Новый договор ООН о киберпреступности: глобальные правила и риски для бизнеса

Суть события

Организация Объединенных Наций приняла новый международный договор, направленный на борьбу с киберпреступностью. Документ, официально называемый «Конвенция ООН против киберпреступности», был утвержден Генеральной Ассамблеей в декабре 2024 года после пяти лет сложных переговоров. Это первая в истории попытка создать универсальную правовую базу для расследования и уголовного преследования преступлений, совершаемых в цифровом пространстве. Для бизнеса и IT-руководителей это означает появление новых обязательств, особенно в сфере управления данными и взаимодействия с правоохранительными органами разных стран.

Контекст

Традиционные преступления, такие как ограбления, обычно происходят в одной юрисдикции, где преступник и жертва находятся физически. Киберпреступления — кража данных, атаки программ-вымогателей, мошенничество — по своей природе трансграничны. Хакер может находиться на одном континенте, а серверы жертвы — на другом. До сих пор отсутствие единого механизма международного сотрудничества сильно тормозило расследования.

Новый договор призван закрыть этот пробел. Он вступает в силу через 90 дней после того, как его ратифицируют 40 стран-участниц. Хотя США пока не подписали документ (требуется ратификация Сенатом), компаниям, ведущим международный бизнес, придется учитывать его нормы, если они работают в странах, принявших конвенцию. Это напоминает ситуацию с европейским регламентом GDPR: даже если ваша штаб-квартира не в Европе, работая там, вы обязаны соблюдать правила.

Детали договора

Документ решает две ключевые задачи: определяет, что считается киберпреступлением, и устанавливает протоколы взаимодействия стран.

Во-первых, вводятся стандартизированные определения преступлений:

• Незаконный доступ (Статья 7): Криминализация несанкционированного проникновения в IT-системы.
• Злоупотребление устройствами (Статья 11): Запрет на создание и продажу инструментов для кибератак.
• Контент, связанный с эксплуатацией детей (Статья 14): Жесткие меры против распространения материалов сексуального насилия над детьми.

Во-вторых, прописываются обязанности правоохранителей и бизнеса:

• Сохранение данных (Статья 25): Власти могут потребовать от компаний «заморозить» и сохранить определенные электронные данные для расследования.
• Обыск и изъятие (Статья 28): Расширенные полномочия по доступу к данным на серверах и устройствах.
• Круглосуточная сеть (Статья 41): Создание контактных центров 24/7 для оперативного международного реагирования.

Анализ рисков и противоречий

Самая спорная часть договора касается полномочий властей по доступу к данным. Статьи 25 и 28 позволяют правоохранительным органам получать доступ к любой электронной информации, если есть подозрение в совершении преступления. Это может затронуть системы, не связанные напрямую с инцидентом, если власти решат, что через них можно получить доступ к уликам.

Более того, договор требует от стран принять законы, которые могут обязать сотрудников компаний (или сторонних IT-специалистов) раскрывать информацию о работе систем, включая ключи шифрования или сведения об уязвимостях. Это создает серьезные риски для конфиденциальности и кибербезопасности.

Правозащитники и эксперты выражают обеспокоенность размытостью формулировок. Понятие «серьезного преступления» (наказуемого сроком от 4 лет) может трактоваться по-разному. В странах с авторитарными режимами это может быть использовано для преследования политических оппонентов, журналистов и других уязвимых групп.

Также под удар могут попасть «белые хакеры» и исследователи безопасности. Их работа по поиску уязвимостей формально может подпадать под определение «незаконного доступа» или «создания вредоносных устройств», если в национальном законодательстве не будет четких исключений.

Перспектива

Несмотря на критику, процесс запущен. Глобальным компаниям следует начать подготовку к новым реалиям уже сейчас. Это потребует пересмотра политик хранения данных, процедур реагирования на запросы иностранных правоохранительных органов и оценки рисков для сотрудников в разных юрисдикциях.

В ближайшие годы мы увидим, как этот договор будет применяться на практике. Ключевой вопрос — смогут ли демократические страны внедрить достаточные гарантии защиты прав человека при ратификации документа, или же он станет инструментом цифровых репрессий в руках некоторых государств. Баланс между безопасностью и приватностью снова смещается, и бизнесу придется адаптироваться к более жесткому регулированию цифрового пространства.