтрацию по префиксам РКН, так как мы ТСПУ поставили?», РКН отвечает «ууууу, нет конечно - это на случай централизованного управления…».

Так что в случае возникновения каких-либо претензий, первое что надо сделать - позвать юриста и попросить реквизиты документа, на основании которого централизованное управления таки было введено.

До 2023 года деятельность хостинг-провайдеров не являлась лицензируемым видом деятельности. Роскомнадзор выпускал отдельное разъяснение по этому поводу.

Кто такой хостинг провайдер?

Методика определения хостинг-провайдера опеределена в 2021 году постановлением 1836 от 27 октября 2021 года. Срок действия методики - 6 лет, то есть до октября 2027 года.

Функции по идентификации хостинг-провайдеров возложены на Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций - на Роскомнадзор.

Методика определяет, что хостинг-провайдер - лицо (физическое или юридическое), обеспечивающее размещение информации в сети Интернет и при этом удовлетворяющее хотя бы одному следующему условию:

1. осуществляет обработку сведений о пользователях, находящих на территории Российской Федерации;

2. получает денежные средства от пользователей, находящихся на территории РФ;

3. размещает на своих информационных ресурсах информационные ресурсы и/или программы пользователей, принадлежащих лицам, находящимся на территории РФ.

Да, фактически под эту методику подходит почти любой ресурс в сети Интернет. Методика вызывает массу вопросов, даёт предельно размытый алгоритм определения, мало того, касается граждан иностранных государств (так как в методике фигурирует положение “…находящийся на территории РФ…”, а не “…гражданин РФ…”.

Попробуйте сами прочитать и осознать текст методики - это не совсем тривиальная задача.

Как зарегистрироваться в реестре хостинг-провайдеров?

Пока никак. На Консультанте сейчас можно найти документ “Правила направления провайдером хостинга уведомления…”, но документ без реквизитов (без даты, номера и тд). То есть, пока ещё не действующий, пока проект.

Какие требования к российскому хостинг-провайдеру?

1. Нужно являться российским юридическим лицом с долей капитала не менее 50% должно принадлежать гражданам РФ без двойного гражданства. Иностранное участие должно быть менее 50%.

2. Нужно иметь реальный адрес в ЕГРЮЛ (офис, сотрудники, все дела).

3. Необходимо соответствовать требованиям Минцфиры по защите информации. Причем эти требования ещё и должны будут быть согласованы с ФСБ (пока нет нормативной базы).

4. Технические средства (сервера) должны находиться на территории РФ.

Какие технические требования?

1. Использовать национальную систему доменных имён.

2. Физически располагаться на территории РФ

3. Участвовать в учениях по обеспечению устойчивого рунета.

4. Обеспечивать функционирование СОРМ (ни решения, ни нормативной базы пока нет, но будет).

5. Оказывать услуги только лицу, прошедшему идентификацию в соответствии с установленным порядком (напомню, Федеральный закон 406-ФЗ вводит четыре допустимых вида аутентификации пользователей: мобильный телефон / ЕСИА / ГосБиометрия / иная система аутентификации)

Кстати, обратите внимание: никаких запретов “иностранных емейлов” 406-ЗФ не вводит. Email в этом законе вообще не фигурирует - ни российский, ни иностранный. Просто email не является необходимым и достаточным параметром для аутентификации пользователя.

Текущий итог

В общем, пока (18 сентября 2023) ничего конкретного делать не обязательно. Ждём реестра.

Очень желательно начинать приводить свои бизнес-процессы к целевым: хотя бы ввести аутентификацию с помощью мобильного телефона, посмотреть структуру собственников, подумать про место размещения серверов.

Вопросов больше чем ответов

Да, действительно, каждый документ, имеющий отношение к регулированию хостинга в России вызывает огромное количество вопросов. Некоторые:

• А что будет с иностранным хостингом? Будут блокировать? Особенно, с учётом желания Роскомнадзора “приземлить” в России крупнейшие зарубежные хостинговые площадки. Так это бОльшую части Интернета надо заблокировать…

• А что если у меня половина хостинг-компании в России, а половина - нет?

• А что делать с клиентами, не имеющими российского гражданства? Например с северными корейцами?

• А что если я - владелец зарубежного хостинг-провайдера? Сервера - “там”, контора - “за периметром”, но сайт русскоязычный и я принимаю деньги от клиентов, находящихся на территории РФ?…
  …..
  ….
  …

Если задуматься

А если задуматься, то получается, что российский хостинг принудительно делят на внутриросссийский и зарубежный. И если раньше вся выручка от вообще всех клиентов поступала в российское юрлицо, то теперь часть этой выручки осядет на зарубежных счетах и уже вряд ли попадёт в российскую финансовую систему.

