Новый ГОСТ для "умных" гаджетов: ИИ-серверы должны находиться в России
В России начал действовать новый государственный стандарт, посвящённый кибербезопасности устройств с подключением к интернету и функциями искусственного интеллекта. Ключевое требование документа связано с обработкой пользовательской информации: серверы, на которых анализируются данные со "умных" гаджетов, должны располагаться на территории страны.
Речь идёт не только о самих устройствах, но и об инфраструктуре, которая обеспечивает их работу. Многие колонки, видеоняни, роботы-пылесосы, камеры и элементы систем "умного дома" передают сведения в облачные сервисы. Там могут обрабатываться голосовые команды, видеозаписи, изображения помещений, сведения о привычках владельцев и другая чувствительная информация.
По словам эксперта по кибербезопасности Алексея Курочкина, новый подход должен сделать происхождение и маршрут данных более прозрачными. Если информация хранится и обрабатывается внутри России, проще определить владельца инфраструктуры, ответственного оператора и организацию, которая должна отвечать за возможную утечку.
Какие варианты использования ИИ предусматривает стандарт
Документ фактически разделяет технологии искусственного интеллекта в гаджетах на три категории. Первый вариант - полностью российская система, в которой и программные решения, и серверные мощности находятся внутри страны. Такой сценарий считается наиболее самостоятельным с точки зрения контроля над данными.
Второй формат предполагает использование зарубежных алгоритмов или отдельных иностранных компонентов, однако сами серверы должны быть размещены в России. Иными словами, разработка может иметь международное происхождение, но передаваемая с устройства информация не должна покидать российскую юрисдикцию.
Третий вариант оценивается как недопустимый. Он связан с применением сервисов, при котором данные пользователей направляются на зарубежные серверы, особенно если речь идёт о структурах и технологиях, которые рассматриваются как потенциально небезопасные или враждебные.
Почему требования затронули именно бытовые устройства
Современные гаджеты собирают гораздо больше информации, чем может показаться владельцу. Умная колонка постоянно ожидает голосовую команду, камера фиксирует происходящее в квартире, а робот-пылесос с системой навигации способен создавать карту помещения. Видеоняня передаёт изображения ребёнка, а приложение для управления техникой хранит сведения о распорядке дня и присутствии людей дома.
Ранее подобные данные нередко отправлялись в зарубежные облачные сервисы. При этом пользователь мог не знать, где именно находится сервер, какая компания обрабатывает сведения и кто имеет к ним доступ. В случае сбоя, взлома или несанкционированной передачи информации установить ответственную сторону было сложнее.
Новый ГОСТ призван изменить эту ситуацию. Локализация серверов не гарантирует абсолютную защиту от кибератак, однако создаёт более понятную систему ответственности. При утечке будет проще установить, какая организация хранила данные, каким образом обеспечивала безопасность и почему информация оказалась доступна посторонним.
Что изменится для производителей
Компаниям, выпускающим "умную" технику, потребуется пересмотреть архитектуру своих сервисов. Одного переноса приложения или сайта на российский хостинг недостаточно: необходимо убедиться, что именно данные с устройств и операции искусственного интеллекта обрабатываются внутри страны.
Производителям также придётся тщательнее описывать работу гаджетов в документации. Пользователь должен понимать, какие сведения собирает устройство, зачем они нужны, как долго хранятся и передаются ли сторонним подрядчикам. Для оборудования с камерами и микрофонами особенно важны настройки приватности, возможность отключить запись и удалять историю запросов.
Вероятно, часть компаний будет использовать комбинированную модель. Например, базовые функции могут работать на российских серверах, а отдельные зарубежные программные модули - применяться без передачи им персональных данных. Однако такая схема потребует технического разделения потоков информации и дополнительного контроля.
Что следует учитывать покупателям
Потребителям стоит обращать внимание не только на характеристики устройства, но и на его облачную инфраструктуру. Перед покупкой желательно выяснить, нужна ли гаджету постоянная связь с интернетом, где размещаются серверы производителя и можно ли использовать основные функции без отправки данных во внешнее облако.
Особую осторожность следует проявлять при выборе устройств с микрофонами, камерами и функциями распознавания лиц или голоса. Чем больше сенсоров установлено в технике, тем выше потенциальный объём собираемой информации. Для таких приборов важны двухфакторная аутентификация, регулярные обновления программного обеспечения и возможность быстро отключить удалённый доступ.
Не менее значимо обновление паролей по умолчанию. Оставленные заводские комбинации часто становятся одной из самых простых точек входа для злоумышленников. Владельцам систем "умного дома" также рекомендуется разделять домашнюю сеть: подключать камеры и бытовую технику к отдельному сегменту Wi-Fi, не связанному напрямую с рабочими компьютерами и телефонами.
Локализация не отменяет других мер защиты
Размещение серверов в России решает вопрос территориального контроля, но само по себе не делает систему безопасной. Защита зависит от шифрования каналов связи, качества программного кода, скорости устранения уязвимостей и того, насколько строго компания ограничивает доступ сотрудников к пользовательской информации.
Важную роль играет и минимизация собираемых данных. Если устройству для выполнения функции не требуется постоянная запись звука или хранение видеоматериалов, производитель должен предоставлять возможность отключить такие режимы. Чем меньше информации сохраняется, тем ниже последствия возможной атаки.
Для пользователей новый стандарт может стать дополнительным ориентиром при выборе техники, а для производителей - стимулом повысить прозрачность и ответственность. В перспективе это способно укрепить доверие к российским системам "умного дома", поскольку владельцы будут лучше понимать, где обрабатываются их данные и к кому обращаться при возникновении проблем.