Вот вам и суверенизация Интернета. Вот вам и разделение по географическому признаку.

Как-то так мне это видится.

Производитель АПК СОРМ продаёт оборудование заданному оператору. Название и ИНН оператора прописывается в документах, в том числе, в схеме подключения комплекса, которую утверждает куратор.

Однако, “аренда комплекса” на самом деле может быть представлена услугой апсорминга (аутсорминга) - когда вышестоящий оператор связи, действительно, выделяет вам часть своего АПК для реализации мероприятий ОРМ.

Но дьявол, традиционно, в деталях.

Во-первых, комплекс СОРМ должен быть введён в эксплуатацию актом. То есть этот оператор к моменту начала аренды уже должен реализовать всё на своей сети, а уже потом оказывать услуги другим.

Во-вторых, используя комплекс другого оператора, весь ваш трафик должен пройти через сети этого оператора. То есть этот оператор должен стать вашим единственным присоединяющим оператором, альтернативные не предусматриваются.

Требование прохождения трафика через сети одного вышестоящего оператора прописаны в приказе Минцифры России № 245/127 «Об утверждении Типовых требований к плану мероприятий по внедрению технических средств, обеспечивающих оперативно-разыскную деятельность», пункт 6.Б, цитата: “о факте обеспечения прохождения всего трафика присоединяемой сети через технические средства присоединяющего оператора связи;”.

Таким образом, получается, что ответ на вопрос “можно ли взять СОРМ в аренду?” в развёрнутом виде звучит так:

Вы можете воспользоваться услугами апсорминга (аутсорминга) вышестоящего оператора, при которых часть вычислительных ресурсов АПК СОРМ фактически передаётся вам в аренду, при этом весь ваш трафик должен пройти через сети оператора, предоставляющего такие услуги. Оператор должен быть единственным. При этом вышестоящий оператор уже должен иметь внедрённый комплекс на собственной сети, о чем должен иметь акт ввода в эксплуатацию.

В такой формулировке - да, комплекс можно взять в аренду.

При этом важно, что началом процесса внедрения становится схема, которая должна бать согласована и подписана вашим куратором, а результатом - акт введения комплекса СОРМ (на базе комплекса СОРМ вышестоящего оператора) - в постоянную или тестовую эксплуатацию. Простого договора на услуги связи в этом случае будет недостаточно.

Взяв же в обычную аренду набор оборудования, или купив такой набор на вторичном рынке как б/у оборудование, вы вряд ли сможете реализовать требования мероприятий СОРМ. Будет против либо куратор, либо производитель, либо все вместе.

Но если у вас всё таки получилось ввести актом в реальную эксплуатацию б/у или арендованный комплекс - напишите, это действительно интересный кейс.

Случаи, когда внедрение СОРМа кажется нецелесообразным (примеры):

1. Лицензия оператора связи получена, но деятельность согласно лицензии не ведётся

2. Оператор предоставляет другие услуги (аренду серверов, например), выручка по услугам доступа к сети практически нулевая

3. Оператор только-только начал работать на рынке, оборот составляет единицы или десятки тысяч рублей.

И так далее.

Действительно, случаев, когда СОРМ внедрять, как бы, бессмысленно - довольно много.

Однако, есть проблема - лицензия на услуги оператора связи.

В условиях лицензии оператора связи написано, что «оператор обязан за свой счёт реализовать СОРМ». Если вы получили лицензию (точнее - если вы запрашивали такую лицензию), то вы согласны с этим требованием.

Значит, с точки зрения российского законодательства, вам необходимо реализовать СОРМ. Либо сдать лицензию оператора.

А есть ли варианты?

На самом деле - да. 

Во-первых, внедрение СОРМ у конкретного оператора связи контролирует куратор (у каждого оператора 100% есть свой куратор). Попробуйте назначить встречу и просто посоветоваться, объяснить свою ситуацию. Послушайте что скажет.

Во-вторых, попробуйте подумать о разделении бизнеса - возможно именно в вашем случае услуги по передаче данных можно передать вышестоящему оператору (агентский договор предоставления услуг, предоставление комплекса услуг по двум разным договорам и тд)

В-третьих, внедрение СОРМ можно попробовать растянуть по времени (разумеется, при согласовании с тем же куратором).

В-четвертых, можно внедрить СОРМ на базе вышестоящего оператора (аутсорминг / апсорминг - если вышестоящий предоставляет такие услуги).

Возможно ли внедрить СОРМ, не покупая свой АПК?

Да. Как раз это и называется апсорминг (или ранее - аутсорминг). То есть вы можете использовать часть АПК СОРМ вашего вышестоящего оператора, фактически взяв АПК СОРМ в аренду.  (Да, мы тоже предоставляем такие услуги)

Смысл в данном случае в том, что вы пользуетесь инфраструктурой более крупного оператора для решения своих проблем: сетью передачи данных, самим АПК СОРМ, инфраструктурой связи с пультом управления, дата-центром, где расположен сам комплекс.

В случае использования апсорминга вам необходимо уточнить две вещи:

1. Результатом работ по внедрению СОРМ должен быть АКТ введения СОРМ в эксплуатацию (не договор, не соглашение, а акт, подписанный вашим куратором)

2. Вы должны понимать как будет меняться стоимость вашего СОРМ в процессе роста вашей сети. Как будет происходить расширение, как будут меняться тарифы и тд. Эти условия должны быть прозрвчны, лучше если сразу зафиксированы.

И напоследок. 

Стратегия убегания работает плохо. Да, если вы небольшой оператор, то к вам сразу не придут. Но то что рано или поздно всё таки придут - это точно. 

Сейчас внедрение СОРМа уже вполне обкатанная процедура, есть много игроков на рынке (производителей оборудования), и уже нельзя сказать «нет решения - внедрять не будем». 

И проблема в том, что кураторы очень не любят «беглецов» - к ним внимание в первую очередь.

Если у вас всё таки есть время побегать - используйте его для того, чтобы попытаться всё таки реализовать требования СОРМ на своей сети. 

Напомню, что с нового года штрафы за не-реализацию - ОТ миллиона рублей.

Хотите посоветоваться - напишите мне в Telegram. Возможно, смогу что-то подсказать.

На сегодняшний день существуют СОРМ следующих видов:

1. Для операторов телефонной связи (проводной, беспроводной, Е1, SIP - не важно). Приказы 268 (СОРМ1), 86 (СОРМ2), 573 (расширенные данные).

2. Для операторов передачи данных (услуги по доступу в Интернет). Приказы 83/139 (СОРМ2), 573 (расширенные данные), СХД (Яровая - копирование и хранение переданного трафика).

3. ОРИ - СОРМ для организаторов распространения информации (публичные или новостные сайты, агрегаторы новостей и тд.

4. Владельцы AS (автономных систем).

Готовится СОРМ для операторов хостинга, но на сегодняшний день пока ещё нет законодательной базы для такого внедрения.

В каком случае вам нужен СОРМ

1. Когда у вас есть лицензия оператора связи. Лицензия на передачу данных, передачу голоса, передачу данных для целей передачи голосовой информации… - любая.

2. Когда вы оказываете услуги по передаче данных и взымаете деньги за такие услуги.

3. Вы являетесь распространителем информации (ОРИ).

4. Вы подключены к сети Интернет, у вас есть своя автономная система (Autonomous System) и свой блок IP-адресов, анонсируемый этой автономной системой.

Если вы получили лицензию оператора связи, почитайте приложения к лицензии (требования). Там прямым текстом написано, что оператор (владелец лицензии) обязан за свой счёт выполнить требования СОРМ. Эти требования были известны Вам ДО получения и вы под этими требованиями подписались.

Если у вас есть лицензия, но услуг вы не оказываете

Бывают случаи, когда лицензии оператора связи получены, но фактического оказания услуг не происходит (деятельность согласно лицензии не осуществляется). Такое можно встретить, например, среди хостинг-провайдеров: лицензия понадобилась “про запас” или “на всякий случай”.

У вас два варианта:

1. внедрять СОРМ

2. сдать лицензию и перестать быть оператором связи

И это логично: зачем вам лицензия, если услуг вы не оказываете?

Какой именно СОРМ или приказ необходимо реализовать

Если у вас всё таки сложности: нестандартная деятельность, деятельность, формально подпадающая под требования, но фактически нет, планы на деятельность в будущем и тд. - спросите своего куратора.

Кураторы, как правило, нормальные люди, готовые к конструктивному разговору и нормальному общению. У них точно так же есть свои цели, планы, показатели и тд. А вот попытка убежать, спрятаться, затянуть время или надавить с помощью юриста - вот это неконструктивный путь, который вполне может закончиться штрафом или ещё чем-то похуже.

Консультация с куратором - это нормальный процесс, позволяющий прояснить что именно нужно сделать и в каком порядке с учётом вашей специфики.

И помните - результатом внедрения СОРМа является акт, подписанный именно куратором.

Не договор от аплинка, не трёхстороннее соглашение с вашим соседом, не письмо от министра здравоохранения, а только акт о вводе СОРМ в эксплуатацию.

Если с куратором поговорить не получается, а у вас всё равно вопросов больше чем ответов и надо с кем-то посоветоваться - напишите мне в Телегу, возможно смогу чем-то помочь.